Die vorliegende Erfindung betrifft ein Verfahren zum Betreiben einer

Personentransportanlage sowie eine zur Ausführung dieses Verfahrens konfigurierte Personentransportanlage .

Personentransportanlagen wie zum Beispiel Aufzüge, Fahrtreppen oder Fahrsteige werden als in Bauwerken fest installierte Einrichtungen dazu eingesetzt, um Personen und/oder Gegenstände zu transportieren. Nachfolgend werden Aspekte und

Ausführungsformen der Erfindung überwiegend mit Bezug auf eine als Aufzuganlage ausgebildete Personentransportanlage beschrieben. Die beschriebenen Aspekte und Ausführungsformen können jedoch auch für andere Arten von Personentransportanlagen umgesetzt werden.

Personentransportanlagen müssen im Allgemeinen hohen Sicherheitsanforderungen genügen. Zu diesem Zweck sind in Personentransportanlagen typischerweise mehrere Sicherheitseinrichtungen vorgesehen, mithilfe derer sicherheitsrelevante Funktionen der Personentransportanlage kontrolliert, d.h. aktiv gesteuert oder zumindest passiv überwacht, werden können. Solche sicherheitsrelevanten Funktionen können beispielsweise Messvorgänge umfassen, mithilfe derer ein aktueller Zustand bzw. aktuelle Bedingungen innerhalb der Personentransportanlage ermittelt werden können, sodass eine dabei erhaltene Information beim Betreiben der Personentransportanlage berücksichtigt werden kann.

Beispielsweise kann mit einer Sicherheitseinrichtung in einer Aufzuganlage ermittelt werden, ob eine Aufzugtür korrekt geschlossen ist, sodass eine Aufzugsteuerung basierend auf den Informationen, die von mehreren Sicherheitseinrichtungen an verschiedenen Aufzugtüren der Aufzuganlage übermittelt werden, entscheiden kann, ob eine Aufzugkabine verfahren werden darf oder ob dies aufgrund der Tatsache, dass zumindest eine Aufzugtür nicht korrekt geschlossen ist, temporär nicht zulässig ist. Andere Sicherheitseinrichtungen können dazu konfiguriert sein, eine Information darüber zu liefern, an welcher Position sich eine Aufzugkabine aktuell in einem Aufzugschacht befindet und/oder wie schnell sich die Aufzugkabine aktuell durch den Aufzugschacht bewegt. Hierzu kann beispielsweise ein Sensor zusammen mit der Aufzugkabine durch den Aufzugschacht bewegt werden und stationär innerhalb des Aufzugschachts vorgehaltene lokale Informationen auslesen, aus denen dann auf die aktuelle Position der Aufzugkabine sowie auf die aktuelle Geschwindigkeit der Aufzugkabine rückgeschlossen werden kann. Basierend auf diesen Informationen kann eine Aufzugsteuerung die Aufzugkabine präzise an gewünschte Positionen verfahren.

Eine weitere Art von Sicherheitseinrichtungen kann dazu eingesetzt werden, zu erkennen, ob sich eine Aufzugkabine innerhalb eines Toleranzbereichs oberhalb und unterhalb einer Stoppposition an einem Stockwerk befindet. Basierend auf dieser Information kann die Aufzugsteuerung zum Beispiel entscheiden, dass Aufzugtüren bereits geöffnet werden dürfen, bevor die Aufzugkabine tatsächlich eine anvisierte Stoppposition erreicht hat, d.h., während sich die Aufzugkabine noch innerhalb des Toleranzbereichs bewegt (sog. pre-opening). Ausserdem kann eine Aufzugsteuerung entgegen der ansonsten geltenden Regel, dass die Aufzugkabine nicht verfahren werden darf, solange eine Aufzugtür nicht vollständig geschlossen ist, ausnahmsweise ein langsames Verfahren der Aufzugkabine zulassen, solange sich die Aufzugkabine innerhalb des Toleranzbereichs um die

Stoppposition befindet, um hierdurch beispielsweise einen Niveauabgleich (sog.

relevelling) bewirken zu können, wenn Passagiere die Aufzugkabine betreten oder verlassen und sich dadurch die Last und letztendlich die Position der Aufzugkabine verändert.

In modernen Personentransportanlagen können die Sicherheitseinrichtungen an konkret situationsspezifisch oder anlagenspezifisch vorherrschende Betriebsbedingungen und/oder Eigenschaften der Personentransportanlage angepasst werden. Hierzu können die Sicherheitseinrichtungen durch Eingeben von Konfigurationsparametem in einen Zustand konfiguriert werden, in dem sie die von ihnen zu kontrollierende Funktion gemäss bestimmten Vorgaben kontrollieren. Ein solcher Zustand wird hierin nachfolgend als Konfiguriert-Zustand bezeichnet. Bevor eine Sicherheitseinrichtung nicht in diesen Konfiguriert-Zustand versetzt wurde, indem die von ihr benötigten Konfigurationsparameter situationsspezifisch bzw. anlagenspezifisch eingegeben wurden, darf die Sicherheitseinrichtung nicht in der Personentransportanlage betrieben werden, sodass im Regelfall die gesamte Personentransportanlage noch nicht betriebsbereit ist.

Es muss jedoch auch sichergestellt werden, dass, nachdem alle Sicherheitseinrichtungen einer Personentransportanlage korrekt in ihren jeweiligen Konfiguriert-Zustand konfiguriert wurden, dieser Konfiguriert-Zustand nicht ungewollt bzw. von unbefugten Personen manipulativ geändert wird.

Zu diesem Zweck wurden Sicherheitseinrichtungen bisher oft verplombt. Die

Sicherheitseinrichtung verfügte hierzu über ein Gehäuse, welches von aussen

verschlossen wurde, sodass zu konfigurierende Bauelemente im Innern des Gehäuses nicht mehr zugänglich waren. Das Gehäuse wurde dann mit einer Plombe gegen unbefugtes Öffnen gesichert. Das Versehen des Gehäuses mit der Plombe bewirkte dabei einerseits bei unbefügten Dritten eine Hemmschwelle, das Gehäuse zu öffnen und dabei die Plombe zu zerstören, um die Sicherheitseinrichtung dann manipulieren zu können. Andererseits konnte beim Erkennen von Fehlfunktionen einer Personentransportanlage anhand einer eventuell beschädigten Plombe zumindest einfach von aussen her erkannt werden, dass eine ihrer Sicherheitseinrichtungen eventuell manipuliert worden ist. Ferner wurde in vielen Fällen in die Plombe noch eine individuelle Prägung oder Gravierung eingebracht, anhand derer beispielsweise dokumentiert werden konnte, wann und/oder durch wen die Plombe angebracht wurde.

In modernen Personentransportanlagen werden Sicherheitseinrichtungen zunehmend mithilfe elektronischer und in vielen Fällen sogar programmierbarer Schaltkreise implementiert. Dies kann einerseits dazu führen, dass die Sicherheitseinrichtungen besonders zuverlässig arbeiten, kostengünstig sind und/oder einfach gewartet werden können. Andererseits kann angestrebt sein, solche elektronischen Sicherheits

einrichtungen automatisiert und/oder aus der Feme in ihren Konfiguriert-Zustand zu konfigurieren. Hierzu können die Sicherheitseinrichtungen beispielsweise an ein

Datennetzwerk angeschlossen sein, über welches Konfigurationsparameter an sie übertragen werden können. Die Konfigurationsparameter können dabei beispielsweise von einem entfernt befindlichen Kontrollzentrum übermittelt werden. Alternativ können die elektronischen Sicherheitseinrichtungen Konfigurationsparameter während einer Lemphase automatisiert„erlernen“.

Allerdings müssen bisher auch in solchen modernen Personentransportanlagen die Sicherheitseinrichtungen abschliessend vor Ort inspiziert und dann gegen unbefugte und/oder unerkannte Manipulation mechanisch verplombt werden.

WO 2015/058913 Al beschreibt ein Verfahren und eine Vorrichtung zur Inbetriebnahme einer Aufzuganlage.

Es kann unter anderem ein Bedarf an einem alternativen Ansatz bestehen, um

Sicherheitseinrichtungen in Personentransportanlagen gegen unbefugte und/oder unerkannte Manipulationen zu schützen.

Einem solchen Bedarf kann durch den Gegenstand gemäss einem der unabhängigen Ansprüche entsprochen werden. Vorteilhafte Ausführungsformen sind in den abhängigen Ansprüchen sowie der nachfolgenden Beschreibung definiert.

Gemäss einem Aspekt der Erfindung wird ein Verfahren zum Betreiben einer

Personentransportanlage vorgeschlagen. Die Personentransportanlage weist hierbei wenigstens eine insbesondere elektronische Sicherheitseinrichtung zum Kontrollieren einer sicherheitsrelevanten Funktion der Personentransportanlage auf. Die

Sicherheitseinrichtung kann durch Eingeben von Konfigurationsparametem dazu in einen Konfiguriert-Zustand konfiguriert werden, die sicherheitsrelevante Funktion gemäss bestimmten Vorgaben zu kontrollieren. Die Sicherheitseinrichtung kann ferner durch Etablieren eines elektronischen Siegels dazu in einen Versiegelt-Zustand konfiguriert werden, zu verhindern, dass zuvor eingegebene Konfigurationsparameter modifiziert werden können. Die Personentransportanlage wird dabei vor dem Etablieren des elektronischen Siegels ausschliesslich in einem beschränkten Betriebsmodus betrieben und kann nach dem Etablieren des elektronischen Siegels in einem Normalmodus betrieben werden. Dabei sind Funktionalitäten der Personentransportanlage im beschränkten Betriebsmodus eingeschränkter als im Normalmodus und/oder stehen nur innerhalb eines vorbestimmt begrenzten Zeitraums zur Verfügung. Gemäss einem zweiten Aspekt der Erfindung wird eine Personentransportanlage mit einer Steuerung vorgeschlagen, wobei die Steuerung dazu konfiguriert ist, die Personen transportanlage gemäss einer Ausführungsform des ersten Aspekts der Erfindung zu betreiben.

Konkret weist die Personentransportanlage hierfür wenigstens eine insbesondere elektronische Sicherheitseinrichtung zum Kontrollieren einer sicherheitsrelevanten Funktion der Personentransportanlage sowie eine Steuerung zum Steuern von

Funktionalitäten der Personentransportanlage auf. Die Sicherheitseinrichtung ist dabei durch Eingeben von Konfigurationsparametem dazu konfigurierbar, die

sicherheitsrelevante Funktion gemäss bestimmten Vorgaben zu steuern. Die

Sicherheitseinrichtung ist ferner durch Etablieren eines elektronischen Siegels dazu konfigurierbar, zu verhindern, dass zuvor eingegebene Konfigurationsparameter modifiziert werden können. Die Steuerung ist insbesondere dazu konfiguriert, die Personentransportanlage vor dem Etablieren des elektronischen Siegels ausschliesslich in einem beschränkten Betriebsmodus zu betreiben und die Personentransportanlage nach dem Etablieren des elektronischen Siegels in einem Normalmodus zu betreiben, wobei Funktionalitäten der Personentransportanlage im beschränkten Modus eingeschränkter sind als im Normalmodus und/oder nur innerhalb eines vorbestimmt begrenzten

Zeitraums zur Verfügung stehen.

Mögliche Merkmale und Vorteile von Ausführungsformen der Erfindung können unter anderem und ohne die Erfindung einzuschränken als auf nachfolgend beschriebenen Ideen und Erkenntnissen beruhend angesehen werden.

Wie bereits einleitend kurz angegeben, wurden in Personentransportanlagen herkömmlich Sicherheitseinrichtungen mechanisch verplombt, nachdem sie durch Eingeben von Konfigurationsparametem in gewünschterWeise konfiguriert wurden. Durch das Verplomben konnte ein versehentliches Ändern der Konfigurationsparameter vermieden werden und auch eine absichtliche Manipulation solcher Konfigurationsparameter konnte vermieden oder zumindest einfach erkennbar gemacht werden.

Kurz zusammengefasst kann mit dem hierin vorgestellten Ansatz eine Art elektronisches Verplomben oder Versiegeln (electronic sealing -„eSealing“) von Sicherheits- einrichtungen in Personentransportanlagen implementiert werden. Dabei kann die insbesondere elektronische Sicherheitseinrichtung zunächst in gewünschter Weise konfiguriert werden. Nach diesem Konfigurieren kann die Sicherheitseinrichtung die von ihr zu kontrollierenden Funktionen zwar bereits in einer gewünschten Weise

kontrollieren. Da jedoch noch nicht sichergestellt ist, dass zuverlässig verhindert wird, dass die Konfigurierung der Sicherheitseinrichtung nachträglich noch verfälscht oder manipuliert wird, wird vorgesehen, dass die Personentransportanlage in diesen

Konfiguriert-Zustand zwar bereits grundsätzlich betrieben werden kann, allerdings lediglich in einem beschränkten Betriebsmodus. Erst wenn die Sicherheitseinrichtung durch Etablieren eines elektronischen Siegels dazu konfiguriert wurde, zu verhindern, dass die zuvor zur Konfiguration eingegebenen Konfigurationsparameter modifiziert werden, kann die Personentransportanlage von ihrem beschränkten Betriebsmodus in ihren Normalmodus übergehen, in dem ihre Funktionalitäten vollumfänglich und zeitlich unbegrenzt verfügbar gemacht werden.

Eine Sicherheitseinrichtung in einer Personentransportanlage kann dazu ausgeführt sein, eine oder mehrere für eine Sicherheit der Personentransportanlage relevante Funktionen zu kontrollieren, d.h. zu überwachen und/oder zu steuern. Sicherheitsrelevante

Funktionen können dabei beispielsweise ein Messen, ein Detektieren und/oder ein Beeinflussen von Eigenschaften der Personentransportanlage sein, die sich auf einen sicheren Betrieb der Personentransportanlage auswirken können. Das Kontrollieren sicherheitsrelevanter Funktionen kann unter anderem ein Detektieren von vollständig oder unvollständig geschlossenen Aufzugtüren, ein Messen einer aktuellen

Geschwindigkeit einer Aufzugkabine, ein Bestimmen einer aktuellen Position der Aufzugkabine und Ähnliches sein. Hierzu kann die Sicherheitseinrichtung über einen oder mehrere Sensoren, Detektoren, Aktuatoren oder Ähnliches verfügen.

Ferner kann die Sicherheitseinrichtung in ihrer Betriebsweise modifiziert und/oder programmiert werden, um dadurch beeinflussen zu können, in welcher Weise die Sicherheitseinrichtung das Kontrollieren der sicherheitsrelevanten Funktion durchführt. Der hierbei eingesetzte Vorgang wird hierin als Konfigurieren bezeichnet, kann aber in manchen Fällen auch als Parametrisieren bezeichnet werden. Dabei werden in die Sicherheitseinrichtung Konfigurationsparameter eingegeben, die die Sicherheits einrichtung dazu veranlassen, die von ihr zu kontrollierende sicherheitsrelevante Funktion in Übereinstimmung mit bestimmten Vorgaben, d.h. in einer vorbestimmten Art und Weise, zu kontrollieren. Eine elektronische Sicherheitseinrichtung weist wenigstens einen elektronischen und / oder einen programmierbaren Schaltkreis auf, welcher modifiziert und/oder programmiert werden kann.

Beispielsweise können bei einem in einem Türschalter verwendeten Sensor Grenzwerte konfiguriert werden, oberhalb derer ein Sensorsignal als eine geschlossene Aufzugtür signalisierend interpretiert wird und unterhalb derer das Sensorsignal als eine nicht vollständig geschlossene Aufzugtür signalisierend interpretiert wird. Gemäss einem weiteren Beispiel kann ein Positionssensor durch geeignetes Konfigurieren dazu in die Lage versetzt werden, generierte Sensorsignale geeignet zu interpretieren, um daraus die gewünschte Information über die aktuelle Position beispielsweise der Aufzugkabine ableiten zu können.

Die Konfigurationsparameter können beispielsweise über ein externes Eingabegerät wie eine Mensch-Maschine-Schnittsteile (HMI - human machine interface) manuell beispielsweise von einem die Personentransportanlage installierenden oder wartenden Person in Form eines Technikers eingegeben werden. Ein solches Eingabegerät kann beispielsweise eine Tastatur, ein berührungsempfmdlicher Bildschirm oder Ähnliches sein, die bzw. der an der Sicherheitseinrichtung selbst oder an einem mit dieser

Sicherheitseinrichtung kommunikationstechnisch verbundenen anderen Gerät wie beispielsweise einer Aufzugsteuerung oder einer tragbaren, computergesteuerten Vorrichtung, beispielsweise in Form eines Smartphones, vorgesehen sein kann. Über das Eingabegerät kann der Techniker die Konfigurationsparameter beispielsweise in Form von Codes, Zahlen, Buchstabenfolgen oder ähnlichem eingeben.

Alternativ können die Konfigurationsparameter über eine Maschine-Maschine- Schnittsteile (MMI) automatisiert übermittelt werden. Die Konfigurationsparameter können dabei beispielsweise in einem anderen Gerät gespeichert oder berechnet werden und dann an die Sicherheitseinrichtung übermittelt werden. Beispielsweise können die Konfigurationsparameter in einem entfernten Kontrollzentrum oder in einer tragbaren, computergesteuerten Vorrichtung, beispielsweise in Form eines Smartphones ermittelt werden und dann als Signale über die Maschine-Maschine-Schnittsteile der

Sicherheitseinrichtung mitgeteilt werden. Als weitere Alternative können die Konfigurationsparameter eingegeben werden, indem sie von der Sicherheitseinrichtung in Kooperation mit weiteren Aufzugkomponenten automatisiert gelernt werden. Hierzu kann beispielsweise die Personentransportanlage während einer Lemphase in einer vorbestimmten Weise betrieben werden, um dabei von der Sicherheitseinrichtung und den weiteren Aufzugkomponenten Informationen erhalten zu können, anhand derer dann die für die Konfiguration der Sicherheitseinrichtung notwendigen Konfigurationsparameter ermittelt, d.h. beispielsweise berechnet oder aus einer Tabelle ausgelesen, werden können.

Nachdem die Konfigurationsparameter eingegeben worden sind, befindet sich die Sicherheitseinrichtung in ihrem Konfiguriert-Zustand. In diesem Konfiguriert-Zustand arbeitet die Sicherheitseinrichtung bereits bestimmungsgemäss, d.h. gemäss

vorbestimmter Vorgaben und angepasst beispielsweise an individuelle Eigenschaften der Personentransportanlage .

Allerdings kann der Konfiguriert-Zustand zunächst jederzeit weiter verändert werden, indem weitere oder geänderte Konfigurationsparameter an die Sicherheitseinrichtung eingegeben werden.

Um ein versehentliches oder manipulatives Ändern des Konfiguriert-Zustandes verhindern zu können, ist die Sicherheitseinrichtung daher ergänzend dahingehend ausgelegt, dass sie in einen speziellen Versiegelt-Zustand überführt werden kann, d.h. mit einer Art elektronischem Siegel versehen werden kann. Hierzu kann die

Sicherheitseinrichtung geeignet elektronisch modifizierbar und/oder programmierbar sein, sodass sie in den Versiegelt-Zustand gebracht werden kann. In dem Versiegelt- Zustand verhindert die Sicherheitseinrichtung jegliche Modifikation des zuvor erreichten Konfiguriert-Zustandes, d.h. jegliches Ändern zuvor eingegebener Konfigurations parameter. Beispielsweise kann hierzu eine Datenkommunikation zwischen der

Sicherheitseinrichtung und einem zum Eingeben der Konfigurationsparameter eingesetzten Eingabegerät unterbrochen werden bzw. von dem Eingabegerät übermittelte Daten können ignoriert werden. Das auf diese Weise etablierte elektronische Siegel wirkt ähnlich wie bisherige mechanische Siegel bzw. Plomben. Insbesondere kann durch das Etablieren des elektronischen Siegels verhindert werden, dass zuvor eingegebene Konfigurations parameter versehentlich oder manipulativ geändert werden. Anders ausgedrückt bleibt die Sicherheitseinrichtung so lange unverändert in ihrem Konfiguriert-Zustand, wie das elektronische Siegel wirksam etabliert ist.

Die Personentransportanlage ist dabei derart ausgelegt, dass sie ausschliesslich dann in ihrem Normalmodus mit weitgehenden Funktionalitäten betrieben werden kann, wenn die Sicherheitseinrichtung in ihrem Versiegelt-Zustand ist, d.h. sowohl die Konfigurations parameter eingegeben wurden als auch das elektronische Siegel etabliert wurde. Davor, das heisst wenn zwar die Konfigurationsparameter eingegeben wurden, aber noch kein elektronisches Siegel etabliert wurde, lässt sich die Personentransportanlage lediglich in einem beschränkten Betriebsmodus betreiben, in dem ihre Funktionalitäten

eingeschränkter sind als im Normalmodus.

Der beschränkte Betriebsmodus kann sich dabei von dem Normalmodus auf verschiedene Arten und Weisen unterscheiden.

Beispielsweise kann eine maximal zulässige Geschwindigkeit, mit der die Aufzugkabine verfahren werden darf, im beschränkten Betriebsmodus geringer sein als im

Normalmodus. Die maximal zulässige Geschwindigkeit wird teilweise auch als

Nenngeschwindigkeit (VKN) bezeichnet. Im beschränkten Betriebsmodus kann die maximal zulässige Geschwindigkeit signifikant geringer, d.h. beispielsweise wenigstens 10 %, wenigstens 20 %, wenigstens 30 %, wenigstens 50 % oder sogar wenigstens 80 % geringer, sein als im Normalmodus. Hiermit kann sichergestellt werden, dass die Aufzugkabine nicht sehr schnell verfahren wird, solange die Sicherheitseinrichtung nicht in ihrem Versiegelt-Zustand ist.

Alternativ oder ergänzend kann ein maximal zulässiger Verfahrweg während des beschränkten Betriebsmodus kürzer sein als im Normalmodus. Anders ausgedrückt kann der Bereich, über den die Aufzugkabine innerhalb des Aufzugschachts verfahren werden darf, während des beschränkten Betriebsmodus kleiner, d.h. beispielsweise wenigstens 10 %, 20 %, 30 % oder sogar 50 % kürzer, sein als im Normalmodus, sodass die Aufzugkabine eventuell manche Stockwerke nicht erreichen kann. Insbesondere sind im beschränkten Betriebsmodus die untersten und/oder obersten Stockwerke nicht erreichbar. Damit kann auch in einem Aufzugschacht mit einer geringen Grube bzw. Schachtkopf im beschränkten Betriebsmodus ein ausreichender Sicherheitsraum für einen sich im Aufzugschacht aufhaltenden Techniker gewährleistet werden.

Als weitere Alternative oder Ergänzung kann ein vorzeitiges Öffnen (pre-opening) von Aufzugtüren bei Stopps an Stockwerken während des beschränkten Betriebsmodus beschränkter sein als im Normalmodus. Anders ausgedrückt kann es während des beschränkten Betriebsmodus ausgeschlossen sein oder lediglich in einem verkürzten Toleranzbereich oberhalb und unterhalb einer Stoppposition zulässig sein, die

Aufzugtüren zu öffnen, bevor die Aufzugkabine die Stoppposition letztendlich erreicht hat. Während des Normalmodus kann dieser Toleranzbereich hingegen deutlich grösser gewählt sein, beispielsweise mehr als 10 %, 20 %, 30 %, 50 % oder sogar mehr als 100 % grösser als während des beschränkten Betriebsmodus.

Gemäss noch einer weiteren Alternative oder Ergänzung kann ein Niveauausgleich (relevelling) der Aufzugkabine während eines Stopps an Stockwerken während des beschränkten Betriebsmodus beschränkter sein als im Normalmodus. Mit anderen Worten kann während des beschränkten Betriebsmodus ein Niveauausgleich unzulässig sein oder lediglich in einem geringeren Masse zugelassen werden als während des Normalmodus.

Dabei kann der Niveauausgleich hinsichtlich der Geschwindigkeit, mit der die

Aufzugkabine verlagert werden darf, und/oder einer Distanz, über die die Aufzugkabine maximal verlagert werden darf, beschränkt sein. Beide Grössen können beispielsweise während des beschränkten Betriebsmodus um wenigstens 10 %, 20 %, 30 % oder sogar wenigstens 50 % kleiner sein als während des Normalmodus.

Durch einzelne der genannten Massnahmen oder ein Zusammenspiel mehrerer solcher Massnahmen kann der Betrieb der Personentransportanlage im beschränkten

Betriebsmodus sicherer gestaltet werden bzw. Schäden bei etwaigen Fehlfunktionen verringert werden.

Alternativ dazu, Funktionalitäten der Personentransportanlage während des beschränkten Betriebsmodus einzuschränken, oder in Ergänzung hierzu, kann vorgesehen werden, dass die Funktionalitäten nur innerhalb eines vorbestimmt begrenzten Zeitraums zur

Verfügung stehen. Anders ausgedrückt kann die Personentransportanlage, bevor das elektronische Siegel in der Sicherheitseinrichtung etabliert wurde, zwar eventuell mit den gleichen Funktionalitäten betrieben werden, wie im Normalmodus, ein Betrieb mit diesen Funktionalitäten ist jedoch zeitlich beschränkt. Nach Ablauf des vorbestimmt begrenzten Zeitraums können die Funktionalitäten dann signifikant eingeschränkt werden oder ein Betrieb der Personentransportanlage sogar vollständig eingestellt werden. Hierdurch kann erreicht werden, dass die Personentransportanlage allenfalls über einen begrenzten Zeitraum hin im vollen Funktionsumfang betrieben werden kann, solange die

Sicherheitseinrichtung nicht in den Versiegelt-Zustand konfiguriert wurde. Der begrenzte Zeitraum kann je nach Personentransportanlage und/oder Situation unterschiedlich gewählt sein und kann von einigen Minuten über etliche Stunden bis hin zu einigen Tagen oder sogar wenigen Wochen betragen.

Indem die Funktionalitäten der Personentransportanlage während des beschränkten Betriebsmodus eingeschränkt werden oder nur innerhalb des vorbestimmt begrenzten Zeitraums zur Verfügung stehen, kann einerseits erreicht werden, dass die

Personentransportanlage nach dem korrekten Konfigurieren zumindest eine Zeit lang betrieben werden kann, eventuell mit eingeschränkten Funktionalitäten.

Dementsprechend kann die Personentransportanlage beispielsweise während eines Installationsvorgangs derselben oder während einer Fertigstellung des Gebäudes, in dem sie installiert wurde, beispielsweise von geschulten Technikern bereits eingeschränkt betrieben bzw. genutzt werden. Andererseits kann sichergestellt werden, dass die Personentransportanlage nicht mit ihren vollumfänglichen Funktionalitäten betrieben wird, bis ihre Sicherheitseinrichtung korrekt elektronisch versiegelt wurde. Hierdurch kann ein Risiko für Passagiere minimiert werden.

Gemäss einer Ausführungsform weist die Personentransportanlage mehrere

Sicherheitseinrichtungen auf. In diesem Fall soll die Personentransportanlage ausschliesslich dann im Normalmodus betrieben werden, wenn in allen

Sicherheitseinrichtungen das jeweilige elektronische Siegel etabliert wurde.

Mit anderen Worten können in der Personentransportanlage viele gleiche oder verschiedenartige Sicherheitseinrichtungen vorgesehen sein, die an unterschiedlichen Positionen angeordnet sind und/oder verschiedene sicherheitsrelevante Funktionen kontrollieren. Die Personentransportanlage bzw. deren Steuerung kann hierbei derart ausgestaltet sein, dass die Personentransportanlage im beschränkten Betriebsmodus betrieben wird, wenn zumindest eine dieser Sicherheitseinrichtungen nicht in ihren Versiegelt-Zustand konfiguriert worden ist, und die Personentransportanlage nur dann mit all ihren Funktionalitäten im Normalmodus betrieben wird, wenn tatsächlich alle Sicherheitseinrichtungen korrekt konfiguriert und durch Etablieren des elektronischen Siegels in den Versiegelt-Zustand gebracht wurden.

Gemäss einer Ausführungsform kann die Personentransportanlage eine Steuerung zum Steuern der Funktionalitäten der Personentransportanlage aufweisen. Die

Sicherheitseinrichtung kann hierbei dazu ausgelegt sein, ein Versiegelt-Signal an die Steuerung ausschliesslich dann zu übermitteln, wenn die Sicherheitseinrichtung in den Versiegelt-Zustand konfiguriert wurde. Ferner kann die Sicherheitseinrichtung derart ausgelegt sein, dass sie ohne Erhalt des Versiegelt-Signals die Funktionalitäten der Personentransportanlage gemäss dem beschränkten Betriebsmodus steuert und ausschliesslich nach Erhalt des Versiegelt-Signals die Funktionalitäten der

Personentransportanlage gemäss dem Normalmodus steuert.

Anders ausgedrückt kann die Personentransportanlage über eine Steuerung verfügen, welche die Funktionalitäten der Personentransportanlage wie beispielsweise das

Verlagern der Aufzugkabine innerhalb des Aufzugschachts, ein vorzeitiges Öffnen von Aufzugtüren (pre-opening) und/oder einen Niveauausgleich bei Stopps an Stockwerken (relevelling) steuert. Diese Steuerung steht in einer Kommunikationsverbindung mit der Sicherheitseinrichtung bzw. jeder einer Mehrzahl von Sicherheitseinrichtungen. Dabei ist jede Sicherheitseinrichtung dazu ausgebildet, bei einem Übergang in den Versiegelt- Zustand ein diesen Versiegelt-Zustand wiedergebendes Signal auszugeben. Das Signal wird daher hierin als Versiegelt-Signal bezeichnet. Solange die Sicherheitseinrichtung nicht im Versiegelt-Zustand ist, wird kein Versiegelt-Signal ausgegeben.

Die Steuerung ist in diesem Fall dazu ausgebildet, die Funktionalitäten der

Personentransportanlage ausschliesslich dann im Normalmodus zu steuern, wenn sie zuvor zumindest einmalig das Versiegelt-Signal erhalten hat und somit signalisiert wurde, dass die bzw. alle Sicherheitseinrichtungen korrekt elektronisch versiegelt wurden. Prinzipiell kann es dabei genügen, dass, wenn die Sicherheitseinrichtung durch Etablieren des elektronischen Siegels in den Versiegelt-Zustand übergeht, zeitgleich das Versiegelt- Signal von der Sicherheitseinrichtung einmalig an die Steuerung geschickt wird.

Gemäss einer Ausführungsform kann es jedoch vorteilhaft sein, die

Sicherheitseinrichtung derart auszugestalten, dass das Versiegelt-Signal an die Steuerung permanent oder wiederholt übermittelt wird, solange die Sicherheitseinrichtung in den Versiegelt-Zustand konfiguriert ist.

Anders ausgedrückt kann die Sicherheitseinrichtung, sobald sie in den Versiegelt-Zustand konfiguriert wurde, beginnen, das Versiegelt-Signal an die Steuerung zu übermitteln und dabei die Signalübermittlung permanent aufrechterhalten oder beispielsweise periodisch wiederholen, solange das elektronische Siegel an der Sicherheitseinrichtung korrekt etabliert bleibt. Die Steuerung steuert die Funktionalitäten der Personentransportanlage dann ausschliesslich gemäss dem Normalmodus, solange sie das Versiegelt-Signal permanent bzw. in den genannten Periodenabständen empfängt.

Sobald das Versiegelt-Signal von zumindest einer Sicherheitseinrichtung nicht mehr empfangen wird, kann dabei davon ausgegangen werden, dass das elektronische Siegel an dieser Sicherheitseinrichtung„gebrochen“ wurde oder dass irgendein anderer Defekt eine korrekte Übertragung des Versiegelt-Signals verhindert. In beiden Fällen geht die Steuerung sicherheitshalber dazu über, die Funktionalitäten der Aufzuganlage nur noch in dem beschränkten Betriebsmodus zu steuern oder stillzulegen.

Gemäss einer Ausführungsform wird vor dem Etablieren des elektronischen Siegels eine Autorisierung einer das Etablieren des Siegels freigebenden Person ermittelt.

Anders ausgedrückt kann vorgesehen sein, dass die Sicherheitseinrichtung nicht von jeder beliebigen Person in ihren Versiegelt-Zustand konfiguriert werden kann, sondern dass die Person hierzu speziell autorisiert sein muss. Die Autorisierung kann dann abgefragt und überprüft werden, bevor das Siegel etabliert wird. Hierdurch kann beispielsweise sichergestellt werden, dass die Sicherheitseinrichtung nicht von einer hierzu nicht autorisierten und/oder speziell geschulten Person in ihren Versiegelt-Zustand konfiguriert wird.

Die Autorisierung der das Etablieren des Siegels freigebenden Person kann

beispielsweise durch Abfragen eines Autorisierungscodes, welcher von der Person beispielsweise an einer Mensch-Maschine-Schnittsteile eingegeben werden kann, durch Einlesen eines Autorisierungscodes aus einem Speichermedium wie beispielsweise einer Magnetspeicherkarte oder durch ähnliche Massnahmen ermittelt und dann überprüft werden.

Gemäss einer Ausführungsform wird beim Etablieren des elektronischen Siegels ein Identifikationscode der das Etablieren des Siegels freigebenden Person ermittelt und der Identifikationscode dann abgespeichert.

Mit anderen Worten kann vor oder während des Etablierens des elektronischen Siegels die Identität der Person, die das Etablieren des elektronischen Siegels veranlasst oder zumindest letztendlich freigibt, ermittelt werden. Die Identität der Person kann dabei durch einen Identifikationscode wiedergegeben werden, der dieser Person eindeutig zugeordnet ist. Der ermittelte Identifikationscode kann dann abgespeichert werden, beispielsweise in einem Datenspeicher, der innerhalb der jeweiligen Sicherheits einrichtung, an anderer Stelle in der Personentransportanlage oder an einer externen Stelle wie beispielsweise einem externen Server oder einer Datenwolke vorgehalten wird.

Durch das Ermitteln und anschliessende Abspeichem des Identifikationscodes kann falls nötig zu einem späteren Zeitpunkt rekonstruiert werden, wer für das Etablieren des elektronischen Siegels in der jeweiligen Sicherheitseinrichtung verantwortlich ist.

Zusätzlich zu dem Identifikationscode können auch weitere Daten wie beispielsweise eine Information über den Zeitpunkt, zu dem die Sicherheitseinrichtung mit dem elektronischen Siegel versehen wurde, ermittelt und abgespeichert werden. Ferner kann beispielsweise eine Information über Werkzeuge, die zum Etablieren des elektronischen Siegels eingesetzt wurden, ermittelt und abgespeichert werden. Gemäss einer Ausführungsform wird im Versiegelt-Zustand an der Sicherheitseinrichtung ein für Menschen wahrnehmbares Signal erzeugt.

Anders ausgedrückt kann die Sicherheitseinrichtung dazu ausgestaltet sein, ein für einen Menschen beispielsweise visuell, akustisch oder in anderer Weise wahrnehmbares Signal zu erzeugen, sobald in der Sicherheitseinrichtung das elektronische Siegel etabliert wurde. Das Signal kann dabei direkt nach dem Etablieren des elektronischen Siegels einmalig erzeugt werden, um beispielsweise einer Person in Form eines Technikers zu signalisieren, dass das elektronische Siegel erfolgreich etabliert wurde. Alternativ kann das Signal permanent erzeugt werden, solange das elektronische Siegel an der

Sicherheitseinrichtung etabliert ist, um beispielsweise einer Person in Form eines Technikers in einfach wahrnehmbarer Weise zu signalisieren, dass die

Sicherheitseinrichtung aktuell elektronisch versiegelt ist.

Das Signal kann beispielsweise mithilfe einer steuerbaren Fichtquelle wie beispielsweise einer FED visuell wahrnehmbar erzeugt werden. Alternativ kann ein Signal akustisch beispielsweise mit einem Fautsprecher oder einem Summer generiert werden.

Prinzipiell ist eine Vielzahl von Möglichkeiten vorstellbar, wie das elektronische Siegel in der Sicherheitseinrichtung etabliert werden kann. Dabei sollte sichergestellt sein, dass das elektronische Siegel nicht versehentlich erzeugt wird, sondern nur von einer möglichst hierzu autorisierten Person absichtlich etabliert wird.

Gemäss einer Ausführungsform kann hierzu die Sicherheitseinrichtung dazu konfiguriert sein, verschiedene sicherheitsrelevante Funktionen auszuführen. Bei einer derart ausgestalteten Sicherheitseinrichtung kann das elektronische Siegel dann etabliert werden, indem die Sicherheitseinrichtung dazu veranlasst wird, verschiedene sicherheitsrelevante Funktionen gemäss einem vorbestimmten Protokoll auszuführen.

Mit anderen Worten sind Sicherheitseinrichtungen oftmals nicht nur dazu in der Fage, eine einzige sicherheitsrelevante Funktion auszuführen, sondern können dazu veranlasst werden, verschiedene sicherheitsrelevante Funktionen durchzuführen. Beispielsweise kann eine einzelne Sicherheitseinrichtung über mehrere Sensoren verfügen bzw. mit mehreren Sensoren kommunizieren, wobei jeder einzelne Sensor zum Kontrollieren einer sicherheitsrelevanten Funktion genutzt werden kann. Auf diese Weise kann die

Sicherheitseinrichtung beispielsweise als erste sicherheitsrelevante Funktion überprüfen (sog. KNE-Überprüfung: Kontakt Not Ende), ob sich die Aufzugkabine noch korrekt innerhalb eines zulässigen Verfahrbereichs befindet oder sich unzulässiger Weise über Enden eines solchen Verfahrbereichs hinaus bewegt hat, als zweite sicherheitsrelevante Funktion überprüfen (sog. UET-Überprüfung: Überbrückung Tür), ob eine der

Aufzugtüren überbrückt wurde, und als dritte sicherheitsrelevante Funktionen überprüfen (sog. UCM-Überprüfung: Unintended Car Movement), ob die Aufzugkabine sich unbeabsichtigt bewegt.

Bei einer derart mehrfach wirkenden Sicherheitseinrichtung kann das elektronische Siegel dadurch etabliert werden, dass ein vorbestimmtes Protokoll vorgegeben wird, gemäss dem dann die verschiedenen sicherheitsrelevanten Funktionen veranlasst werden sollen. Das Protokoll kann dabei beispielsweise eine Reihenfolge, eine Dauer, eine Art von Prozessschritten und/oder Ähnliches angeben, gemäss derer die sicherheitsrelevanten Funktionen von der Sicherheitseinrichtung durchgeführt werden sollen. Nur wenn beispielsweise eine Person in Form eines Technikers die Sicherheitseinrichtung dazu veranlasst, verschiedene sicherheitsrelevante Funktionen nach genau diesem Protokoll auszuführen, wird dies von der Sicherheitseinrichtung als autorisierendes Signal verstanden, das elektronische Siegel zu etablieren und in den Versiegelt-Zustand überzugehen.

Um das elektronische Siegel zu etablieren, können alternativ jedoch auch andere

Massnahmen vorgesehen sein. Beispielsweise kann an der Sicherheitseinrichtung oder an einer mit der Sicherheitseinrichtung kommunizierenden anderen Einrichtung wie beispielsweise einer Aufzugsteuerung eine Mensch-Maschine-Schnittsteile vorgesehen sein, über die eine autorisierte Person beispielsweise einen Code eingeben kann. Der Code sollte dabei derart gewählt sein, dass er nicht zufällig eingegeben werden kann. Beispielsweise kann der Code eine Korrelation zu einer Seriennummer der

Sicherheitseinrichtung aufweisen. Als weitere Option kann eine speziell für das elektronische Versiegeln vorgesehene Maschine-Maschine-Schnittsteile (MMI) an der Sicherheitseinrichtung oder einer mit dieser verbundenen anderen Einrichtung vorgesehen sein. Über diese MMI kann beispielsweise ein spezielles Werkzeug mit der Sicherheitseinrichtung kommunizieren, wobei das Werkzeug gezielt zum Etablieren des elektronischen Siegels ausgebildet ist und beispielsweise ausschliesslich hierfür speziell geschulten Personen zur Verfügung steht. Statt einer speziellen MMI kann eventuell auch ein in der Personentransportanlage bereits existierender CAN-Bus genutzt werden, um eine Kommunikationsverbindung zwischen dem externen Werkzeug und der

Sicherheitseinrichtung generieren zu können.

Wenn eine mit einem elektronischen Siegel versehene Sicherheitseinrichtung beispielsweise im Rahmen einer Modernisierung oder eines Umbaus umkonfiguriert werden soll, kann das elektronische Siegel beispielsweise mit einem bestimmten vorgegebenen Prozess entfernt werden. Beispielsweise kann vorgesehen sein, dass über die Steuerung, ein beispielsweise über einen CAN-Bus angeschlossenes spezielles Werkzeug oder durch eine Eingabe eines Codes an einer Mensch-Maschine-Schnittsteile ein Zurücksetzen (Reset) der Sicherheitseinrichtung und damit ein Entfernen des elektronischen Siegels bewirkt werden können. Nach der Durchführung der

Modernisierung kann dann das elektronische Siegel an der Sicherheitseinrichtung erneut etabliert werden. Es ist auch möglich, dass bestimmte Sicherheitseinrichtungen eine Umkonfiguration nicht zulassen. In diesem Fall kann das elektronische Siegel dieser Sicherheitseinrichtung entweder nicht entfernt werden oder nach einem Entfernen nicht mehr erneut etabliert werden.

Es wird daraufhingewiesen, dass einige der möglichen Merkmale und Vorteile der Erfindung hierin mit Bezug auf unterschiedliche Ausführungsformen des

vorgeschlagenen Verfahrens zum Betreiben einer Personentransportanlage, einerseits, und der entsprechend ausgestalteten Personentransportanlage, andererseits, beschrieben sind. Ein Fachmann erkennt, dass die Merkmale in geeigneter Weise übertragen, kombiniert, angepasst oder ausgetauscht werden können, um zu weiteren

Ausführungsformen der Erfindung zu gelangen.

Nachfolgend werden Ausführungsformen der Erfindung unter Bezugnahme auf die beigefügte Zeichnung beschrieben, wobei weder die Zeichnung noch die Beschreibung als die Erfindung einschränkend auszulegen sind.

Fig. 1 zeigt eine Personentransportanlage, welche zur Durchführung eines Verfahrens gemäss einer Ausführungsform der vorliegenden Erfindung ausgebildet ist. Die Figur ist lediglich schematisch und nicht massstabsgetreu. Gleiche Bezugszeichen bezeichnen gleiche oder gleichwirkende Merkmale.

Fig. 1 zeigt eine Personentransportanlage 1 in Form einer Aufzuganlage 3, bei der eine Aufzugkabine 5 und ein Gegengewicht 7 mithilfe einer Antriebsmaschine 9 innerhalb eines Aufzugschachts 11 vertikal verlagert werden können. Die Antriebsmaschine 9 wird dabei von einer Steuerung 13 gesteuert.

Um sicherheitsrelevante Funktionen der Aufzuganlage 3 kontrollieren zu können, verfügt diese über mehrere Sicherheitseinrichtungen 15. Im vereinfacht dargestellten Beispiel aus Fig. 1 verfügt die Aufzuganlage 3 über eine erste Sicherheitseinrichtung 17 und eine zweite Sicherheitseinrichtung 19. Die erste Sicherheitseinrichtung 17 kommuniziert über eine Verdrahtung oder einen Datenbus 21 mit einer Mehrzahl von Türschaltem 23. Dabei ist jeweils ein Türschalter 23 an einer Schachttür 25 an jedem von mehreren Stockwerken 27 vorgesehen. Die Türschalter 23 signalisieren, ob die jeweilige Schachttür 25 geschlossen oder geöffnet ist. Die zweite Sicherheitseinrichtung 19 ist an der

Aufzugkabine 5 angeordnet und ist dazu ausgelegt, eine aktuelle Geschwindigkeit der Aufzugkabine 5 zu bestimmen. Hierzu kann die zweite Sicherheitseinrichtung 19 beispielsweise Positionsinformationen aus einem entlang des Aufzugschachts 11 installierten Magnetstreifen 29 auslesen.

Die in Fig. 1 dargestellten Sicherheitseinrichtungen 15 sind lediglich beispielhaft. In realen Personentransportanlagen 1 können weitere bzw. andere Sicherheitseinrichtungen 15 vorgesehen sein, um weitere bzw. andere sicherheitsrelevante Funktionen zu kontrollieren. Ferner können Sicherheitseinrichtungen 15 kombiniert oder integriert ausgestaltet sein, um mehrere verschiedene sicherheitsrelevante Funktionen kontrollieren zu können. Jede der Sicherheitseinrichtungen 15 kann mit der Steuerung 13

drahtgebunden oder drahtlos kommunizieren.

Bevor die Sicherheitseinrichtungen 15 in der Personentransportanlage 1 korrekt arbeiten können, müssen diese im Regelfall anwendungsspezifisch konfiguriert werden. Hierzu kann eine Sicherheitseinrichtung 15 durch Eingeben von Konfigurationsparametem in einen Konfiguriert-Zustand konfiguriert werden, in dem sie die von ihr zu kontrollierende sicherheitsrelevante Funktion gemäss vorbestimmten Vorgaben kontrolliert.

Beispielsweise kann die oben beschriebene, zunächst nicht parametrisierte zweite Sicherheitseinrichtung 19 durch Eingabe von Konfigurationsparametem auf eine Nenngeschwindigkeit von beispielsweise 2,5 m/s konfiguriert werden. Die

Konfigurationsparameter können dabei beispielsweise über eine externe

Eingabevorrichtung wie beispielsweise eine an der Sicherheitseinrichtung 19 oder einer damit verbundenen Steuerung 13 vorgesehene Mensch-Maschine-Schnittsteile (nicht dargestellt) eingegeben werden. Alternativ können Konfigurationsparameter auch über eine externe Vorrichtung wie beispielsweise eine tragbare, computergesteuerte

Vorrichtung wie zum Beispiel ein Smartphone, mit dem beispielsweise die

Sicherheitseinrichtung 19 drahtlos kommunizieren kann, eingegeben werden.

Nachdem alle Sicherheitseinrichtungen 15 auf diese Weise in ihren Konfiguriert-Zustand gebracht wurden, kann die Aufzuganlage 3 prinzipiell ihren Betrieb aufhehmen.

Allerdings ist in diesem Zustand noch nicht sichergestellt, dass die Konfigurations parameter in den Sicherheitseinrichtungen 15 nicht nachträglich geändert oder gar manipuliert werden.

Daher wird vorgesehen, dass die mit den Sicherheitseinrichtungen 15 kommunizierende Steuerung 13 die Aufzuganlage 3 zunächst nur in einem beschränkten Betriebsmodus betreibt. In diesem beschränkten Betriebsmodus sind Funktionalitäten der Aufzuganlage 3 noch nicht in vollem Umfang verfügbar, sondern bleiben beschränkt.

Beispielsweise kann die Aufzuganlage 3, nachdem sie ihren Konfiguriert-Zustand erreicht hat, mit Beschränkungen hinsichtlich der Nenngeschwindigkeit betrieben werden, sodass ihre Nenngeschwindigkeit beispielsweise auf lediglich 1 m/s beschränkt wird. Alternativ kann eine Beschränkung dahingehend wirken, dass die Aufzuganlage 3 lediglich innerhalb eines vorbestimmt begrenzten Zeitraums von beispielsweise zwei Tagen betrieben werden kann. Um die Aufzuganlage 3 in ihrem Normalmodus mit vollen Funktionalitäten betreiben zu können, müssen die Sicherheitseinrichtungen 15 zunächst alle in ihren Versiegelt-Zustand gebracht werden, in dem zuvor eingegebene Konfigurationsparameter nicht mehr modifiziert werden können. Um hierzu ein elektronisches Siegel in einer

Sicherheitseinrichtung 15 zu etablieren, können verschiedene Vorgehensweisen und/oder technische Hilfsmittel eingesetzt werden. Sobald eine Sicherheitseinrichtung 15 in den Versiegelt-Zustand gebracht wurde, sendet sie zumindest einmalig, insbesondere permanent oder wiederholt ein Versiegelt-Signal an die Steuerung 13. Erst wenn die Steuerung 13 von allen Sicherheitseinrichtungen 15 ein Versiegelt-Signal erhalten hat, betreibt sie die Aufzuganlage 3 im Normalmodus.

Beispielsweise kann eine hierzu ausgebildete und autorisierte Person wie ein Techniker eine Mensch-Maschine-Schnittsteile nutzen, um einen Code einzugeben. Die Mensch- Maschine-Schnittsteile kann direkt an der Sicherheitseinrichtung 15 oder alternativ an einer damit verbundenen Einrichtung wie beispielsweise der Steuerung 13 vorgesehen sein. Der Code kann eine hohe Komplexität aufweisen, sodass es äusserst

unwahrscheinlich ist, dass der Code versehentlich eingegeben wird. Beispielsweise kann der Code eine inhaltliche Verbindung mit einer Seriennummer der elektronisch zu versiegelnden Sicherheitseinrichtung 15 aufweisen. Durch Eingabe des Codes kann das elektronische Siegel für die Sicherheitseinrichtung 15 etabliert werden und diese somit in ihren Versiegelt-Zustand konfiguriert werden.

Alternativ kann eine speziell zum elektronischen Versiegeln vorgesehene Schnittstelle (verdrahtet oder drahtlos) vorgesehen sein, mit der ein zum elektronischen Versiegeln vorgesehenes Werkzeug verbunden werden kann. Ein solches Werkzeug kann vorzugsweise ausschliesslich Personen zur Verfügung stehen, die speziell geschult wurden und zum Versiegeln von Sicherheitseinrichtungen autorisiert sind.

Als weitere Alternative kann beispielsweise das zuvor genannte Werkzeug mit bereits in der Personentransportanlage 1 vorgesehenen Anschlüssen oder Bussystemen wie zum Beispiel einem CAN-Bus verbunden werden und über diese mit der jeweiligen

Sicherheitseinrichtung 15 kommunizieren, um in dieser das elektronische Siegel zu etablieren. In einer besonders vorteilhaften Alternative kann vorgesehen sein, dass die

Sicherheitseinrichtung 15 verschiedene Sicherheitsfimktionen ausführen kann und das elektronische Siegel dadurch etabliert werden kann, dass die Sicherheitseinrichtung 15 beispielsweise von einer Person in Form eines Technikers dazu veranlasst wird, verschiedene Sicherheitsfimktionen gemäss einem vorbestimmten Protokoll auszuführen. Mit anderen Worten kann das elektronische Siegel etabliert werden, indem ein bestimmter Prozess vollzogen wird, bei dem beispielsweise alle von der

Sicherheitseinrichtung 15 ausführbaren Sicherheitsfimktionen in einer bestimmten Reihenfolge ausgeführt werden müssen. Wenn die Funktionen in dieser speziellen Sequenz abgerufen wurden, kann dies von der Sicherheitseinrichtung 15 als Signal interpretiert werden, das elektronische Siegel zu etablieren. Gegebenenfalls kann es abschliessend erforderlich sein, das Etablieren des elektronischen Siegels beispielsweise durch Senden eines CAN-Telegramms oder Betätigen eines Tasters an einer Mensch- Maschine-Schnittsteile freizugeben. Wurden die Funktionen der Sicherheitseinrichtung 15 in einer anderen Reihenfolge durchgeführt, bleibt das Etablieren des elektronischen Siegels unmöglich.

Bevor ein Etablieren des elektronischen Siegels zugelassen wird, kann eventuell eine Autorisierung einer dieses Etablieren des Siegels freigebenden Person ermittelt und überprüft werden. Beispielsweise kann die Person dazu aufgefordert werden, einen Autorisierungscode einzugeben.

Ferner kann die das Etablieren des Siegels freigebende Person beispielsweise anhand eines Identifikationscodes identifiziert werden. Der Identifikationscode kann dann abgespeichert werden. Auch Informationen bezüglich eines Werkzeugs, mithilfe dessen das elektronische Siegel etabliert wurde, können abgespeichert werden.

Wenn eine mit einem elektronischen Siegel versehene Sicherheitseinrichtung 15 beispielsweise im Rahmen einer Modernisierung oder eines Umbaus umkonfiguriert werden soll, kann das elektronische Siegel beispielsweise mit einem bestimmten vorgegebenen Prozess entfernt werden. Beispielsweise kann vorgesehen sein, dass über die Steuerung 13, ein beispielsweise über einen CAN-Bus angeschlossenes spezielles Werkzeug oder durch eine Eingabe eines Codes an einer Mensch-Maschine-Schnittsteile ein Zurücksetzen (Reset) der Sicherheitseinrichtung 15 und damit ein Entfernen des elektronischen Siegels bewirkt werden können. Nach der Durchführung der

Modernisierung kann dann das elektronische Siegel an der Sicherheitseinrichtung 15 erneut etabliert werden. Es ist auch möglich, dass bestimmte Sicherheitseinrichtungen 15 eine Umkonfiguration nicht zulassen. In diesem Fall kann das elektronische Siegel dieser Sicherheitseinrichtung entweder nicht entfernt werden oder nach einem Entfernen nicht mehr erneut etabliert werden.

Die Sicherheitseinrichtung 15 kann beispielsweise mithilfe einer LED 31 oder einer anderen Vorrichtung ein für Menschen wahrnehmbares Signal erzeugen, sobald sie in ihrem Versiegelt-Zustand ist.

Abschliessend ist daraufhinzuweisen, dass Begriffe wie„aufweisend“,„umfassend“, etc. keine anderen Elemente oder Schritte ausschliessen und Begriffe wie„eine“ oder„ein“ keine Vielzahl ausschliessen. Ferner sei daraufhingewiesen, dass Merkmale oder Schritte, die mit Verweis auf eines der obigen Ausführungsbeispiele beschrieben worden sind, auch in Kombination mit anderen Merkmalen oder Schritten anderer oben beschriebener Ausführungsbeispiele verwendet werden können. Bezugszeichen in den Ansprüchen sind nicht als Einschränkung anzusehen.