Aufzugsanlagen weisen einen Sicherheitskreis auf, bei dem mehrere Sicherheitselemente, wie zum Beispiel Sicherheits- kontakte und-schalter, in einer Serienschaltung angeordnet sind. Die Kontakte überwachen zum Beispiel, ob eine Schacht- türe oder die Kabinentüre geöffnet ist. Die Aufzugskabine kann nur bewegt werden, wenn der Sicherheitskreis und damit auch alle in ihm integrierten Sicherheitskontakte geschlos- sen sind. Einige der Sicherheitselemente werden von den Türen betätigt. Andere Sicherheitselemente, wie zum Beispiel ein Überfahrschalter, werden durch die Aufzugskabine betätigt oder ausgelöst.

Der Sicherheitskreis steht mit dem Antrieb oder der Brems- einheit einer Aufzugsanlage in Verbindung, um den Fahrbe- trieb zu unterbrechen, falls der Sicherheitskreis geöffnet wird.

Sicherheitssysteme mit Sicherheitskreisen dieser Art sind mit zahlreichen Nachteilen behaftet, die im Folgenden kurz anhand einiger Beispiele aufgeführt werden : - Jeder Sicherheitskreis weist inhärente Probleme auf ; hierzu gehören die Länge der Verbindungen, der Spannungs- abfall im Sicherheitskreis und der verhältnismässig hohe Montageaufwand.

Die einzelnen Sicherheitskontakte sind verhältnismässig störanfällig ; es kann daher zu unnötigen Notstopps des Aufzugssystems kommen.

Der Sicherheitskreis erlaubt keine spezifische Diagnose ; das heisst, dass bei offenem Sicherheitskreis nur festge- stellt wird, dass mindestens ein Sicherheitskontakt ge- öffnet ist.

Eine vorsorgliche Wartung ist nicht möglich, da keine Anzeige über den Zustand der Sicherheitskontakte des Sicherheitskreises erfolgt. Es ist also nicht möglich, die Aufzugsanlage vorausschauend zu warten und abgenützte Sicherheitskontakte rechtzeitig zu einem Zeitpunkt, in dem die Aufzugsanlage problemlos stillgelegt werden kann, zu ersetzen, es sei denn im Rahmen einer periodischen Revision, wobei aber in vielen Fällen eine an sich nicht notwendige Ausserbetriebsetzung der Aufzugsanlage er- folgt.

Die Verfügbarkeit des Aufzuges kann unnötigerweise eingeschränkt sein, da die Detektion eines offenen Si- cherheitskontakts immer eine Ausserbetriebsetzung der Aufzugsanlage zur Folge hat.

Es wurde daher vorgeschlagen, Aufzugsanlagen in Zukunft statt mit dem erwähnten Sicherheitskreis mit einem Sicher- heitsbussystem auszurüsten. Das Sicherheitsbussystem weist typischerweise eine Kontrolleinheit, einen Sicherheitsbus und einen oder mehrere Busknoten auf.

Ein Sicherheitssystem mit Sicherheitsbus ist in der Anmel- dung EP01810903. 3 beschrieben, die am 18.09. 01 eingereicht wurde. Der Sicherheitsbus wird eingesetzt, um einen sichere

und zuverlässige Überwachung der Schachttüren der Aufzugsan- lage zu ermöglichen.

In einer weiteren Patentanmeldung EP01810904. 1, die am 18.09. 01 eingereicht wurde, ist ein Sicherheitssystem mit Sicherheitsbus beschrieben, das eine intelligente Auswertung des Zustandes von Kabinen-und Schachttüren erlaubt.

Ein Sicherheitssystem mit Sicherheitsbus weist bei einigen der vorgeschlagenen Ausführungsformen mindestens einen Busknoten auf, der zum Beispiel mit einem Sicherheitselement in Verbindung stehen kann, um dessen Zustand abzufragen.

Damit kann Information über den momentanen Zustand von Sicherheitselementen bereitgestellt werden. Ähnlich wie bei den konventionellen Aufzugsanlagen mit Sicherheitskreis, kann je nach Zustand des Sicherheitselements eine Reaktion ausgelöst werden.

Solche Sicherheitssysteme mit Sicherheitsbus müssen sicher ausgeführt sein. Ansonsten kann es zum Beispiel zu undefi- nierten Zuständen oder zu Fehlinterpretationen kommen.

Insbesondere soll die Abfrage der Sicherheitselemente des Sicherheitssystems über den Sicherheitsbus absolut sicher und zuverlässig sein.

Die Aufgabe der Erfindung wird somit darin gesehen, ein verbessertes Sicherheitssystem der eingangs genannten Art aufzuzeigen, mit welchem die Nachteile des Standes der Technik vermieden oder mindestens stark reduziert werden können.

Die Lösung der Aufgabe erfolgt durch die Merkmale des Anspruchs 1 und die Merkmale des Anspruchs 9.

Vorteilhafte Weiterbildungen des erfindungsgemässen Sicher- heitssystems sind durch die abhängigen Patentansprüche 2 bis 8 definiert. Vorteilhafte Weiterbildungen des erfindungsge- mässen Verfahrens sind durch die abhängigen Patentansprüche 10 bis 14 definiert.

Im Folgenden wird die Erfindung anhand von Ausführungsbei- spielen und mit Bezug auf die Zeichnung ausführlich be- schrieben. Es zeigen : Fig. 1 ein schematisches Blockschaltbild eines ersten erfindungsgemässen Sicherheitssystems ; Fig. 2A ein schematisches Blockschaltbild eines zweiten erfindungsgemässen Sicherheitssystems ; Fig. 2B Details des zweiten erfindungsgemässen Sicher- heitssystems ; Fig. 3 Details eines dritten erfindungsgemässen Sicher- heitssystems.

Fig. 1 zeigt ein erstes Sicherheitssystem 10, das Teil einer Aufzugsanlage ist. Das Sicherheitssystem 10 umfasst eine Kontrolleinheit 11, mindestens einen Busknoten 13 und einen Bus 12, um eine Kommunikation zwischen der Kontrolleinheit 11 und dem Busknoten 13 zu ermöglichen. In Fig. 1 ist ein Sicherheitselement 16 angedeutet, das zum Beispiel den Zustand einer Schacht-oder Kabinentüre abfragt, oder das einen Riegel überwacht. Als Sicherheitselemente werden im Zusammenhang mit der vorliegenden Erfindung sicherheitsrele- vante Elemente bezeichnet, wie zum Beispiel Türkontakte,

Riegelkontakte, Pufferkontakte, Klappenkontakte, Sensoren, Aktuatoren, Fahrschalter (z. B. auf dem Inspektionstableau oder in der Rückholsteuerung), und Notstoppschalter. Der Busknoten 13 weist erste Schaltungsmittel 14 und zweite Schaltungsmittel 15 auf.

Gemäss Erfindung gibt die Kontrolleinheit 11 dem Busknoten 13 eine Sollgrösse, zum Beispiel eine Stromstärke oder eine Spannung, vor. Die Kontrolleinheit 11 agiert also als "Befehlsgeber". Die Vorgabe der Sollgrösse erfolgt durch Übermittlung eines digitalen Befehls oder digitaler Informa- tion über den Bus 12 an den Busknoten 13. Ein erstes analoges Signal entsprechend der vorgegebene Sollgrösse wird von den ersten Schaltungsmitteln 14 bereit gestellt. Das Sicherheitselement 16 wird mit diesem ersten analogen Signal beaufschlagt, wie durch den Pfeil 16.1 angedeutet. Die zweiten Schaltungsmittel 15 sind so angeordnet und ausge- legt, dass sie ein zweites analoges Signal an dem Sicher- heitselement 16 abgreifen, wie durch den Pfeil 16.2 angedeu- tet. Der Busknoten 13 verarbeitet das zweite analoge Signal und stellt digitale Rückinformation zur Verfügung, die entweder über den Bus 12 an die Kontrolleinheit 11 übermit- telt wird, oder die von der Kontrolleinheit 11 über den Bus 12 bei dem Busknoten 13 abgeholt wird. Zusätzlich kann der Busknoten 13 digitale Diagnoseinformation zur Verfügung stellen.

Damit lässt sich folgendes erfindungsgemässes Abfrageschema implementieren : 1. Die Kontrolleinheit 11 gibt eine Sollgrösse vor, die als digitale Information oder als digitaler Befehl über den Bus 12 an den Busknoten 13 übermittelt wird ;

2. Die ersten Schaltungsmittel 14 setzen die Information um und stellen ein erstes analoges Signal der entspre- chenden Grösse bereit ; 3. Das erste analoge Signal wird an das Sicherheitsele- ment 16 angelegt bzw. in das Sicherheitselement 16 ein- geprägt ; 4. Die zweiten Schaltungsmittel 15 erfassen ein zweites analoges Signal, das mit dem ersten analogen Signal kor- reliert ist, oder durch das erste analoge Signal hervor- gerufen wird ; 5. Das zweite analoge Signal wird durch den Busknoten 13 aufbereitet, um einen qualitativen und/oder quantitati- ven Vergleich mit dem ersten analogen Signal zu ermögli- chen.

6. Der Busknoten 13 stellt digitale Rückinformation für die Kontrolleinheit 11 zur Verfügung. Zusätzlich kann der Busknoten 13 digitale Diagnoseinformation zur Verfü- gung stellen.

Der Vergleich findet vorzugsweise in der Kontrolleinheit 11 statt, um eine zuverlässige und sichere Aussage über das Sicherheitselement 16 treffen zu können. Die Kontrolleinheit 11 kann so zum Beispiel feststellen, ob das Sicherheitsele- ment 16 geöffnet oder geschlossen ist.

Es ist auch möglich beim Aufbereiten des analogen Signals eine qualitative Auswertung des ersten analogen Signals durchzuführen, wobei die Auswertung nicht sicherheitsrele- vant ist und daher ganz oder teilweise durch den Busknoten 13 ausgeführt werden kann. Diese qualitative Auswertung erlaubt eine Diagnose über den qualitativen Zustand des Sicherheitselement (z. B. kann so der Verschleiss und/oder

die Funktionstüchtigkeit eines Kontakts beurteilt werden).

Es ist besonders vorteilhaft diese Diagnose im Busknoten 13 durchzuführen, um den Datenverkehr auf dem Bus 12 zu minimieren und die sicherheitsrelevante Kontrolleinheit 11 nicht damit zu belasten. Das Ergebnis der Diagnose wird als digitale Diagnoseinformation bereit gestellt.

Je nach Ausführungsform und Implementierung der Erfindung, lässt sich eine Aussage über den Schaltzustand des Sicher- heitselements 16, wie auch über die Funktion der gesamten Abfragekette machen. Unter Abfragekette ist im vorliegenden Zusammenhang die Kette von der Kontrolleinheit über den Bus, den Busknoten, das Sicherheitselement, und den Bus bis zurück zur Kontrolleinheit zu verstehen.

Wenn zum Beispiel die Kontrolleinheit 11 einen bestimmten Strom als Sollgrösse vorgibt, der dann in das Sicherheits- element 16 eingeprägt wird, so kann die Kontrolleinheit 11 über die zweiten Schaltungsmittel 15 und mittels der Rückinformation feststellen, ob der entsprechende Strom oder zum Beispiel eine Spannung, die mit dem Strom korreliert ist, gemessen wurde.

Bei einem quantitativen Vergleich der analogen Signale wird zum Beispiel durch die Kontrolleinheit 11 ermittelt, ob das Signal S1 dem Signal S*1 entspricht (siehe Fig. 2B). Dabei können Umrechnungsfaktoren berücksichtigt werden, oder es kann ein Wertepaar aus einer Tabelle entnommen werden. Zur Veranschaulichung wird ein einfaches Zahlenbeispiel gegeben.

Die Kontrolleinheit 11 gibt einen Strom von 1A vor. Das Schaltungsmittel 14 stellt einen Strom mit einer Stromstärke von 1A bereit. Dieser Strom fliesst durch das Sicherheits-

element 16. Auf der Auswertungsseite wird durch die Schal- tungsmittel 15 eine Spannung von 5V gemessen, wobei die Schaltungsmittel 15 einen Widerstand von 5 Ohm aufweisen, um den Strom in eine Spannung umzuwandeln. Aus einer Tabelle, die zum Beispiel in einem Speicher des Busknotens 13 abgelegt ist, kann entnommen werden, dass eine Spannung von 5V einem Strom von 1A entspricht. In diesem Fall hat der Vergleich des Wertepaares (1A ; 5V) ergeben, dass die Abfragekette funktioniert.

Vorzugsweise wird der qualitative Vergleich (auch als Diagnose bezeichnet) so ausgelegt, dass eine gewisse Toleranz berücksichtigt wird. Um auf das Zahlenbeispiel zurück zu kommen, würde die Abfragekette als funktionierend bewertet, solange die Spannung zum Beispiel um weniger als 0.5 Volt von der Spannung 5V abweicht. Damit kann berück- sichtigt werden, dass einer solchen Abfragekette gewisse Ungenauigkeiten und Verluste inhärent sind.

Die Toleranz (en) können absolut oder relativ sein. Die Toleranzen können auch variabel angelegt sein.

Liegt der durch die Schaltungsmittel 15 ermittelte Span- nungswert ausserhalb des Toleranzbereichs, so kann eine Reaktion eingeleitet werden. Dies geschieht zum Beispiel durch die Kontrolleinheit 11. Bei einer geringen Abweichung kann ein Serviceruf durch die Kontrolleinheit 11 ausgelöst werden. Bei einer grösseren Abweichung muss dies als "Fehlfunktion"interpretiert werden und zum Beispiel zu einem Notstopp der Aufzugsanlage führen.

Die Fig. 2A und Fig. 2B zeigen ein zweites Sicherheitssystem 20, das Teil einer Aufzugsanlage ist. Das Sicherheitssystem 20 umfasst eine Kontrolleinheit 21, mindestens einen Busknoten 23 und einen Bus 22, um eine Kommunikation zwischen der Kontrolleinheit 21 und dem Busknoten 23 zu ermöglichen. In Fig. 2A und Fig. 2B ist ein Schalter 26 als Sicherheitselement gezeigt, der zum Beispiel den Zustand einer Schacht-oder Kabinentüre abfragt, oder der einen (Schachttür-) Riegel überwacht. Der Busknoten 23 weist erste Schaltungsmittel 24 und zweite Schaltungsmittel 25 auf.

Die ersten Schaltungsmittel 24 umfassen in der gezeigten Ausführungsform einen Prozessor 24.1, der digitale Informa- tion über den Bus 22 empfangen kann, wie durch den Pfeil 22.1 angedeutet. Es ist ein Schreiber-Element 24.2 vorgese- hen, welches ein"Steuer"-Signal Ss bereitstellt, das an eine regelbare Stromquelle 24.3 angelegt wird und dort das Bereitstellen eines Stroms hervorruft. Zu diesem Zweck kann das Schreiber-Element 24.2 zum Beispiel einen Digital- Analog-Wandler umfassen. Der Prozessor 24.1 wertet die digitale Information aus, um zu ermitteln welche Sollgrösse die Kontrolleinheit 21 vorgegeben hat und stellt dem Schreiber-Element 24.2 ein digitales Signal Droll zur Verfügung. Der Strom wird hier als erstes Signal S1 bezeich- net. Dieses erste Signal S1 ist mit dem"Steuer"-Signal Ss korreliert. Bei geschlossenem Schalter 26 fliesst der Strom S1 über die Verbindung 26.1 in den Schalter 26 und ein Strom S*1 über die Verbindung 26.2 in die Schaltungsmittel 25.3.

Falls es sich um einen idealen Schalter 26 handelt, so ist der Strom S1 gleich dem Strom S*1, d. h. es gibt keine Verluste im Schalter 26. Bei dem Schaltungsmittel 25. 3 handelt es sich in dem vorliegenden Beispiel um einen

Umsetzer, der den Strom S*1, der über die Leitung 26.2 zugeführt wird, in eine Spannung S2 umwandelt. Die Spannung S2 wird hier als zweites Signal S2 bezeichnet. Der Umsetzer 25. 3 kann zum Beispiel einen Widerstandsteiler und einen Filter umfassen. Gefolgt wird der Umsetzer 25.3 von einem Lese-Element 25.2, welches das zweite Signal S2 verarbeitet.

Das Lese-Element 25.2 setzt das zweite Signal S2 in eine digitale Grösse DI., t um, die einem Prozessor 25.1 zugeführt wird. Zu diesem Zweck kann das Lese-Element 25.2 zum Beispiel einen Analog-Digital-Wandler umfassen.

Die zweite Ausführungsform ist so ausgelegt, dass der Busknoten 23 eine Diagnose durch einen qualitativen Ver- gleich des ersten analogen Signals S1 mit dem zweiten analogen Signal S2 durchführt. Dieser Vergleich kann zum Beispiel durch den Prozessor 25.1, durch den Prozessor 24.1, oder durch beide Prozessoren 24.1 und 25.1 gemeinsam durchgeführt werden. Eine Vergleichsoperation durch nur einen der Prozessoren 24. 1 oder 25.1 erfordert mindestens eine Querverbindung zwischen den ersten Schaltungsmitteln 24 und den zweiten Schaltungsmitteln 25. Das Ergebnis des Vergleichs wird anschliessend der Kontrolleinheit 21 als digitale Diagnoseinformation zur Verfügung gestellt.

Entweder kann die digitale Diagnoseinformation von der Kontrolleinheit 21 bei dem Busknoten 23 abgefragt werden (Pull-Prinzip), oder der Busknoten 23 kann die digitale Diagnoseinformation über die Verbindung 22.2 und den Bus 22 an die Kontrolleinheit 21 übermitteln (Push-Prinzip). Der beschriebene qualitative Vergleich wird zusätzlich zu dem quantitative Vergleich durchgeführt, der in der Kontrollein- heit 21 anhand von digitaler Rückinformation durchgeführt wird.

Eine Durchführung des qualitativen Vergleichs im Busknoten 23 hat den Vorteil, dass der Bus 22 nicht mit der Übertra- gung von Signalen belastet wird, sondern dass jeweils nur die digitale Diagnoseinformation, die im Prinzip das Ergebnis des qualitativen Vergleichs darstellt, und die Rückinformation für den auszuführenden quantitativen Vergleich in der Kontrolleinheit 21, über den Bus 22 zur Kontrolleinheit 21 übermittelt wird.

Die bisher beschriebenen Ausführungsformen erlauben eine sichere Aussage über die Funktion der gesamten Abfragekette einschliesslich des Sicherheitselements.

Eine weitere Ausführungsform der Erfindung ist so ausgelegt, dass nicht nur ein Vergleich der analogen Signale, sondern auch eine Auswertung des zweiten analogen Signals S2 vorgenommen wird. Je nach Genauigkeit des Umsetzers 25.3 und der Auflösung des Lese-Elements 25.2, die hauptsächlich durch die Auflösung des Analog-Digital-Wandlers bestimmt wird, kann neben einer reinen Sicherheitskontrolle der gesamten Abfragekette auch eine Auswertung erfolgen. Damit wird eine Auswertung (im Sinne einer Diagnose) des Kontakt- zustandes möglich, falls es sich bei dem Sicherheitselement um einen Schalter handelt, indem der Kontaktwiderstand ermittelt wird. Zusätzlich, oder als Alternative, kann auch das Prellverhalten eines Schalters ausgewertet werden.

Hierzu muss die Auflösung ausreichend sein, da sich das Prellverhalten typischerweise in kurzen Spannungsspitzen niederschlägt und eine Veränderung des Prellverhaltens nur aufgezeigt werden kann, wenn eine präzise Auswertung der Spannungsspitzen erfolgt.

Eine weitere Ausführungsform der Erfindung ist in Fig. 3 dargestellt. In dieser Figur ist ein Busknoten 33 gezeigt, der ein Sicherheitselement 36 mit zwei redundanten Schaltern 36.1 und 36.2 abfragt. Die ersten Schaltungsmittel 34 umfassen in der gezeigten Ausführungsform einen Prozessor 34.1, der Information über eine Verbindung 32.1 empfangen kann. Es ist ein Schreiber-Element 34.2 vorgesehen, welches "Steuer"-Signale Ss bereitstellt, die an zwei regelbare Stromquellen 34.3 und 34.4 angelegt werden. Die Stromquelle 34.3 stellt einen Strom bereit, der hier als erstes Signal S1 bezeichnet wird. Die Stromquelle 34.4 stellt einen Strom bereit, der hier auch als erstes Signal S3 bezeichnet wird.

Das Schreiber-Element 34.2 kann zum Beispiel einen Digital- Analog-Wandler umfassen, der beim Empfangen einer digitalen Sollgrösse Droll ein damit korreliertes"Steuer"-Signal Ss abgibt. Die ersten analogen Signale S1 und S3 sind wiederum mit dem"Steuer"-Signal Ss korreliert. Bei geschlossenem Schalter 36.1 fliesst der Strom S1 durch den Schalter 36.1 und als Strom S*1 in ein Schaltungsmittel 35.3. Bei ge- schlossenem Schalter 36.2 fliesst der Strom S3 durch den Schalter 36.2 und als Strom S*3 in ein Schaltungsmittel 35.4.

Bei den Schaltungsmitteln 35.3 und 35.4 handelt es sich in dem vorliegenden Beispiel um Umsetzer, welche die Ströme S* und S*3 in Spannungen S2 und S4 umwandeln. Die Spannungen S2 und S4 werden hier als zweite analoge Signale S2 und S4 bezeichnet. Die Umsetzer 35.3 und 35.4 können zum Beispiel Widerstandsteiler und Filter umfassen. Gefolgt werden die Umsetzer 35.3 und 35.4 von einem Lese-Element 35.2, welches die zweiten analogen Signale S2 und S4 verarbeitet. Das

Lese-Element 35.2 setzt die zweiten analogen Signale S2 und S4 in digitale Grössen Dust um, die einem Prozessor 35.1 zugeführt werden, der die entsprechende digitale Rückinfor- mation über die Verbindung 32.2 an die Kontrolleinheit übermittelt. Das Lese-Element 35.2 kann zum Beispiel einen oder zwei Analog-Digital-Wandler umfassen. Falls nur ein Analog-Digital-Wandler vorhanden ist, werden die Signale S2 und S4 in einem Multiplex-Mode nacheinander zeitlich gestaffelt umgesetzt.

Durch die in Fig. 3 gezeigte Schaltung kann der Sicherheits- level auch auf Seiten des Sicherheitselements 36 erhöht werden, da dieser mit den Schalter 36.1 und 36.2 redundant ausgeführt und separat überwachbar ist.

Gemäss Erfindung ist der Busknoten 13, respektive 23 oder 33, so ausgelegt, dass er zwei Schaltungsmittel 14,15, respektive 24, 25 oder 34,35, aufweist. Durch diese 2- kanalige Auslegung wird eine Redundanz erreicht.

Die Sicherheit der Busknoten gemäss Erfindung kann reduziert werden, indem ein Busknoten mit nur einem Prozessor einge- setzt wird. In diesem Fall wird der Prozessor sowohl für zum Ansteuern des Schreiber-Elements, als auch zum Verarbeiten der digitalen Information des Lese-Elements eingesetzt.

Dadurch fällt die Redundanz zum Teil weg, die aus sicher- heitstechnischen Gründen je nach Einsatzgebiet vorgeschrie- ben ist. Die Funktionalität des Gesamtsystems bleibt aber im Wesentlichen bestehen. Es können durch das Reduzieren der Redundanz die Kosten gesenkt werden. Man kann jedoch durch andere Massnahmen trotzdem die Sicherheit des Gesamtsystems gewährleisten. Es kann zum Beispiel ein solcher Busknoten

mit reduzierter Redundanz Bestandteil eines Sicherheitssys- tems mit Sicherheitsbus, gemäss der eingangs erwähnten Anmeldung EP01810903. 3, sein.

Gemäss Erfindung kann mit einem Busknoten 33 ein Sicher- heitselement 36 mit redundanten Schaltern oder Kontakten 36.1, 36.2 überwacht werden. Es kann ein Teil der Schal- tungsmittel 34,35 separat ausgeführt werden, wie in Fig. 3 anhand der Schaltungsmittel 34.3 und 34.4, respektive 35.3 und 35.4 gezeigt. Ein anderer Teil der Schaltungsmittel 34, 35 kann für mehrere Schalter oder Kontakte 36.1, 36.2 gemeinsam verwendet werden, wie anhand der Schaltungsmittel 34.1 und 34.2, respektive 35.1 und 35.2 gezeigt.

Manche Normen verlangen eine redundante Ausführung von Sensoren und/oder Schaltern. Die in Fig. 3 gezeigte Ausfüh- rungsform ist für das Erfüllen solcher Normen besonders geeignet.

Es ist aber mit der Schaltung nach Fig. 3 auch möglich, zwei verschiedene Sicherheitselemente zu überwachen. Das erste Sicherheitselement 36.1 kann zum Beispiel ein Riegelkontakt sein, und bei dem zweiten Sicherheitselement 36.2 kann es sich um einen von dem Riegelkontakt komplett unabhängigen Pufferkontakt handeln.

Gemäss einer weiteren Ausführungsform der Erfindung ist die Kontrolleinheit 2-kanalig ausgelegt, wobei ein erster Kanal die digitale Vorgabe einer Signalgrösse (Sollgrösse) vornimmt und ein zweiter Kanal die digitale Rückinformation vom Busknoten erhält.

Eine weitere Ausführungsform der Erfindung zeichnet sich dadurch aus, dass die Schaltungsmittel 14,24, 34 gepulste erste analoge Signale erzeugen.

Gemäss Erfindung kann der Busknoten 13,23, 33 weitere Elemente umfassen. Es können zum Beispiel Schnittstellen- Schaltungen vorgesehen sein, welche die Kommunikation über den Bus 12,22 mit der Kontrolleinheit 11,21 bewerkstelli- gen. Vorzugsweise wird auch hier 2-kanalig gearbeitet, d. h., es ist je eine Schnittstellen-Schaltung für die Empfänger- seite (Schaltungsmittel 14,24, 34) und eine Schnittstellen- Schaltung für die Senderseite (Schaltungsmittel 15,25, 35) vorgesehen.

Falls geeignete Schnittstellen vorgesehen sind und ein entsprechendes Kommunikationsprotokoll zum Einsatz kommt, können über den Bus verschiedene Busknoten individuell angesprochen werden. Zu diesem Zweck kann jeder Busknoten ein eigenes Identifikationswort, zum Beispiel eine eigene Adresse, haben. Die Kontrolleinheit gibt dann zusammen mit der Sollgrösse auch die Adresse des gewünschten Busknotens vor. Nur der angesprochene Busknoten wird somit von der Kontrolleinheit angesprochen.

Gemäss einer weiteren Ausführungsform der Erfindung sind die ersten Schaltungsmittel 14,24, 34 und die zweiten Schal- tungsmittel 15,25, 35 je als eine integrierte Schaltung realisiert. Jede dieser integrierten Schaltungen weist dann einen analogen und einen digitalen Teil auf.

Bei einer weiteren Ausführungsform der Erfindung wird statt einem Strom eine Spannung als erstes Signal an das Sicher-

heitselement angelegt. Es kann dann durch die Schaltungsmit- tel 15,25, 35 eine Umsetzung der Spannung in einen Strom vorgenommen werden, oder es kann direkt eine Spannung am Sicherheitselement abgegriffen werden.

Gemäss einer weiteren Ausführungsform der Erfindung umfasst der Umsetzer 25.3 einen optoelektronischen Koppler, der das Signal S*1 in ein Lichtsignal umwandelt. Dieses Lichtsignal wird dann auf der Empfängerseite des optoelektronischen Kopplers in eine Spannung umgesetzt und kann weiterverarbei- tet werden.

Gemäss einer weiteren Ausführungsform der Erfindung umfasst die Kontrolleinheit Mittel, die eine Überwachung des zeitlichen Ablaufs zulässt. Vergeht zwischen der Vorgabe einer Sollgrösse und dem Empfang einer Rückmeldung ein zu grosser Zeitraum, so kann auch dies ein Indiz für einen Fehler oder ein Problem im Sicherheitssystem sein.

Eine weitere Ausführungsform der Erfindung zeichnet sich dadurch aus, dass der Busknoten weitere Schaltungsmittel umfasst, die eine Anbindung anderer Elemente, zum Beispiel von Sensoren, Aktuatoren oder Anzeigen, erlaubt. In diesem Fall kann der Busknoten als hybride Schaltung betrachtet werden, die sowohl Sicherheitselemente, als auch nicht- sicherheitsrelevante Elemente überwacht.

Vorzugsweise ist das Sicherheitssystem gemäss Erfindung so ausgeführt, dass es dazu dient, zumindest einen Teil der sicherheitsrelevanten Zustände einer Aufzuganlage separat von der eigentlichen Aufzugsteuerung zu erfassen und beim Auftreten von Problemen Reaktionen auszulösen, indem das Sicherheitssystem, respektive die Kontrolleinheit, direkt in die Aufzugsteuerung eingreift.