Das Aufzugsystem weist eine Aufzugkabine auf, die durch eine Antriebseinheit entlang einer mit Schachttüren versehenen Aufzugschachtwand bewegt wird, wobei diese Schachtwand Teil eines rundum durch Schachtwände geschlossenen oder auf einer oder mehreren Seiten ganz oder teilweise offen ausgeführten Aufzugschachts sein kann.

Aus der Patentschrift US 4,898, 263 ist eine Überwachungsein- richtung für Aufzugsysteme bekannt, die gemäss einem Selbstdiagnose-Verfahren jeweils eine spezifische Reaktion für konkrete Störfälle generiert, um insbesondere die Geschwindigkeit einer Aufzugkabine zu reduzieren oder um sie zu stoppen.

Es ist auch, beispielsweise aus der Patentschrift WO 00/51929, bekannt, in derartigen Systemen verschiedene redundant arbeitende Sensoren, Umschalter und Mikroprozesso- ren sowie einen Datenbus einzusetzen.

Da solche Systeme ziemlich komplex sind, erweisen sie sich als relativ aufwendig und teuer. Es ist daher Aufgabe der Erfindung ein Aufzugsystem zu schaffen, das mit verhältnis- mässig wenig Aufwand eine höhere Betriebssicherheit und Verfügbarkeit gewährleistet.

Diese Aufgabe wird in vorteilhafter Weise erfindungsgemäss durch ein Aufzugsystem nach Patentanspruch 1 und durch eine Aufzugsteuerung nach Anspruch 13 gelöst.

Andere vorteilhafte Ausführungen der Erfindung ergeben sich aus den jeweiligen abhängigen Ansprüchen.

Die Erfindung wird nachfolgend beispielsweise an Hand der Zeichnungen näher erläutert. Es zeigen : Fig. 1 eine schematische Darstellung eines Aufzugschachts mit einer Steuerung, die über individuelle Leitungen mit verschiedenen Elementen des Aufzugsystems verbunden sind, Fig. 2 eine schematische Darstellung eines Aufzugschachts mit einer Steuerung, an die über mindestens einen Bus verschiedene Elemente des Aufzugsystems angeschlossen sind, Fig. 3 ein Flussdiagramm zur Erläuterung der Arbeitsweise einer Ausführung des Aufzugsystems nach der Erfindung, Fig. 4 ein Blockschaltbild einer Aufzugsteuerung mit mehreren Modulen zu einem solchen Aufzugsystem.

Ein erstes Aufzugsystem gemäss der vorliegenden Erfindung ist in Fig. 1 gezeigt. Das gezeigte Aufzugsystem umfasst eine Aufzugkabine 2 mit mindestens einer Kabinentüre 9 und eine Antriebseinheit 7 zum Bewegen der Aufzugkabine 2 entlang einer mit Schachttüren 3 versehenen Aufzugschacht- wand 1. 1 eines Aufzugschachts 1. Eine Steuerung 6 ist zum Ansteuern der Antriebseinheit 7 vorgesehen. Auf jedem Stockwerk gibt es im Bereich der Schachttüre 3 Erfassungs-

mittel 5, die mit der Steuerung 6 über individuelle Leitun- gen 51,52 und 53 in Verbindung stehen. Auch an der Aufzug- kabine 2-vorzugsweise im Bereich der Kabinentüre 9-sind solche Erfassungsmittel 8 angebracht. Die Erfassungsmittel 5 stellen der Steuerung 6 über die Leitungen 51, 52 und 53 Störungsinformation zur Verfügung, und die Erfassungsmittel 8 stellen der Steuerung 6 über die Leitung 55 Störungsinfor- mation zur Verfügung. Im Fall einer Störung im Bereich einer der Schachttüren 3 oder der Kabinentüre 9, steht der Steuerung 6 zum Beispiel Störungsinformation über die Störungsart und über die Position (z. B. Stockwerk 2) der Störung zur Verfügung. Das erfindungsgemässe Aufzugsystem umfasst weiterhin eine Zustandserfassungseinheit (nicht in Fig. 1 gezeigt), welche die momentane Position und die Geschwindigkeit der Aufzugkabine 2 erfassen kann. Die Zustandserfassungseinheit steht mit der Steuerung 6 über eine Leitung in Verbindung (nicht in Fig. 1 gezeigt). Durch diese Leitung steht der Steuerung 6 Information über die momentane Position und über die Geschwindigkeit der Aufzug- kabine 2 zur Verfügung. Vorzugsweise stellt die Zustandser- fassungseinheit auch Information zur Bewegungsrichtung der Aufzugkabine 2 zur Verfügung.

Gemäss der vorliegenden Erfindung, ermittelt die Steuerung 6 unter Berücksichtigung der Störungsart, der Position der Störung und der Zustandsinformation eine situationsabhängi- ge, sichere Reaktion. Damit wird trotz Störung eine gewisse Restverfügbarkeit der Aufzugkabine 2 gewährleistet.

Somit kann die generelle Verfügbarkeit des Aufzugsystems verbessert werden.

Wie in Fig. 1 gezeigt, können weitere Erfassungsmittel 4 am offen oder geschlossen ausgeführten Schacht 1 vorhanden sein, die über eine Leitung 54 mit der Steuerung 6 in Verbindung stehen. Durch solche weitere Erfassungsmittel 4, kann der Steuerung 6 zusätzliche Information zur Verfügung gestellt werden, die beim Ermitteln einer geeigneten Reaktion Berücksichtigung finden kann.

Die Erfassungsmittel 5 sind nicht Teil eines konventionellen Sicherheitskreises, da ein solcher Sicherheitskreis bei dem Auftreten einer Störung den Betrieb der Aufzugkabine 2 unmittelbar unterbrechen würde. Eine situationsabhängige, sichere Reaktion wäre dann in einem solchen Fall nicht möglich.

Der Begriff Erfassungsmittel umfasst unter anderem Sensoren, Schalter (z. B. magnetische Schalter), Umschalter, Türkontak- te, Lichtschranken, Bewegungs-und Berührungssensoren, Näherungssensoren, Relais, und andere Elemente, die einge- setzt werden können, um die Schachttüren, die Umgebung der Schachttüren, die Kabinentüre (n) und den Aufzugschacht zu überwachen, deren Zustand zu prüfen, bzw. irgendwelche Störungen im Schachttürbereich und/oder im Kabinentürbereich zu erkennen. Insbesondere handelt es sich bei den Erfas- sungsmitteln, die in den erfindungsgemässen Systemen zum Einsatz kommen, um sicherheitsrelevante Mittel. Die Erfas- sungsmittel können auch aus einer Kombination von mehreren der genannten Elementen bestehen.

In der in Fig. 1 gezeigten Ausführungsform stehen die Erfassungsmittel 5 und 8 unmittelbar mit der Steuerung über Leitungen 51-53, bzw. 55 in Verbindung. Die Erfassungsmit-

tel 5 und 8 können entweder von der Steuerung 6 aus abge- fragt werden, oder die Erfassungsmittel 5 und 8 senden selbstständig Information an die Steuerung 6.

Ein weiteres Aufzugsystem gemäss der vorliegenden Erfindung ist in Fig. 2 gezeigt. Das gezeigte Aufzugsystem umfasst eine Aufzugkabine 12 mit mindestens einer Kabinentüre 131 und eine Antriebseinheit 17 zum Bewegen der Aufzugkabine 12 entlang einer mit Schachttüren 13 versehenen Aufzugschacht- wand 11.1 eines Aufzugschachts 11. Es ist eine Steuerung 16 zum Ansteuern der Antriebseinheit 17 vorgesehen. Auf jedem Stockwerk gibt es im Bereich der Schachttüren 13 Erfassungs- mittel 20, die mit der Steuerung 16 über einen Bus 15 in Verbindung stehen. Die Erfassungsmittel 20 stellen der Steuerung 16 über Stockwerkknoten 10 und den Bus 15 Stö- rungsinformation zur Verfügung. In oder an der Aufzugkabine 12 sind im Bereich der Kabinentüre 131 Erfassungsmittel 18 angebracht. Die Erfassungsmittel 18 stehen vorzugsweise mit der Steuerung 16 über einen Knoten 101 und einen Bus 151 in Verbindung. Das gezeigte Aufzugsystem umfasst weiterhin eine Zustandserfassungseinheit (nicht in Fig. 2 gezeigt), welche die momentane Position und die Geschwindigkeit der Aufzugka- bine 12 erfassen kann. Auch die Zustandserfassungseinheit steht vorzugsweise mit der Steuerung 16 über einen Knoten und einen Bus in Verbindung (nicht in Fig. 2 gezeigt). Durch den Bus, der entweder ein separater Bus ist, der nur der Zustandserfassungseinheit zugeordnet ist, oder bei dem es sich um den von den Erfassungsmitteln 18 verwendeten Bus 151 handelt, steht der Steuerung 16 Information über die momentane Position und über die Geschwindigkeit der Aufzug- kabine 12 zur Verfügung. Im Fall einer Störung im Bereich einer der Schachttüren 13 oder im Bereich der Kabinentüre

131, steht der Steuerung 16 somit zum Beispiel Störungsin- formation über die Störungsart und über die Position der Störung zur Verfügung.

Vorzugsweise stellt die Zustandserfassungseinheit auch Information zur Bewegungsrichtung der Aufzugkabine 12 zur Verfügung.

Wie in Fig. 2 gezeigt, können weitere Erfassungsmittel 14 am Schacht 11 vorhanden sein, die über einen Knoten 19 und den Bus 15 mit der Steuerung 16 in Verbindung stehen. Durch solche weitere Erfassungsmittel 14 kann der Steuerung 16 zusätzliche Information zur Verfügung gestellt werden, die beim Ermitteln einer geeigneten Reaktion Berücksichtigung finden kann.

Die Störungsinformation muss der Steuereinheit sicher zur Verfügung gestellt werden, um gewährleisten zu können, dass das gesamte Aufzugsystem in jeder Situation und unter allen Umständen betriebssicher ist. Zu diesem Zweck kann die Störungsinformation zum Beispiel sicher über den Bus übertragen werden. Hierzu gibt es verschiedenste Realisie- rungsmöglichkeiten, die hier nicht im Detail beschrieben sind, da diese dem Fachmann hinlänglich bekannt sind.

Übertragungsfehler können durch geeignete Massnahmen verhindert werden, oder falls diese nicht zu vermeiden sind, müssen Übertragungsfehler zumindest detektierbar und damit auch behebbar sein.

Um eine sichere Übertragung der Störungsinformation zu ermöglichen, können verschiedene an sich bekannte Konzepte aus der Kommunikationstechnik zur Anwendung kommen. In einer

vorteilhaften Ausführungsform handelt es sich bei dem Bus 15 und/oder bei dem Bus 151 um einen sogenannten Sicherheits- bus, wie er auch in anderen Aufzugsystemen zum Einsatz kommt.

Wie im Zusammenhang mit den Figuren 1 und 2 beschrieben, befindet sich eine Zustandserfassungseinheit vorzugsweise in oder an der Aufzugkabine 2 bzw. 12. Vorzugsweise ist die Zustandserfassungseinheit über den Kabinenbus (z. B. den Kabinenbus 151) mit der Steuerung 16 verbunden. Üblicherwei- se wird ein Sicherheitsbus als Kabinenbus eingesetzt.

Vorzugsweise umfasst ein erfindungsgemässes Aufzugsystem Stockwerkknoten 10, die derart ausgelegt sind, dass an Eingängen des Stockwerkknotens 10 Signale von den Erfas- sungsmitteln 20 des jeweiligen Stockwerks bereit gestellt werden, wobei die Stockwerkknoten 10 diese Signale verarbei- ten, um der Steuerung 16 entsprechende Störungsinformation zur Verfügung stellen zu können. Dasselbe gilt auch für den Kabinenknoten 101, der Signale von den Erfassungsmitteln 18 erhält und diese verarbeitet, um der Steuerung 16 entspre- chende Störungsinformation zur Verfügung stellen zu können.

Die Stockwerkknoten 10 und der Kabinenknoten 101 können auch mit einer gewissen Intelligenz, z. B. in Form eines software- gesteuerten Prozessors, ausgestattet sein, um lokal Ent- scheidungen treffen und eventuell sogar gewisse Steuerungs- funktionen übernehmen zu können.

Eine weitere Ausführungsform eines Aufzugsystems zeichnet sich dadurch aus, dass die Erfassungsmittel 20 bzw. 18 und/oder die Zustandserfassungseinheit über einen Sicher- heitsbus mit der Steuerung 16 in Verbindung stehen.

Idealerweise erfolgt eine permanente Erfassung des Zustandes der Aufzugkabine 2 bzw. 12. Wenn es sich um eine digitale Ausführung handelt, werden die Erfassungsmittel und/oder die Zustandserfassungseinheit häufig gesampelt, um eine quasi kontinuierliche Informations-und Zustandserfassung gewähr- leisten zu können. Damit ist die Steuerung 6 bzw. 16 jederzeit über die Position, Geschwindigkeit und je nach Ausführungsform auch über die Fahrtrichtung der Aufzugkabine 2 bzw. 12 informiert. Bei der in der Patentschrift US 4,898, 263 beschriebenen Überwachungseinrichtung hingegen, sind Mittel am Schacht vorgesehen, die mit Mitteln an der Aufzugkabine wechselwirken, sobald sich die Kabine einem Stockwerk nähert. Es liegt nach der Patentschrift US 4,898, 263 also keine permanente bzw. quasi kontinuierliche Erfassung vor.

Ein weiteres Aufzugsystem, gemäss der vorliegenden Erfin- dung, ist so ausgelegt, dass durch die Erfassungsmittel 5 bzw. 20 speziell feststellbar ist, ob ein durch eine nicht richtig geschlossene Schachttüre 3 bzw. 13 gebildeter Spalt wesentlich oder unwesentlich ist. Falls ein unwesentlicher Spalt an einer Schachttüre detektiert wird, so kann bei- spielsweise eine der sechs folgenden situationsabhängigen Reaktionen ausgelöst werden : - Heranfahren der Aufzugkabine hinter die betroffene Schachttüre. Öffnen und Schliessen der Schachttüre indem man die Kabinentüre öffnet und schliesst. Überprüfen, ob der unwesentliche Spalt weiterhin besteht. Falls ja, Serviceruf auslösen.

Überprüfen, ob die von den Erfassungsmitteln im Bereich der betroffenen Schachttüre gelieferte Information zu dem Vorhandensein eines unwesentlichen Spalts plausibel/rich- tig ist. Dies kann zum Beispiel erfolgen, indem im Erfas- sungsmittel redundant ausgeführte Sensoren abgefragt werden. Falls die gelieferte Information plausibel/rich- tig ist, kann die Aufzugkabine hinter die betroffene Schachttüre gefahren werden, die Schachttüre geöffnet und geschlossen werden, indem man die Kabinentüre öffnet und schliesst, und es kann überprüft werden, ob der unwesent- liche Spalt weiterhin besteht. Falls ja, wird ein Ser- viceruf ausgelöst.

Serviceruf auslösen, unabhängig davon, was eine Überprü- fung der zur Verfügung gestellten Information ergibt, oder unabhängig davon, ob eine solche Überprüfung über- haupt durchgeführt wurde.

Im dem Bereich, in dem alle Schachttüren in Ordnung sind (als erlaubte Zone bezeichnet), den Verkehr weiter abwik- keln. Wird eine Fahrt ausserhalb der erlaubten Zone ver- langt, bei der die betreffende Schachttüre passiert wer- den müsste, Durchgeben einer akustischen Mitteilung, dass das gewünschte Stockwerk momentan nicht angefahren werden kann. Neue Stockwerkauswahl von Passagieren abwarten, oder Passagiere aussteigen lassen und Serviceruf auslö- sen. Das Stockwerk, bei dem die Störung im Bereich der Schachttüre erfasst wurde, wird gefährdete Zone oder unerlaubte Zone genannt, wobei im Falle eines unwesentli- chen Spalts eigentlich keine unmittelbare Gefährdung vorliegt.

Zum gewünschten Stockwerk fahren, wenn dabei die betrof- fene Schachttüre bzw. die unerlaubte Zone nicht passiert

werden muss. Ansonsten zum nächstmöglichen Stockwerk fahren, Passagiere aussteigen lassen und Serviceruf ab- setzen.

- Serviceruf absetzten und normal weiter fahren.

Liegt ein wesentlicher Spalt an einer der Schachttüren vor, so können zum Beispiel eine oder mehrere der folgenden situationsabhängigen Reaktionen ausgelöst werden : - Aufrechterhalten des Betriebs der Aufzugkabine, vorzugs- weise bei reduzierter Geschwindigkeit, so dass die Auf- zugkabine kontrolliert zu einem der nächstliegenden Stockwerke bewegt werden kann, ohne dabei die unerlaubte Zone zu befahren.

- Notruf auslösen bei Liftstillstand oder Serviceruf absetzen, wenn der Aufzug weiterbetrieben werden kann.

- Befindet sich die Aufzugkabine auf dem Stockwerk mit der Schachttürstörung, dann wird durch Öffnen und Schliessen der Kabinentüre die Schachttüre erneut geöffnet und ge- schlossen. Bleibt der Fehler bestehen, wird ein Ser- viceruf abgesetzt. Die Aufzugkabine wird nicht in Bewe- gung gesetzt. Die Passagiere werden zum Aussteigen aufge- fordert und gegebenenfalls zum Benutzen einer benachbar- ten Aufzugkabine aufgefordert.

- Die Steuerung des Aufzugs verhindert, dass Personen gefährdet werden, indem die Aufzugkabine unmittelbar unter die gestörte Schachttüre gefahren und dort angehal- ten wird. Damit kann unter Umständen verhindert werden, dass eine Person die Schachttüre ganz öffnet und in den Aufzugschacht stürzt. Falls der Spalt gross ist, kann es auch passieren, dass sich eine Person durch den Spalt

zwängt. Auch in diesem Fall wird ein Sturz in den Aufzug- schacht verhindert.

- Eine andere, weiterführende Reaktion ist : die Aufzugkabi- ne fährt auf das betroffene Stockwerk hinter die betrof- fene Schachttüre, z. B. im Kriechgang und ohne Passagiere.

Die Passagiere sind vorher auf einem nicht betroffenen Stockwerk ausgestiegen.

Die Steuerung kann die gestörte Schachttüre durch wiederholtes Betätigen zu schliessen versuchen. Falls dieser Versuch gelingt, kann das Aufzugsystem in den Normalbetriebszustand überführt werden.

Normalerweise wird der Aufzug stillgesetzt, falls der wesentliche Spalt bestehen bleibt.

Bei den situationsabhängigen Reaktionen können je nachdem, ob sich die Aufzugkabine in Ruhe befindet, oder ob sich diese bewegt, verschiedene Reaktionen ausgelöst werden. Wird bei einer ruhenden Aufzugkabine ein Problem im Bereich der Schachttüre entdeckt, auf deren Stockwerk sich die Aufzug- bine gerade befindet, so wird gar nicht erst angefahren, sondern die Kabinentüre wird zusammen mit der Schachttüre erneut geöffnet und dann wieder geschlossen, um zu versu- chen, den Fehler zu beheben.

In einer weiteren Ausführungsform können Erfassungsmittel vorgesehen sein, mit denen man feststellen kann, ob die Kabinentüre 9, bzw. 131 einen wesentlichen oder unwesentli- chen Spalt aufweist. Falls ein unwesentlicher Spalt an einer Kabinentüre detektiert wird, so kann beispielsweise eine der folgenden situationsabhängigen Reaktionen ausgelöst werden :

Aufrechterhalten des Betriebs der Aufzugkabine, so dass die Aufzugkabine weiter bewegt werden kann.

Öffnen und Schliessen der Kabinentüre beim nächsten Halt.

Überprüfen, ob der unwesentliche Spalt weiterhin besteht.

Falls ja, Serviceruf auslösen.

Überprüfen, ob die von den Erfassungsmitteln im Bereich der Kabinentüre gelieferte Information zu dem Vorhanden- sein eines unwesentlichen Spalts plausibel/richtig ist.

Dies kann zum Beispiel erfolgen, indem im Erfassungsmit- tel redundant ausgeführte Sensoren abgefragt werden.

Falls Die gelieferte Information plausibel/richtig ist, wird die Kabinentüre geöffnet und geschlossen, um zu überprüfen, ob der unwesentliche Spalt weiterhin besteht.

Falls ja, Serviceruf auslösen.

Serviceruf auslösen, unabhängig davon, was eine Überprü- fung der zur Verfügung gestellten Information ergibt, oder unabhängig davon, ob eine solche Überprüfung über- haupt durchgeführt wurde.

Eingeschränkter Fahrbetrieb mit reduzierter Geschwindig- keit bis Fehler behoben ist.

Serviceruf absetzen und normal weiter fahren.

Liegt ein wesentlicher Spalt an der Kabinentüre vor, so kann zum Beispiel die folgende situationsabhängige Reaktion ausgelöst werden : Aufrechterhalten des Betriebs der Aufzugkabine, vorzugs- weise bei reduzierter Geschwindigkeit, so dass die Auf- zugkabine kontrolliert zu einem der nächstliegenden Stockwerke bewegt werden kann.

- Notruf auslösen.

-Befindet sich die Aufzugkabine in Ruhe, dann wird die Kabinentüre erneut geöffnet und geschlossen. Bleibt der Fehler bestehen, wird ein Serviceruf abgesetzt. Die Auf- zugkabine wird nicht in Bewegung gesetzt. Die Passagiere werden zum Aussteigen aufgefordert und gegebenenfalls zum Benutzen einer benachbarten Aufzugkabine aufgefordert.

- Normalerweise wird der Aufzug stillgesetzt, falls der wesentliche Spalt bestehen bleibt.

Es können je nachdem, ob sich die Aufzugkabine in Ruhe befindet, oder ob sich diese bewegt, unterschiedliche Reaktionen ausgelöst werden.

Bei einem erfindungsgemässen Aufzugsystem kann zum Beispiel im Fall einer Störung im Bereich einer der Schachttüren die situationsabhängige Reaktion einen Betrieb der Aufzugkabine nur zwischen den erlaubten Stockwerken zulassen, um zu verhindern, dass das Stockwerk angefahren oder passiert wird, an dessen Schachttüre die Störung aufgetreten ist.

Bei einem weiteren Aufzugsystem gemäss der vorliegenden Erfindung, wird der Zustand einer nicht richtig geschlosse- nen Schachttüre oder Kabinentüre automatisch überprüft, indem entweder zusätzlich vorhandenen Sensoren abgefragt werden, oder indem man durch erneutes Öffnen und Schliessen versuch den Fehler zu beheben.

Die bisher beschriebenen Aufzugsysteme können eine Aufzug- steuerung umfassen, wie sie im Folgenden beschrieben wird.

Ein Beispiel einer solchen Aufzugsteuerung 26 als Teil eines Aufzugsystems 40 ist in Fig. 4 gezeigt. Eine solche Aufzug-

steuerung 26 dient dem Ansteuern einer Antriebseinheit 27, die eine Aufzugkabine 28 mit mindestens einer Kabinentüre entlang einer Aufzugschachtwand eines Aufzugschachts mit mehreren Stockwerken und Schachttüren bewegt. Zu diesem Zweck weist die Aufzugsteuerung 26 die folgenden Elemen- te/Komponenten auf : - Erfassungsmittel 30.1-30. n, die jeweils im Bereich der Schachttüren angebracht sind und mit der Aufzugsteuerung 26 in Verbindung stehen, damit der Aufzugsteuerung 26 Störungsinformation über den Zustand der Schachttüren zur Verfügung steht ; - usätliche Erfassungsmittel 34 an der Aufzugkabine 28 und/oder der (den) Kabinentüre (n) (gleich oder ähnlich ausgeführt wie die Erfassungsmittel im Bereich der Schachttüren). Die Erfassungsmittel 34 stehen mit der Aufzugsteuerung 26 in Verbindung, damit der Aufzugsteue- rung 26 Störungsinformation über den Zustand der Kabinen- türe (n) zur Verfügung steht ; - eine Zustandserfassungseinheit 33 (vorzugsweise in oder an der Aufzugkabine 28 angebracht), die mit der Aufzug- steuerung 26 in Verbindung steht, damit der Aufzugsteue- rung 26 Zustandsinformation über die Position und die Geschwindigkeit der Aufzugkabine 28 zur Verfügung steht.

Die Erfassungsmittel 30.1-30. n und 28 übermitteln im Fall einer Störung im Bereich einer der Schachttüren oder der Kabinentüre (n) der Aufzugsteuerung 26 Störungsinfor- mation über Störungsart und Position der Störung.

Wie in Fig. 4 schematisch dargestellt, weist jedes der Erfassungsmittel 30.1-30. n eine Schnittstelle 31. n auf, die eine Verbindung/Verknüpfung mit einem Bus 25 herstellt.

In dem gezeigten Beispiel handelt es sich um einen sternför- mig angelegten Bus 25. Am Beispiel des Erfassungsmittels 30. n ist gezeigt, dass ein solches Erfassungsmittel 30. n mehrere Elemente/Komponenten 32.1-32. 3 umfassen kann.

Die Erfassungsmittel 34 sind über eine Schnittstelle 23 mit dem Bus 25 verbunden. Die Erfassungsmittel 34 stellen der Aufzugsteuerung 26 über den Bus 25 Störungsinformation zur Verfügung. Zusätzlich zu diesen Erfassungsmitteln 34, umfasst die Aufzugkabine 28 Anzeigeelemente 24.1, welche die Fahrtrichtung der Kabine 28 anzeigen, Anzeigeelemente 24.3, die das momentane Stockwerk anzeigen, und Bedienelemente 24.2. Diese Elemente 24.1-24. 3 sind auch über die Schnitt- stelle 23 mit dem Bus 25 verknüpft.

Die Zustandserfassungseinheit 33 kann über eine eigene Schnittstelle (nicht gezeigt) mit dem Bus 25 verbunden. Die Zustandserfassungseinheit 33 kann verschiedenste Elemente und Sensoren aufweisen, die zum Erfassen der Kabinenge- schwindigkeit, Position und gegebenenfalls Fahrtrichtung dienen.

Die Kommunikation und insbesondere die Übertragungssicher- heit zwischen den einzelnen Komponenten des Aufzugsystems 40 können zum Beispiel durch eine spezielle Kommunikationsein- heit 29 geregelt und organisiert werden. Die Kommunikations- einheit 29 kann aber auch dazu dienen, die Kommunikation mit anderen Systemen zu ermöglichen. Zum Beispiel kann man über die Kommunikationseinheit 29 einen Serviceruf absetzen, der dann über ein externes Netzwerk weitergeleitet wird.

Die Kommunikation innerhalb des Systems 40 kann aber auch über ein Kommunikationsmodul abgewickelt werden, dass in die Steuerung 26 integriert ist.

Die Aufzugsteuerung 26 kann unter Berücksichtigung der Störungsart, der Position der Störung und der Zustandsinfor- mation eine situationsabhängige, sichere Reaktion auslösen, um trotz der Störung eine Restverfügbarkeit der Aufzugkabine zu gewährleisten.

Das Aufzugsystem gemäss der Erfindung funktioniert in der Weise, dass im Fall einer Störung im Bereich einer der Schachttüren oder der Kabinentüre (n) mindestens eine der weiter oben beschriebenen situationsabhängigen, sicheren Reaktionen ausgelöst wird.

Störungen eines Aufzugsystems treten teilweise im Bereich der Schachttüren auf. Insbesondere die Schachttüren 3 bzw.

13 selbst, aber auch die Türkontakte an den Schachttüren 3 bzw. 13 sind störanfällig. Durch die erfindungsgemässen intelligenten Systemreaktionen kann die Verfügbarkeit des gesamten Aufzugsystems erhöht werden, so dass bei gewissen Störungen im Bereich der Schachttüren verhindert wird, dass Personen in der Aufzugkabine 2 oder 12 eingeschlossen bleiben.

Das Aufzugsystem kann Erfassungsmittel 5,20, 30.1-30. n aufweisen, um festzustellen, ob ein durch eine nicht richtig geschlossene Schachttüre 3 bzw. 13 gebildeter Spalt"wesent- lich"oder"unwesentlich"ist. Als"wesentlich"und damit sicherheitsgefährdend kann ein Spalt betrachtet werden, wenn er beispielsweise grösser als 10 mm ist. Ist der Spalt nicht

wesentlich und damit also nicht sicherheitsgefährdend, so können-wie weiter oben beschrieben-andere Reaktionen ausgelöst werden. Beim nächsten Stopp am betroffenen Stockwerk kann dann der Zustand der Schachttüre 3 bzw. 13 durch Öffnen und Schliessen der Schachttüre 3 bzw. 13 überprüft werden. Durch ein solches Öffnen und Schliessen der Schachttüre kann ein derartiger Fehler häufig behoben werden.

Bleibt der Spalt nach dem Öffnen und Schliessen der Schacht- türe 3 bzw. 13 bestehen, so kann ein Serviceruf ausgelöst werden. Der Aufzug kann unter Umständen weiter betrieben werden, wobei eventuell mit reduzierter Geschwindigkeit gefahren wird. Dies gilt insbesondere, wenn der Spalt durch die Erfassungsmittel 5,20, 30.1-30. n als"unwesentlich" eingestuft wurde.

Falls festgestellt wird, dass der Spalt schon vor dem Abfahren der Aufzugkabine 2 bzw. 12"wesentlich"ist, so wird die Schachttüre 3 bzw. 13 mindestens einmal geöffnet und wieder geschlossen, indem die Aufzugkabine hinter die Schachttüre gefahren und die Kabinentüre geöffnet und geschlossen wird. Sollte der"wesentliche"Spalt dadurch nicht zu beseitigen sein, wird die Aufzugkabine vorzugsweise nicht in Bewegung versetzt. Es kann eine Durchsage erfolgen oder eine Anzeige aufleuchten, um die Passagiere aufzufor- dern, die Aufzugkabine 2,12, 28 zu verlassen.

Im Folgenden geht es um geöffnete oder nicht ganz geschlos- sene Kabinentüren. Als Ausgangslage für das Flussdiagramm nach Fig. 3 wird nun bei A eine plötzliche Meldung der Erfassungsmittel 8,18 bzw. 34 betrachtet, die lautet :

"Kabinentüre offen". Eine durch einen Diskriminator (Decisi- on Block) DO dargestellte virtuelle Entscheidungsstufe stellt dann die Frage : Fährt die Aufzugkabine 2,12 bzw. 28 ? Wie eingangs beschrieben, steht der Steuerung 6,16 oder 26 Zustandsinformation zur Verfügung, die unter anderem eine Aussage über die momentane Position und Geschwindigkeit der Aufzugkabine 2,12 bzw. 28 zulässt.

Falls die Aufzugkabine 2,12 bzw. 28 noch fährt (Antwort : ja), wird eine situationsabhängige Reaktion RO ausgelöst, wobei die Steuerung 6,16 oder 26 einen schnellen Stoppvor- gang einleitet und ausführt. Zudem kann unabhängig davon, ob die Antwort bei der Entscheidungsstufe DO ja oder nein war, beispielsweise durch eine Reaktion Rl im Rahmen eines Plausibilitätstests kontrolliert werden, ob die Kabinentüre 3 bzw. 13 tatsächlich offen ist. Dieser Test kann von dem Türantrieb ausgeführt werden, wobei die Erfassungsmittel 8, 18,34 überprüfen, ob die Kabinentüre 3 bzw. 13 erfolgreich geschlossen werden konnte. Zusätzliche Aussagen können getroffen werden, wenn man gleichzeitig auch die Information berücksichtigt, die durch die Erfassungsmittel 5,20, 30.1- 30. n im Bereich der Schachttüre geliefert werden, auf deren Etage sich die Aufzugkabine 2,12 bzw. 28 gerade befindet.

Danach fragt in dem gezeigten Beispiel eine Entscheidungs- stufe D1 über die Erfassungsmittel 8,18, 34 ab, ob die Kabinentüre 3 bzw. 13 offen ist. Lautet die Antwort der Entscheidungsstufe D1 nein, so gilt die Vermutung, dass die Kabinentüre 3 bzw. 13 geschlossen, der Schliesskontakt der besagten Kabinentüre 3 bzw. 13 jedoch offen sei. In diesem Fall wird die Kabine 2, 12 bzw. 28 durch eine weitere Reaktion R2 mit reduzierter

Geschwindigkeit auf das nächste Stockwerk gefahren. Da am Anfang bei der Entscheidungsstufe DO die Antwort nein (Kabine steht nicht) war, wird auf jeden Fall durch eine Reaktion R3 die Kabinentüre 3 bzw. 13 geöffnet (eventuell wird die Kabinentüre 3 bzw. 13 nur eine Spalt breit geöffnet) und ein wiederholtes Betätigen der Kabinentüre 3 bzw. 13 eingeleitet, um zu versuchen, auf diese Weise die Störung zu beheben. Die weitere Frage, ob der Schliesskon- takt in Ordnung ist, kann durch eine nächste Entscheidungs- stufe D2 entschieden werden : wenn der Schliesskontakt in Ordnung ist, dann wird das Aufzugsystem durch eine Reaktion R4 an den Normalbetrieb übergeben. Je nach Ausführungsform kann zusammen mit einem Serviceruf eine Fehlermeldung an eine Servicestelle gesendet werden. Wenn der Schliesskontakt nicht in Ordnung zu sein scheint, dann wird durch eine weitere Reaktion R5 das Aufzugsystem ausser Betrieb gesetzt, und es geht eine entsprechende Meldung an die Servicestelle. <BR> <BR> <P>War bei der Entscheidungsstufe D1 die Antwort : "die Kabinen- türe ist offen", so wird als Reaktion R10 versucht, die Kabinentüre 3 bzw. 13 zu schliessen. Danach wird in D20 wiederum gefragt, ob die Kabinentüre 3 bzw. 13 offen ist : Wenn nein, wird durch eine Reaktion R20 der Normalbetrieb wieder hergestellt und zugleich eine Meldung an die Servi- cestelle ausgelöst ; wenn ja, wird durch eine Reaktion R21 ein Plausibilitätstest ausgeführt. Danach wird durch eine weitere Entscheidungsstufe D30 wiederum gefragt, ob die Kabinentüre 3 bzw. 13 offen ist. Wenn ja ergeht als Reaktion R31 zum Beispiel eine Warnmeldung : "Tür wird geöffnet", und der Plausibilitätstest wird wiederholt.

Eine nachträgliche Frage bei einer Entscheidungsstufe D40 bewirkt als situationsabhängige Reaktion R41, falls die Kabinentüre 3 bzw. 13 offen ist, dass das Aufzugsystem ausser Betrieb gesetzt und ein Notruf an die Servicestelle ausgelöst wird. War hingegen die Antwort der Entscheidungs- stufe D40, dass die Kabinentüre 3 bzw. 13 zu ist, so wird der Normalbetrieb eingeschaltet und eine Meldung an die Servicestelle ausgelöst. Lautet daher bei der Entscheidungs- stufe D30 oder 40 die Antwort, dass die Kabinentüre 3 bzw.

13 nicht offen ist, so muss dies so ausgelegt werden, dass die Kabinentüre 3 bzw. 13 zwar geschlossen, der Schliesskon- takt jedoch offen ist ; dies entspricht der Antwort der Entscheidungsstufe D1, und die"Nein"-Meldung der Entschei- dungsstufe D30 oder D40 wird als Reaktion R2 durchgeführt.

War jedoch bei der Entscheidungsstufe DO die Antwort :"die Aufzugkabine steht", so können die Reaktionen R21 und R31 derart ausgeschaltet werden, dass schliesslich nur eine der vier situationsabhängigen Reaktionen R20, R41, R4 oder R5 ausgeführt wird.

Sobald das Aufzugsystem feststellt, dass eine Schachttüre offen ist, können Reaktionen in ähnlicher Art, wie in Fig. 3 gezeigt, ausgelöst werden, wobei jedoch zu beachten ist, dass Schachttüren passive Türen sind, die nur durch die Kabinentüre oder durch eine spezielles Werkzeug geöffnet bzw. geschlossen werden können. Um eine Schachttüre automa- tisch öffnen und schliessen zu können, muss also erst die Aufzugkabine hinter die entsprechende Schachttüre gefahren werden. Wenn eine Schachttüre einmal durch die Kabinentüre geschlossen und durch den Riegel der Schachttüre verriegelt wurde, ist es eher unwahrscheinlich, dass es nach dem

Verlassen des entsprechenden Stockwerks durch die Aufzugka- bine zu Störungen bzw. Problemen mit der Schachttüre kommt.

Schlecht funktionierende Schachttüre und/oder Kabinentü- re (n) : Durch Öffnen und Schliessen können die Schachttüren 3 bzw.

13 und/oder Kabinentüre (n) 9,113 auf ihre Funktionalität hin getestet werden. Dazu kann das Aufzugsystem systematisch beispielsweise die Kraft, die zum Öffnen oder zum Schliessen nötig ist, durch die Erfassungsmittel 5, 20 oder 30.1- 30. n, oder durch die Erfassungsmittel 8,18, 34 überprüfen.

Da die Schachttüren passiv sind und durch die Kabinentüre (n) bewegt werden, ist es wichtiger, dass die Erfassungsmittel 8,18, 34 die Kabinentüre (n) überwachen. Es kann auch der Kabinentürantrieb überwacht werden, um z. B. festzustellen, ob eine erhöhte Kraft nötig ist, um die Kabinentüre und die Schachttüre gemeinsam zu bewegen. Stellen beispielsweise die Erfassungsmittel 8,18, 34 fest, dass bei einem bestimmten Stockwerk eine höhere Kraft notwendig ist als in anderen Stockwerken, so kann daraus geschlossen werden, dass die Schachttüre 3 bzw. 13 in dem betroffenen Stockwerk Probleme bereitet. So kann zum Beispiel als situationsabhängige Reaktion eine oder mehrere der folgenden Reaktionen ausge- löst werden : - einen Serviceruf absetzen ; - das entsprechende Stockwerke als unerlaubte Zone definie- ren ; - den Betrieb des Aufzugsystems einstellen.

Der Wert der zum Öffnen bzw. Schliessen notwendigen Kraft kann auch von Zeit zu Zeit gespeichert werden. Damit ist ein

Vergleich aktueller Kräfte mit den bisher erforderlichen Kräften möglich. Auch mit diesem Ansatz können Probleme im Bereich der Schacht-bzw. Kabinentüren erkannt werden.

Behandlung weiterer Fehler : Das Aufzugsystem kann ebenfalls so ausgestaltet sein, dass auch beim Auftreten anders gearteter Störungen eine situa- * tionsabhängige Reaktion ausgelöst wird. Dabei kann die Steuerung vorzugsweise zwischen bekannten und unbekannten Störungsarten unterscheiden. Liegt eine bekannte Störungsart vor, so kann die Steuerung über einen Tabelleneintrag, einen Entscheidungsbaum oder ähnliche Mittel eine situationsabhän- gige Reaktion herbeiführen. Um das Aufzugsystem so sicher wie möglich zu gestalten, sollte bei dem Auftreten einer unbekannten Störungsart ein unmittelbares Einstellen des Fahrbetriebes erfolgen. Eventuell kann dann ein Notruf abgesetzt werden.

Bei der Überwachung anderer Einrichtungen oder Elemente, beispielsweise bei der Überwachung der Schliessstellungen der Wartungs-und Nottüren oder Wartungsklappen, bzw. bei der Überwachung der Verriegelung der Notklappen und Notüber- steigtüren der Aufzugkabine, sind unterschiedliche situati- onsabhängige Reaktionen möglich.

Beispiel einer situationsabhängigen Reaktion : schnelles, antriebsgeregeltes Stoppen auf dem nächstgelegenen Stockwerk und Aussteigenlassen der Passagiere.

Ein erfindungsgemässes Aufzugsystem kann eine softwaremässi- ge Überbrückung einzelner Sensoren und/oder Kontakte oder gesamter Erfassungsmittel ermöglichen, um zum Beispiel in gewissen Servicesituationen Zustände herbeiführen zu können,

die normalerweise durch die erfindungsgemässe Steuerung unterbunden würden. Es ist wichtig, dass eine solche softwaremässige Überbrückung automatisch nach einer gewissen Zeit wieder zurück gesetzt wird, damit ein mögliches Vergessen nicht zu einer Gefahrensituation führen kann.

Gemäss einer speziellen Ausführungsform der Erfindung, umfasst die Aufzugsteuerung 26 eine softwaregesteuerte Komponente, welche die über den Bus 25 eingehenden Signale auswertet und eine der Situation entsprechende Reaktion auslöst. Hierbei kann mit Tabellen, Entscheidungsbäumen oder anderen ähnlichen Mitteln gearbeitet werden.

Um den Zustand eines Aufzugsystems und somit auch drohende Gefahren erkennen zu können, werden als Erfassungsmittel vorzugsweise verteilte Sensoren eingesetzt, wobei jeweils zwei oder mehr Sensoren zur gegenseitigen Kontrolle oder gegenseitigen Unterstützung vorgesehen sein könnten. Die zur Durchführung der Reaktionen dienenden Aktuatoren, Steuer- blöcke, Antriebs-oder Stellelemente können indirekt über die Sensoren beobachtet werden. Sie sind vorzugsweise derart ausgestaltet, dass sie im Fehlerfall in den sicheren Zustand (fail safe) übergehen, um das Aufzugsystem nicht negativ zu beeinflussen.

Die Stockwerkknoten und/oder die Aufzugsteuerung können mit zwei oder mehr Prozessoren versehenen werden, um durch diese Redundanz die Sicherheit des gesamten Systems zu erhöhen.

Die Stockwerkknoten und/oder die Aufzugsteuerung können selbstprüfend sein, um eine vertrauenswürdige Gesamteinheit zu bilden. Gegebenenfalls kann auch eine dreifache Modul-

redundanz (TMR : Triple Modular Redundancy) eingesetzt werden.

In einer anderen Ausführungsform kann die Funktionalität der Aufzugsteuerung vorzugsweise auf zwei oder mehrere parallel laufende Knotenrechner verteilt werden, wobei die Steuerung als Software-Tasks in den Knotenrechnern ausgeführt wird.

Die verschiedenen erfindungsgemässen Aufzugsysteme erweisen sich als besonders vorteilhaft bezüglich ihrer hohen Betriebssicherheit, Verfügbarkeit und Zuverlässigkeit, insbesondere, da Störungen, Ausfälle, Laufzeitfehler, unerwartete Einwirkungen und unentdeckte Entwicklungsfehler erkannt und rechtzeitig behoben werden können.