Personentransportanlage

Die Erfindung betrifft eine Üb erwachungs Vorrichtung für eine Personentransportanlage, insbesondere eine Fahrtreppe, einen Fahrsteig oder eine Aufzugsanlage, ein Prüfverfahren für die Überwachungsvorrichtung sowie eine Personentransportanlage mit einer solchen Überwachungsvorrichtung.

Personentransportanlagen der vorgenannten Art umfassen eine Steuereinrichtung, die betriebsrelevante Signale der Personentransportanlage verarbeitet und den Antriebsmotor unter Berücksichtigung der betriebsrelevanten Signale steuert. Betriebsrelevante Signale stammen z.B. vom Hauptschalter der Personentransportanlage, von verschiedenen Sensoren, Impulsgebern, Encodern und dergleichen und von Anwenderschnittstellen, über welche die Benutzer Eingaben machen können. Die Steuereinrichtung umfasst zumindest eine Recheneinheit, einen Arbeitsspeicher und einen nicht flüchtigen Speicher mit einem Steuerprogramm, das zur Steuerung und/oder Regelung der Personentransportanlage erforderlich ist. Des Weiteren kann eine solche Steuereinrichtung für die Wartung der Personentransportanlage und die Diagnostik notwendige Schnittstellen und Eingabemodule enthalten und ein Netzteil zur Spannungsversorgung aufweisen.

Personentransportanlagen umfassen ferner regelmässig ein Sicherheitssystem, welches erlaubt, unerlaubte oder kritische Zustände der Personentransportanlage anhand von Sensoren zu erfassen und gegebenenfalls geeignete Massnahmen, wie das Ausschalten der Anlage, einzuleiten. Oft sind Sicherheitskreise vorgesehen, bei denen mehrere Sicherheitselemente bzw. Sensoren, wie Sicherheitskontakte und Sicherheitsschalter, in einer Serieschaltung angeordnet sind. Die Sensoren überwachen z.B., ob eine Schachttüre oder eine Kabinentüre einer Aufzugsanlage geöffnet wird. Die Personentransportanlage kann nur betrieben werden, wenn der Sicherheitskreis und damit auch alle darin integrierten Sicherheitskontakte geschlossen sind. Einige der Sensoren werden von den Türen betätigt. Andere Sensoren, wie z.B. ein Überfahrschalter, werden durch bewegte Teile der Anlage betätigt oder ausgelöst. Der Sicherheitskreis steht mit dem Antrieb oder der Bremseinheit der Personentransportanlage in Verbindung, um den Fahrbetrieb zu unterbrechen, falls der Sicherheitskreis geöffnet wird. Sicherheitssysteme mit Sicherheitskreisen weisen hingegen verschiedene Nachteile auf. Aufgrund der Länge der Verbindungen kann ein unerwünscht hoher Spannungsabfall im Sicherheitskreis auftreten. Die einzelnen Sicherheitskontakte sind verhältnismässig störanfällig; weshalb unnötige Notstopps auftreten können. Der Sicherheitskreis erlaubt zudem keine spezifische Diagnose; da bei geöffnetem Sicherheitskreis nicht festgestellt werden kann, welcher Sensor bzw. Schalter die Öffnung verursacht hat. Es wurde daher vorgeschlagen, Personentransportanlagen nicht mit einem Sicherheitskreis, sondern mit einer Überwachungsvorrichtung auszurüsten, die ein Bussystem umfasst.

Die WO 201/3020806 AI beschreibt eine Üb erwachungs Vorrichtung mit einer Steuereinheit und mindestens einem Busknoten. Dieser Busknoten weist einen ersten Mikroprozessor und einen zweiten Mikroprozessor auf. Die Steuereinheit und der Busknoten kommunizieren über einen Bus. Desweiteren sind der erste Mikroprozessor und der zweite Mikroprozessor über eine Signalleitung unterbruchlos verbunden. Ein Testverfahren zum Überprüfen des Busknotens umfasst folgende Schritte: von der Steuereinheit wird ein Vorgabesignal an den ersten Mikroprozessor übermittelt, der erste Mikroprozessor übermittelt das Signal an den zweiten Mikroprozessor und der zweite Mikroprozessor stellt das Signal für die Steuereinheit bereit. Schliesslich verifiziert die Steuereinheit, ob das bereitgestellte Signal einem von der Steuereinheit erwarteten Signal entspricht.

Die WO03/107295 AI zeigt eine mit einem Bussystem ausgerüstete Überwachungsvorrichtung, mit der die Zustände von peripheren Geräten, z.B. von Komponenten einer Aufzugsanlage, überwacht werden können. Dazu verfügt das Bussystem über einen Bus, eine zentrale Steuereinheit, die mit dem Bus verbunden ist, und über mehrere periphere Geräte. Jedes dieser Geräte liegt an einem Busknoten und kommuniziert mittels des Busses mit der Steuereinheit. Zu jedem Zeitpunkt nehmen die peripheren Geräte einen bestimmten Zustand ein. Die Steuereinheit fragt über den Bus den Zustand jedes peripheren Geräts periodisch ab.

Nachteilig wirkt sich jedoch das periodische Abfragen des Zustands der peripheren Geräte über den Bus aus. Da die Steuereinheit aktiv jedes periphere Gerät abfragt, übermittelt der Bus pro Abfrage und peripherem Gerät zwei Signale oder Datenpakete, ein Abfragesignal und ein Antwortsignal. Bei relativ kurzen Abfragezyklen, gerade bei sicherheitsrelevanten peripheren Geräten in hoher Anzahl wird zwischen der Steuereinheit und den peripheren Geräten eine Vielzahl von Signalen ausgetauscht. Dies bedeutet, dass die Steuereinheit über hohe Rechenkapazitäten verfügen muss, um alle Signale zu verarbeiten. Zudem wird der Bus stark belastet und stellt, um alle Zustands ab fragen zu übermitteln, hohe Signalübermittlungskapazitäten bereit. Dementsprechend sind die Steuereinheit sowie der Bus teuer. Aufgrund der begrenzten Kapazität ist die Anzahl der Busknoten, die in das Bussystem integriert werden können, zudem stark beschränkt.

Die WO2010/097404 AI offenbart eine Überwachungsvorrichtung mit einer Steuereinheit, einem Bus und daran angeschlossenen Busknoten, die je einen ersten Mikroprozessor aufweisen, der den Zustand eines Sensors überwacht und bei einer Zustandsänderung des Sensors spontan eine Zustandsänderungsmitteilung über den Bus zur Steuereinheit überträgt. Aufgrund der spontanen Meldung der Zustands änderungen von den Busknoten zur Steuereinheit kann bei dieser Üb erwachungs Vorrichtung auf das Abfragen des Zustands der Sensoren bei den Busknoten verzichtet werden. Der Datenverkehr auf dem Bus wird drastisch reduziert. Sofern ein Busknoten mit einem Sensor verbunden ist, der den Zustand eines Teils einer Personentransportanlage, z.B. eines Schachtdeckels, überwacht, der nur im Fall einer Wartung, geöffnet wird, muss der Zustand nicht alle paar Sekunden abgefragt werden, sondern wird spontan gemeldet, falls die Wartung erfolgt. Aufgrund der relativ langen Ruhepausen wird in jedem Busknoten hingegen ein Kontrollmodul vorgesehen, das im ersten oder in einem zweiten Mikroprozessor implementiert ist. Zur Kontrolle des Busknotens übermittelt die Steuereinheit in relativ grossen zeitlichen Abständen eine Anweisung über den Bus an das Kontrollmodul, die Signalübertragung vom Sensor zum ersten Mikroprozessor zu unterbrechen, so dass der erste Mikroprozessor eine Zustandsänderung detektiert und eine Zustandsmitteilung an die Steuereinheit sendet. Um Zustandsänderungen erzielen zu können, wird in die Übertragungsleitung zwischen dem Sensor und im ersten Mikroprozessor ein Schalter eingesetzt, mittels dessen die Signalübertragung unterbrochen werden kann. Alternativ wird der Schalter in einer mit dem Sensor verbundenen Stromversorgungsleitung angeordnet, sodass die Stromversorgung unterbrochen werden kann. Durch die Betätigung des derart installierten Schalters kann beim Sensor eine Zustandsänderung hervorgerufen werden.

Nachteilig bei dieser Lösung ist hingegen der relativ grosse Schaltungsaufwand durch den Einbau eines zusätzlichen Schalters. Der Schalter selbst ist wiederum eine Fehlerquelle, der bei einem Mangel ebenfalls einen Fehlerzustand hervorrufen kann. Aufgrund auffälliger Übertragungsverluste ist es zudem unerwünscht, einen Schalter in eine Übertragungsleitung einzubinden. Die Betätigung des Schalters nimmt zudem Zeit in Anspruch, was generell unerwünscht ist. Zu beachten ist ferner, dass zur Betätigung des Schalters Energie erforderlich ist, die gegebenenfalls nicht im erforderlichen Umfang vorhanden ist, falls die Busknoten über den Bus gespeist werden.

Der vorliegenden Erfindung liegt daher die Aufgabe zugrunde, eine verbesserte Überwachungsvorrichtung für eine Personentransportanlage, ein Prüfverfahren für die Überwachungsvorrichtung und eine Personentransportanlage mit einer solchen Überwachungsvorrichtung zu schaffen.

Die Lösung dieser Aufgabe gelingt mit einer Üb erwachungs Vorrichtung nach Anspruch 1, einem Prüfverfahren für die Überwachungsvorrichtung nach Anspruch 10 sowie einer Personentransportanlage nach Anspruch 15. Die Überwachungsvorrichtung, die der Überwachung einer Personentransportanlage dient, umfasst wenigstens einen Sensor, eine Steuereinheit, einen Bus, wenigstens einen an den Bus angeschlossenen Busknoten, der einen ersten Mikroprozessor und eine Kontroll einheit aufweist, die im ersten Mikroprozessor oder in einem zweiten Mikroprozessor implementiert ist. Ferner sind in der Steuereinheit, im ersten Mikroprozessor und in der Kontroll einheit Kommunikationsmittel vorgesehen, mittels denen Daten zumindest von der Steuereinheit zur Kontrolleinheit und vom ersten Mikroprozessor zur Steuereinheit übertragbar sind. Im ersten Mikroprozessor ist ferner ein erstes Programmodul vorgesehen, mittels dessen eine Zustandsänderung des über eine Übertragungsleitung an einen Eingang des ersten Mikroprozessors angeschlossenen Sensors detektierbar und eine entsprechende Zustandsmitteilung spontan zur Steuereinheit übertragbar ist.

Er fmdungs gemäss umfasst die Kontrolleinheit ein zweites Programmodul, das derart ausgebildet ist, dass nach Erhalt einer Anweisung von der Steuereinheit an einen Kopplungspunkt innerhalb des Busknotens ein Aktivierungssignal übertragbar ist, wobei das Aktivierungssignal einem Sensorsignal überlagert und/oder in eine mit dem Sensor verbundene Stromversorgungsleitung eingekoppelt wird. Damit ist eine Zustandsänderung des Sensors simulierbar, ohne eine Leitung in Form einer Signal- und/oder Stromversorgungsleitung zu unterbrechen. Unter einer Signalleitung soll jede Leitung in Form eines physikalischen Kabels verstanden werden, das digitale oder analoge Signale übertragen kann.

Bei dieser Überwachungsvorrichtung erfolgt kein fortlaufendes Abfragen der vom ersten Mikroprozessor empfangenen Zustandssignale durch die Steuereinheit. Solange der erste Mikroprozessor funktionstüchtig ist, ist es ausreichend, wenn bei Eintreten einer Zustandsänderung des Sensors, die z.B. einen potentiell gefährlichen Zustand der Personentransportanlage anzeigt, eine Zustandsmitteilung zur Steuereinheit übermittelt wird. Dadurch verringert sich die Anzahl zu übertragenden und zu verarbeitenden Signale. Es können also kostengünstigere Bussysteme eingesetzt werden. Um den einwandfreien Betrieb der Überwachungsvorrichtung zu prüfen, sendet die Steuereinheit hingegen in grösseren zeitlichen Abständen Anweisungen an die Busknoten, mittels denen Zustandsänderungen des Sensors simuliert und Zustandsmeldungen provoziert werden.

Falls die Steuereinheit nach Absenden der Anweisung keine Zustandsmitteilung vom betreffenden Busknoten erhält, ist davon auszugehen, dass zumindest der erste Mikroprozessor oder die Kontroll einheit, die im ersten oder einem zweiten Mikroprozessor implementiert ist, oder in einem weiteren Bauteil eine Fehlfunktion aufgetreten ist und die Zustandsüb erwachung nicht mehr sicher ist.

Nach Erhalt der Anweisung von der Steuereinheit, z.B. eines Telegramms oder eines Datenrahmens mit der Adresse des betreffenden Busknotens, löst die Kontroll einheit das Aktivierungssignal oder die Aktivierungssignale aus und überträgt diese an den Kopplungspunkt innerhalb des Busknotens.

Der Sensor ist derart ausgebildet, dass an dessen Ausgang digitale Sensorsignale, wie einen Identifikationscode, und/oder analoge Sensorsignale abgegeben werden, die im ersten Mikroprozessor hinsichtlich des Auftretens einer Zustandsänderung überwacht werden. Zustandsänderungen des Sensors sind z.B. der Wegfall oder die Veränderung eines anliegenden Codes, eines logischen Signals, eines Wechselspannungssignals, eines seriellen oder parallelen Datenstromes oder eine signifikante Änderung eines Spannungspegels.

Die Kontroll einheit ist derart ausgebildet, dass an deren Ausgang digitale Aktivierungssignale und/oder analoge Aktivierungssignale abgegeben werden, wie Gleichspannungsimpulse, Logiksignale, Wechselspannungssignale, vorzugsweise Wechselspannungssignale im Frequenzbereich von 500 Hz - 2000 Hz.

Durch eine kurzzeitige Einwirkung der Aktivierungssignale auf den Kopplungspunkt, indem das Aktivierungssignal dem Sensorsignal überlagert und/oder in eine mit dem Sensor verbundene Stromversorgungsleitung eingekoppelt wird, wird eine Zustandsänderung der Sensorsignale am Eingang des ersten Mikroprozessors hervorgerufen, die in der Folge an die Steuereinheit gemeldet wird.

Durch ein kurzes Aktivierungssignal gelingt es somit, die Prüfung des Busknotens rasch und effizient durchzuführen. Die Steuereinheit kann sequenziell alle Busknoten adressieren und die dortigen Kontrolleinheiten veranlassen, ein Aktivierungssignal abzugeben, um die gewünschte Zustandsänderung hervorzurufen. Der Einbau eines Schalters ist nicht notwendig, der geöffnet und wieder geschlossen werden muss und der z.B. durch Prellen, Alterung, Oxidation Störungen verursachen oder auch gänzlich ausfallen kann.

Die Prüfung des Busknotens kann daher mit geringerem Aufwand, in kürzester Zeit und ohne weitere Risiken einfach ausgeführt werden.

Der Kopplungspunkt ist z.B. innerhalb der Ausgangsstufe des Sensors oder innerhalb der Eingangsstufe des ersten Mikroprozessors oder zwischen der Ausgangsstufe des Sensors und der Eingangsstufe des ersten Mikroprozessors angeordnet. Die Aktivierungssignale werden dem Sensorsignal somit überlagert, wodurch eine Zustandsänderung des Sensors simuliert wird. Der Kopplungspunkt kann auch am Eingang des Sensors oder innerhalb des Sensors angeordnet sein, sofern dort elektrische Signale auftreten. Am Eingang oder innerhalb des Sensors entfalten die Aktivierungssignale typischerweise die maximale Wirkung. Auch derartige elektrische Signale können als Sensorsignale bezeichnet werden.

Ferner können die Aktivierungssignale auch in die mit dem Sensor verbundenen Stromversorgungsleitungen eingekoppelt werden. Auch dadurch kann eine Instabilität des Sensors hervorgerufen werden, die als Zustandsänderung wahrgenommen wird.

Der wenigstens eine Kopplungspunkt kann auf verschiedene Arten ausgeführt und damit an die jeweiligen Bedürfhisse angepasst sein. Der Kopplungspunkt und damit die erfmdungsgemässe Überwachungsvorrichtung sind damit sehr flexibel. Der wenigstens eine Kopplungspunkt kann als eine galvanische Verbindung ausgestaltet sein oder wenigstens einen Kopplungskondensator zur kapazitiven Kopplung, oder wenigstens eine Spule zur induktiven Ankopplung aufweisen. Die Einkopplung der Aktivierungssignale kann daher in einfacher Weise erfolgen. Sofern der Sensor Daten oder einen Code zum ersten Mikroprozessor überträgt, kann mittels der Aktivierungssignale auch eine Datenänderung oder Codeänderung bewirkt werden. Z.B. wird wenigstens ein Datenbit geändert, sodass der erste Mikroprozessor eine Datenänderung bzw. Zustandsänderung erkennt und dies zur Steuereinheit meldet. Der Kopplungspunkt kann vorteilhaft als Logikschaltung aufgebaut sein, in der die digitalen Sensorsignale und die digitalen Aktivierungssignale miteinander verknüpft werden. Die Logikschaltung ist vorzugsweise ein Inverter, der mittels der Aktivierungssignale umschaltbar ist. Z.B. ist für jedes Datenbit des Sensorsignals ein EXOR Tor vorhanden. Das Datenbit wird an den einen Eingang und das Aktivierungssignal an den anderen Eingang des EXOR Tores angelegt. Durch Umschalten des Aktivierungssignals von logisch„0" auf logisch„1" kann das Sensorsignal wahlweise invertiert werden.

Sofern in der Steuereinheit für jeden Netzknoten ein Identifikationscode und der dazu invertierte Datensatz zugeordnet werden, und der Identifikationscode oder dessen invertierter Wert zur Steuereinheit übertragen wird, so kann die Steuereinheit feststellen, von welchem Busknoten die Zustandsmeldung eingetroffen ist, und ob die Zustandsmeldung durch eine tatsächliche oder eine simulierte Zustandsänderung in diesem Busknoten ausgelöst wurde.

Die Überwachungsvorrichtung ist zur Überwachung beliebiger Sensoren geeignet. Besonders vorteilhaft können Sensoren eingesetzt werden, die mindestens ein codetragendes Element und mindestens ein codelesendes Element umfassen, sodass das codelesende Element berührungslos einen Identifikationscode vom codetragenden Element lesen und an den ersten Mikroprozessor senden kann. Der Kopplungspunkt kann vorteilhaft am Eingang oder am Ausgang des codelesenden Elements angeordnet werden.

Das codetragende Element und das codelesende Element verfügen vorzugsweise je über eine Induktionsschleife, wobei das codelesende Element das codetragende Element mittels der beiden Induktionsschleifen berührungslos mit elektromagnetischer Energie versorgt und das codetragende Element seinen Identifikationscode mittels der beiden Induktionsschleifen berührungslos an das codelesende Element übermittelt. Die Aktivierungssignale können dabei vorteilhaft galvanisch oder induktiv in eine der beiden Induktionsschleifen eingekoppelt werden. In einem bevorzugten Ausführungsbeispiel sind in einer Personentransportanlage mindestens ein codetragendes Element und mindestens ein codelesendes Element dem Busknoten zugeordnet. Das codelesende Element liest berührungslos einen Identifikationscode vom codetragenden Element und sendet ein Signal an den ersten Mikroprozessor.

Vorzugsweise verfügen das codetragende Element und das codelesende Element je über eine Induktionsschleife. Das codelesende Element versorgt das codetragende Element mittels der beiden Induktionsschleifen berührungslos mit elektromagnetischer Energie. Das codetragende Element übermittelt seinen Identifikationscode mittels der beiden Induktionsschleifen berührungslos an das codelesende Element.

In dieser Ausgestaltung erlaubt die erfmdungsgemässe Überwachungsvorrichtung eine berührungslose Zustandsüberwachung von Anlagekomponenten. Die Sensoren mit dem codetragenden und dem codelesenden Element nützen sich im Betrieb kaum ab, wodurch Unterhaltskosten gesenkt und die Überwachungssicherheit erhöht werden können.

Nachstehend wird die Erfindung anhand von Zeichnungen näher erläutert. Es zeigen:

Fig. 1 eine erfmdungsgemässe Überwachungsvorrichtung mit einer Steuereinheit 10, die über einen Bus 9 mit einem Busknoten 30 verbunden ist, in dem ein Sensor 8 über einen Kopplungspunkt 31 , in den von einer Kontrolleinheit bzw. einem zweiten Mikroprozessor 5 ein Aktivierungssignal einkoppelbar ist, mit dem Eingang eines ersten Mikroprozessors 4 verbunden ist;

Fig. 2 die Überwachungsvorrichtung von Fig. 1 mit einem Kopplungspunkt 32, der innerhalb der Stromversorgungsleitung 71, 72 des Sensors 8 angeordnet ist;

Fig. 3 die Überwachungsvorrichtung von Fig. 1, bei der das Ausgangssignal des

Sensors 8 via Übertragungsleitungen 11, 11 ', die je mit einem Kopplungspunkt 33, 34 versehen sind, dem ersten Mikroprozessor 4 und dem zweiten Mikroprozessor 5 zugeführt wird;

Fig. 4 die Überwachungsvorrichtung von Fig. 2, bei der das Ausgangssignal des

Sensors 8 via Übertragungsleitungen 12, 12' dem ersten Mikroprozessor 4 und dem zweiten Mikroprozessor 5 zugeführt wird und bei der ein Kopplungspunkt 35 in der Stromversorgungsleitung 71, 72 des Sensors 8 vorgesehen ist;

Fig. 5 die Überwachungsvorrichtung von Fig. 4, bei der ein erster Kopplungspunkt 36, der vom ersten Mikroprozessor 4 angesteuert wird, und ein zweiter Kopplungspunkt 37, der vom zweiten Mikroprozessor 5 angesteuert wird, in der Stromversorgungsleitung 71, 72 des Sensors 8 vorgesehen sind; eine erfmdungsgemässe Überwachungsvorrichtung mit einem ersten Sensor 8a, der über eine erste Übertragungsleitung 14 mit dem ersten Mikroprozessor 4 verbunden ist, und einem zweiten Sensor 8b, der über eine zweite Übertragungsleitung 15 mit dem zweiten Mikroprozessor 5 verbunden ist, und mit einem ersten Kopplungspunkt 38 in der ersten Übertragungsleitung 14, dem Aktivierungs Signale vom zweiten Mikroprozessor 5 zuführbar sind, und einem zweiten Kopplungspunkt 39 in der zweiten Übertragungsleitung 15, dem Aktivierungs Signale vom ersten Mikroprozessor 4 zuführbar sind; die Überwachungsvorrichtung von Fig. 6 mit dem ersten Kopplungspunkt 40 in der Stromversorgungsleitung des ersten Sensors 8a und dem zweiten Kopplungspunkt 41 in der Stromversorgungsleitung des zweiten Sensors 8b; die Überwachungsvorrichtung von Fig. 7 mit einer gemeinsamen Stromversorgung für beide Sensoren 8a, 8b, und mit nur einem Kopplungspunkt 42 in einer gemeinsamen Stromversorgungsleitung, der von beiden Mikroprozessoren 4, 5 mit Aktivierungssignalen beaufschlagt werden kann; die Üb erwachungs Vorrichtung von Fig. 8, bei der die beiden Sensoren 8a, 8b über eine gemeinsame Übertragungsleitung 20 mit dem ersten Mikroprozessor 4 verbunden sind, mit einem ersten Kopplungspunkt 43 in der gemeinsamen Übertragungsleitung 20 und einem zweiten Kopplungspunkt 44 in der gemeinsamen Stromversorgungsleitung der beiden Sensoren 8a, 8b, die vom zweiten Mikroprozessor 5 mit Aktivierungssignalen beaufschlagt werden können; die Überwachungsvorrichtung von Fig. 6, bei der beide Sensoren 8a, 8b je über eine erste Übertragungsleitung 21 mit dem ersten Mikroprozessor 4 und über eine zweite Übertragungsleitung 22 mit dem zweiten Mikroprozessor 5 verbunden sind, mit einem ersten Kopplungspunkt 45 in der ersten Übertragungsleitung 21, der vom zweiten Mikroprozessor 5 mit Aktivierungs Signalen beaufschlagt werden kann, und mit einem zweiten Kopplungspunkt 46 in der zweiten Übertragungsleitung 22, der vom ersten Mikroprozessor 4 mit Aktivierungssignalen beaufschlagt werden kann;

Fig. 11 die Überwachungsvorrichtung von Fig. 10 mit nur einem Kopplungspunkt 47 in einer gemeinsamen Stromversorgungsleitung der beiden Sensoren 8a, 8b, der von beiden Mikroprozessoren 4, 5 mit Aktivierungssignalen beaufschlagt werden kann; und

Fig. 12 die Überwachungsvorrichtung von Fig. 11 mit einem ersten Kopplungspunkt 48 in einer Stromversorgungsleitung des ersten Sensors 8a, der vom zweiten Mikroprozessor 5 mit Aktivierungssignalen beaufschlagt werden kann und mit einem zweiten Kopplungspunkt 49 in einer Stromversorgungsleitung des zweiten Sensors 8b, der vom ersten Mikroprozessor 4 mit Aktivierungssignalen beaufschlagt werden kann.

Fig. 1 zeigt ein erstes Ausführungsbeispiel der Überwachungsvorrichtung, die vorteilhaft in einer Personentransportanlage eingesetzt werden kann. Die Überwachungsvorrichtung umfasst eine Steuereinheit 10, die über einen Bus 9 mit mindestens einem Busknoten 30 kommuniziert. Die Steuereinheit 10, der Bus 9 und der mindestens eine Busknoten 30 bilden ein Bussystem, innerhalb dem jeder Busknoten 30 eine eindeutige identifizierbare Adresse besitzt. Mittels dieser Adresse lassen sich Signale, insbesondere Steuerbefehle von der Steuereinheit 10 gezielt an einen bestimmten Busknoten 30 übermitteln. Ebenso können bei der Steuereinheit 10 eingehende Signale eindeutig einem Busknoten 30 zugewiesen werden.

Es können also zwischen dem Busknoten 30 und der Steuereinheit 10 Daten in beide Richtungen über den Bus 9 geschickt werden. Mit diesen Daten können der Steuereinheit 10 Zustandsänderungen gemeldet werden, die von einem Sensor 8 erfasst werden. Mit auftretenden Zustandsänderungen werden jeweils entsprechende Meldungen spontan von den Knoten 30 zur Steuereinheit übertragen. Die Steuereinheit 10 muss daher keine periodischen Abfragen durchführen, um aufgetretene Zustandsänderungen zu ermitteln, sondern wird von den Busknoten 30 spontan benachrichtigt. Sofern keine Zustandsänderungen auftreten, sind über den Bus 9 auch keine entsprechenden Daten zu übertragen. Der Datenverkehr über den Bus 9 wird daher wesentlich reduziert. Lediglich zur Kontrolle der Busknoten 30 sendet die Steuereinheit 10 regelmässig Anweisungen an diese Busknoten 30, um eine Zustandsänderung zu provozieren, die eine Meldung zur Folge hat. Durch das Absenden einer Anweisung und den Erhalt einer entsprechenden Zustandsänderungsmeldung kann die Integrität der Busknoten und des gesamten Bussystems regelmässig geprüft werden.

Der Busknoten 30 verfügt dazu über einen ersten Mikroprozessor 4, mittels dessen Zustandsänderungsmeldungen zur Steuereinheit 10 übertragbar sind. Ferner ist eine Kontrolleinheit in der Ausgestaltung eines zweiten Mikroprozessors 5 vorgesehen, die Steuerbefehle oder Anweisungen von der Steuereinheit 10 empfängt, mittels denen Prüfungen ausgelöst werden. Um die genannten Aufgaben erfüllen zu können sind in den beiden Mikroprozessoren 4 und 5 entsprechende Programmmodule und Kommunikationsmittel vorgesehen. Die zwei Mikroprozessoren 4, 5 sind sowohl physisch wie auch virtuell konfigurierbar. Bei zwei physisch konfigurierten Mikroprozessoren 4, 5 sind z.B. zwei Mikroprozessoren 4, 5 auf einem Die angeordnet. In einer alternativen Aus führungs form lassen sich die beiden Mikroprozessoren 4, 5 je auf einem eigenen Die realisieren. Es kann aber physisch auch nur ein Mikroprozessor 4 vorhanden sein. In diesem Fall ist ein zweiter Mikroprozessor 5 bzw. die Kontrolleinheit virtuell mittels Software auf dem ersten physisch vorhandenen Mikroprozessor 4 konfigurierbar.

Mittels der Busknoten 30 können beliebige Sensoren überwacht werden. In den Ausführungsbeispielen werden Sensoren 8 gezeigt, die ein codetragendes Element 1 und ein codelesendes Element 3 umfassen. Vorzugsweise ist das codetragende Element 1 ein RFID-Tag 1 und das codelesende Element 3 ein RFID-Leser 3. Dem Fachmann stehen weitere technische Möglichkeiten zur Verfügung, um eine berührungslose Übertragung eines Identifikationscodes zwischen einem codetragenden und codelesenden Elements zu realisieren. So sind z.B. auch Kombinationen codetragender bzw. codelesender Elemente 1, 3 als Barcodeträger und Laserscanner, Lautsprecher und Mikrophon, Magnetband und Hall-Sensor, Magnet und Hall- Sensor, bzw. Lichtquelle und lichtempfindlicher Sensor alternativ einsetzbar.

Sowohl der RFID-Tag 1 als auch der RFID-Leser 3 verfügen je über eine Induktionsschleife 2.1, 2.2. Der RFID-Leser 3 versorgt den RFID-Tag 1 mittels dieser Induktions schleifen 2.1, 2.2 mit elektromagnetischer Energie. Dazu ist der RFID-Leser 3 an eine Strom- oder Spannungsquelle Vcc angeschlossen. Solange der RFID-Tag 1 mit Energie versorgt wird sendet der RFID-Tag 1 über die Induktionsschleifen 2.1, 2.2 einen auf dem RFID-Tag 1 abgespeicherten Identifikationscode an den RFID-Leser 3. Die Energieversorgung Vcc des RFID-Tags 1 ist nur sichergestellt, wenn sich der RFID-Tag 1 in räumlicher Nähe unterhalb eines kritischen Abstands zum RFID-Leser 3 befindet und die Induktions schleife 2.1 des RFID- Tags 1 durch die Induktions schleife 2.2 des RFID-Lesers 3 erregbar ist. Die Energieversorgung des RFID-Tags 1 funktioniert also nur unterhalb eines kritischen Abstands zum RFID-Leser 3. Wird der kritische Abstand überschritten, bezieht der RFID-Tag 1 nicht genügend Energie, um die Übermittlung des Identifikationscodes an der RFID-Leser 3 aufrecht zu erhalten.

Der RFID-Leser 3 übermittelt den empfangenen Identifikationscode über einen Datenleiter 6 zum ersten Mikroprozessor 4, der den Identifikationscode mit einer auf einer Speichereinheit abgespeicherten Liste von Identifikationscodes vergleicht. Bei diesem Vergleich berechnet der Mikroprozessor 4 gemäss abgespeicherter Regeln in Abhängigkeit des Identifikationscodes einen Zustandswert. Dieser Zustandswert kann einen positiven oder einen negativen Wert einnehmen. Ein negativer Zustandswert wird z.B. dann generiert, wenn kein Identifikationscode oder ein falscher Identifikationscode an den Mikroprozessor 4 übermittelt wird.

Liegt ein negativer Zustandswert vor, sendet der Mikroprozessor 4 eine Zustandsänderungsmeldung über den Bus 9 an die Steuereinheit 10. Diese Zustandsänderungsmeldung beinhaltet mindestens die Adresse des Busknotens 30 sowie vorzugsweise den Identifikationscode des detektierten RFID-Tags 1. Dank der mitgeteilten Adresse ist die Steuereinheit 10 in der Lage, den Ursprung des negativen Zustandswerts zu lokalisieren und eine entsprechende Reaktion einzuleiten.

Der Busknoten 30 überwacht z.B. den Zustand einer Schachttüre. Der RFID-Tag 1 und der RFID-Leser 3 sind im Bereich der Schachttüren derart angeordnet, dass bei geschlossener Schachttüre die Distanz zwischen dem RFID-Tag 1 und dem RFID-Leser 3 unterhalb des kritischen Abstands liegt. Der Mikroprozessor 4 empfangt also den Identifikationscode vom RFID-Leser 3 und generiert einen positiven Zustandswert. Falls die Schachttüre geöffnet wird, überschreiten der RFID-Tag 1 und der RFID-Leser 3 den kritischen Abstand. Da nun der RFID- Tag 1 vom RFID-Leser 3 nicht mehr mit elektrischer Energie versorgt ist, stellt der RFID-Tag 1 das Senden seines Identifikationscodes ein und der Mikroprozessor 4 generiert einen negativen Zustandswert. Dementsprechend sendet der Mikroprozessor 4 eine Zustandsänderungsmeldung an die Steuereinheit 10. Die Steuereinheit 10 lokalisiert anhand der Adresse des Busknotens 30 die offene Schachttüre. Falls diese Schachttüre unerlaubterweise offen steht, z.B. falls sich keine Aufzugskabine im Schachttürenbereich befindet, leitet die Steuereinheit 10 eine Reaktion ein, um die Aufzugsanlage in einen sicheren Zustand zu bringen. Mittels RFID-Tag 1 und RFID-Leser 3 eines Busknotens 30 kann somit der Zustand beliebiger Komponenten, wie Türverriegelungen, Deckelverriegelungen, Notstoppschalter, oder Fahrschalter, einer Personentransportanlage, insbesondere einer Fahrtreppe oder einer Aufzugsanlage, überwacht werden. Ferner können andere Sensoren 8 verwendet werden, die nach anderen physikalischen Prinzipien arbeiten und deren Zustandsänderungen auf eine andere Art und Weise der Steuereinheit 10 gemeldet werden. Die Erfindung ist insbesondere nicht von Datenübertragungsprotokollen abhängig, die für das genannte Bussystem verwendet werden. Ebenso ist die Erfindung nicht abhängig von der Art der Auswertung der Sensorsignale, die mit beliebigen Referenzwerten und Schwellwerten verglichen werden können, um eine Zustandsänderung festzustellen. Die Übertragung eines Identifikationscodes vom Sensor 8 zum ersten Mikroprozessor 4 ist vorteilhaft, aber nicht zwingend erforderlich.

Der sichere Betrieb der Busknoten 30 hängt primär von der Funktionsfähigkeit des Mikroprozessors 4 ab. Deshalb wird der Busknoten 30 regelmässig von der Steuereinheit 10 getestet, um das spontane Sendeverhalten des Mikroprozessors 4 bei Auftreten einer Zustandsänderung des Sensors 8 zu prüfen.

Zum Prüfen des Busknotens 30 gemäss Fig. 1 sendet die Steuereinheit 10 einen Steuerbefehl bzw. eine Anweisung über den Bus 9 an die Kontroll einheit 5 bzw. den zweiten Mikroprozessor 5, um eine Zustandsänderung des Sensors 8 auszulösen bzw. zu simulieren, die den ersten Mikroprozessor 4 veranlasst, eine Zustandsänderungsmeldung abzusenden.

In der Schaltungsanordnung des Busknotens 30 ist dazu ein Kopplungspunkt 31 vorgesehen, in den ein Aktivierungssignal galvanisch, kapazitiv oder induktiv einkoppelbar ist. Das Aktivierungs signal wird von der Kontrolleinheit, z.B. vom zweiten Mikroprozessor 5, erzeugt und über eine Anschlussleitung 51 zum Kopplungspunkt 31 übertragen, der in der Konfiguration von Fig. 1 in einer Übertragungsleitung 6 angeordnet ist, die den Ausgang des Sensors 8 mit dem Eingang des ersten Mikroprozessors 4 verbindet. Punktiert ist eine zweite Anschlussleitung 52 gezeigt, über die Aktivierungssignale in den Sensor 8 hinein zur zweiten Kopplungsspule 2.2 übertragbar sind (der Kopplungspunkt ist nicht gezeigt). Im ersten Kopplungspunkt 31 werden die vom Sensor 8 abgegebenen Signale vom Aktivierungssignal überlagert. Z.B. wird der Identifikationscode als Pulsfolge seriell über die Übertragungsleitung 6 übertragen. Durch das Aktivierungssignal wird wenigstens eines der Datenbits der Pulsfolge verändert, weshalb das erwartete Identifikationssignal im ersten Mikroprozessor 4 nicht eintrifft und eine Zustandsänderung festgestellt wird.

Der erste Kopplungspunkt 31 kann auch als Schaltungslogik aufgebaut sein, der an einem ersten Eingang das Sensorsignal und an einem zweiten Eingang das Aktivierungssignal zugeführt wird. Z.B. werden die Datenbits des Identifikationscodes einem ersten Eingang je eines EXOR- Tors zugeführt, an dessen zweitem Eingang das Aktivierungssignal anliegt. Sobald das Aktivierungssignal auf logisch„1" gesetzt wird, wird der Identifikationscode durch die EXOR- Logik invertiert. Der erste Mikroprozessor 4 kann daher anstelle des Identifikationscodes den invertierten Identifikationscode zur Steuereinheit 10 übermitteln. Die Steuereinheit 10 erkennt daher jeweils, ob der Busknoten 30 eine spontane oder eine simulierte Zustandsänderung meldet.

Die Prüfung wird zeitlich wiederkehrend für jeden Busknoten 30 durchgeführt. Da während der Prüfung die Steuereinheit 10 keine realen Informationen über den Zustand des geprüften Busknotens 30 erkennen kann, wird die Prüfzeit so kurz wie möglich gehalten und die Prüfung nur so oft wie nötig durchgeführt. Die Häufigkeit der Prüfungen richtet sich primär nach der Ausfallwahrscheinlichkeit des Gesamtsystems. Je zuverlässiger das Gesamtsystem arbeitet, desto seltener kann dieses getestet werden, damit eine sichere Zustandsüberwachung einer Aufzugskomponente gewährleistet bleibt. In der Regel wird die Prüfung mindestens einmal täglich durchgeführt. Das erfmdungsgemässe Verfahren erlaubt es, die Prüfung innerhalb sehr kurzer Zeit durchzuführen, da bereits die Löschung eines einzigen Datenbits des Identifikationscodes bzw. eine kurze impulsfÖrmige Störung des Sensorsignals genügt um eine Zustandsänderung zu simulieren. Ein Öffnen und Schliessen eines Schalters sowie die mit dem Schalter verbundenen Probleme werden vermieden. In der Folge werden weitere Ausführungsbeispiele der Überwachungsvorrichtung insbesondere des Busknotens 30 beschrieben. Da der grundsätzliche Aufbau des Busknotens 30 und die Funktionsweise der Buskomponenten 1 bis 5 in diesen Ausführungsbeispielen vergleichbar ist, werden im Wesentlichen die Unterschiede in Aufbau und Funktionsweise der unterschiedlichen Busknoten 30 erläutert. Fig. 2 zeigt die Überwachungsvorrichtung von Fig. 1 mit einem Kopplungspunkt 32 in der Stromversorgungsleitung 71, 72 des Sensors 8. Durch das Einprägen des Aktivierungssignals vom zweiten Mikroprozessor 5 über die Anschlussleitung 53 in die Stromversorgungsleitung 71, 72 wird die Funktion des Sensors 8 kurzzeitig gestört, weshalb eine Zustandsänderung auftritt, die im ersten Mikroprozessor 4 erkannt wird. Die Störung kann wiederum impulsfÖrmig innerhalb sehr kurzer Zeit mit minimalem Aufwand bewirkt werden. Fig. 3 zeigt ein drittes Ausführungsbeispiel der Überwachungsvorrichtung. In diesem Ausführungsbeispiel wird das Ausgangssignal des Sensors 8 via eine erste Übertragungsleitung 11, die mit einem ersten Kopplungspunkt 33 versehen ist, zum ersten Mikroprozessor 4 und via eine zweite Übertragungsleitung 11 ', die mit einem zweiten Kopplungspunkt 34 versehen ist, zum zweiten Mikroprozessor 5 übertragen. Das Ausgangssignal des Sensors 8 bzw. der übertragene Identifikationscode kann durch beide Mikroprozessoren 4, 5 redundant ausgewertet werden. Falls also mindestens einer der beiden Mikroprozessoren 4, 5 einen negativen Zustandswert generiert, wird vom Busknoten 30 eine Zustandsänderungsmeldung an die Steuereinheit 10 übermittelt. Ein Vorteil dieser Ausgestaltung ist die redundante und damit sehr zuverlässige Auswertung des Sensorsignals, z.B. des Identifikationscodes. Zur Prüfung des Busknotens 30 sind Aktivierungssignale vom ersten Mikroprozessor 4 zum zweiten Kopplungspunkt 34 und vom zweiten Mikroprozessor 5 zum ersten Kopplungspunkt 33 übertragbar. Während der Prüfung eines der beiden Mikroprozessoren 4, 5 liest der die Aktivierungs Signale auslösende Mikroprozessor 4, 5 weiterhin den realen Identifikationscode des RFID-Tags 1. Im Vergleich mit den zuvor beschriebenen Ausführungsbeispielen bleibt der Busknoten 30 also weiterhin in der Lage, tatsächliche Zustandsänderungen zu erkennen und Zustandsänderungsmeldung en an die Steuereinheit 10 zu senden. Die Steuereinheit 10 kann daher bei Treffen von zwei Zustandsänderungsmeldungen zwischen simulierten und tatsächlichen Zustandsänderungen unterscheiden.

Fig. 4 und Fig. 5 zeigen ein viertes und fünftes Ausführungsbeispiel der Überwachungsvorrichtung. Gemäss diesen Ausführungsbeispielen wird das Ausgangssignal des Sensors via Übertragungsleitungen 12, 12' bzw. 13, 13' den beiden Mikroprozessoren 4, 5 zur redundante Auswertung übermittelt.

Beim vierten Ausführungsbeispiel sendet die Steuereinheit 10 zur Prüfung des Busknotens 30 einen Steuerbefehl an den zweiten Mikroprozessor 5, um die Abgabe eines Aktivierungssignals an den Kopplungspunkt 35 auszulösen, der in die Stromversorgungsleitung 72 eingebunden ist. Durch das Einprägen des Aktivierungssignals in die Stromversorgungsleitung 71, 72 wird die Funktion des Sensors 8 kurzzeitig gestört, weshalb eine Zustandsänderung auftritt, die im ersten Mikroprozessor 4 erkannt wird. Die Störung kann wiederum innerhalb sehr kurzer Zeit mit minimalem Aufwand bewirkt werden. Im fünften Ausführungsbeispiel sind ein erster Kopplungspunkt 36, der vom ersten Mikroprozessor 4 angesteuert wird, und ein zweiter Kopplungspunkt 37, der vom zweiten Mikroprozessor 5 angesteuert wird, in der Stromversorgungsleitung 71, 72 des Sensors 8 vorgesehen. Bei einer Zustandsänderung des Sensors 8, z.B. beim Ausbleiben des Identifikationscodesignals, senden sowohl der erste wie auch der zweite Mikroprozessor 4, 5 eine Zustandsänderungsmeldung zur Steuereinheit 10.

In den Ausführungsbeispielen gemäss den Figuren 6 bis 12 werden die Ausgangssignale von 2 Sensoren 8a, 8b über unterschiedliche Übertragungsleitungen an mindestens einen der Mikroprozessoren 4, 5 übermittelt. Die zum Prüfen des Busknotens dienenden Kopplungspunkte sind innerhalb der Schalteranordnungen 30 an unterschiedlichen Stellen angeordnet. Die Sensoren 8a, 8b verfügen über entsprechende codetragende Elemente la, lb, codelesende Elemente 3a, 3b und Induktionsschleifen 2.1a, 2.2a, 2.1b, 2.2b. Die Funktionsweise der Sensoren ist analog zu derjenigen der Sensoren der Ausführungsbeispiele aus den Fig. 1 bis 5. Die codelesenden Elemente 3a, 3b werden über hier nicht näher gekennzeichnete Stromversorgungsleitungen analog zu den Stromversorgungsleitungen 71, 72 der vorhergehenden Ausführungsbeispiele gemäss den Fig. 1 bis 5 gespiesen.

Busknoten 30, die über zwei Sensoren 8a, 8b verfügen, können entweder den Zustand eines Elements einer Personentransportanlage redundant überwachen oder aber die Zustände von zwei räumlich benachbarten Elementen der Personentransportanlage überwachen. Z.B. wird bei einer Aufzugsanlage mittels zwei Sensoren der Zustand einer Schachttür redundant oder einerseits der Zustand einer Kabinentür und andererseits der Zustand eines Alarmknopfs überwacht.

Im Ausführungsbeispiel von Fig. 6 ist der erste Sensor 8a über eine erste Übertragungsleitung 14 mit dem ersten Mikroprozessor 4 und der zweite Sensor 8b über eine zweite Übertragungsleitung 15 mit dem zweiten Mikroprozessor 5 verbunden. In der ersten Übertragungsleitung 14 ist ein erster Kopplungspunkt 38 vorgesehen, dem Aktivierungssignale vom zweiten Mikroprozessor 5 zuführbar sind. In der zweiten Übertragungsleitung ist ein zweiter Kopplungspunkt 39 vorgesehen, dem Aktivierungssignale vom ersten Mikroprozessor 4 zuführbar sind. Fig. 7 zeigt die Überwachungsvorrichtung von Fig. 6 mit einem ersten Kopplungspunkt 40, der vom zweiten Mikroprozessor 5 angesteuert wird, in einer Stromversorgungsleitung des ersten Sensors 8a und einem zweiten Kopplungspunkt 41, der vom ersten Mikroprozessor 4 angesteuert wird, in einer Stromversorgungsleitung des zweiten Sensors 8b. Die Zustandsänderung der Sensoren 8a und 8b wird daher durch Beeinträchtigung der Stromversorgung verursacht. Der erste Sensor 8a ist über eine erste Übertragungsleitung 16 mit dem ersten Mikroprozessor 4 und der zweite Sensor 8b über eine zweite Übertragungsleitung 17 mit dem zweiten Mikroprozessor 5 verbunden.

Im Ausführungsbeispiel gemäss Fig. 8 hingegen senden beide Mikroprozessoren 4, 5 Aktivierungssignale zu einem einzigen Kopplungspunkt 42, der in einer für beide Sensoren 8a, 8b gemeinsamen Stromversorgungsleitung vorgesehen ist. Der erste Sensor 8a ist über eine erste Übertragungsleitung 18 mit dem ersten Mikroprozessor 4 und der zweite Sensor 8b über eine zweite Übertragungsleitung 19 mit dem zweiten Mikroprozessor 5 verbunden.

Fig. 9 zeigt ein Ausführungsbeispiel, in dem die Ausgangssignale von zwei Sensoren 8a, 8b über eine gemeinsame Übertragungsleitung 20 an den ersten Mikroprozessor 4 übermittelt werden. Der zweite Mikroprozessor 5 testet die Funktionsfähigkeit des ersten Mikroprozessors 4 indem er Aktivierungssignale zu einem Kopplungspunkt 43 überträgt, der in die Übertragungsleitung 20 eingebunden ist. In einer alternativen Anordnung ist ein Kopplungspunkt 44, der über eine zweite Anschlussleitung (siehe die punktierte Linie) angesteuert wird, in einer gemeinsamen Stromversorgungsleitung der Sensoren 8a, 8b vorgesehen

In den Fig. 10 bis 12 sind ebenfalls Ausführungsbeispiele von Üb erwachungs Vorrichtungen dargestellt, die über zwei Sensoren 8a, 8b verfügen, deren Ausgangssignale redundant zum ersten und zum zweiten Mikroprozessor 4, 5 geführt werden. Fig. 10 zeigt die Überwachungsvorrichtung von Fig. 6, bei der beide Sensoren 8a, 8b je über eine erste Übertragungsleitung 21 mit dem ersten Mikroprozessor 4 und über eine zweite Übertragungsleitung 22 mit dem zweiten Mikroprozessor 5 verbunden sind. Ein erster Kopplungspunkt 45, der vom zweiten Mikroprozessor 5 mit Aktivierungssignalen beaufschlagt werden kann, ist in der ersten Übertragungsleitung 21 und ein zweiter Kopplungspunkt 46, der vom ersten Mikroprozessor 4 mit Aktivierungssignalen beaufschlagt werden kann, ist in der zweiten Übertragungsleitung 22 vorgesehen. Fig. 11 zeigt die Überwachungsvorrichtung von Fig. 10 mit nur einem Kopplungspunkt 47, der in einer gemeinsamen Stromversorgungsleitung der beiden Sensoren 8a, 8b angeordnet ist und von beiden Mikroprozessoren 4, 5 mit Aktivierungs Signalen beaufschlagt werden kann. Der erste Sensor 8a und der zweite Sensor 8b sind desweiteren jeweils über eine erste Übertragungsleitung 23 mit dem ersten Mikroprozessor 4 und über eine zweite Übertragungsleitung 24 mit dem zweiten Mikroprozessor 5 verbunden.

Fig. 12 zeigt die Überwachungsvorrichtung von Fig. 11 mit einem ersten Kopplungspunkt 48, der vom zweiten Mikroprozessor 5 mit Aktivierungssignalen beaufschlagt werden kann, in einer Stromversorgungsleitung des ersten Sensors 8a und mit einem zweiten Kopplungspunkt 49, der vom ersten Mikroprozessor 4 mit Aktivierungssignalen beaufschlagt werden kann, in einer Stromversorgungsleitung des zweiten Sensors 8b. Zustandsänderungen können daher individuell, simultan oder alternierend, an beiden Sensoren 8a, 8b provoziert werden. Der erste Sensor 8a und der zweite Sensor 8b sind desweiteren jeweils über eine erste Übertragungsleitung 25 mit dem ersten Mikroprozessor 4 und über eine zweite Übertragungsleitung 26 mit dem zweiten Mikroprozessor 5 verbunden.

Damit eine maximale Flexibilität erzielt wird, können die beiden Mikroprozessoren 4 und 5 vorzugsweise unabhängig voneinander mit der Steuereinheit 10 kommunizieren und weisen dazu vorzugsweise unterschiedliche Adressen auf. Die Steuereinheit 10 kann daher sequenziell den einen und den anderen Mikroprozessor 4 oder 5 prüfen, während der andere Mikroprozessor 5 bzw. 4 den zugehörigen Sensor 8b bzw. 8a überwacht.

Sofern andere Sensoren verwendet werden, die weitere Möglichkeiten bieten, um Zustandsänderung hervorzurufen, kann die Schaltung entsprechend angepasst werden.