[001] Die vorliegende Erfindung betrifft eine

Aufzugsanlage, bei der mindestens eine Aufzugskabine und mindestens ein Gegengewicht in einem Aufzugsschacht gegenläufig bewegt werden, wobei die mindestens eine Aufzugskabine und das mindestens eine Gegengewicht an Führungsschienen entlanglaufen, von einem oder mehreren Tragmitteln getragen. Das oder die Tragmittel sind über eine Treibscheibe einer Antriebseinheit geführt, die über eine Antriebsbremse verfügt. Des Weiteren verfügt die Aufzugsanlage über einen Sicherheitskreis, der unter anderem die Antriebsbremse in einem Notfall aktiviert und eine Überbrückung der Türkontakte umfasst, damit beim Öffnen der Türen der Sicherheitskreis geschlossen bleibt. Die vorliegende Erfindung betrifft insbesondere den Sicherheitskreis.

[002] In herkömmlichen Aufzugsanlagen gelangen zur

Überbrückung der Türkontakte elektromechanische Schalter zur Anwendung. Insbesondere bei Aufzugsanlagen in Bürogebäuden jedoch kann die Anzahl der Fahrten der Aufzugskabine mehr als 1000 pro Arbeitstag betragen, wobei die Überbrückung der

Türkontakte zwei Mal bei jeder Fahrt erfolgt. Somit ergibt sich für die elektromechanischen Schalter eine Anzahl von circa 520^000 Schaltungen pro Jahr. Diese Anzahl ist so hoch, dass die elektromechanischen Schalter zum hauptsächlich limitierenden Faktor für die Zuverlässigkeit der Überbrückung der Türkontakte werden . [003] Aufgrund der hohen Anzahl von Schaltungen und der hohen Anforderungen wird die Überbrückung der Türkontakte als eine sogenannte High-Demand-Sicherheitsfunktion eingestuft.

Generell werden durch die Norm IEC 61508 High-Demand- Sicherheitsfunktionen als Funktionen definiert, die bei dem störungsfreien Normalbetrieb der Aufzugsanlage im Durchschnitt mehr als ein Mal pro Jahr schalten, während mit Low-Demand- Sicherheitsfunktionen solche Funktionen bezeichnet werden, die nur für Notfälle der Aufzugsanlage bzw. nur für einen Notbetrieb der Aufzugsanlage vorgesehen sind, bei dem eine Störung vorliegt und im Durchschnitt seltener als ein Mal pro Jahr schalten. [004] Ein wesentliches Element dieser internationalen Norm

IEC 61508 ist die Bestimmung der Sicherheitsanforderungsstufe (Safety Integrity Level - SIL, es gibt SIL1 bis SIL4) . Diese ist ein Mass für die notwendige bzw. erreichte risikomindernde Wirksamkeit der Sicherheitsfunktionen, wobei SIL1 die geringsten Anforderungen hat. Als wesentliche Parameter für die

Zuverlässigkeit der Sicherheitsfunktion von Geräten oder Anlagen werden die Berechnungsgrundlagen für PFH (probability of dangerous failure per hour - Wahrscheinlichkeit des Versagens pro Stunde) und PFD (probability of dangerous failure on demand - Wahrscheinlichkeit eines Versagens bei Anforderung) geliefert. Der erste Parameter PFH bezieht sich auf High-Demand-Systeme, also auf solche mit einer hohen Anforderungsrate, und der zweite Parameter PFD auf Low-Demand-Systeme , die Zeit ihrer

Betriebsdauer so gut wie nicht betätigt werden. Aus diesen Parametern lässt sich der SIL ablesen.

[005] Eine weitere, in Fachmedien aufgrund dieser Norm

(IEC 61508-4, Abschnitt 3.5.12) auffindbare Definition der Low- Demand-Betriebsart (Low-Demand-Mode) und der High-Demand- Betriebsart (High-Demand-Mode oder kontinuierliche Betriebsart) spezifiziert ihre Unterscheidung nicht nur anhand der niedrigen oder hohen (kontinuierlichen) Anforderungsrate, sondern

folgendermassen : Eine (Low-Demand- ) Sicherheitsfunktion, die im Anforderungsmodus arbeitet, wird nur auf Anforderung ausgeführt und bringt das zu überwachende System in einen definierten sicheren Zustand. Die ausführenden Elemente dieser Low-Demand- Sicherheitsfunktion haben keinen Einfluss auf das zu

überwachende System, bevor eine Anforderung an die

Sicherheitsfunktion auftritt. Eine (High-Demand-)

Sicherheitsfunktion hingegen, die im kontinuierlichen Modus arbeitet, hält das zu überwachende System immer in seinem normalen sicheren Zustand. Die Elemente dieser High-Demand- Sicherheitsfunktion überwachen das zu überwachende System also ständig. Ein Ausfall der Elemente dieser (High-Demand- )

Sicherheitsfunktion führt unmittelbar zu einer Gefährdung, falls keine weiteren sicherheitsbezogenen Systeme oder externe

Massnahmen zur Risikominderung wirksam werden. Des Weiteren liegt eine Low-Demand-Sicherheitsfunktion vor, wenn die

Anforderungsrate nicht mehr als einmal pro Jahr beträgt und nicht grösser als die doppelte Frequenz der Wiederholungsprüfung ist. Eine High-Demand-Sicherheitsfunktion oder kontinuierliche Sicherheitsfunktion liegt hingegen vor, wenn die

Anforderungsrate mehr als einmal pro Jahr beträgt oder grösser als die doppelte Frequenz der Wiederholungsprüfung ist (siehe auch IEC 61508-4, Abschnitt 3.5.12) . [006] Die Aufgabe der vorliegenden Erfindung ist, einen

Sicherheitskreis für eine Aufzugsanlage vorzuschlagen, der eine zuverlässigere und sicherere Erfüllung einer häufig schaltenden High-Demand-Sicherheitsfunktion wie beispielsweise der

Überbrückung der Türkontakte umfasst und somit die Sicherheit, aber auch die Kosteneffizienz und die Wartungsarmut der gesamten Aufzugsanlage erhöht.

[007] Die Lösung der Aufgabe besteht zunächst in dem gezielten Ersetzen durch elektronische Halbleiterschalter derjenigen herkömmlichen elektromechanischen Schalter, die durch eine hohe Anzahl von Schaltungen (High-Demand- Sicherheitsfunktion) beansprucht sind. Eine solche High-Demand- Sicherheitsfunktion ist beispielsweise die Überbrückung der Türkontakte, es kommen jedoch auch andere, im störungsfreien Normalbetrieb geschaltete Sicherheitsfunktionen in Betracht, und zwar insbesondere diejenigen, die häufig geschaltet werden.

[008] Solche Halbleiterschalter, beispielsweise mit Metall-

Oxid-Halbleiter-Feldeffekttransistoren MOSFET (Metal Oxide Semiconductor Field-Effect Transistor) , basieren generell auf Transistoren, die Millionen von Schaltzyklen pro Tag

standhalten. Nachteilig ist nur deren Tendenz, bei Versagen einen Kurzschluss zu verursachen, der eine permanente

Überbrückung aller Türkontakte zur Folge hätte. Mit anderen Wörtern, falls aus Redundanzgründen vorzugsweise zwei

Halbleiterschalter (zur Erfüllung der Sicherheitsstufe SIL2) für die Überbrückung der Türkontakte vorgesehen sind, und diese beiden Halbleiterschalter wegen eines Kurzschlusses ausfallen sollten, tritt die hohe Gefahrensituation ein, dass die

Aufzugskabine und das Gegengewicht mit offenen Schacht- oder/und Kabinentüren bewegt werden können, weil der

Halbleiterkurzschluss geschlossene Türen vortäuscht.

[009] Im Allgemeinen werden zur Vermeidung bzw. Detektion eines Kurzschlusses in einem Halbleiterschalter üblicherweise komplizierte und kostenintensive Lösungen für das sogenannte Failsafe vorgeschlagen.

[0010] Die Veröffentlichungsschrift EP-A2-1 535 876

offenbart einen Antrieb, der mit einer Leistungshalbleiter aufweisenden Elektronikeinrichtung verbunden ist, wobei zwischen dem Antrieb und der Elektronikeinrichtung mindestens ein

Hauptschütz vorgesehen ist, der mit einem Sicherheitskreis verbunden ist, der in Reihe geschaltete Türschalter umfasst. Diese seriell geschalteten Türschalter werden wiederum mit Schaltern bei Öffnung der Türen überbrückt. Diese

Veröffentlichungsschrift offenbart somit zwar die Verwendung von Halbleitern - Leistungshalbleiter in einer Elektronikeinrichtung des Antriebs, aber nicht innerhalb des Sicherheitskreises, sowie auch keine Failsafe-Lösung zur Vermeidung der Kurzschluss- Neigung der Halbleiter, sondern vielmehr ein der Lärmvermeidung dienendes Anbieiben des mindestens einen Hauptschützes und eine Überprüfung des Letzteren durch ein Zeitglied und/oder eine Zähleinrichtung .

[0011] Bei einem Sicherheitskreis gemäss der vorliegenden

Anmeldung ist erfindungsgemäss keine eigene Failsafe-Lösung für die jeweiligen elektronischen Halbleiterschalter vorgesehen, sondern ein sowieso vorhandenes, anderweitiges elektromechanisches Sicherheitsrelais ist in die Vermeidung bzw. die Detektion eines möglichen Kurzschlusses in einem der elektronischen Halbleiterschalter eingebunden. Hiermit ist erfindungsgemäss gemeint, dass bei einem Kurzschluss in einem der elektronischen Halbleiterschalter, die erfindungsgemäss und aus Redundanzgründen (Sicherheitsstufe SIL2) zweifach für die Überbrückung der Türkontakte vorgesehen sind, vorerst noch nichts passiert. Wenn jedoch auch der zweite elektronische Halbleiterschalter kaputt geht, - was aufgrund von möglichen Überlastungsspitzen rascher erfolgen kann - greift keine eigens hierfür vorgesehene Failsafe-Lösung bzw. greifen keine extra hierfür vorgesehenen Sicherheitsrelais ein, um den

Sicherheitskreis zu öffnen, sondern mindestens ein sowieso vorhandenes elektromechanisches Sicherheitsrelais, das im Rahmen einer anderweitigen Sicherheitsfunktion den Sicherheitskreis öffnen würde, wenn eine Unregelmässigkeit innerhalb dieser letzteren Sicherheitsfunktion vorliegen würde. Alternativ kann das Öffnen des Sicherheitskreises auch schon bei dem Ausfall des ersten Halbleiterschalters erfolgen.

[0012] Dieses - mindestens eine - anderweitige,

elektromechanische Sicherheitsrelais der ersten

sicherheitsrelevanten Funktion der Aufzugsanlage ist

vorzugsweise für eine sogenannte Low-Demand-Sicherheitsfunktion vorgesehen, d.h. für eine Sicherheitsfunktion, die wenigen Schaltprozessen unterliegt, indem sie beispielsweise nur bei Notfällen ausserhalb des Normalbetriebs schaltet. (Siehe

Definition Low- und High-Demand-Modus in den Absätzen [003]- [005] ) .

[0013] Erfindungsgemäss kann so ein anderweitiges

Sicherheitsrelais beispielsweise ein sogenannter ETSL- Relaiskreis sein, wobei ETSL für Emergency Terminal Speed

Limiting steht, also für eine geschwindigkeitsabhängige Notfall- Schachtend-Verzögerungskontrolle . Solche ETSL-Relaiskreise sind aus dem Stand der Technik bekannt. Dieser ETSL-Relaiskreis ist eine sogenannte Low-Demand-Sicherheitskomponente, die im Normalbetrieb nicht gebraucht wird. Sie tritt nur äusserst selten in Funktion, nämlich nur dann, wenn die Aufzugskabine über ihren Normalbereich hinausfahren sollte. Dieser ETSL- Relaiskreis ist elektromechanisch, d.h., er weist keine

Halbleiter, sondern Relaiskontakte und elektromechanische

Sicherheitsrelais auf und wird erfindungsgemäss zusätzlich zu seiner angestammten Schachtend-Verzögerungskontrollfunktion in die Überwachung der Halbleiterschalter eingebunden. Diese

Halbleiterschalter werden erfindungsgemäss für eine High-Demand- Sicherheitsfunktion verwendet, beispielsweise für die

Überbrückung der Türkontakte, generell gesagt jedoch für eine Serienschaltung von Kontakten, die bei störungsfreiem

Normalbetrieb geschlossen sind, bei bestimmten

Betriebsbedingungen jedoch geöffnet werden und dann überbrückbar sind, sodass der gesamte Sicherheitskreis aktiv bleibt.

[0014] Mit anderen Wörtern werden die Elemente des

elektromechanischen Relaiskreises - oder zumindest Teile hiervon - erfindungsgemäss dafür verwendet, im Falle eines Kurzschlusses eines oder beider Halbleiterschalter, den Sicherheitskreis zu öffnen .

[0015] Die Überwachung der Halbleiterschalter erfolgt erfindungsgemäss mittels eines Überwachungs-Schaltkreises, der prozessorgesteuert ist. Falls die Überwachung ergibt, dass die Halbleiterschalter kurzgeschlossen sind, sind der oder die Prozessoren erfindungsgemäss in der Lage, vorzugsweise über einen anderweitigen, sowieso vorhandenen elektromechanischen Relaiskreis - beispielsweise ein ETSL-Relaiskreis - den

Sicherheitskreis der Aufzugsanlage öffnen zu lassen.

[0016] Bei einer ersten Lösung ist vorgesehen, dass

mindestens ein Prozessor einerseits in der Lage ist, die

Halbleiterschalter (beispielsweise zur Überbrückung der

Türkontakte) und gleichzeitig die Überwachung der

Halbleiterschalter zu steuern. Andererseits ist der mindestens eine Prozessor erfindungsgemäss gleichzeitig in der Lage, bei einem aufgrund der Überwachung detektierten Kurzschluss direkt auf hierzu wiederum in Serie geschaltete Relaiskontakte oder direkt auf eines oder mehrere elektromechanische

Sicherheitsrelais des anderweitigen elektromechanischen

Relaiskreises steuernd zuzugreifen. Mit anderen Wörtern, ist es erfindungsgemäss bevorzugt, dass der anderweitige Relaiskreis selbst einen allfälligen eigenen Prozessor nicht mehr aufweist und der oben genannte mindestens eine Prozessor sowohl die Halbleiterschalter, als auch deren Überwachung, als auch die angestammte Funktion des elektromechanischen Relaiskreises steuert .

[0017] D.h., dass in dem Beispielsfall, dass der

elektromechanische Relaiskreis die ETSL-Funktion der

Aufzugsanlage wahrnimmt, es bedeutet, dass die ETSL-Funktion keinen oder keine eigenen Prozessoren mehr aufweist. Der mindestens eine Prozessor für die Halbleiterschalter und deren Überwachung übernimmt auch die ETSL Funktion. Dieses erfordert lediglich entsprechende Leitungen und die entsprechende

Schaltung mit dem nun beide sicherheitsrelevanten Funktionen ausführenden Prozessor und ergibt einen erheblichen

Kostenvorteil .

[0018] Als weitere Alternative ist es jedoch auch möglich, den oder die steuernden Prozessoren des elektromechanischen Relaiskreises weiterhin zu verwenden und den oder die steuernden Prozessoren der Halbleiterschalter zum Öffnen des

Sicherheitskreises wegen eines Kurzschlusses der

Halbleiterschalter an den oder die steuernden Prozessoren des elektromechanischen Relaiskreises weiterzuleiten.

[0019] Des Weiteren wäre es auch möglich, den oder die steuernden Prozessoren des elektromechanischen Relaiskreises weiterhin zu verwenden, jedoch den Steuerungsbefehl der

Prozessoren für die Halbleiterschalter zum Öffnen des

Sicherheitskreises nicht an den oder die steuernden Prozessoren des elektromechanischen Relaiskreises weiterzuleiten, sondern die Prozessoren der Halbleiterschalter direkt auf die

Relaiskontakte oder auf hiermit verbundene elektromechanische Sicherheitsrelais zugreifen zu lassen.

[0020] Wie schon erwähnt, kann die Überbrückung der

Serienschaltung von Kontakten eine oft schaltende High-Demand- Funktion sein, beispielsweise die Überbrückung der Türkontakte, die erfindungsgemäss mit Halbleiterschaltern erfolgt. Trotz dieser Verwendung von Halbleiterschaltern wird jedoch das gleiche Sicherheitsniveau wie mit elektromechanischen

Sicherheitsrelais erreicht, indem im Falle eines Ausfalles

(Kurzschlusses) der Überbrückung der Türkontakte vorzugsweise das oder die ETSL-Sicherheitsrelais verwendet werden, um den Sicherheitskreis wieder zu öffnen und gefährliche Situationen zu vermeiden .

[0021] Um mindestens das gleiche bzw. ein erhöhtes

Sicherheitsniveau zu erreichen, ist es grundsätzlich

erforderlich, nur solche elektromechanische Sicherheitsrelais in die erfindungsgemässe Einbindung für die Umgehung einer wegen Kurzschluss ausser Funktion stehenden Überbrückung der

Türkontakte mittels Halbleiterschalter in Betracht zu ziehen, die hinsichtlich ihrer Schaltungen, ihrer Auslegung und ihres Sicherheitsniveaus (sogenannte SIL-Stufe, wobei SIL für Safety Integrity Level steht, siehe Absatz [004]) für eine bei

maschinellem Betrieb nicht überbrückbare Sicherheitsfunktion vorgesehen sind. D.h., dass das elektromechanische

Sicherheitsrelais mindestens so ausgelegt sein muss, dass es eine Sicherheitsfunktion abdeckt, die so elementar wichtig ist, dass sie nur bei manuellem Betrieb absichtlich überbrückbar oder sogar nie überbrückbar ist.

[0022] Wie schon erwähnt, werden die zwei herkömmlichen elektromechanischen Relais für die Überbrückung der Türkontakte erfindungsgemäss beispielsweise durch zwei MOSFET ersetzt.

Weiterhin erfindungsgemäss werden die beiden MOSFET mit jeweils einem Prozessor bzw. Mikroprozessor und einem Überwachungs- Schaltkreis bzw. Prüf-Schaltkreis überwacht, indem an einem Eingang und einem Ausgang der MOSFET eine Spannungsmessung erfolgt, separat für jeden Kanal. Wenn einer oder beide MOSFET schadhaft sein sollten (was bei solchen Schaltern in der Regel Kurzschluss bedeutet) wird der jeweilige Prozessor diesen Zustand erkennen und den oder die ETSL-Relaiskontakte öffnen. Ein weiterer Vorteil ist somit, dass sogar beide MOSFET gleichzeitig schadhaft sein können; auf diese Weise die

Vorrichtung bzw. die Aufzugsanlage aber immer noch sicher ist.

[0023] Weiterhin erfindungsgemäss ist eine Anzeige

vorgesehen, die eine Information liefert, falls ein Kurzschluss in einem der Halbleiterschalter durch eines der

elektromechanischen Sicherheitsrelais bzw. dessen Kontakte umgangen wird.

[0024] Die MOSFET sind normalerweise bei geöffneten Türen immer geschlossen. Demzufolge ist es vorgesehen, dass der jeweilige Prozessor in einem regelmässigen Abstand von wenigen Sekunden die MOSFET kurz öffnet, um den Spannungsabfall an dem MOSFET zu prüfen, ohne dass das Sicherheitsrelais des

Sicherheitskreises abfällt und somit den entsprechenden

Relaiskontakt des Sicherheitskreises öffnet. Diese

Ausschaltperiode ist erfindungsgemäss kurz genug, um den

Spannungsabfall zu messen, aber nicht so lang, um das Relais de Sicherheitskreises abfallen zu lassen.

[0025] Einem Fachmann bleibt es frei, die eben beschriebene

Überprüfung nicht mittels der Messung des Spannungsabfalls, sondern mittels einer Messung der Stromstärke zu realisieren, vorzugsweise induktiv und berührungslos.

[0026] Die vorliegende Erfindung präsentiert somit eine

Hybrid-Lösung, die die bewährte Sicherheit von

elektromechanischen Relais mit der hohen Zuverlässigkeit - insbesondere hinsichtlich der Anzahl der Schaltzyklen - von Transistoren auf eine kostengünstige Art miteinander kombiniert

[0027] Eine erfindungsgemässe Überbrückungsschaltung umfasst somit Halbleiterschalter vorzugsweise für häufig schaltende High-Demand-Sicherheitsfunktionen - wie

beispielsweise die Überbrückung der Türkontakte - und einen prozessorgesteuerten Prüf-Schaltkreis für diese

Halbleiterschalter sowie vorzugsweise die Einbindung eines elektromechanischen Sicherheitsrelais, normalerweise zuständig für eine anderweitige, selten schaltende Low-Demand-

Sicherheitsfunktion, zur Umgehung der Halbleiterschalter im Falle eines Halbleiter-Kurzschlusses und Öffnung des

Sicherheitskreises . [0028] Darüber hinaus umfasst der Sicherheitskreis die üblichen Merkmale und Schaltanordnungen, wie sie heutigen Aufzugsanlagen - nicht zuletzt wegen der geltenden Normen - entsprechen und einem Fachmann auf dem Gebiet des

Aufzugsanlagenbaus geläufig sind. Solche Merkmale sind

beispielsweise die serielle Anordnung aller Schachttür-Kontakte die ebenfalls serielle Anordnung des bzw. der Kabinentür- Kontakte, die Überwachung des Weges der Aufzugskabine mit Endschaltern (KNE - Kontakt Not Ende) , die Überwachung der Bewegungsgeschwindigkeit der Aufzugskabine mit Sensoren am Schachtende (ETSL) , Bremskontakte, sowie mindestens ein

Notausschalter .

[0029] Weitere oder vorteilhafte Ausgestaltungen eines erfindungsgemässen Sicherheitskreises bilden die Gegenstände de abhängigen Ansprüche .

[0030] Anhand von Figuren wird die Erfindung symbolisch und beispielhaft näher erläutert. Die Figuren werden zusammenhängen und übergreifend beschrieben. Gleiche Bezugszeichen bedeuten gleiche Bauteile, Bezugszeichen mit unterschiedlichen Indices geben funktionsgleiche oder ähnliche Bauteile an. [0031] Es zeigen dabei

Fig. 1 eine schematische Darstellung einer beispielhaften

Aufzugsanläge;

Fig. la eine schematische Darstellung des Sicherheitskreises aus der Fig. 1 und

Fig. 2 eine schematische Darstellung einer

erfindungsgemässen Anordnung von zwei Halbleiterschaltern zur Überbrückung einer Serieschaltung von Kontakten, eines

Überwachungs-Schaltkreises für diese zwei Halbleiterschalter, eines elektromechanischen Relaiskreises und die

erfindungsgemässe Integrierung dieser Anordnung in einen herkömmlichen Sicherheitskreis gemäss Fig. 1 bzw. Fig. la und den sich somit ergebenden erfindungsgemässen Sicherheitskreis. [0032] Die Fig. 1 zeigt eine Aufzugsanlage 100,

beispielsweise in dargestellter 2:1 Tragmittelführung. In einem Aufzugsschacht 1 ist eine Aufzugskabine 2 verfahrbar angeordnet, die über ein Tragmittel 3 mit einem verfahrbaren Gegengewicht 4 verbunden ist. Das Tragmittel 3 wird bei dem Betrieb mittels einer Treibscheibe 5 einer Antriebseinheit 6 angetrieben, die beispielsweise im obersten Bereich des Aufzugsschachtes 1 in einem Maschinenraum 12 angeordnet sind. Die Aufzugskabine 2 und das Gegengewicht 4 werden mittels sich über die Schachthöhe erstreckenden Führungsschienen 7a bzw. 7b und 7c geführt.

[0033] Die Aufzugskabine 2 kann auf einer Förderhöhe h ein oberstes Stockwerk mit Stockwerktüre 8, weitere Stockwerke mit Stockwerktüren 9 und 10 und ein unterstes Stockwerk mit

Stockwerktüre 11 bedienen. Der Aufzugsschacht 1 ist aus Schacht- Seitenwänden 15a und 15b, einer Schachtdecke 13 und einem

Schachtboden 14 gebildet, auf dem ein Schachtbodenpuffer 19a für das Gegengewicht 4 und zwei Schachtbodenpuffer 19b und 19c für die Aufzugskabine 2 angeordnet sind. [0034] Das Tragmittel 3 ist an einem ortsfesten

Befestigungspunkt bzw. Tragmittelfixpunkt 16a an der

Schachtdecke 13 befestigt und parallel zu der Schacht-Seitenwand 15a zu einer Tragrolle 17 für das Gegengewicht 4 geführt. Von hier wiederum zurück über die Treibscheibe 5, zu einer ersten Umlenk- bzw. Tragrolle 18a und einer zweiten Umlenk- bzw.

Tragrolle 18b, die Aufzugskabine 2 unterschlingend, und zu einem zweiten ortsfesten Befestigungspunkt bzw. Tragmittelfixpunkt 16b an der Schachtdecke 13.

[0035] Ein Sicherheitskreis 200 umfasst auf jedem der

Stockwerke 8-11 jeweils einen Schachttür-Kontakt 20a-20d, die in Serie in einem Schachttür-Schaltkreis 21 angeordnet sind. Der

Schachttür-Schaltkreis 21 ist einem PCB (Printed Circuit Board) 22 zugeführt, das beispielsweise in dem Maschinenraum 12 angeordnet ist. Das PCB 22 ist mit einer nur symbolisch zu verstehenden Verbindung 23 mit dem Antrieb 6 bzw. einer

Antriebsbremse 24 verbunden, sodass bei Fehlermeldungen des

Sicherheitskreises 200 der Antrieb der Antriebseinheit 6 bzw. die Drehung der Treibscheibe 5 gestoppt werden kann.

[0036] Die Verbindung 23 ist nur symbolisch zu verstehen, weil sie in Wirklichkeit deutlich komplizierter ist und in der Regel die Aufzugssteuerung mitumfasst. Sie weist des Weiteren ein Relais 40 des Sicherheitskreises 200 und Verbindungsstellen 41a und 41b auf. Zwischen den Letzteren ist eine zur Erfüllung der Sicherheitsstufe SIL2 in der Regel zweikanalige Schachtend- Verzögerungskontrollfunktion 42 realisiert, indem ein erster ETSL-Kanal und ein zweiter ETSL-Kanal seriell in dem

Sicherheitskreis 200 angeordnet sind. Die beiden ETSL-Kanäle sind symbolisch als Schalter 31a und 31b dargestellt, sind jedoch Schaltrelais mit Schaltkontakten.

[0037] Nicht nur die Schachttüren weisen einen Schachttür-

Schaltkreis 21 für die Kontrolle der Öffnung der Schachttüren auf, sondern auch die Aufzugskabine 2 weist einen Kabinentür- Schaltkreis 25 für die Kontrolle der Öffnung von zwei

angedeuteten Kabinen-Schiebetüren 27a und 27b auf. Dieser

Kabinentür-Schaltkreis 25 umfasst einen Kabinentür-Kontakt 26. Signale aus dem Kabinentür-Schaltkreis 25 werden über ein Hängekabel 28 der Aufzugskabine 2 an das PCB 22 geleitet, wo sie in Serie zu den Schachttür-Kontakten 20a-20d in den

Sicherheitskreis 200 eingebunden sind. [0038] Die Aufzugsanlage 100 verfügt des Weiteren über eine

Überbrückungsschaltung 29 für die in einer Serieschaltung 43 angeordneten Schachttür-Kontakte 20a-20d und den ebenfalls seriell angeordneten Kabinentür-Kontakt 26. Die

Überbrückungsschaltung 29 umfasst zwischen zwei weiteren

Verbindungsstellen 41c und 41d parallel angeordnete

Schaltrelais, deren Schaltkontakte symbolisch als Schalter 30a und 30b dargestellt sind.

[0039] In der Fig. la ist der Sicherheitskreis 200 der Aufzugsanlage 100 aus der Fig. 1 separat dargestellt, sodass dessen Verbindungen und Schaltungen übersichtlicher werden. Die Schachtend-Verzögerungskontrollschaltung 42 und die Türkontakt- Überbrückungsschaltung 29 sind voneinander unabhängig, sie sind lediglich seriell in den Sicherheitskreis 200 integriert.

[0040] In der Fig. 2 ist dargestellt, wie einerseits zwischen den Verbindungsstellen 41c und 41d des

Sicherheitskreises 200 aus der Fig. 1 eine erfindungsgemässe Überbrückungsschaltung 29a zur Überbrückung der Kontakte 20a-20d und 26 aus der Fig. 1 bzw. la ausgestaltet ist, und wie

andererseits ein elektromechanischer Relaiskreis 42a zwischen den Verbindungsstellen 41a und 41b des Sicherheitskreises 200 aus der Fig. 1 erfindungsgemäss angeordnet ist; wie die

Überbrückungsschaltung 29a und der elektromechanische

Relaiskreis 42a erfindungsgemäss miteinander verbunden sind und somit einen erfindungsgemässen Sicherheitskreis 200 und eine erfindungsgemässe Aufzugsanlage 100 ergeben. Der

elektromechanische Relaiskreis 42a stellt vorzugsweise einen Relaiskreis zur Durchführung einer Low-Demand- Sicherheitsfunktion der Aufzugsanlage 100 dar. [0041] Für die Übernahme einer High-Demand-

Sicherheitsfunktion wie beispielsweise der Überbrückungsfunktion der Türkontakte ist in einem ersten Schaltkreis 300a ein

Mikroprozessor 34c mit einem Halbleiterschalter bzw. Transistor 36a entsprechend geschaltet. Der Transistor 36a ist beispielhaft als MOSFET-Transistor dargestellt, es eignen sich jedoch auch andere Typen von Transistoren.

[0042] Des Weiteren ist ein Überwachungs-Schaltkreis 37a angedeutet, der an einem Eingang 38a und einem Ausgang 39a des Halbleiterschalters 36a angelegt ist. Der Prozessor 34c steuert die periodischen Zyklen der Messung der Spannung oder der

Stromstärke an dem Eingang 38a und dem Ausgang 39a.

Selbstverständlich kann der Verbindungspunkt 38a auch den

Ausgang des Halbleiterschalters 36a und der Verbindungspunkt 39a den Eingang des Halbleiterschalters 36a darstellen.

[0043] Die Überbrückungsschaltung 29a, der, wie aus der Fig.

1 bzw. la ersichtlich, alle Türkontakte 20a-20d, 26 seriell über die Verbindungsstellen 41c und 41d zugeführt sind, ist aus Redundanzgründen bzw. für die Erfüllung der SIL2- Sicherheitsstufe zweikanalig ausgeführt. Der zweite Kanal umfasst analog dem ersten Kanal einen Schaltkreis 300b, einen Halbleiterschalter 36b, einen Überwachungs-Schaltkreis 37b für den Halbleiterschalter 36b, der an einem Eingang 38b und einem Ausgang 39b des Halbleiterschalters 36b angelegt ist und von einem Mikroprozessor 34d gesteuert ist. Die Mikroprozessoren 34c und 34d sind für einen bidirektionalen Signalaustausch

miteinander verbunden. Es können auch mehr als zwei Kanäle vorgesehen sein.

[0044] Der Mikroprozessor 34c ist des Weiteren mit einem elektromechanischen Relais 35c, einem Wechselkontakt 32c und einem Widerstand 33c eines ersten ETSL-Kanals bzw. nach

Weglassen eines allfälligen ETSL-Prozessors den hiervon

verbliebenen Elementen eines elektromechanischen Relaiskreises 42a verbunden. Der Mikroprozessor 34d ist seinerseits mit einem elektromechanischen Relais 35d, einem Wechselkontakt 32d und einem Widerstand 33d eines zweiten ETSL-Kanals verbunden. Diese beiden ETSL-Kanäle gewährleisten die Schachtend- Verzögerungskontrollfunktion, die somit auf SIL2- Sicherheitsstufe bewerkstelligt ist, wobei die dazu notwendige

Verzögerungskontrollschaltung 42 zwischen den Verbindungsstellen 41a und 41b des Sicherheitskreises 200 aus der Fig. 1

angeschlossen ist. [0045] Die für die erfindungsgemässen Zecke verwendete

Schachtend-Verzögerungskontrollschaltung 42 weist keine eigenen Mikroprozessoren mehr auf, weil die Steuerung der

Verzögerungskontrollschaltung 42 mittels der Mikroprozessoren 34c und 34d erfolgt, nebst der Steuerung der

Überbrückungsschaltung 29a und nebst der Steuerung der

Überwachungs-Schaltkreise 37a und 37b.

[0046] Optional ist auch eine Anordnung mit einem einzigen

Mikroprozessor möglich, der sowohl die beiden dargestellten Kanäle der Überbrückungsschaltung 29a, als auch die beiden dargestellten Kanäle des elektromechanischen Relaiskreises 42a und die Verzögerungskontrollschaltung 42 steuert.

[0047] Die Fig. 2 stellt schematisch eine beispielhafte Anordnung von einer parallel angeordneten, zweikanaligen

Überbrückung von in Serie geschalteten Türkontakten (sowohl der Schachttür- 20a-20d, als auch des Kabinentür-Kontaktes 26) der Aufzugsanlage 100a dar, bzw. generell eine mögliche

erfindungsgemässe kombinierte Wahrnehmung von einer ersten sicherheitsrelevanten Funktion, vorzugsweise einer Low-Demand- Sicherheitsfunktion (beispielsweise der Schachtend- Verzögerungskontrolle ETSL) und einer zweiten

sicherheitsrelevanten Funktion, vorzugsweise einer High-Demand- Sicherheitsfunktion (beispielsweise der Überbrückung der

Türkontakte) . [0048] Bei einer Überprüfung der Halbleiterschalter 36a und

36b mittels der Überwachungs-Schaltkreise 37a und 37b, die einen Defekt bzw. einen Kurzschluss eines der Halbleiterschalter 36a oder 36b oder beider Halbleiterschalter 36a und 36b ergibt, sind die Mikroprozessoren 34c und/oder 34d erfindungsgemäss in der Lage, die herkömmlichen elektromechanischen Sicherheitsrelais 35c und 35d des elektromechanischen Relaiskreises 42a zur

Öffnung des Sicherheitskreises 200 anzusteuern. Dieses erfolgt zusätzlich zu der ursprünglich bestimmungsgemässen Schachtend- Verzögerung der Aufzugskabine 2, die der elektromechanische

Relaiskreis 42a ursprünglich ausüben konnten. Diese ursprünglich bestimmungsgemässe Sicherheitsfunktion tritt wegen der

übernommenen Öffnungsfunktion des Sicherheitskreises 200 nicht ausser Kraft, vorzugsweise deshalb, weil die Mikroprozessoren 34c und 34d sowohl die Schachtend-Verzögerungskontrollschaltung der Aufzugskabine 2 der Aufzugsanlage 100, als auch die

Überbrückungsschaltung 29a mit den Halbleiterschaltern 36a und 36b, als auch die Überwachung der Halbleiterschalter 36a und 36b steuern .

[0049] Die mit Halbleiterschaltern 36a und 36b ausgestattete

Überbrückungsschaltung 29a kommt nicht nur für oft schaltende High-Demand-Funktionen in Betracht, sondern auch für beliebige Low-Demand-Funktionen, wie etwa die KNE-Funktion, wobei KNE für Kontakt Not Ende, also für eine Wegbegrenzung der Aufzugskabine 2 mittels Endschaltern über ihren normalen Fahrweg hinaus steht. Die Überbrückungsschaltung 29a, die erfindungsgemäss mit einem elektromechanischen Relaiskreis 42a wie offenbart kombiniert werden kann, wird beispielsweise auch für die Bremsfunktion oder für die Notevakuation verwendet.