Login| Sign Up| Help| Contact|

Patent Searching and Data


Title:
METHOD AND APPARATUS FOR CONTROLLING AN ELEVATOR SYSTEM
Document Type and Number:
WIPO Patent Application WO/2017/055420
Kind Code:
A1
Abstract:
The method and the apparatus are used for securely controlling an elevator system (3) comprising a drive unit (38) which allows an elevator car (36) located in an elevator shaft (35) to move and which is controlled in a secured manner by a control device (100) in such a way that during normal operation, the elevator car (36) can move to at least two access points to the elevator shaft (35) at which doors (30A, 30B) are provided. The elevator car (36) does not move or moves only to a limited extent if an individual is in the elevator shaft (35). A monitoring unit (10A; 10B) and a monitoring sensor (11A; 11B) that allow changes in state to be detected are associated with at least one of the doors (30A, 30B). The monitoring unit (10A; 10B) is equipped with a battery (14) and can be switched to an autonomous mode when the elevator system (3) is entirely or partially out of order. The monitoring unit (10A; 10B) is connected to the monitoring sensor (11A; 11B) and, in the autonomous mode, monitors the state of the monitoring sensor (11A; 11B) and records state data; furthermore, the monitoring unit (10A; 10B) is connected to a securing unit (1) which reads the recorded state data from all connected monitoring units (10A; 10B), evaluates said state data and prevents the elevator system (3) from being put into the normal mode of operation if a change in the state of one of the monitored doors (30A; 30B) has been detected. The monitoring sensor (11A, 11B) is a switching contact which is coupled to the associated door lock (31A; 31B) and via which a monitoring signal is transmitted from an output to an input of the monitoring unit (10A; 10B). According to the invention, the monitoring signal is in the form of a sequence of pulses.

Inventors:
KNECHT ADRIAN (CH)
SONNENMOSER ASTRID (CH)
LUSTENBERGER IVO (CH)
HEINZ KURT (CH)
HESS MARTIN (CH)
HARTMANN THOMAS (CH)
Application Number:
PCT/EP2016/073220
Publication Date:
April 06, 2017
Filing Date:
September 29, 2016
Export Citation:
Click for automatic bibliography generation   Help
Assignee:
INVENTIO AG (CH)
International Classes:
B66B5/00; B66B13/22
Domestic Patent References:
WO2013045271A12013-04-04
WO2014124779A12014-08-21
WO2013020806A12013-02-14
Download PDF:
Claims:
Ansprüche

1. Verfahren zur gesicherten Steuerung einer Aufzuganlage (3), die eine Antriebseinheit (38) umfasst, mittels der eine in einem Aufzugschacht (35) angeordnete Aufzugskabine (36) verfahrbar ist und die von einer Steuervorrichtung (100) derart gesichert angesteuert wird,

a) dass die Aufzugskabine (36) im Normalbetrieb zu wenigstens zwei Zugängen des Aufzugsschachts (35) verfahren werden kann, an denen Türen (30A, 30B) vorgesehen sind, die von der Steuervorrichtung (100) gesteuert werden und von denen wenigstens einer ein Türverschluss (31A, 31B) zugeordnet ist, mittels dessen die zugeordnete Tür (30A; 3 OB) auch im Falle eines Stromausfalls entriegelt und geöffnet werden kann; und

b) dass die Aufzugskabine (36) nicht oder nur eingeschränkt verfahren wird, falls sich eine Person im Aufzugschacht (35) befindet;

wobei wenigstens einer der Türen (30A, 3 OB) je eine Überwachungseinheit (10A; 10B) und ein Überwachungssensor (I IA; I IB) zugeordnet sind, mittels dessen

Zustandsänderungen, wie die Entriegelung oder das Öffnen der Tür (30A; 3 OB), detektiert werden,

die Überwachungseinheit (10A; 10B)

a) mit einer Batterie (14) ausgerüstet ist und bei vollständiger oder teilweiser

Ausserbetriebsetzung der Aufzugsanlage (3) in einen autonomen Betrieb umgeschaltet wird;

b) mit dem Überwachungssensor (I IA; I IB) verbunden ist und zumindest während des autonomen Betriebs den Zustand des Überwachungssensors (11A; 11B) überwacht und entsprechende Zustandsdaten registriert; und

c) mit einer Sicherungseinheit (1) verbunden ist, die aus allen angeschlossenen Überwachungseinheiten (10A; 10B) die registrierten Zustandsdaten ausliest und auswertet und die Versetzung der Aufzugsanlage (3) in den Normalbetrieb verhindert, falls eine Zustandsänderung für eine der überwachten Türen (30A; 30B) detektiert wurde,

und der Überwachungssensor (I IA; 11B) ein mit dem zugehörigen Türverschluss (31 A; 31B) gekoppelter Schaltkontakt ist, über den ein Überwachungssignal von einem Ausgang zu einem Eingang der Überwachungseinheit (10A; 10B) übertragen und das übertragene Überwachungssignal hinsichtlich Zustandsänderungen überwacht wird, die bei Betätigung des Türverschlusses (31A; 31B) auftreten,

dadurch gekennzeichnet, dass das Überwachungssignal als eine Folge von Pulsen ausgeführt ist.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass das Überwachungssignal als eine Folge von identischen Pulsen oder als eine Folge von unterschiedlichen Pulsen mit einer festgelegten Soll-Form ausgeführt ist.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet,

a) dass die Überwachungseinheit (10A; 10B) ein erstes prozessorgesteuertes

Überwachungsmodul (15) aufweist, welches das Überwachungssignal an einem Ausgangsport (op) an den Schaltkontakt (I IA; I IB) abgibt und an einem

Eingangsport (ip) wieder empfängt; oder

b) dass die Überwachungseinheit (10A; 10B) ein erstes und ein zweites

prozessorgesteuertes Überwachungsmodul (15, 16) aufweist, von denen das eine Überwachungsmodul (15) das Überwachungssignal an einem Ausgangsport (op) an den Schaltkontakt (I IA; I IB) abgibt und das andere Überwachungsmodul (16) das Überwachungssignal an einem Eingangsport (ip) empfängt; oder c) dass die Überwachungseinheit (10A; 10B) ein erstes und ein zweites

prozessorgesteuertes Überwachungsmodul (15, 16) aufweist, die das

Überwachungssignal alternierend von ihrem Ausgangsport (op) an den

Schaltkontakt (I IA; I IB) abgeben oder an ihrem Eingangsport (ip) empfangen.

4. Verfahren nach Anspruch 3, dadurch gekennzeichnet,

a) dass das vom Ausgangsport (op) des ersten Überwachungsmoduls (15)

abgegebene Überwachungssignal einerseits über den Schaltkontakt (I IA; I IB) einem ersten Eingangsport (ipl) des zweiten Überwachungsmoduls (16) und andererseits direkt einem zweiten Eingangsport (ip2) des zweiten

Überwachungsmoduls (16) zugeführt wird; oder

b) dass das vom Ausgangsport (op) des ersten Überwachungsmoduls (15)

abgegebene Überwachungssignal einerseits über den Schaltkontakt (I IA; I IB) einem ersten Eingangsport (ipl) des zweiten Überwachungsmoduls (16) sowie einem Eingangsport (ip) des ersten Überwachungsmoduls (15) und andererseits direkt einem zweiten Eingangsport (ip2) des zweiten Überwachungsmoduls (16) zugeführt wird.

5. Verfahren nach einem der Ansprüche 1 - 4, dadurch gekennzeichnet, dass Pulse oder Gruppen von Pulsen in einem zeitlichen Abstand übertragen werden, innerhalb dem zumindest eines der Überwachungsmodule (15; 16) bei Auftreten eines ersten

Ereignisses in einen Ruhezustand und bei Auftreten eines zweiten Ereignisses in einen Betriebszustand versetzt wird, wobei das erste Ereignis vorzugsweise durch die Beendigung des Prozesses der Registrierung von Zustandsänderungen des übertragenen Überwachungssignals oder durch den Ablauf eines Timers (157) und das zweite Ereignis durch das Eintreffen eines übertragenen Pulses des Überwachungssignals oder durch den Ablauf eines Timers (156) bestimmt ist.

6. Verfahren nach Anspruch 4 oder 5, dadurch gekennzeichnet, dass die Sicherungseinheit (1) oder wenigstens eines der Überwachungsmodule (15; 16) das über den

Schaltkontakt (I IA; I IB) übertragene Überwachungssignal mit dem nicht über den Schaltkontakt (11A; 11B) übertragene Überwachungssignal oder einer Soll-Form des übertragenen Überwachungssignals vergleicht und Abweichungen sowie einen entsprechenden Funktionsfehler in einem der Überwachungsmodule (15; 16) registriert.

7. Verfahren nach einem der Ansprüche 4 - 6, dadurch gekennzeichnet, dass das erste und/oder das zweite Überwachungsmodul (15; 16) je wenigstens ein Register (151) für die Speicherung von Zustandsdaten aufweist, in dem die Anzahl t der gesendeten Pulse und die Anzahl r der empfangenen Pulse gespeichert wird und dass in einem der Überwachungsmodule (15; 16) oder der Sicherungseinheit (1) die Differenz zwischen der gespeicherten Anzahl t der gesendeten Pulse und der gespeicherten Anzahl r der empfangenen Pulse gebildet und eine gegebenenfalls aufgetretene Zustandsänderung detektiert wird.

8. Verfahren nach einem der Ansprüche 3 - 7, dadurch gekennzeichnet, dass im ersten und/oder im zweiten Überwachungsmodul (15; 16) ein Filterprogramm (FP) implementiert ist, welches das empfangene Überwachungssignal filtert und

vorzugsweise als Tiefpassfilter oder Medianfilter ausgebildet ist, das vorzugsweise feststellt, ob eine Anzahl r der eingetroffenen Pulse grösser oder kleiner ist als die Hälfte der Anzahl t erwarteten oder gesendeten Pulse.

9. Verfahren nach einem der Ansprüche 1 - 8, dadurch gekennzeichnet, dass zumindest das über den Schaltkontakt (I IA; I IB) übertragene und gegebenenfalls gefilterte

Überwachungssignal dem Eingang eines Watchdog-Timers (156) zugeführt wird, der mit jedem Eintreffen eines Pulses des Überwachungssignals zurückgesetzt wird und der bei Ausbleiben eines Pulses des Überwachungssignals bis zu einem Timeout hochzählt und eine Zustandsänderung signalisiert.

10. Verfahren nach einem der Ansprüche 3 -9, dadurch gekennzeichnet, dass das vom Ausgangsport (op) des ersten Überwachungsmoduls (15) abgegebene

Überwachungssignal über den Schaltkontakt (I IA; I IB) zum Eingangsport (ip) des ersten Überwachungsmoduls (15) geführt und überwacht wird, und dass das erste Überwachungsmodul (15) nach Ausbleiben eines erwarteten Pulses mehrere Pulse mit einer um den Faktor n erhöhten Pulsrepetitionsfrequenz abgibt, die dem ersten

Eingangsport (ipl) des zweiten Überwachungsmoduls (16) über den Schaltkontakt (I IA; I IB) sowie dem zweiten Eingangsport (ip2) des zweiten Überwachungsmoduls (16) direkt zugeführt werden.

11. Verfahren nach einem der Ansprüche 1 - 10, dadurch gekennzeichnet, dass während des autonomen Betriebs der Überwachungsmodule (15; 16) geprüft wird

a) ob die von der Batterie (14) abgegebene Spannung einen Schwellwert

unterschreitet; und/oder

b) ob in einem der Überwachungsmodule (15, 16) ein Brownout auftritt;

und dass die Überwachungsmodule (15; 16) im Ereignisfall zurück gesetzt und die ermittelten Zustandsdaten gelöscht werden.

12. Verfahren nach einem der Ansprüche 1 -11, dadurch gekennzeichnet, dass die

Sicherungseinheit (1) die registrierten Zustandsdaten aus allen angeschlossenen Überwachungseinheiten (10A; 10B) und den darin vorgesehenen

Überwachungsmodulen (15, 16) ausliest und

a) die Funktionsfähigkeit aller angeschlossenen Überwachungseinheiten (10A; 10B) prüft; oder

b) aufgetretene Zustandsänderungen oder Fehlfunktionen der

Überwachungseinheiten (10A; 10B) feststellt; oder

c) Abweichungen der Zahlen (t, r) der in jeder der Überwachungseinheiten (10A;

10B) registrierten gesendeten und empfangenen Pulse ermittelt; oder d) bei fehlender Funktionsfähigkeit einer der Überwachungseinheiten (10A; 1 OB) oder bei einer aufgetretenen Zustandsänderung in einer der

Überwachungseinheiten (10A; 10B) oder bei einer Abweichung der Zahlen (t, r) der in jeder der Überwachungseinheiten (10A; 10B) übertragenen Pulse die Versetzung der Aufzugsanlage (3) zurück in den Normalbetrieb verhindert.

13. Aufzuganlage (3) mit einer Antriebseinheit (38), die mit einer in einem Aufzugsschacht (35) angeordneten Aufzugskabine (36) verbunden und von einer Steuervorrichtung (100) derart gesichert ansteuerbar ist,

a) dass die Aufzugskabine (36) im Normalbetrieb zu wenigstens zwei Zugängen des Aufzugsschachts (35) verfahrbar ist, an denen Türen (30A, 30B) vorgesehen sind, die von der Steuervorrichtung (100) ansteuerbar sind und von denen wenigstens einer ein Türverschluss (31A, 31B) zugeordnet ist, mittels dessen die zugeordnete Tür (30A; 30B) auch im Falle eines Stromausfalls entriegelt und geöffnet werden kann; und

b) dass die Aufzugskabine (36) nicht oder nur eingeschränkt verfahrbar ist, falls sich eine Person im Aufzugschacht (35) befindet;

wobei wenigstens einer der Türen (30A, 3 OB) eine Überwachungseinheit (10A; 10B) und ein Überwachungssensor (I IA, I IB) zugeordnet sind, mittels dessen

Zustandsänderungen, wie die Entriegelung oder das Öffnen der Tür (30A; 3 OB), detektierbar sind,

die Überwachungseinheit (10A; 10B)

a) mit einer Batterie (14) ausgerüstet und bei vollständiger oder teilweiser

Ausserbetriebsetzung der Aufzugsanlage (3) in einen autonomen Betrieb umschaltbar ist;

b) mit dem Überwachungssensor (I IA, I IB) verbunden und zumindest während des autonomen Betriebs zu dessen Überwachung sowie zur Registrierung der Zustandsänderungen vorgesehen ist; und

c) mit einer Sicherungseinheit (1) verbunden ist, mittels der die Zustandsänderungen der überwachten Tür (30A; 3 OB) auswertbar und die Versetzung der

Aufzugsanlage (3) in den Normalbetrieb verhinderbar ist,

und der Überwachungssensor (I IA; 11B) ein mit dem zugehörigen Türverschluss (31 A; 31B) gekoppelter Schaltkontakt ist, über den ein Überwachungssignal von einem Ausgang zu einem Eingang der Überwachungseinheit (10A; 10B) übertragen und das übertragene Überwachungssignal hinsichtlich Zustandsänderungen überwacht wird, die bei Betätigung des Türverschlusses (31A; 31B) auftreten,

dadurch gekennzeichnet, dass das Überwachungssignal als eine Folge von Pulsen ausgeführt ist.

14. Aufzuganlage (3) nach Anspruch 13, dadurch gekennzeichnet,

a) dass die Überwachungseinheit (10A; 10B) ein erstes prozessorgesteuertes

Überwachungsmodul (15) mit einem Ausgangsport (op) aufweist, von dem das Überwachungssignal über den Schaltkontakt (I IA; 11B) an einen Eingangsport (ip) des ersten Überwachungsmoduls (15) übertragbar ist; oder b) dass die Überwachungseinheit (10A; 10B) ein erstes Überwachungsmodul (15) mit einem Ausgangsport (op) aufweist, von dem das Überwachungssignal über den Schaltkontakt (I IA; 11B) zu einem Eingangsport (ip) eines zweiten Überwachungsmoduls (16) übertragbar ist.

15. Aufzuganlage (3) nach Anspruch 14, dadurch gekennzeichnet,

a) dass das vom Ausgangsport (op) des ersten Überwachungsmoduls (15)

abgegebene Überwachungssignal einerseits über den Schaltkontakt (I IA; I IB) einem ersten Eingangsport (ipl) des zweiten Überwachungsmoduls (16) und andererseits direkt einem zweiten Eingangsport (ip2) des zweiten

Überwachungsmoduls (16) zuführbar ist; oder

b) dass das vom Ausgangsport (op) des ersten Überwachungsmoduls (15)

abgegebene Überwachungssignal einerseits über den Schaltkontakt (I IA; I IB) einem ersten Eingangsport (ipl) des zweiten Überwachungsmoduls (16) sowie einem Eingangsport (ip) des ersten Überwachungsmoduls (15) und andererseits direkt einem zweiten Eingangsport (ip2) des zweiten Überwachungsmoduls (16) zuführbar ist.

Description:
Verfahren und Vorrichtung zur Steuerung einer Aufzugsanlage

Die Erfindung betrifft ein Verfahren und eine Vorrichtung zur gesicherten Steuerung einer Aufzugsanlage.

Eine Aufzuganlage umfasst normalerweise eine Aufzugskabine, einen Aufzugschacht, in dem sich die Aufzugskabine bewegt, und eine Antriebseinheit zum Bewegen der Aufzugskabine.

Aus der WO2005/000727A1 ist bekannt, dass Aufzugsanlagen einen Sicherheitskreis aufweisen, bei dem mehrere Sicherheitselemente, wie z.B. Sicherheitskontakte und -Schalter, in einer Serienschaltung angeordnet sind. Die Kontakte überwachen z.B., ob eine Schachttür oder die Kabinentür geöffnet ist. Die Aufzugskabine kann nur bewegt werden, wenn der

Sicherheitskreis und damit auch alle in ihm integrierten Sicherheitskontakte geschlossen sind. Einige der Sicherheitselemente werden von den Türen betätigt. Andere Sicherheitselemente, wie z.B. ein Überfahrschalter, werden durch die Aufzugskabine betätigt oder ausgelöst. Der Sicherheitskreis steht mit dem Antrieb oder der Bremseinheit einer Aufzugsanlage in

Verbindung, um den Fahrbetrieb zu unterbrechen, falls der Sicherheitskreis geöffnet wird.

Aus der WO2005/000727A1 sind ferner Aufzugsanlagen bekannt, die statt mit dem erwähnten Sicherheitskreis mit einem Sicherheitsbussystem ausgerüstet sind, das typischerweise eine Kontrolleinheit, einen Sicherheitsbus und einen oder mehrere Busknoten umfasst.

Von Bedeutung ist nicht nur die Sicherheit von Personen, die mit der Aufzugsanlage befördert werden, sondern auch die Sicherheit von Personen, die sich z.B. für Wartungszwecke im Aufzugsschacht aufhalten.

Die WO2003008316A1 beschreibt, dass heutige Aufzuganlagen aus Sicherheitsgründen so ausgelegt sind, dass am Schachtboden ein Schutzraum in Form einer Schachtgrube vorgesehen ist, um sicher zu stellen, dass Wartungspersonal im Schacht nicht gefährdet wird, wenn die Aufzugskabine in die unterste Position im Schacht fährt.

Zudem ist am oberen Ende des Schachtes - Schachtkopf genannt - normalerweise ein

Schutzraum vorgesehen, damit Wartungspersonal, das eine Wartung auf dem Dach der Kabine durchführt, nicht gefährdet wird, wenn die Kabine in die oberste Position im Schacht fährt.

Eine Aufzuganlage mit Schutzraum am unteren und am oberen Schachtende ist um einige Meter länger als die eigentliche Geschosshöhe des Gebäudes, das von dem Aufzug bedient wird. Dies trifft auf die verschiedensten Arten von Aufzugsdispositionen zu, wie z.B. Seil -Aufzüge, hydraulische Aufzüge, Linearmotor- Aufzüge.

Zur Vermeidung oder Verkleinerung der genannten Schutzräume weist die in der WO2003008316A1 offenbarte Aufzugsanlage zusätzlich und unabhängig von den üblichen Sensoren und Steuermitteln, die für den normalen Betrieb der Aufzuganlage vorgesehen sind, eine Erfassungsvorrichtung auf, die detektiert, ob sich eine Person in einer kritischen Zone des Schachtes, insbesondere innerhalb der Schachtgrube oder des Schachtkopfs, aufhält. Die Detektion kann mittels beliebiger Sensoren, z.B. Lichtschranken, erfolgen. Diese

Erfassungsvorrichtung ist mit der Antriebseinheit der Aufzugsanlage derart verbunden, dass die Aufzuganlage in einen speziellen Betriebszustand überführbar ist, falls sich eine Person in der kritischen Zone aufhält oder im Begriff ist, in diese zu gelangen.

Die Erfassungsvorrichtung und die spezielle Steuereinrichtung sind sicherheitsrelevant ausgelegt, um unter allen Umständen das Einfahren der Aufzugskabine in die kritische Zone zu verhindern, falls sich eine Person darin befindet. Die sicherheitsrelevante Auslegung erfordert z.B., dass wichtige Komponenten redundant vorhanden sind, wichtige Funktionen der

Steuereinrichtung parallel ablaufen und ihre Ergebnisse miteinander verglichen werden und die Datenübertragung über parallele Leitungen erfolgt. Die sicherheitsrelevante Auslegung der Aufzugsanlage ist daher mit erheblichem Aufwand verbunden.

Die WO2013/045271A1 beschreibt eine Vorrichtung zur gesicherten Steuerung einer

Aufzugsanlage. Die Vorrichtung weist zwei Zählvorrichtungen auf, mittels welchen

Bewegungen einer Schachttür erfasst werden können. Eine Zählvorrichtung ist nur bei intakter Stromversorgung aktiv. Die andere Zählvorrichtung ist energieautark ausgeführt und ist damit sowohl bei intakter, also auch bei ausgefallener Stromversorgung aktiv. Auf Basis der Zählwerte der beiden Zählvorrichtungen kann festgestellt werden, ob die Schachttür bei ausgefallener Stromversorgung geöffnet wurde. Die energieautarke Zählvorrichtung weist einen Permanentmagneten und eine Induktionseinheit auf, welche den Betrieb der Zählvorrichtung ohne Einsatz einer Batterie ermöglichen.

Die WO2014/124779A1 beschreibt ebenfalls eine Vorrichtung zur gesicherten Steuerung einer Aufzugsanlage. Die Vorrichtung weist eine Abfrageeinrichtung und einen Sicherheitsschalter zur Überwachung eines Türschlosses einer Schachttür der Aufzuganlage auf. Die

Abfrageeinheit kann bei einem Ausfall der Stromversorgung von einer unabhängigen

Energieversorgungseinrichtung beispielsweise in Form einer Batterie versorgt werden.

Der vorliegenden Erfindung liegt daher die Aufgabe zu Grunde, die Nachteile des Standes der Technik zu überwinden und ein verbessertes Verfahren und eine verbesserte Vorrichtung zur gesicherten Steuerung einer Aufzugsanlage anzugeben.

Das erfindungsgemässe Verfahren und die erfindungsgemässe Vorrichtung sollen insbesondere mit einem möglichst geringen Wartungsaufwand durch einen Servicetechniker durchführbar beziehungsweise betreibbar sein.

Insbesondere sollen das erfindungsgemässe Verfahren und die Vorrichtung bei Stromausfällen eine lang andauernde Überwachung der Aufzugsanlage sicherstellen, sodass diese nach Beendigung eines lang andauernden Stromausfalls oder mehrerer aufeinander folgenden Stromausfälle automatisch wieder hochgefahren werden kann und eine Inspektion der

Aufzugsanlage durch das Wartungspersonal nicht erforderlich ist. Darüber hinaus soll eine Prüfung und Wartung der Vorrichtung möglichst selten notwendig sein.

Diese Aufgabe wird durch ein Verfahren und eine Vorrichtung gemäss Anspruch 1 bzw. 13 gelöst. Vorteilhafte Ausgestaltungen der Erfindung sind in weiteren Ansprüchen angegeben.

Das Verfahren und die Vorrichtung dienen der gesicherten Steuerung einer Aufzuganlage, die eine Antriebseinheit umfasst, mittels der eine in einem Aufzugschacht angeordnete

Aufzugskabine verfahrbar ist und die von einer Steuervorrichtung derart gesichert angesteuert wird,

a) dass die Aufzugskabine im Normalbetrieb zu wenigstens zwei Zugängen des

Aufzugsschachts verfahren werden kann, an denen Türen vorgesehen sind, die von der Steuervorrichtung gesteuert werden und von denen wenigstens einer ein Türverschluss zugeordnet ist, mittels dessen die zugeordnete Tür auch im Falle eines Stromausfalls entriegelt und geöffnet werden kann; und

b) dass die Aufzugskabine nicht oder nur eingeschränkt verfahren wird, falls sich eine Person im Aufzugschacht befindet.

Wenigstens einer der Türen sind eine Überwachungseinheit und ein Überwachungssensor zugeordnet, mittels dessen Zustandsänderungen, wie die Entriegelung oder das Öffnen der Tür, detektiert werden. Die Überwachungseinheit

a) ist mit einer Batterie ausgerüstet und bei vollständiger oder teilweiser

Ausserbetriebsetzung der Aufzugsanlage in einen autonomen Betrieb umschaltbar; b) ist mit dem Überwachungssensor verbunden und überwacht während des autonomen Betriebs den Zustand des Überwachungssensors und registriert entsprechende

Zustandsdaten;

c) ist mit einer Sicherungseinheit verbunden, die aus allen angeschlossenen

Überwachungseinheiten die registrierten Zustandsdaten ausliest und ausgewertet und die Versetzung der Aufzugsanlage in den Normalbetrieb verhindert, falls eine

Zustandsänderung für eine der überwachten Türen detektiert wurde.

Der Überwachungssensor ist ein mit dem zugehörigen Türverschluss gekoppelter Schaltkontakt, über den ein Überwachungssignal von einem Ausgang zu einem Eingang der Überwachungseinheit übertragen wird, die das übertragene Überwachungssignal hinsichtlich Zustandsänderungen überwacht, die bei Betätigung des Türverschlusses auftreten. Der Ausgang kann auch als ein so genannter Ausgangsport und der Eingang als ein so genannter Eingangsport der Überwachungseinheit bezeichnet werden. Sofern der Schaltkontakt geöffnet wird, wird die Übertragung des Überwachungssignals unterbrochen und die Öffnung des Schaltkontakts in der Überwachungseinheit detektiert. Diese Signaländerung oder Zustandsänderung wird in der Überwachungseinheit registriert. Zustandsdaten können in der Überwachungseinheit abgespeichert und zur Auswertung durch die Sicherungseinheit bereitgestellt werden oder bereits in der Überwachungseinheit ausgewertet werden, sodass die Überwachungseinheit nach Beendigung des Stromausfalls bereits das Ergebnis der Überwachung, die Anwesenheit oder Abwesenheit einer Person im Aufzugschacht, an die zentrale Sicherungseinheit überträgt.

Erfindungsgemäss ist das Überwachungssignal als eine Folge von Pulsen ausgeführt. Für die Übertragung einer Folge von Pulsen wird viel weniger Energie benötigt als für eine

Übertragung eines kontinuierlichen Gleichstroms oder Wechselstroms. Damit wird die Batterie im Vergleich zur Übertragung eines kontinuierlichen Gleichstroms oder Wechselstroms weniger belastet. Es ist besonders vorteilhaft, wenn das Überwachungssignal als eine Folge von Pulsen übertragen wird, die einen relativ grossen zeitlichen Abstand zueinander aufweisen.

Durch die geringe Belastung der Batterie durch das gepulste Überwachungssignal erreicht die Batterie eine lange Lebensdauer, was eine seltene Überprüfung ihres Ladezustands und einen seltenen Wechsel der Batterie ermöglicht. Damit ist der Aufwand für Prüfung und Wartung der Überwachungseinheit sehr gering.

Das Überwachungssignal ist insbesondere als eine Folge von identischen Pulsen oder als eine Folge von unterschiedlichen Pulsen mit einer festgelegten Soll-Form ausgeführt. Die Soll- Formen unterscheiden sich beispielsweise in der Pulsposition, der Pulsform, der Pulsamplitude und/oder der Pulsbreite.

Die Erfindung, die bei verschiedensten Arten von Aufzugsdispositionen, wie z.B. Seil-Aufzüge, hydraulische Aufzüge, Linearmotor- Aufzüge einsetzbar ist, erlaubt es, den Zugang einer Person in den Aufzugschacht sicher zu überwachen und den Übergang der Aufzugsanlage in den Normalbetrieb zu verhindern, falls ein Ereignis detektiert wurde, welches anzeigt, dass eine Person möglicherweise in den Aufzugschacht gelangt ist. Sobald eine kritische

Zustandsänderung von der Sicherungseinheit detektiert oder erkannt wird, so wird dies z.B. einem Steuerrechner signalisiert. Alternativ kann die Steuereinheit direkt in die Aufzugsanlage eingreifen und z.B. die Stromversorgung unterbrechen oder die Antriebseinheit ausser Betrieb setzen. Die Sicherungseinheit kann z.B. als Softwaremodul in den Steuerrechner integriert sein oder als separates Modul ausgebildet sein, das mit dem Steuerrechner oder anderen Teilen der Aufzugsanlage interagiert. Die Elemente zur Überwachung und gesicherten Steuerung der Aufzugsanlage können daher in die weiteren Elemente zur Steuerung der Aufzugsanlage integriert werden oder unabhängig davon realisiert sein.

Dieser Zugang einer Person in den Aufzugschacht ist insbesondere dann besonders kritisch, wenn die Aufzugsanlage mitsamt den konventionellen Sicherungsmodulen, soweit vorhanden, ausgeschaltet ist. In diesem Zustand kann eine Person einen Türverschluss z.B. mittels eines Werkzeugs oder Schlüssels betätigen, die Tür öffnen und in den Aufzugschacht gelangen und ist bei Inbetriebsetzung der Anlage einer Verletzungsgefahr ausgesetzt. Eine automatische Inbetriebsetzung wird daher aus Sicherheitsgründen vermieden. Stattdessen prüft das

Wartungspersonal nach einem Stromausfall, ob der Aufzugschacht frei ist und die

Aufzugsanlage in Betrieb gesetzt werden kann.

Wie eingangs beschrieben, können alternativ Sensoren vorgesehen sein, welche die

Anwesenheit einer Person im Aufzugschacht detektieren, sobald die Anlage in Betrieb gesetzt wird. Sofern diese Detektion sicher durchgeführt werden soll, so ist sie mit erheblichem

Aufwand verbunden. Einerseits sind Hardware und Software sicher auszuführen. Andererseits sind Sensoren derart vorzusehen, dass die Person an jeder Stelle des Aufzugschachts sicher detektiert werden kann. Die Detektion soll auch dann gesichert sein, wenn die Sensoren verschmutzt sind oder abnormale Konditionen, z.B. Rauchentwicklung, innerhalb des

Aufzugschachts vorherrschen.

Erfindungsgemäss wird das Problem mit vergleichsweise einfachen und sehr sicheren

Massnahmen gelöst. Erfindungsgemäss wird ein Öffnen der Tür oder eine Betätigung der Türverriegelung detektiert. Dazu können unterschiedliche Überwachungssensoren oder Messfühler eingesetzt werden, wie Bewegungssensoren, Drucksensoren, optischen Sensoren, Kapazitätssensoren, die eine gegenseitige Verschiebung von metallenen Elementen der Tür erfassen, oder Motoren, die bei einer manuellen Bewegung einer Tür als Generator betrieben werden. Besonders geeignet sind Überwachungssensoren, die keine Energieversorgung erfordern, wie Schaltelemente, die von einem Element der Tür oder der Verriegelung betätigt werden.

Da nach Ausserbetriebsetzung der Aufzugsanlage keine Stromversorgung aus dem lokalen Netz erfolgt, ist die Überwachungseinheit mit einer Batterie ausgerüstet und derart ausgebildet, dass sie bei Ausserbetriebsetzung der Aufzugsanlage automatisch in einen autonomen Betrieb umschaltbar ist. Z.B. wird ein Relais vorgesehen, welches durch Strom aus dem Netz aktiviert - - wird und die Schaltung der Überwachungseinheit mit einer Betriebsspannung verbindet. Sobald das Stromnetz ausfällt, wird das Relais deaktiviert und fällt in einen Ruhezustand, in dem die Batterie mit der Schaltung der Überwachungseinheiten verbunden wird.

Die Aufzugsanlage kann mittels der Überwachungseinheiten daher permanent, d.h. während des Normalbetriebs und auch nach Ausserbetriebsetzung überwacht werden, um festzustellen, ob eine Tür oder die Verriegelung betätigt wurde. Von primärer Bedeutung ist die

erfindungsgemässe Überwachung der Aufzugsanlage während eines Stromausfalls, da während dem Normalbetrieb auch andere Mittel genutzt werden können. Nach Beendigung des

Stromausfalls können die Überwachungsdaten aus den Überwachungseinheiten ausgelesen werden.

Dazu ist jede der Überwachungseinheiten mit wenigstens einem Überwachungssensor verbunden und überwacht während des autonomen Betriebs dessen Zustand und registriert entsprechende Zustandsdaten. Insbesondere werden alle Türen überwacht, bei denen damit zu rechnen ist, dass sie während eines Stromausfalls geöffnet werden könnten, um in den

Aufzugschacht zu gelangen. Es wird also insbesondere jede Tür überwacht, der ein

Türverschluss zugeordnet ist, mittels dessen die zugeordnete Tür auch im Falle eines

Stromausfalls entriegelt und geöffnet werden kann. Zur Überwachung von mehreren Türen kann an jeder Tür eine Kombination aus Überwachungseinheit und Überwachungssensor angeordnet sein. Alternativ ist es möglich, dass an den einzelnen Türen jeweils nur ein

Überwachungssensor angeordnet ist und mehrere Überwachungssensoren von einer

Überwachungseinheit überwacht werden. Es ist in diesem Fall auch nur eine einzige Batterie notwendig. Die Überwachungssensoren können dazu insbesondere in Reihe geschaltet sein. Im Fall, dass eine Überwachungseinheit mehrere Überwachungssensoren überwacht, ist eine besonders kostengünstige Durchführung des Verfahrens möglich, da nicht für jede Tür eine eigene Überwachungseinheit mit einer Batterie notwendig ist.

Nach Beendigung des Stromausfalls werden die in den Überwachungseinheiten gesammelten Zustandsdaten von der Sicherungseinheit ausgelesen. Vorzugsweise werden die

Überwachungseinheiten vorerst vom Batteriebetrieb auf den Netzbetrieb umgeschaltet. Nach Auswertung der von den Überwachungseinheiten übertragenen Daten entscheidet die

Sicherungseinheit, ob möglicherweise eine Person die Lifttüren betätigt hat und in den

Aufzugschacht gelangt ist und verhindert den Übergang in den Normalbetrieb. Stattdessen wird über einen drahtgebundenen oder drahtlosen Übertragungskanal vorzugsweise automatisch eine Störungsmeldung lokal zu einer Ausgabeeinheit, einem Lautsprecher und/oder einem Display der Aufzugsanlage, oder dezentral zu einem Wartungsdienst übertragen, der in der Folge die Aufzugsanlage überprüft und wieder in Betrieb setzt. - -

Sofern hingegen festgestellt wurde, dass keine Person in den Aufzugschacht gelangt ist, so wird die Aufzugsanlage automatisch wieder in den Normalbetrieb versetzt. Wartungspersonal wird in diesem Fall nicht benötigt. Die Aufzugsanlage kann nach Beendigung des Stromausfalls ohne zeitliche Verzögerung automatisch wieder in den Normalbetrieb versetzt werden. Mit

Ausrüstung der Aufzugsanlagen mit der erfindungsgemässen Lösung wird die Verfügbarkeit dieser Aufzugsanlagen somit signifikant erhöht. Auch bereits installierte Aufzugsanlagen können mit der erfindungsgemässen Lösung nachgerüstet werden.

Sogenannte„false-negative" Meldungen, d.h. Meldungen, welche die Anwesenheit einer Person im Aufzugschacht verneinen, obwohl eine Person sich im Aufzugschacht befindet, werden ausgeschlossen. Hingegen sind nach Betätigung eines Türverschlusses sogenannte„false- positive" Meldungen zu erwarten, d.h. Meldungen, die die Anwesenheit einer Person im Aufzugschacht als möglich bestätigen, obwohl sich keine Person im Aufzugschacht befindet. Diese Situation tritt nach einem Stromausfall statistisch hingegen sehr selten, z.B. in einem von hundert Fällen auf, sodass die gewährleistete Sicherheit mit minimalem Aufwand erreicht wird. Umgekehrt betrachtet, werden 99 % aller Aufzugsanlagen nach Beendigung eines Stromausfalls wieder in den Normalbetrieb überführt, wodurch bei vollständiger Gewährleistung der

Sicherheit eine nahezu maximale Verfügbarkeit ohne Verzögerung resultiert.

In einer vorzugsweisen Ausgestaltung umfasst die Überwachungseinheit ein erstes

prozessorgesteuertes Überwachungsmodul, welches das Überwachungssignal an einem

Ausgangsport an den Schaltkontakt abgibt und an einem Eingangsport wieder empfängt.

In einer weiteren vorzugsweisen Ausgestaltung umfasst die Überwachungseinheit ein erstes prozessorgesteuertes Überwachungsmodul, welches das Überwachungssignal an einem

Ausgangsport abgibt und über den Schaltkontakt an einen Eingangsport eines zweiten

Überwachungsmoduls abgibt. Die physikalische Trennung der Sendestufe und der

Empfangsstufe voneinander gewährleistet, dass Fehler, die in einem Überwachungsmodul auftreten, keinen direkten Einfluss auf das andere Überwachungsmodul haben. Damit kann ein besonders sicherer Betrieb der Aufzuganlage gewährleistet werden.

Die beiden Überwachungsmodule können auch derart mit einer Betriebssoftware versehen werden, dass sie das Überwachungssignal alternierend von ihrem Ausgangsport an den Schaltkontakt abgeben bzw. an ihrem Eingangsport empfangen. Durch den wechselseitigen Betrieb können die Überwachungsmodule voll genutzt und getestet werden, sodass bei einer Zustandsänderung festgestellt werden kann, an welcher Stelle des Übertragungswegs eine Zustandsänderung oder ein Übertragungsfehler verursacht wurde. Sofern z.B. die Übertragung in eine Richtung möglich und in die andere Richtung unterbrochen ist, so kann auf einen Fehler - - in einem der Übertragungsmodule geschlossen werden.

Der Vorteil des besonders sicheren Betriebs der Aufzuganlage durch den Einsatz von zwei prozessorgesteuerten Überwachungsmodulen ist auch gegeben, wenn das Überwachungssignal, das über den Schaltkontakt übertragen wird, als ein dauerhaftes Gleich- oder

Wechselstromsignal und damit nicht als ein gepulstes Signal ausgeführt ist.

In einer weiteren bevorzugten Ausgestaltung wird das vom Ausgangsport des ersten

Überwachungsmoduls abgegebene Überwachungssignal einerseits über den Schaltkontakt einem ersten Eingangsport des zweiten Überwachungsmoduls und andererseits direkt einem zweiten Eingangsport des zweiten Überwachungsmoduls zugeführt. Dem zweiten

Überwachungsmodul wird über den Schaltkontakt somit der Ist-Wert und direkt der Soll-Wert des übertragenen Überwachungssignals zugeführt. Durch Vergleich von Ist-Wert und Soll-Wert kann bereits eine Zustandsänderung festgestellt werden. Das den zweiten Eingangsport zugeführte Überwachungssignal kann auch zur Aktivierung des zweiten Überwachungsmoduls verwendet werden, wie dies nachstehend noch beschrieben wird.

In einer besonders bevorzugten Ausgestaltung wird das vom Ausgangsport des ersten

Überwachungsmoduls abgegebene Überwachungssignal einerseits über den Schaltkontakt einem ersten Eingangsport des zweiten Überwachungsmoduls sowie einem Eingangsport des ersten Überwachungsmoduls und andererseits direkt einem zweiten Eingangsport des zweiten Überwachungsmoduls zugeführt. Diese Ausgestaltung ist besonders vorteilhaft, da sie dem ersten Überwachungsmodul erlaubt, das Überwachungssignal in Abhängigkeit einer eingetretenen Zustandsänderung zu ändern und eine schnellere und/oder vertiefte Prüfung vorzunehmen. Insbesondere hinsichtlich des Betriebs der Überwachungsmodule mit zugeschaltetem Ruhemodus ist diese Lösung besonders vorteilhaft, wie nachstehend erläutert wird.

Der Abstand der Pulse bzw. die Pulsrepetitionsfrequenz und gegebenenfalls auch die Pulsbreite des Überwachungssignals sind vorzugsweise derart gewählt, dass die Sicherheit zur Detektion einer Zustandsänderung hinreichend ist und gleichzeitig die Überwachungstätigkeit und somit der Energiebedarf der Überwachungsmodule auf ein Minimum reduziert wird.

Die Pulsbreite der übertragenen Pulse wird vorzugsweise derart gewählt, dass das zweite Überwachungsmodul durch einen übertragenen Puls aus dem Ruhezustand in den

Betriebszustand versetzt werden kann und nach Erreichen des Betriebszustands das Eintreffen dieses Pulses detektieren kann. Auf diese Weise können die Überwachungsmodule zwischen zwei Pulsen in einen Ruhezustand versetzt werden, in dem wesentliche Schaltungsteile abgeschaltet sind und somit nur wenig Energie von der Batterie benötigen. - -

Erfindungsgemäss werden Pulse oder Gruppen von Pulsen in einem zeitlichen Abstand übertragen, innerhalb dem zumindest eines der Überwachungsmodule bei Auftreten eines ersten Ereignisses in einen Energiesparmodus oder Ruhezustand und bei Auftreten eines zweiten Ereignisses in einen Betriebsmodus oder Betriebszustand versetzt wird. Das erste Ereignis wird vorzugsweise durch die Beendigung des Prozesses der Registrierung von Zustandsänderungen des übertragenen Überwachungssignals oder durch den Ablauf eines Timers bestimmt. Das zweite Ereignis wird durch das Eintreffen eines übertragenen Pulses des Überwachungssignals oder durch den Ablauf eines Timers bestimmt ist.

Der vorzugsweise konstante Abstand zwischen den Pulsen oder zwischen den Gruppen von Pulsen des Überwachungssignals liegt vorzugsweise im Bereich zwischen 0.15 s und 1.5 s, insbesondere 0.35 s. In diesem Bereich kann die sichere Überwachung der Aufzugstüren gewährleistet und gleichzeitig der Energiebedarf auf ein Minimum reduziert werden. Unter Berücksichtigung der gegebenen Umstände können auch grössere zeitliche Abstände gewählt werden, um noch mehr Energie zu sparen.

Das erste und/oder das zweite Überwachungsmodul weisen je wenigstens ein Register für die Speicherung von Zustandsdaten auf, in dem die Anzahl t der gesendeten Pulse und die Anzahl r der empfangenen Pulse gespeichert wird. Die Differenz zwischen der gespeicherten Anzahl t der gesendeten Pulse und der gespeicherten Anzahl r der empfangenen Pulse kann während des Stromausfalls in einem der Überwachungsmodule oder nach Beendigung des Stromausfalls in der Sicherungseinheit gebildet werden, um eine gegebenenfalls aufgetretene Zustandsänderung zu detektieren. Ferner kann auch der Ausfall von erwarteten Pulsen detektiert und gespeichert werden.

Die Überwachung der Aufzugsanlage kann durch verschiedene Faktoren beeinflusst werden. Von primärer Bedeutung ist das normale Auftreten einer Zustandsänderung durch Betätigung einer Aufzugstür. Weiter kann das Überwachungssignal durch Störsignale verändert werden, wonach fehlerhafte Messergebnisse auftreten können. Ferner können Funktionsstörungen innerhalb der Überwachungseinheiten auftreten. Zudem kann eine ungenügende

Stromversorgung oder Betriebsspannung die Messung beeinflussen. Vorzugsweise sind Mittel und Massnahmen vorgesehen, die es erlauben, vorzugsweise allen diesen Einwirkungen zu begegnen.

Während eines Stromausfalls können Störsignale auftreten, die z.B. durch die Inbetriebsetzung von Notstromaggregaten oder durch das Prellen von Schaltern verursacht werden.

Vorzugsweise wird das übertragene Überwachungssignal daher gefiltert, insbesondere um hochfrequente Störungen zu beseitigen. - -

Im Überwachungsmodul, welches das übertragene Überwachungssignal empfängt, wird daher vorzugsweise ein Filterprogramm implementiert, welches das Überwachungssignal filtert und vorzugsweise als Tiefpassfilter oder Medianfilter ausgebildet ist. Beim Medianfilter wird ermittelt, ob innerhalb einer Zeitdauer eine festgelegte Anzahl der empfangenen Pulse grösser ist als die Hälfte der Anzahl der gesendeten Pulse. Die Zeitdauer ergibt sich daher aus der festgelegten Anzahl von Pulsen multipliziert mit der Periodendauer der Pulsrepetitionsfrequenz. Durch die Änderung der genannten Anzahl von Pulsen und der resultierenden Zeitdauer kann die Grenzfrequenz des Filters verschoben werden.

In Abhängigkeit von der festgelegten Anzahl von Pulsen, die im Filter verarbeitet werden, und der resultierenden Zeitdauer ergibt sich nach Auftreten einer Zustandsänderung, z.B. dem Ausbleiben eines Pulses, eine zeitliche Verzögerung, bis die Zustandsänderung am Ausgang des Filters signalisiert wird. Bei der Wahl von relativ grossen Abständen zwischen den Pulsen können somit Verzögerungen auftreten, die unerwünscht gross sind. Sofern kurze Abstände zwischen den Pulsen gewählt werden, erhöht sich jedoch der Energiebedarf.

Um kurze Pulsabstände bzw. eine hohe Pulsrepetitionsfrequenz während der Zeit, in der keine Zustandsänderungen auftreten, und gleichzeitig eine unerwünschte Verzögerung bei der Detektion einer danach auftretenden Zustandsänderung zu vermeiden, wird das über den zu prüfenden Schaltkontakt übertragene Überwachungssignal vorzugsweise ungefiltert zum ersten Überwachungsmodul zurückgeführt. Im ersten Überwachungsmodul wird die übertragene Pulssequenz überwacht und die Pulsrepetitionsfrequenz erhöht, sobald das Ändern eines Pulses detektiert wird. Bei Auftreten einer Unregelmässigkeit wird die Überwachungstätigkeit somit intensiviert und die Zeitdauer verkürzt, innerhalb der die festgelegte Anzahl Pulse im Filter verarbeitet wird. Die zeitliche Verzögerung bis zum Zeitpunkt, zu dem das Filter die erfolgte Zustandsänderung meldet, kann daher um den Faktor reduziert werden, um den die

Pulsrepetitionsfrequenz zumindest kurzzeitig erhöht wird.

Veränderungen bei der Erzeugung, der Übertragung, dem Empfang und der Verarbeitung des Übertragungssignals können nicht nur durch Störsignale, sondern auch durch

Schaltungselemente der Überwachungsmodule verursacht werden, die nicht korrekt funktionieren. Zur Gewährleistung einer einwandfreien Überwachung des Schaltkontakts ist es daher wichtig Funktionsfehler der Überwachungseinheiten erkennen zu können.

Zur dynamischen Erkennung solcher Fehler wird das Überwachungssignal vom ersten

Überwachungsmodul entsprechend einer festgelegten Soll-Form als eine Folge von

unterschiedlichen Pulsen abgegeben, die sich in der Pulsposition und/oder der Pulsform und/oder der Pulsamplitude und/oder der Pulsbreite unterscheiden. Die entsprechende - -

Ausbildung des Überwachungssignals kann von der Sicherungseinheit vorgegeben oder im ersten oder zweiten Überwachungsmodul fest gespeichert sein oder auch zufällig gewählt werden.

Die Sicherungseinheit und/oder wenigstens eines der Überwachungsmodule vergleicht in der Folge das über den Schaltkontakt übertragene Überwachungssignal mit dem nicht über den Schaltkontakt übertragenen Überwachungssignal oder einer vorgegebenen Soll-Form des übertragenen Überwachungssignals und registriert Abweichungen, die das Vorliegen eines entsprechenden Funktionsfehlers anzeigen.

Vorzugsweise sendet das erste Überwachungsmodul Pulse mit unterschiedlichen Formen je in einer bestimmten Anzahl aus. Das zweite Überwachungsmodul stellt in der Folge fest, ob die Pulse in der betreffenden Form und Anzahl eintreffen. Die Tests können autonom durch die beiden Überwachungsmodule während des autonomen Betriebs oder während des

Normalbetriebs durch die Sicherungseinheit durchgeführt werden.

Besonders wichtig ist auch die einwandfreie Stromversorgung der Überwachungsmodule. Sofern die Batterie z.B. nach einem längeren Stromausfall nicht mehr die erforderliche Spannung und Energie liefert, wird die Funktion der Überwachungseinheiten infrage gestellt. Während des autonomen Betriebs der Überwachungsmodule wird daher vorzugsweise geprüft, ob die von der Batterie abgegebene Spannung einen Schwellwert unterschreitet und/oder ob in einem der Überwachungsmodule ein Brownout auftritt, d.h. einzelne Schaltungsteile aufgrund ungenügender Betriebsspannung ausfallen. Im Ereignisfall, d.h. bei Ausfall der

Betriebsspannung, werden die Überwachungsmodule zurücksetzt und die ermittelten

Zustandsdaten gelöscht. Die Abwesenheit der Zustandsdaten wird sodann als unzulässige Zustandsänderung interpretiert und die Inbetriebnahme der Aufzugsanlage verhindert.

Vorzugsweise wird vorgesehen, dass die genannten Tests auch während des Normalbetriebs durchgeführt werden können. Z.B. wird für die Überwachungseinheiten periodisch ein Stromausfall simuliert. Vorzugsweise werden die Überwachungseinheiten während des Normalbetriebs der Aufzugsanlage durch die Sicherungseinheit periodisch in den

Batteriebetrieb bzw. in den autonomen Betriebszustand versetzt, in dem wenigstens eine der oben genannten Prüfungen und Tests durchgeführt werden. Z.B. werden die

Überwachungseinheiten in den Batteriebetrieb versetzt und hinsichtlich der Betriebsspannungen oder des Vorliegens eines Brownouts überwacht. Weiterhin kann eine dynamische Prüfung der Überwachungsmodule durchgeführt werden, bei der das Überwachungssignal bzw. die Überwachungspulse geändert werden und das empfangene Überwachungssignal geprüft wird. Weiterhin kann der Zustand der Schaltkontakte geprüft werden. Z.B. werden Testprogramme - - abgespeichert und periodisch aufgerufen, mittels denen die Register, Timer, Wandler und Verstärker auch während des Normalbetriebs der Aufzugsanlage geprüft werden.

Nach Beendigung eines Stromausfalls oder der Beendigung einer Simulation eines

Stromausfalls liest die Sicherungseinheit die registrierten Zustandsdaten aus allen

angeschlossenen Überwachungseinheiten und den darin vorgesehenen Überwachungsmodulen aus und nimmt eine Analyse vor.

Insbesondere wird

a) geprüft, ob die Funktionsfähigkeit aller angeschlossenen Überwachungseinheiten

gegeben ist; und/oder

b) geprüft, ob eine Fehlfunktion bei einer der Überwachungseinheiten aufgetreten ist; und/oder

c) geprüft, ob Zustandsänderungen des Überwachungssensors oder bzw. des

Schaltkontakts aufgetreten sind; und/oder

d) ermittelt, ob Abweichungen der Zahlen der in jeder der Überwachungseinheiten

registrierten gesendeten und empfangenen Pulse vorliegen.

Bei fehlender Funktionsfähigkeit einer der Überwachungseinheiten oder bei einer aufgetretenen Zustandsänderung in einer der Überwachungseinheiten oder bei einer Abweichung der Zahlen der in jeder der Überwachungseinheiten übertragenen Pulse wird die Versetzung der

Aufzugsanlage zurück in den Normalbetrieb verhindert.

Die erfindungsgemässe Vorrichtung wird nachstehend in vorzugsweisen Ausgestaltungen anhand von Zeichnungen exemplarisch beschrieben. Es zeigen:

Fig. 1 eine erfindungsgemässe Aufzugsanlage 3 mit einer Antriebseinheit 38, mittels der eine in einem Aufzugschacht 35 angeordnete Aufzugskabine 36 zwischen zwei Aufzugstüren 30A, 3 OB verfahrbar ist und mit einer Steuervorrichtung 100, die zur Überwachung der Aufzugsanlage 3 eine Sicherungseinheit 1 aufweist, die mit Überwachungseinheiten 10A, 1 OB verbunden oder verbindbar ist, mittels denen je eine Verriegelung 31A, 31B einer zugeordneten Aufzugstür 30A, 3 OB überwacht wird;

Fig. 2a die erste Überwachungseinheit 10A von Fig. 1 , die ein prozessorgesteuertes

Überwachungsmodul 15 aufweist, das ein Überwachungssignal STX von einem Ausgangsport op über einen Schaltkontakt 11A, der dem Türverschluss 31A der ersten Aufzugstür 30a zugeordnet ist, zu einem Eingangsport ip überträgt; - -

Fig. 2b ein am Ausgangsport op abgegebenes Überwachungssignal STXI als Pulsfolge mit einem exemplarisch gewählten Tastverhältnis von 50 %;

Fig. 2c ein am Ausgangsport op abgegebenes Überwachungssignal STX2 als Pulsfolge mit einem Tastverhältnis von rund 7 % und einer um den Faktor 7 vergrösserten Periodendauer T;

Fig. 2d das am Eingangsport ip eintreffende Überwachungssignal SRX2, in das während der Übertragung über den Schaltkontakt 11 A ein Störimpuls n eingeprägt wurde;

Fig. 3 a die erste Überwachungseinheit von Fig. 2a mit dem ersten Überwachungsmodul

15, das ein Überwachungssignal STX über den Schaltkontakt 11A zu einem zweiten prozessorgesteuerten Überwachungsmodul 16 überträgt;

Fig. 3b das Überwachungssignal STX von Fig. 3 a als Pulsfolge mit einem Tastverhältnis von 50% vor der Übertragung über den Schaltkontakt 11 A;

Fig. 3c das Überwachungssignal SRX von Fig. 3b nach der Übertragung über den

Schaltkontakt I IA, der während der Dauer von zwei Pulsen geöffnet wurde, die im Register 161 des zweiten Überwachungsmoduls 16 nicht registriert wurden;

Fig. 4a die erste Überwachungseinheit von Fig. 3 a mit dem ersten Überwachungsmodul

15, dessen Ausgangsport op einerseits über den Schaltkontakt 11A mit einem ersten Eingangsport ipl des zweiten Überwachungsmoduls 16 und andererseits direkt mit einem zweiten Eingangsport ip2 des zweiten Überwachungsmoduls 16 verbunden ist;

Fig. 4b das am Ausgangsport op des ersten Überwachungsmoduls 15 abgegebene

Überwachungssignal STX von Fig. 4a;

Fig. 4c das am ersten Eingangsport ipl des zweiten Überwachungsmoduls 16

eintreffende Überwachungssignal SRX von Fig. 4a;

Fig. 5a die erste Überwachungseinheit von Fig. 4a, bei der das Überwachungssignal STX von Fig. 4a über den Schaltkontakt I IA zusätzlich einem Eingangsport ip des ersten Überwachungsmoduls 15 zugeführt wird;

Fig. 5b das Überwachungssignal STX von Fig. 5a als Pulsfolge mit einem Tastverhältnis von rund 7% vor der Übertragung über den Schaltkontakt I IA mit einem zusätzlich eingeprägten Hilfspuls PAUX, der vom ersten Überwachungsmodul 15 nach Ausbleiben eines erwarteten Pulses des übertragenen Überwachungssignals SRX zusätzlich abgegeben wurde; - -

Fig. 5c das Überwachungssignal SRX von Fig. 5b nach der Übertragung über den

Schaltkontakt I IA, der nach Eintreffen eines ersten Pulses p geöffnet wurde;

Fig. 6a ein Diagramm mit dem gesendeten Überwachungssignal STX2 von Fig. 2c, mit dem übertragenen und mit einem Störimpuls n versehenen Überwachungssignal SRX2 von Fig. 2d, mit schematisch gezeigten Filtermassnahmen und mit dem gefilterten Überwachungssignal SRXF, das gegenüber dem empfangenen

Überwachungssignal SRX2 um mehr als zwei Abtastzyklen verschoben ist;

Fig. 6b ein Diagramm mit dem gesendeten Überwachungssignal STX von Fig. 3b, mit dem übertragenen Überwachungssignal SRX, dem drei Pulse fehlen, mit schematisch gezeigten Filtermassnahmen sowie mit dem gefilterten Überwachungssignal SRXF, das gegenüber dem empfangenen Überwachungssignal SRX um zwei Abtastzyklen verschoben ist;

Fig. 6c ein Diagramm mit dem gesendeten Überwachungssignal STX von Fig. 5b, bei dem nach Ausfall eines Pulses die Pulsrepetitionsfrequenz verdoppelt wurde, mit dem übertragenen Überwachungssignal SRX, dem drei Pulse fehlen, mit schematisch gezeigten Filtermassnahmen sowie mit dem gefilterten Überwachungssignal SRXF, das gegenüber dem empfangenen Überwachungssignal SRX um zwei Abtastzyklen verschoben ist, deren Periodendauer jedoch halbiert wurde;

Fig. 7 ein Diagramm mit zwei Signalverläufen des zu übertragenden

Überwachungssignals STXI , STX2, dem Signalverlauf des übertragenen Überwachungssignals SRX, dem Signalverlauf am Ausgang eines Timers im zweiten Überwachungsmodul 16 sowie das empfangene Überwachungssignal SRXF nach der Filterung;

Fig. 8 ein Diagramm mit einem Signalverlauf eines im ersten Überwachungsmodul 15 erzeugten Überwachungssignals STX, mit drei verschiedenen Varianten A, B, C von Pulsen, die unterschiedliche Pulsbreiten aufweisen, sowie den Signalverlauf des im zweiten Überwachungsmodul 16 empfangenen Überwachungssignals SRX, in dem drei schraffiert gezeigte Pulse der Varianten A und C nicht oder nicht korrekt enthalten sind.

Fig. 1 zeigt eine erfindungsgemässe Aufzugsanlage 3 mit einer Antriebseinheit 38, mittels der eine in einem Aufzugschacht 35 angeordnete Aufzugskabine 36 zwischen zwei Aufzugstüren 30A, 30B verfahrbar ist. Die Aufzugsanlage 3, die von einer zentralen Stromversorgungseinheit 2 gespeist wird, ist mit einer Steuervorrichtung 100 ausgerüstet, mittels der die Aufzugsanlage 3, insbesondere die Antriebseinheit 38, steuerbar ist. Die Steuervorrichtung 100 umfasst zur - -

Überwachung der Aufzugsanlage 3 eine Sicherungseinheit 1 , die mit Überwachungseinheiten 10A, 10B verbunden oder verbindbar ist, mittels denen je eine Verriegelung 31A, 31B einer zugeordneten Aufzugstür 30A, 30B überwacht werden kann.

Die Sicherungseinheit 1 ist in der vorliegenden Ausgestaltung ein eigenständiges

Rechnersystem, das mit einem Anlagenrechner 1000 kommuniziert. Die Sicherungseinheit 1 kann aber auch als Softwaremodul oder Hardwaremodul in den Anlagenrechner 1000 integriert werden. Die Sicherungseinheit 1 kann, wie in Fig. 1 gezeigt, direkt in die Aufzugsanlage 3 eingreifen und z.B. die Stromversorgung 2 oder die Antriebseinheit 38 steuern oder ausschalten. Alternativ kann die Sicherungseinheit 1 nur mit dem Anlagenrechner 1000 verbunden sein, der seinerseits die gesicherte Steuerung der Aufzugsanlage 3 unter Berücksichtigung der erfindungsgemäss ermittelten Zustandsdaten vollzieht.

Die Sicherungseinheit 1 und/oder der Anlagenrechner 1000 können zudem drahtlos oder drahtgebunden mit externen Rechnereinheiten, z.B. einem Leitrechner verbunden sein.

In der vorliegenden Ausgestaltung sind die Überwachungssensoren I IA, 11B als Schaltkontakte ausgebildet, die je mit einem Türverschluss 31A, 31B mechanisch gekoppelt sind, der vom Wartungspersonal mittels eines Werkzeugs betätigt werden kann, wie dies in Fig. 1 für den Schaltkontakt I IB gezeigt ist. Während eines Stromausfalls oder einer Abschaltung der Stromversorgung kann das Wartungspersonal somit einen Türverschluss 31A, 31B betätigen, eine Aufzugstür 30A, 3 OB manuell öffnen und in den Aufzugschacht 35 gelangen.

Fig. 1 zeigt, dass nach einem Stromausfall die untere Aufzugstür 31B geöffnet wurde und ein Wartungstechniker in den Aufzugschacht 35 eingetreten ist, um eine elektrische Installation 8 zu prüfen, die den Stromunterbruch verursacht haben könnte. Der Wartungstechniker steht auf dem Schachtboden in einer Schachtgrube, die nur eine geringe Tiefe aufweist. In dieser Situation darf die Aufzugsanlage 3 nicht betrieben werden. In der oberen Etage bewegt sich ein Gebäudebewohner auf die erste Aufzugstür 30A zu, hinter der die Aufzugskabine 36 steht. Sofern die Aufzugsanlage 3 in diesem Moment wieder mit Strom versorgt und in den

Normalbetrieb versetzt wird, kann der Gebäudebewohner die Aufzugskabine 36 betreten und in Fahrt versetzen. Dies wird verhindert, indem die Schaltkontakte I IA; I IB überwacht werden und der Übergang in den Normalbetrieb verhindert wird, falls einer der Schaltkontakte I IA, I IB betätigt wurde. Damit diese Überwachung auch nach einem Stromausfall vollzogen werden kann, sind die Überwachungseinheiten 10A; 10B mit einer Batterie 14 ausgerüstet und bei vollständiger oder teilweiser Ausserbetriebsetzung der Aufzugsanlage 3 oder einem

Stromausfall automatisch in einen autonomen Betrieb umschaltbar.

Fig. 1 zeigt, dass die beiden identisch ausgebildeten Überwachungseinheiten 10A, 10B je eine - - lokale Stromversorgungseinheit 12 und eine Batterie 14 aufweisen, die über eine steuerbare Umschalteinheit 13, z.B. ein spannungsgesteuertes Relais, mit einem ersten und gegebenenfalls einem zweiten Überwachungsmodul 15, 16 verbindbar sind. Die Umschalteinheit 13 wird von der Stromversorgungseinheit 12 mit einer Schaltspannung us versorgt, durch die die

Umschalteinheit 13 aktiviert wird und die Stromversorgungseinheit 12 mit den

Überwachungsmodulen 15, 16 verbindet. Bei einem Stromausfall entfällt die Schaltspannung us und die Umschalteinheit 13 fällt in die Ruhestellung zurück, in der die Batterie 14 mit den Überwachungsmodulen 15, 16 verbunden wird.

In jeder der Überwachungseinheiten 10A, 10B erzeugt das erste Überwachungsmodul 15 ein Überwachungssignal, welches über einen Ausgang der Überwachungseinheit 10A; 1 OB und den zugehörigen Schaltkontakt I IA, I IB zurück zu einem Eingang der Überwachungseinheit 10A; 10B geführt und im ersten oder zweiten Überwachungsmodul 15; 16 ausgewertet wird.

Zumindest während des autonomen Betriebs bzw. während eines Stromausfalls werden die Überwachungssensoren bzw. die Schaltkontakte I IA, I IB daher überwacht, um eine

Zustandsänderung bzw. eine Betätigung des zugehörigen Türverschlusses 31A; 31B zu registrieren. Eine Überwachung wird vorzugsweise auch während des Normalbetriebs vorgenommen. Sofern während des Normalbetriebs eine Betätigung einer der Schaltkontakte I IA, I IB detektiert wird, so wird die Aufzugsanlage vorzugsweise abgeschaltet.

Nach Beendigung des Stromausfalls wird die Aufzugsanlage 3 von der zentralen

Stromversorgungseinheit 2 wieder mit Energie versorgt. Den lokalen

Stromversorgungseinheiten 12 in den Überwachungseinheiten wird wieder eine

Betriebsspannung zugeführt, wonach diese wiederum die Schaltspannung us erzeugen und die Umschalteinheit 13 aktivieren. Die in den Überwachungseinheiten 10A, 10B gesammelten Zustandsdaten oder bereits daraus abgeleitete Zustandsmeldungen können in der Folge von der Sicherungseinheit 1 abgerufen und weiterverarbeitet werden. Die Sicherungseinheit 1 wird anhand der Zustandsdaten von der zweiten Überwachungseinheit 1 OB feststellen, dass der zugehörige Türverschluss 31B betätigt wurde und sich möglicherweise eine Person im

Aufzugschacht 35 befindet. Die Sicherungseinheit 1 verhindert daher die Inbetriebsetzung der Aufzugsanlage 3 durch einen direkten Eingriff in die Aufzugsanlage 3, wie dies in Fig. 1 illustriert ist mit Abschaltung der Stromversorgung 2 oder mit Abschaltung der Antriebseinheit 38, oder durch Mitteilung an einen übergeordneten Rechner bzw. den Anlagenrechner 1000, welcher seinerseits die Inbetriebnahme der Aufzugsanlage 3 verhindert.

Statt wie in Fig. 1 für jede Aufzugtür 30A, 3 OB eine separate Überwachungseinheit 10A, 10B vorzusehen, kann auch nur eine einzige Überwachungseinheit vorgesehen sein, die mehrere, - - jeweils einer Aufzugtür zugeordnete Schaltkontakte überwacht. Die Schaltkontakte sind in diesem Fall in Reihe geschaltet, so dass die Überwachungseinheit erkennt, wenn einer der beiden Schaltkontakte geöffnet wird. In diesem Fall ist auch nur eine einzige Batterie zur Versorgung der Überwachungseinheit notwendig.

Die Ausgestaltung der Überwachungseinheiten 10A, 1 OB wird nachstehend in verschiedenen vorzugsweisen Ausgestaltungen beschrieben, in denen der Sicherheit der Überwachung, der Funktionsfähigkeit der Überwachungsvorrichtung und insbesondere der Energieeinsparung zur Entlastung der Batterie 14 besonderes Gewicht zugemessen wird.

Fig. 2a zeigt die erste Überwachungseinheit 10A von Fig. 1 , die nur ein prozessorgesteuertes erstes Überwachungsmodul 15 aufweist, das ein Überwachungssignal STX von einem

Ausgangsport op über den Schaltkontakt 11A, der dem Türverschluss 31A der ersten

Aufzugstür 30a zugeordnet und mit diesem mechanisch gekoppelt ist, zu einem Eingangsport ip überträgt.

Das Überwachungsmodul 15 ist z.B. ein MikroController mit niedrigstem Stromverbrauch im Betriebszustand (vorzugsweise < 100 μΑ) und im Ruhezustand (vorzugsweise < 500nA), kurzen Verzögerungszeiten beim Übergang vom Ruhezustand in den Betriebszustand (vorzugsweise <1 μ8); und allen wesentlichen Funktionen zur Signalverarbeitung. Z.B. wird ein

Mikrocontroller verwendet, wie er in der Dokumentation„MSP Low-Power Microcontrollers" von Texas Instruments Incorporated aus dem Jahre 2015 beschrieben ist.

Das in Fig. 2a gezeigte Überwachungsmodul 15 ist ein Mikrocontroller mit einer CPU 150, einem oder mehreren Registern 151, einem Arbeitsspeicher 152 einem optional vorgesehenen Digital/Analog Wandler 153, wenigstens einem Ausgangsmodul 154, einem

Schnittstellenbaustein 155, einem Watchdog-Timer 156, wenigstens einem weiteren Timer Tl, einem Analog/Digital Wandler 158 und wenigstens einem Eingangsmodul 159. Die einzelnen Module sind über einen Systembus miteinander und über den Schnittstellenbaustein 155 mit der Sicherungseinheit 1 verbunden oder verbindbar.

Das zweite Überwachungsmodul 16 von Fig. 1 ist vorzugsweise identisch wie das erste Überwachungsmodul 15 aufgebaut, aber mit entsprechend angepasster Software versehen. Vorzugsweise sind beide Überwachungsmodule 15, 16 mit Prüfschaltungen oder Brownout- Schaltungen versehen, mittels denen festgestellt werden kann, ob die Betriebsspannung, insbesondere die Spannung der Batterie 14, unter einen vorgesehenen Wert gefallen ist und/oder ob einzelne Schaltungsteile nur ungenügend mit Energie versorgt werden, wonach dies entsprechend registriert wird. Vorzugsweise wird das Überwachungsmodul 15 nach Vorliegen einer ungenügenden Betriebsspannung in den Ausgangszustand zurückgesetzt, in dem die - -

Datenspeicher gelöscht sind.

Im Arbeitsspeicher 152 sind ein Betriebsprogramm BP und ein Filterprogramm FP gespeichert. Über einen Ausgangsport op und einen Verstärker 18 ist ein Überwachungssignal STX, das im Überwachungsmodul 15 generiert wird, über den Schaltkontakt 11A zu einem Eingangsport ip des Überwachungsmoduls 15 übertragbar.

Der Zustand der Umschalteinheit 13 zeigt, dass der Strom ausgefallen ist und das

Überwachungsmodul 15 von der Batterie 14 mit Strom versorgt wird.

Fig. 2b zeigt exemplarisch ein am Ausgangsport op abgegebenes Überwachungssignal STXI als Pulsfolge mit einem Tastverhältnis von 50 %. Ein Vergleich des am Ausgangsport op abgegebenen Überwachungssignals STX mit dem am Eingangsport empfangenen

Überwachungssignal SRX zeigt an, ob der Schaltkontakt I IA während der Übertragung geöffnet wurde. Sofern einige der Pulse nicht übertragen werden, so wird eine Zustandsänderung des Schaltkontakts I IA und somit eine mögliche Öffnung der Aufzugstür 30A registriert und gemeldet. Z.B. werden die Anzahl der gesendeten Pulse und die Anzahl der empfangenen Pulse im Register 151 gespeichert und vor Inbetriebnahme der Aufzugsanlage 3 miteinander verglichen, um eine Türöffnung zu detektieren.

Fig. 2c zeigt ein am Ausgangsport op abgegebenes Überwachungssignal STX2 von Fig. 2a als Pulsfolge mit einem Tastverhältnis von rund 7 % und einer um den Faktor 7 höheren

Periodendauer T im Vergleich zum Signal von Fig. 2b. Durch die Reduktion des

Tastverhältnisses und die Erhöhung der Periodendauer kann der Energiebedarf signifikant reduziert werden. Zwischen zwei Pulsen kann das Überwachungsmodul 15 zudem in einen Ruhezustand versetzt werden, in dem der Stromverbrauch minimal ist und nur Schaltungsteile betrieben werden, die für den Übergang vom Ruhezustand in den Betriebszustand erforderlich sind. Z.B. werden externe Anreize oder Wecksignale überwacht. Vorteilhaft kann ein

Wecksignal auch innerhalb des Überwachungsmoduls 15 z.B. von einem Timer 156, 157 erzeugt werden.

Fig. 2d zeigt das am Eingangsport ip eintreffende Überwachungssignal SRX2, in das während der Übertragung über den Schaltkontakt 11 A ein Störimpuls n eingeprägt wurde. Störungen dieser Art können die Überwachung beeinträchtigen und werden vorzugsweise ausgefiltert. Dazu wird im Überwachungsmodul 15 das Filterprogramm FP implementiert, was nachstehend in einer vorzugsweisen Ausgestaltung beschrieben wird.

Fig. 3 a zeigt die erste Überwachungseinheit von Fig. 2a mit dem ersten Überwachungsmodul 15, das ein Überwachungssignal STX vom Ausgangsport op über den Schaltkontakt 11A zum Eingangsport ip eines zweiten prozessorgesteuerten Überwachungsmoduls 16 überträgt. Beide - -

Überwachungsmodule 15, 16 werden von der Batterie 14 gespeist. Im ersten

Überwachungsmodul 15 wird die Anzahl der gesendeten Pulse im Register 151 registriert. Im zweiten Überwachungsmodul 16 wird die Anzahl der empfangenen Pulse in einem Register 161 registriert.

Fig. 3b zeigt das Überwachungssignal STX von Fig. 3 a als Pulsfolge mit einem Tastverhältnis von 50% vor der Übertragung über den Schaltkontakt 11 A.

Fig. 3c zeigt das Überwachungssignal SRX von Fig. 3b nach der Übertragung über den

Schaltkontakt I IA, der während der Übertragung von zwei Pulsen geöffnet wurde, die im Register 161 des zweiten Überwachungsmoduls 16 somit nicht registriert wurden. Durch einen Vergleich der Inhalte der beiden Register 151, 161 kann die Zustandsänderung des

Schaltkontakts I IA festgestellt werden. Der Vergleich der Inhalte der Register 151, 161 kann in einem der Überwachungsmodule 15, 16 in einem lokalen Komparator 17 oder zentral in der Sicherungseinheit 1 vorgenommen werden, die alle Registerinhalte aus den

Überwachungseinheiten 10A, 10B ausliest.

Fig. 4a zeigt die erste Überwachungseinheit 10A von Fig. 3 a mit dem ersten

Überwachungsmodul 15, dessen Ausgangsport op einerseits über den Schaltkontakt 11A mit einem ersten Eingangsport ipl des zweiten Überwachungsmoduls 16 und andererseits direkt mit einem zweiten Eingangsport ip2 des zweiten Überwachungsmoduls 16 verbunden ist.

Die direkt zum zweiten Eingangsport ip2 übertragenen Pulse können als Referenzsignale oder als Wecksignale verwendet werden. Bei der Verwendung als Referenzsignal können

Änderungen des über den Schaltkontakt I IA übertragenen Überwachungssignals SRX sofort erkannt werden, das in diesem Fall jedoch noch nicht gefiltert ist.

Das am Eingangsport ip2 eintreffende Überwachungssignal STX kann jedoch auch als

Wecksignal verwendet werden, nach dessen Eintreffen das zweite Überwachungsmodul 16 jeweils aus dem Ruhezustand in den Betriebszustand versetzt wird. Damit die über den

Schaltkontakt I IA übertragenen Pulse detektiert werden können, muss die Pulsbreite grösser sein, als die Aufweckdauer des zweiten Überwachungsmoduls 16 von z.B. 1 μβ. Z.B. wird eine Pulsbreite von 25 μ8 gewählt, die es erlaubt, die eintreffenden Pulse sicher zu erkennen.

Ein Wecksignal kann auch intern in den Überwachungsmodulen 15, 16 erzeugt und mit dem Überwachungssignal STX synchronisiert werden. Wie der Signalverlauf wd in Fig. 7 zeigt, kann ein Timer, z.B. der Watchdog 156, die Periodendauer des Überwachungssignals STX abzählen und das betreffende Überwachungsmodul 15 oder 16 bei Erreichen des maximalen

Zählerstandes aus dem Ruhezustand in den Betriebszustand versetzen, sodass das erste Überwachungsmodul 15 z.B. einen Puls aussenden und das zweite Überwachungsmodul 16 - - diesen Puls empfangen kann.

Fig. 4b zeigt das am Ausgangsport op des ersten Überwachungsmoduls 15 abgegebene

Überwachungssignal STX von Fig. 4a.

Fig. 4c zeigt das am ersten Eingangsport ipl des zweiten Überwachungsmoduls 16 eintreffende Überwachungssignal SRX von Fig. 4a, welches nur den ersten Puls enthält. Das direkt dem zweiten Eingangsport ip2 zugeführte Überwachungssignal STX kann nun das zweite

Überwachungsmodul 16 wecken, welches nach dem Übergang in den Betriebszustand feststellt, dass der zweite und dritte Puls fehlen. Wie erwähnt kann das dem zweiten Eingangsport ip2 zugeführte Überwachungssignal STX auch als Referenzsignal verwendet werden.

Fig. 5a zeigt die erste Überwachungseinheit von Fig. 4a, bei der das Überwachungssignal STX von Fig. 4a zusätzlich über den Schaltkontakt I IA einem Eingangsport ip des ersten

Überwachungsmoduls 15 zugeführt wird. Die Unterbrechung des Schaltkontakts I IA kann somit alternativ oder gleichzeitig im ersten und im zweiten Überwachungsmodul 15, 16 erkannt werden.

Im ersten Überwachungsmodul 15 wird das Fehlen eines Pulses vorzugsweise dazu verwendet, den Prüfmodus zu ändern und die Prüfung zu intensivieren. Vorzugsweise wird die

Pulsrepetitionsfrequenz zumindest kurzzeitig um einen Faktor x erhöht, der vorzugsweise im Bereich von 50 bis 250 liegt. Z.B. wird eine Periodendauer im Bereich von 0.1 s - 0.5 s auf eine Periodendauer im Bereich von 1 ms - 5 ms geändert. Mit Erhöhung der Pulsrepetitionsfrequenz gelingt es selbst bei Vorliegen von Störsignalen, die mittels des Filterprogramms FP unterdrückt werden sollen, den Zustand des Schaltkontakts I IA bzw. eine allfällige Zustandsänderung rasch und präzise zu ermitteln. Verzögerungen, die durch das Filterprogramm FP verursacht werden, werden dabei ebenfalls um den Faktor x reduziert.

Fig. 5b zeigt das Überwachungssignal STX von Fig. 5a als Pulsfolge mit einem Tastverhältnis von rund 7% vor der Übertragung über den Schaltkontakt I IA mit einem zusätzlich

eingeprägten Hilfspuls PAUX, der vom ersten Überwachungsmodul 15 nach Ausbleiben eines erwarteten Pulses p des übertragenen Überwachungssignals SRX zusätzlich abgegeben wurde. Der Hilfspuls PAUX zeigt symbolisch, dass das Überwachungssignal bedarfsweise STX geändert wird, um eine rasche Prüfung vollziehen zu können.

Fig. 5c zeigt das Überwachungssignal SRX von Fig. 5b nach der Übertragung über den

Schaltkontakt 11 A, der nach Eintreffen eines ersten Pulses p geöffnet wurde.

Fig. 6a zeigt ein Diagramm mit dem gesendeten Überwachungssignal STX2 von Fig. 2c sowie mit dem übertragenen und mit einem Störimpuls n versehenen Überwachungssignal SRX2 von Fig. - -

2d. Schematisch sind zudem Filtermassnahmen sowie das gefilterte Überwachungssignal SRXF gezeigt, das gegenüber dem empfangenen Überwachungssignal SRX2 um mehr als zwei

Abtastzyklen verschoben ist und aus dem der Störimpuls entfernt wurde. Das Messergebnis erfolgt am Ausgang der durch Hardware oder Software realisierten Filterstufe mit einer signifikanten Verzögerung.

Durch das Filterprogramm FP, welches im zweiten Überwachungsmodul 16 implementiert ist, wird geprüft, welchen Wert die Mehrzahl von Abtastwerten innerhalb eines Filterintervalls aufweist. Die Filterintervalle umfassen jeweils die letzten fünf Abtastwerte. Das Filterprogramm FP umfasst z.B. ein FIFO -Register, in das die Abtastwerte schrittweise eingelesen werden. Mit jeder Verschiebung wird die Summe der fünf im FIFO-Register enthaltenen Werte gebildet und geprüft, ob deren Summe oberhalb oder unterhalb des Mittelwerts zwischen den Werten liegt, bei denen das FIFO-Register vollständig gefüllt oder vollständig geleert ist; d.h. grösser oder kleiner als 2.5 ist. Für jedes Filterintervall sind die ermittelten Werte sowie das Ergebnis angezeigt. Die Übertragung an den Ausgang des Filters erfolgt mit der Verzögerung d erst nach Eintreffen des letzten Abtastwerts.

Fig. 6a zeigt, dass das gefilterte Überwachungssignal SRXF mit einer Verzögerung d am Ausgang der Filterstufe erscheint, die etwa der doppelten Periodendauer des Abtastsignals entspricht. Der sporadisch aufgetretene Störimpuls n wurde hingegen beseitigt.

Fig. 6b zeigt ein Diagramm mit dem gesendeten Überwachungssignal STX von Fig. 3b sowie dem übertragenen Überwachungssignal SRX, dem drei Pulse fehlen. Schematisch sind zudem Filtermassnahmen sowie das gefilterte Überwachungssignal SRXF gezeigt, das gegenüber dem empfangenen Überwachungssignal SRX2 mit einer Verzögerung dl ebenfalls um etwa zwei Abtastzyklen verschoben ist. Der Filtervorgang erfolgt wie mit Bezug zu Fig. 6a beschrieben.

Fig. 6c zeigt ein Diagramm mit dem gesendeten Überwachungssignal STX von Fig. 5b sowie mit dem übertragenen Überwachungssignal SRX, dem drei Pulse fehlen. Beim gesendeten

Überwachungssignal STX wurde die Pulsrepetitionsfrequenz verdoppelt, nachdem das Fehlen eines Pulses detektiert wurde (siehe auch die Beschreibung zu Fig. 5a). Schematisch sind zudem Filtermassnahmen sowie das gefilterte Überwachungssignal SRXF gezeigt, das gegenüber dem empfangenen Überwachungssignal SRX mit einer Verzögerung d2 um zwei Abtastzyklen verschoben ist, deren Periodendauer jedoch halbiert wurde. Die Verzögerung d2 wurde gegenüber der Verzögerung dl von Fig. 6b ebenfalls halbiert (d2 = 1/2 dl).

Zum Zeitpunkt t3 wurde im ersten Überwachungsmodul 15 von Fig. 5a festgestellt, dass mit dem übertragenen Überwachungssignal SRX ein erwarteter Puls nicht eingetroffen ist. Nach diesem Ereignis wurde vom ersten Überwachungsmodul 15 die Pulsrepetitionsfrequenz - - verdoppelt und somit der Pulsabstand halbiert. Die Länge der Filterintervalle und die

Verzögerung d können durch Erhöhung der Pulsrepetitionsfrequenz somit beliebig reduziert werden.

In einer vorzugsweisen Ausgestaltung wird vorgesehen, dass das erste Überwachungsmodul 15 nach Ausbleiben eines Pulses einen für eine kurze Zeitdauer im Bereich von z.B. ls - 10s einen Burst oder eine Sequenz Pulsen aussendet, deren Abstände um den oben genannten Faktor x reduziert, der vorzugsweise im Bereich von 50 bis 250 liegt.

Fig. 7 zeigt ein Diagramm mit zwei Signalverläufen des zu übertragenden Überwachungssignals STXI, STX2, sowie dem Signalverlauf des übertragenen Überwachungssignals SRX. Ferner sind der Signalverlauf wd am Ausgang eines Timers im zweiten Überwachungsmodul 16 sowie das empfangene Überwachungssignal SRXF nach der Filterung gezeigt. Der Timer korrespondiert z.B. zum Watchdog 156 des ersten Überwachungsmoduls 15

in Fig. 7 ist ersichtlich, dass die Änderung des Signalverlaufs des übertragenen

Überwachungssignals SRX zwei verschiedene Ursachen haben kann.

Im ersten Fall kann zum Zeitpunkt t5 eine Zustandsänderung des Schaltkontakts I IA erfolgen, der unterbrochen wird und die Pulse des ersten Überwachungssignals STXI nicht weiter zum Eingangsport ipl des zweiten Überwachungsmoduls 16 leitet.

Im zweiten Fall wird das Überwachungssignal STX2 im ersten Überwachungsmodul 15 nicht mehr erzeugt, so dass nach dem Zeitpunkt t4 keine Pulse mehr über den geschlossenen

Schaltkontakt I IA zum Eingangsport ipl des zweiten Überwachungsmoduls 16 gelangen können. Sofern die Pulse des Überwachungssignals STX2 bei den Schaltungsanordnungen von Fig. 4a und Fig. 5a nicht mehr zum zweiten Eingangsport ip2 des zweiten

Überwachungsmoduls 16 gelangen, wird dieses nicht mehr aus dem Ruhezustand in den Betriebszustand versetzt. Die Zählerstände für die gesendeten und empfangenen Pulse bleiben daher konstant bzw. sind eingefroren. Sofern die Zählerstände bei identischen Werten eingefroren wurden, zeigt dies den geschlossenen Zustand des überwachten Schaltkontakts I IA, 11B an, obwohl diese mittlerweile vielleicht geöffnet wurde.

Erfindungsgemäss sind für dieses Problem zwei Lösungen vorhanden, die alternativ oder vorzugsweise in Kombination angewendet werden.

Bei der ersten Lösungsvariante wird von einem Timer 157 innerhalb des zweiten

Überwachungsmoduls 16 (das vorzugsweise dieselben Module aufweist wie das erste

Überwachungsmodul 15) ein Wecksignal STI erzeugt. Das Wecksignal STI wird mit dem vom ersten Überwachungsmodul 15 abgegebenen Überwachungssignal STX synchronisiert und weist - - dieselbe Frequenz auf, ist in der Phase jedoch um einen Bruchteil der Periodendauer vorverschoben. Mit der abfallenden Flanke des Wecksignals STI wird das zweite

Überwachungsmodul 16 jeweils aus dem Ruhezustand in den Betriebszustand versetzt, um einen Puls des übertragenen Überwachungssignals SRX ZU empfangen. In der Folge werden der Ist-Wert der tatsächlich eingetroffenen Pulse und der Soll-Wert der erwarteten Pulse registriert, wie dies in Fig. 7 illustriert ist. Die Differenz zwischen den 4 eingetroffenen und den 14 erwarteten Pulsen zeigt, dass eine Zustandsänderung im ersten Überwachungsmodul 15 oder beim Schaltkontakt I IA aufgetreten ist.

Sofern die Pulse des Überwachungssignals STXI, STX2 am zweiten Eingangsport ip2 des zweiten Überwachungsmoduls 16 ebenfalls gezählt werden, kann der Zustand des ersten

Überwachungsmoduls 15 bestimmt werden. Die Zählerstände des Registers 161 zeigen, dass vom ersten Überwachungsmodul 14 Pulse ausgesendet wurden, dass 14 Pulse erwartet wurden und dass 4 Pulse über den Schaltkontakt I IA übertragen wurden. Die Übereinstimmung von 14 ausgesendeten und 14 erwarteten Pulsen zeigt, dass das erste Überwachungsmodul 15 einwandfrei funktioniert. Die Differenz zwischen den 14 gesendeten und erwarteten Pulsen einerseits und den 4 empfangenen Pulsen andererseits zeigt hingegen, dass der Schaltkontakt 11 A geöffnet wurde. Das empfangene und gefilterte Überwachungssignal SRXF zeigt die Zustandsänderung des Schaltkontakts I IA.

Bei der zweiten Lösungsvariante werden die Zählerstände der Register 151, 161 von der Sicherungseinheit 1 nach Beendigung des Stromausfalls aus allen Überwachungseinheiten 10A, 10B ausgelesen und miteinander verglichen. Der Vergleich zeigt, ob die Registerstände bei einer der Überwachungseinheiten 10A, 1 OB eingefroren sind und ein Fehler aufgetreten ist. Falls die Registerstände in jeder der Überwachungseinheiten 10A, 10B identisch sind, aber Unterschiede zwischen den Überwachungseinheiten 10A, 1 OB vorliegen, so kann auf einen Funktionsfehler geschlossen werden.

Bei der Bearbeitung der Zählerstände werden vorzugsweise Toleranzen vorgesehen, mit denen Abweichungen von Zählerständen vernachlässigt werden, die für das Anzeigen einer

Fehlfunktion oder einer Zustandsänderung der Überwachungssensoren bzw. Schaltkontakte I IA, I IB ungenügend sind.

Fig. 2a zeigt, dass die Überwachungsmodule 15, 16 vorzugsweise einen sogenannten Watchdog 156 aufweisen, der als Timer bzw. Zähler ausgebildet ist und der vorteilhaft zur Überwachung des Schaltkontakts I IA bzw. I IB oder auch des ersten Überwachungsmoduls 15 einsetzbar ist. Bei den Schaltungsanordnungen von Fig. 4a und Fig. 5a wird das Überwachungssignal STX mit den Pulsfolgen (siehe z.B. Fig. 7 mit den Signalverläufen STXI und STX2) dem zweiten - -

Eingangsport ip2 direkt bzw. nicht über den Schaltkontakt I IA bzw. I IB des zweiten

Überwachungsmoduls 16 zugeführt. Das über den Schaltkontakt I IA bzw. I IB übertragene Überwachungssignal SRX wird dem ersten Eingang ipl des zweiten Überwachungsmoduls 16 zugeführt. Das Ausbleiben eines Pulses der dem ersten und/oder dem zweiten Eingangsport ipl bzw. ip2 zugeführten Überwachungssignale STXI bzw. STX2 oder SRX kann nun anhand je eines Watchdogs 156 überwacht werden, für den ein Timeout bzw. ein Zählwert to festgelegt wird, der bei regelmässigem Eintreffen aller Pulse nie erreicht wird.

In Fig. 7 ist die Überwachung des über den Schaltkontakt I IA bzw. I IB übertragenen

Überwachungssignals SRX illustriert, dessen Pulse bei aufsteigender Flanke den Watchdog 156 jeweils zurücksetzen, sodass dieser nicht in das Timeout to hochzählen kann. Zum Zeitpunkt t5 wird hingegen kein Puls mehr über den Schaltkontakt I IA bzw. I IB übertragen, sodass der Watchdog 156 nicht zurückgesetzt wird und ins Timeout hochzählt und einen Alarm auslöst oder eine Zustandsänderung signalisiert. In gleicher Weise würde das in Fig. 7 gezeigte Überwachungssignal STX2 zum Zeitpunkt t5 bei einem zweiten Watchdog ein Timeout verursachen.

Vorzugsweise wird vorgesehen, dass dem Watchdog 156 das gefilterte Eingangssignal SRXF zugeführt wird. Dadurch wird verhindert, dass der Watchdog 156 durch Störimpulse zurückgesetzt wird und bei Ausbleiben eines Pulses des Überwachungssignals SRX nicht in das Timeout hochzählen kann.

Die durch den Watchdog 156 signalisierten Zustandsänderungen werden z.B. im Register 151 abgespeichert und nach Beendigung des Stromausfalls mit den weiteren Zustandsdaten zur Sicherungseinheit 1 übertragen. Vorzugsweise wird der Verlauf des Ausgangssignals des Watchdog 156 gespeichert und analysiert, z.B. um die Dauer der Unterbrüche des

Schaltkontakts I IA bzw. I IB festzustellen. Normalerweise wird vorgesehen, dass bereits nach Eintreffen eines Timeout für einen Puls eine Inbetriebnahme der Aufzugsanlage 3 verhindert wird. Alternativ kann festgelegt werden, dass der Timeout für eine bestimmte Anzahl Pulse andauern muss, bevor die Inbetriebnahme der Aufzugsanlage 3 verhindert wird. Z.B. wird dadurch unterschieden, ob eine Unregelmässigkeit in der Schaltung oder eine Türöffnung aufgetreten ist.

Fig. 8 zeigt ein Diagramm mit einem Signalverlauf eines im ersten Überwachungsmodul 15 erzeugten Überwachungssignals STX, mit drei verschiedenen Varianten A, B, C von Pulsen, die unterschiedliche Pulsbreiten aufweisen. Ferner ist der Signalverlauf des im zweiten

Überwachungsmodul 16 empfangenen Überwachungssignals SRX gezeigt, in dem drei Pulse der Varianten A und C nicht oder nicht korrekt enthalten sind. Für jede der Varianten A, B und C ist - - die Anzahl der abgegebenen Pulse im Register 151 des ersten Überwachungsmoduls 15 registriert. Ebenso ist im Register 161 des zweiten Überwachungsmoduls 16 die Anzahl der empfangenen Pulse für jede der Varianten A, B und C registriert.

Die Pulse können auf dem gesamten Übertragungsweg verloren gehen oder beeinträchtigt werden. Die Analyse der Veränderungen lässt Rückschlüsse zu auf die Art der Störung. Mittels der Variation der Pulse können die elektronischen Elemente der Überwachungsmodule 15, 16 somit in einfacher Weise geprüft werden. Die Prüfung kann sporadisch oder auch in einem regelmässigen Muster von der Sicherungseinheit 1 oder autonom von den

Überwachungsmodulen 10A, 10B durchgeführt werden.

Alternativ können auch die Pulsamplituden, die Pulsabstände oder die Pulsrepetitionsfrequenz wahlweise geändert werden.

Nach Beendigung eines Stromausfalls oder der Beendigung einer Simulation eines

Stromausfalls liest die Sicherungseinheit 1 die registrierten Zustandsdaten aus allen angeschlossenen Überwachungseinheiten 1 OA, 1 OB und den darin vorgesehenen

Überwachungsmodulen 15, 16 aus und nimmt eine Analyse vor.