Aufzugssysteme weisen heutzutage sogenannte Doppeltüren auf, das heisst sowohl Schachttüren wie auch an der Aufzugskabine angeordnete Kabinentüren. Das Öffnen und Schliessen der Schachttüren wird üblicherweise durch die Kabine oder die Kabinentüren veranlasst. Für die Sicherheit der Benutzer der Aufzugssysteme und der Passanten in den die Aufzugssysteme enthaltenden Gebäuden ist e-s von grosser Wichtigkeit, dass die jeweilige Stellung der Schacht-und Kabinentüren auf die Lage der Aufzugskabine abgestimmt ist ; das heisst, die Schacht-und die Kabinentüren dürfen nur dann geöffnet sein, wenn die Aufzugskabine an einer der vorgesehenen Ein-und Ausstiegsstationen, das heisst auf der Höhe eines Stockwer- kes, anhält. Hierzu werden die Lagen sowohl der Schachttüren wie auch der Kabinentüren überwacht.

Die Schachttüren lassen sich üblicherweise mit Hilfe von mechanischen Verriegelungsvorrichtungen in ihrer Schliess- stellung verriegeln. Herkömmliche Überwachungssysteme überwachen die Stellung der Schachttüren mit Hilfe von Sicherheitskontakten ; diese Sicherheitskontakte erfassen, ob die mechanischen Verriegelungsvorrichtungen ihre Verriege- lungsstellung oder ihre Entriegelungsstellung einnehmen. Die Sicherheitskontakte sind geschlossen, wenn sich die Verrie- gelungsvorrichtungen in ihrer Verriegelungsstellung befinden und die Schachtüren geschlossen sind. Die Sicherheitskontak-

te sind in einen Sicherheitskreis integriert, der seiner- seits nur bei geschlossenen Sicherheitskontakten geschlossen ist. Der Sicherheitskreis ist so mit dem Antrieb des Aufzugssystems verbunden, dass die Aufzugskabine in normalem Betrieb nur bei geschlossenem Sicherheitskreis auf-oder abwärts bewegt werden kann. Ist eine Schachttüre offen und ihre Verriegelungsvorrichtung in Entriegelungsstellung, so sind der entsprechende Sicherheitskontakt und damit der Sicherheitskreis offen, was zur Folge hat, dass die Aufzugs- kabine keine Auf-oder Abwärtsbewegung durchführen kann, es sei denn mit Hilfe einer speziellen Steuerung oder indem das Servicepersonal den unterbrochenen Sicherheitskreis über- brückt.

Jedes Aufzugssystem mit einer solchen herkömmlichen Überwa- chung weist verschiedene Nachteile auf, die im Folgenden näher beschrieben werden.

Ein Sicherheitskreis ist in jedem Falle mit inhärenten Problemen behaftet ; hierzu gehören die Länge der Verbin- dungen, der Spannungsabfall im Sicherheitskreis und der verhältnismässig hohe Montageaufwand.

- Trotz eines Überwachungssystems mit einem Sicherheits- kreis lassen sich unsichere bzw. gefährliche Situationen nicht vermeiden ; einerseits lassen sich die Sicherheits- kontakte einzeln oder gemeinsam verhältnismässig leicht überbrücken, was praktisch einem Nichtvorhandensein der Sicherheitsvorkehrungen gleichkommt ; anderseits verhin- dert eine offene Schachttüre zwar eine Bewegung der Kabi- ne, aber wenn sich die Kabine nicht bei der gerade offe-

nen Schachttüre befindet, so besteht dennoch die Gefahr eines Absturzes durch die offene Schachttüre.

- Intelligente bzw. situationsgerechte Reaktionen, zum Beispiel bei offenem Sicherheitskreis, sind nicht mög- lich, da die Kabine in jedem Fall stillgesetzt wird ; insbesondere kann nicht vermieden werden, dass Personen in der Liftkabine ungewollt eingeschlossen werden.

Das Überwachungssystem erlaubt keine spezifische Diagno- se ; das heisst, dass bei offenem Sicherheitskreis nur festgestellt wird, dass mindestens ein Sicherheitskontakt und damit mindestens eine Verriegelungsvorrichtung bzw. mindestens eine Schachttüre offen ist. Es kann aber nicht festgestellt werden, welcher bzw. welche Sicherheitskon- takte geöffnet sind.

Eine vorsorgliche Wartung ist nicht möglich, da keine Anzeige über den Zustand der Sicherheitskontakte erfolgt ; es ist also nicht möglich, das Aufzugssystem vorausschau- end zu warten und abgenützte Sicherheitskontakte recht- zeitig, aber zu einem Zeitpunkt, in dem das Aufzugssystem problemlos stillgelegt werden kann, zu ersetzen, es sei denn im Rahmen einer periodischen Revision, wobei aber in vielen Fällen eine an sich nicht notwendige Ausserbe- triebssetzung des Aufzugssystems erfolgt.

Die Verfügbarkeit des Aufzuges wird eingeschränkt, da ein offener Sicherheitskontakt immer eine Ausserbetriebsset- zung des Aufzugssystems zur Folge hat, auch wenn eine andere Lösung, zum Beispiel das Nichtbefahren des betrof- fenen Schachtabschnitts, möglich wäre.

Zwar lässt sich eine funktionell verbesserte Lösung erzie- len, wenn für die Erfassung bzw. den Transfer der die

Sicherheit betreffenden Daten im Zusammenhang mit der Stellung der Schachttüren ein Datenbus eingesetzt wird. Da aber die entsprechenden Daten sicherheitsrelevant sind, muss ein Sicherheitsbus eingesetzt werden. Ein solcher Sicher- heitsbus, und insbesondere die dazu benötigten Sicherheits- Busknoten, sind aber verhältnismässig teuer und kommen daher für standardmässige Aufzugssysteme kaum in Frage.

Die Aufgabe der Erfindung wird somit darin gesehen, ein verbessertes Aufzugssystem der eingangs genannten Art zu schaffen, welches bezüglich der Sicherheitsvorkehrungen im Zusammenhang mit der Stellung der Schachttüren einerseits die Nachteile des Standes der Technik vermeidet und ander- seits verhältnismässig preisgünstig ist.

Die Lösung dieser Aufgabe erfolgt erfindungsgemäss durch die Merkmale des kennzeichnenden Teiles des Anspruchs 1.

Vorteilhafte Weiterbildungen des erfindungsgemässen Aufzugs- systems sind durch die abhängigen Ansprüche 2 bis 10 definiert.

Das erfindungsgemässe Aufzugssystem weist neu ein Überwa- chungssystem mit einem Standard-Datenbus auf. Über diesen Datenbus werden die Daten, welche die Stellung der Schacht- türen betreffen, erfasst bzw. transferiert. Statt eines Sicherheits-Datenbuses wird ein üblicher Datenbus mit üblichen Standard-Busknoten benutzt ; hierbei kann es sich um denjenigen Datenbus handeln, der ohnehin für den Transfer von Prozessdaten im Aufzugsschacht vorhanden ist. Der Einsatz eines verhältnismässig teuren Sicherheits-Datenbuses einschliesslich der dazu benötigten aufwändigen Sicherheits-

Busknoten, die eigentlich wegen der Sicherheitsrelevanz der zu transferierenden Daten benötigt würden, wird vermieden, indem geeignete Massnahmen getroffen werden, um die Sicher- heit beim Übertragen der sicherheitsrelevanten Daten über den an sich nicht sicheren Datenbus zu gewährleisten.

Zur Ermittlung des Zustandes bzw. der Stellung der Schacht- türe bzw. ihrer Verriegelungsvorrichtung ist jeder Schacht- türe bzw. jeder Verriegelungsvorrichtung ein Verriegelungs- sensor zugeordnet. Der Verriegelungssensor ist am konventio- nellen Datenbus angeschlossen, der die ermittelten Informa- tionen an die Steuer-oder Überwachungseinheit überträgt.

Die Steuer-bzw. Überwachungseinheit wertet dann die erhaltenen Informationen aus. Dies geschieht, indem die Steuer-bzw. Überwachungseinheit periodisch, beispielsweise in Abständen von 20 ms, die Verriegelungssensoren abfragt.

Ein Kommunikationsunterbruch im Bereich des Datenbuses oder der Busknoten lässt sich somit sehr schnell detektieren. Im Weiteren wird jeder Verriegelungssensor, einschliesslich des zugehörigen Interface, periodisch bzw. in grösseren zeitli- chen Abständen, zum Beispiel einmal innerhalb von jeweils 8 oder 24 Stunden, getestet. Dazu werden die entsprechende Schachttüre geöffnet und wieder geschlossen oder wenigstens die Kontakte betätigt (entriegelt/verriegelt), und es wird beobachtet, ob hierbei die richtigen Daten an die Steuer- bzw. Überwachungseinheit übertragen werden. Dieser Test kann beim Öffnen und Schliessen der Schachttüren im Normalbetrieb erfolgen. Wurde ein Stockwerk innerhalb der vorgegebenen Zeitspanne von 8 bzw. 24 Stunden nie angefahren, so wird zu Testzwecken von der Steuereinheit eine Testfahrt zu diesem Stockwerk eingeleitet (Zwangstest). Die Ausführung aller

Tests wird in der Steuereinheit überwacht und vorzugsweise in eine Tabelle eingetragen.

Für Stockwerke, die selten angefahren werden, werden der Verriegelungssensor und das entsprechende Interface vorzug- weise sicherheitsgerichtet ausgelegt. Dies empfiehlt sich insbesondere für Stockwerke, zu welchen die Aufzugskabine nicht selbsttätig gesteuert werden darf, zum Beispiel weil eine Wohneinheit, wie etwa ein Penthouse, direkt vom Aufzugsschacht her betretbar ist.

Der Ausdruck"sicherheitsgerichtet"wird im Folgenden für Steuerungsmittel, Aktoren, etc, verwendet, die für die Gewährleistung der Personensicherheit relevant sind und deshalb als Komponenten mit erhöhter Funktionssicherheit ausgeführt sind. Solche"Sicherheitsgerichtete"Komponenten zeichnen sich beispielsweise durch redundante Datenerfas- sung, Datenübermittlung und Datenverarbeitung und/oder durch softwaremäsiger Plausibilitätsüberprüfung der von ihnen erfassten, übermittelten und verarbeiteten Daten und/oder durch redundant vorhandene Aktoren aus.

Falls aus Gründen der Sicherheit notwendig, können zusätz- lich zu den Verriegelungssensoren weitere Mittel zum Erfassen des Zustandes, insbesondere der Stellung der Schachttüren, vorgesehen werden ; solche Mittel übertragen Information über die Stellung bzw. den Zustand der Schacht- türe an die Steuerung, entweder über den ohnehin vorhandenen Datenbus, oder indem eine sicherheitsgerichtete Ausführung mit einem zusätzlichen Sicherheitsbus einschliesslich Sicherheitsknoten vorgesehen ist.

Die Schachttüren sind vorzugsweise selbstzufallend ausge- führt ; das heisst, sie schliessen automatisch, sobald sie nicht aktiv offengehalten werden. Auch die Verriegelungen sind selbstzufallend, wenn die Schachttür geschlossen ist.

Eine aktive Verriegelung ist nicht nötig.

Aus Sicherheitsgründen werden die zur Verriegelung der Schachttüren benutzten Verriegelungsvorrichtungen vorzugs- weise so ausgebildet, dass sie nur von einer an der Aufzugs- kabine vorgesehenen Kabinentüre entriegelt, geöffnet oder. geschlossen werden können, oder dass sie mit einem Spezial- werkzeug entriegelt und von Hand aufgeschoben werden können.

Der Zustand der Schachttür und ihrer Verriegelungsvorrich- tung wird mit Vorteil über den an dieser Schachttüre angeordneten Verriegelungssensor überwacht.

Als Verriegelungssensoren können beispielsweise Verriege- lungsvorrichtungskontakte, Mikroschalter, induktive Senso- ren, kapazitive Sensoren oder optische Sensoren verwendet werden.

Die Steuerung des Aufzugssystems ist vorzugsweise so ausgebildet, dass sie die Abfrage der Verriegelungssensoren auswertet, um eine oder mehrere vordefinierte Reaktionen auszulösen, insbesondere das Erkennen und Lokalisieren eines Fehlers, das Auslösen eines Servicerufes, das Stoppen einer Aufzugskabine oder das Durchführen einer anderen situations- angepassten Reaktion bei Erkennung des Offenstehens einer Schachttüre.

Die Steuerung kann auch so ausgebildet sein, dass sie die Abfrage der Verriegelungssensoren auswertet, um festgestell- te Übertragungsfehler durch die Auswertung mehrerer Datenpa- kete zu korrigieren.

Im Hinblick auf die Sicherheit des Aufzugssystems ist es besonders vorteilhaft, wenn zusätzlich zur Überwachung der Schachttüren auch die Kabinentüre überwacht wird ; dadurch kann mittels einer Koinzidenzprüfung der Signale der Schachttüren einerseits und der Kabinentüre anderseits eine Aussage über die Funktionstüchtigkeit der Schachttüren und/oder der Verriegelungssensoren der Schachttüren erlangt werden.

Die wesentlichen Vorteile der erfindungsgemässen Anordnung sind die Folgenden : - Der Sicherheitskreis des herkömmlichen Überwachungssy- stems entfällt ; dadurch werden die entsprechenden inhä- renten Nachteile vermieden ; wird ausserdem ein schon vorhandener Datenbus benutzt, so ist der Verdrahtungs- bzw. Montageaufwand gering.

- Die Sicherheit des Aufzugssystems ist, verglichen mit einem Aufzugssystem mit Sicherheitskreis im Sicherungssy- stem, erhöht. Zwar ist die Überbrückung von Kontakten möglich durch Software ; sie ist aber erkennbar und kann nach einer vordefinierten Zeit aufgehoben werden. Die Sicherheit bleibt auch bestehen, wenn zum Beispiel ein Fehler auftritt oder ein Service durchgeführt wird.

Das Überwachungssystem erlaubt spezifische Diagnosen, weil ein Fehler sofort lokalisiert und fernübertragen werden kann.

- Eine vorsorgliche Wartung ist möglich, weil der Zustand der Sensoren, insbesondere der Verriegelungssensoren, analysierbar ist.

- Die Verfügbarkeit des Aufzuges ist erhöht.

Die Sicherheit des Aufzugssystems ist zusätzlich durch die folgende Massnahme steigerbar : Die Überwachung der Kabinentüre kann sicherheitsgerichtet realisiert werden, wodurch die Aussagekraft der Koinzidenz- prüfung erhöht wird. Dafür müssen der der Kabinentüre zugeordnete Sensor wie auch der angeschlossene Datenbus und die Busknoten sicherheitsgerichtet ausgebildet sein.

Im Folgenden wird die Erfindung anhand eines Ausführungsbei- spiels und mit Bezug auf die Zeichnung beschrieben. Es zeigt : Fig. 1 ein Aufzugssystem nach der Erfindung mit einem Überwachungssystem, in stark vereinfachter und schematisierter Darstellung.

Das in Fig. 1 dargestellte Aufzugssystem 10 ist dazu bestimmt, drei Stockwerke A, B, C zu bedienen. In jedem der Stockwerke A, B, C ist eine Schachttüre 11 vorhanden. Die Schachttüre 11 dient dazu, einen Aufzugsschacht, in dem sich eine Aufzugskabine 12 mit einer Kabinentüre 13 auf-und abwärts bewegen kann, vom umgebenden Raum zu trennen. Die Bewegung der Aufzugskabine 12 erfolgt mit Hilfe einer

Antriebseinheit 14 und wird von einer Steuerung 16 gesteu- ert. Grundsätzlich sollte die Schachttüre nur dann offen sein, wenn sich die Aufzugskabine 12 auf dem entsprechenden Stockwerk befindet. Die Schachttüre wird zu diesem Zwecke von der Kabinentüre 13 der Aufzugskabine 12 gesteuert, wobei sie in ihrer Schliessstellung durch eine Verriegelungsvor- richtung verriegelt ist, die im weiteren als Verriegelungs- vorrichtung 18 bezeichnet wird. Zur Feststellung des Zustandes, insbesondere der Stellung, der Verriegelungsvor- richtung 18 und damit der Schachttüre, ist als Verriege- lungssensor 20 eine Kontaktvorrichtung mit einem Verriege- lungsvorrichtungskontakt vorgesehen. Die Kontaktvorrichtung mit dem Verriegelungsvorrichtungskontakt ist über einen Datenbus 22 mit der Steuerung 16 verbunden. Auch die Aufzugskabine 12 ist steuerungsmässig mit der Steuerung 16 verbunden.

Die oben beschriebene Aufzugsanlage 10 wirkt wie folgt : Ein jeder Verriegelungsvorrichtung 18 bzw. jeder Schachttüre zugeordneter Verriegelungssensor 20 bzw. Verriegelungsvor- richtungskontakt 20 stellt Daten bzw. Information betreffend den Zustand der Verriegelungsvorrichtung 18 bzw. der Schachttüre zur Verfügung. Der Datenbus 22 überträgt diese Daten bzw. Information an die Steuerung 16, welche die er- haltenen Daten bzw. Information periodisch auswertet. Die Steuerung 16 fragt in kurzen zeitlichen Abständen von zum Beispiel 20 ms die Verriegelungssensoren 20 ab, so dass ein Kommunikationsunterbruch im Bereich des Datenbuses 22 oder der Busknoten sich sehr schnell detektieren lässt.

Zusätzlich zum oben beschriebenen dauernd durchgeführten Test findet ein weiterer Test in grösseren zeitlichen Abständen statt. Hat die Aufzugskabine 12 die Anfahrt auf eines der Stockwerke A, B oder C beendet, so öffnet sich die Kabinentüre. Die Schachttüre 11 des angefahrenen Stockwerkes wird im Normalfall von der Kabinentüre 13 entriegelt und geöffnet. Hierbei wird, etwa ein Mal in einem Zeitraum von 8 bis 24 Stunden, der weitere Test durchgeführt. Getestet wird der Verriegelungskontakt 20. Wird er als in Ordnung befun- den, so erfolgt ein entsprechender Eintrag in eine Tabelle, wobei der Zustand'Kontakt in Ordnung'und der Zeitpunkt des Tests gespeichert werden. Durch den Eintrag in die Tabelle ist die Durchführung des Testes kontrollierbar.

Öffnet sich zwar die Schachttüre 11, zeigt aber beim Öffnen ein nicht geplantes Verhalten, so weist dies auf einen an sich geringfügigen Fehler, zum Beispiel auf einen Ver- schleiss oder eine Verschmutzung im Bereich der Türen und/oder der Verriegelungsvorrichtung 18 hin. In diesem Falle kann das Aufzugssystem 10 mindestens vorübergehend in Betrieb bleiben, aber es empfiehlt sich, eine baldige genaue Kontrolle und Revision durch Servicepersonal vorzusehen.

Öffnet sich der Verriegelungskontakt 20 nicht, so muss davon ausgegangen werden, dass der Kontakt defekt ist, die Verriegelung aber freigegeben und die Schachttür geöffnet wurde. Die Aufzugskabine 12 darf in diesem Falle nicht mehr in Betrieb versetzt werden ; das Aufzugssystem 10 muss ausser Betrieb gehen, und es ist unumgänglich, das Servicepersonal herbeizurufen. In diesem Fall kann ein ungewolltes Öffnen der betroffenen Schachttür nicht mehr erkannt werden.

Vor der Abfahrt aus einem Stockwerk werden grundsätzlich die Schachttüre und die Verriegelungsvorrichtung 18 durch die Kabinentüre 13 geschlossen und die Verriegelung fällt zu.

Hierbei wird überprüft, ob der Verriegelungskontakt 20 schachtseitig anzeigt, dass die Schachttüre 11 geschlossen ist. Gleichzeit wird der Schliesszustand der Kabinentüre 13 sicherheitsgerichtet überwacht, wodurch eine Koinzidenzprü- fung der beiden Schliessvorgänge möglich ist und somit die Sicherheit erhöht wird. Ist das Ergebnis dieser beiden Prüfungen positiv, so kann die Aufzugskabine 12 in Bewegung versetzt werden.

Verläuft hingegen mindestens eine der erwähnten Prüfungen negativ, so kann ein Recovery-Versuch durchgeführt werden.

Hierzu erfolgt ein mehrmaliges Schliessen und Öffnen der Türen. Hat der Recovery-Versuch zur Folge, dass die Schacht- türe 11 geschlossen und verriegelt wird, so kann das Aufzugssystem 10 zwar in Betrieb bleiben, aber ein Service sollte ins Auge gefasst werden, mindestens dann, wenn wiederholt Recovery-Versuche durchgeführt werden müssen.

Ist hingegen nach Durchführung des Recovery-Versuches die Schachttüre 11 noch immer offen, so muss das Aufzugssystem ausser Betrieb gehen und das Servicepersonal muss herbeige- rufen werden.

Falls eine Schachttüre geöffnet ist, ohne dass die Aufzugs- kabine 12 das entsprechende Stockwerk angefahren hat, so muss daraus geschlossen werden, dass die Schachttüre von aussen geöffnet wurde ; dies kann entweder durch eine instruierte Person mit einem Spezialwerkzeug oder unberech- tigterweise unter Gewaltanwendung geschehen, da es unmöglich

ist, die Schachttüren unbeabsichtigt oder durch Fehlmanipu- lation zu öffnen. Das Offenstehen der Schachttüre 11 wird nur über den nicht-sicherheitsgerichteten Datenbus erkannt.

Das nicht-sicherheitsgerichtete Erfassen dieses Zustandes der Schachttüre 11 kann aber als hinreichend betrachtet werden, und zwar aus den folgenden Gründen : Erstens tritt dieser Fall äusserst selten ein. Zweitens werden die instruierten Personen organisatorisch auf die potentiellen Gefahren hingewiesen und dazu angehalten, das Aufzugssystem in den Service-Modus zu schalten, bevor sie eine Schachttüre öffnen. Drittens werden die Verriegelungskontakte regel- mässig, zum Beispiel alle 8 Stunden, überprüft. Viertens wird der Zustand der Verriegelungskontakte durch die Steuerung 16 mit einer gewissen Frequenz abgefragt, so dass Übertragungsfehler herausgefiltert und somit tolerierbar werden. Fünften sind die Schachttüren 11 selbstzufallend ausgebildet.

Erfolgt die Öffnung der Schachttüre 11 nicht von der Aufzugskabine 12 aus, so schaltet sich das Aufzugssystem sofort aus dem normalen Betriebs-Modus aus und kehrt auch nicht in denselben zurück, ohne dass sichergestellt worden ist, dass die Schachttüre 11 tatsächlich geschlossen ist.

Daher kann das Aufzugssystem nicht durch Überbrückung der Verriegelungskontakte in Betrieb gesetzt werden.

Die wesentlichen Vorzüge des neuen Aufzugssystems sind die Folgenden : Zur Überwachung benötigt man auf den einzelnen Stockwer- ken keinen sicherheitsgerichteten Busanschluss sondern

nur einen üblichen, nicht-sicherheitsgerichteten Busan- schluss. Konventionelle, nicht-sicherheitsgerichtete Busanschlüsse sind ohnehin auf jedem Stockwerk montiert, um die Rufe zu erfassen und die Anzeigen anzusteuern. Das Wegfallen zahlreicher sicherheitsgerichteter Busanschlüs- se führt zu einer beträchtlichen Reduktion der Anlageko- sten.

Jeder Riegelkontakt wird einzeln ausgelesen und über- prüft. Es wird nicht nur festgestellt, dass eine Störung oder ein Fehler aufgetreten ist, sondern die Störung bzw. der Fehler kann genau lokalisiert werden, wodurch im Störungsfalle eine Diagnose beschleunigt erstellbar ist.

Nicht nur Störungen und Fehler, insbesondere der Ausfall von Verriegelungssensoren bzw. Verriegelungskontakten, können ausgemacht werden, sondern auch der jeweilige Zustand der Verriegelungssensoren bzw. Verriegelungskon- takte, insbesondere bezüglich Prellverhalten und Span- nungsabfall, können erfasst werden, bevor eine Störung auftritt.

Aufgrund solcher Information kann eine vorsorgliche War- tung der Verriegelungskontakte vorgenommen werden. In vielen Fällen lässt sich dadurch vermeiden, dass Störun- gen und Fehler infolge ausfallender Verriegelungskontakte auftreten.

Eine unbemerkte Überbrückung der Verriegelungskontakte ist nicht möglich, da die Steuerung einen zu einem nicht vorgesehenen Zeitpunkt erfolgenden Signalwechsel erkennen

würde. Dadurch wird die Sicherheit der Schachttürüberwa- chung zusätzlich erhöht.

Bei Auftreten einer Störung erlaubt es die Tatsache, dass offene Verriegelungskontakte lokalisiert werden können, die Aufzugskabine auf das nächstmögliche Stockwerk zu fahren, ohne hierbei die betroffene Schachttüre mit dem offenen Kontakt zu überfahren ; die Passagiere können also in jedem Falle aussteigen und bleiben nicht längere Zeit eingeschlossen. Anschliessend daran können verschiedenen Reaktionen erfolgen : Die Aufzugskabine kann auf demjeni- gen Stockwerk verbleiben, auf welchem die Passagiere ausgestiegen sind, und das Servicepersonal wird herbeige- rufen ; oder die Aufzugskabine wird-falls sie sich un- terhalb des Stockwerkes mit dem defekten Verriegelungs- kontakt befindet-in eine Position gefahren, in der ihr Kabinendach sich wenig unterhalb der geöffneten Schacht- türe befindet, so dass die Gefahr des Absturzes einer Person durch die geöffnete Schachttüre in den Aufzugs- schacht beseitigt ist ; oder die Aufzugskabine wird mit geringer Geschwindigkeit und vorzugsweise begleitet von einem akustischen Signal auf das betroffene Stockwerk mit der offenen Schachttüre gefahren. Es kann ein Recovery- Versuch durchgeführt werden, und falls dieser gelingt, ist das Aufzugssystem wieder betriebsbereit.