[go: up one dir, main page]

EP3704048B1 - Sicherheitsüberwachungsvorrichtung zum überwachen von sicherheitsrelevanten zuständen in einer personenförderanlage sowie verfahren zum betreiben derselben - Google Patents

Sicherheitsüberwachungsvorrichtung zum überwachen von sicherheitsrelevanten zuständen in einer personenförderanlage sowie verfahren zum betreiben derselben Download PDF

Info

Publication number
EP3704048B1
EP3704048B1 EP18779406.0A EP18779406A EP3704048B1 EP 3704048 B1 EP3704048 B1 EP 3704048B1 EP 18779406 A EP18779406 A EP 18779406A EP 3704048 B1 EP3704048 B1 EP 3704048B1
Authority
EP
European Patent Office
Prior art keywords
safety
safety monitoring
relay
state
double contact
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
EP18779406.0A
Other languages
English (en)
French (fr)
Other versions
EP3704048A1 (de
Inventor
Eric Birrer
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Inventio AG
Original Assignee
Inventio AG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Inventio AG filed Critical Inventio AG
Publication of EP3704048A1 publication Critical patent/EP3704048A1/de
Application granted granted Critical
Publication of EP3704048B1 publication Critical patent/EP3704048B1/de
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B66—HOISTING; LIFTING; HAULING
    • B66B—ELEVATORS; ESCALATORS OR MOVING WALKWAYS
    • B66B5/00—Applications of checking, fault-correcting, or safety devices in elevators
    • B66B5/0006—Monitoring devices or performance analysers
    • B66B5/0018—Devices monitoring the operating condition of the elevator system
    • B66B5/0031—Devices monitoring the operating condition of the elevator system for safety reasons
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B66—HOISTING; LIFTING; HAULING
    • B66B—ELEVATORS; ESCALATORS OR MOVING WALKWAYS
    • B66B1/00—Control systems of elevators in general
    • B66B1/34—Details, e.g. call counting devices, data transmission from car to control system, devices giving information to the control system
    • B66B1/46—Adaptations of switches or switchgear
    • B66B1/50—Adaptations of switches or switchgear with operating or control mechanisms mounted in the car or cage or in the lift well or hoistway
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B66—HOISTING; LIFTING; HAULING
    • B66B—ELEVATORS; ESCALATORS OR MOVING WALKWAYS
    • B66B13/00—Doors, gates, or other apparatus controlling access to, or exit from, cages or lift well landings
    • B66B13/22—Operation of door or gate contacts
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B66—HOISTING; LIFTING; HAULING
    • B66B—ELEVATORS; ESCALATORS OR MOVING WALKWAYS
    • B66B29/00—Safety devices of escalators or moving walkways
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B66—HOISTING; LIFTING; HAULING
    • B66B—ELEVATORS; ESCALATORS OR MOVING WALKWAYS
    • B66B9/00—Kinds or types of lifts in, or associated with, buildings or other structures
    • H—ELECTRICITY
    • H01—ELECTRIC ELEMENTS
    • H01H—ELECTRIC SWITCHES; RELAYS; SELECTORS; EMERGENCY PROTECTIVE DEVICES
    • H01H1/00—Contacts
    • H—ELECTRICITY
    • H01—ELECTRIC ELEMENTS
    • H01H—ELECTRIC SWITCHES; RELAYS; SELECTORS; EMERGENCY PROTECTIVE DEVICES
    • H01H2231/00—Applications
    • H01H2231/03—Elevator

Definitions

  • the present invention relates to a safety monitoring device for monitoring safety-relevant conditions in a passenger conveyor system.
  • the invention also relates to a passenger conveyor system with such a safety monitoring device.
  • the invention also relates to a method for monitoring the functionality of such a safety monitoring device.
  • Passenger conveyor systems in the form of elevators, escalators or moving walks are used to move people within buildings.
  • the passenger conveyor system is permanently installed in the structure.
  • an elevator car can be shifted vertically between different floors.
  • passengers can be transported standing on step units along inclined or horizontal driveways.
  • Components are monitored in order, for example, to then operate or control other components of the passenger conveyor system in a suitable and safe manner.
  • sensors and / or switches are usually provided on the corresponding components or at different points of the passenger conveyor system. Signals from such sensors or switches can be made available to a control of the passenger conveyor system so that it can take the signals into account when controlling functions of the passenger conveyor system and thus can bring about safe operation of the passenger conveyor system.
  • a so-called safety monitoring chain is conventionally used in an elevator in order to ensure safe operation of the elevator.
  • the safety monitoring chain comprises a large number of sensors and / or switches, with the aid of which information about current safety-relevant states of components of the elevator can be determined.
  • a door switch which is closed as long as the respective door is closed, is typically provided on a car door and on each of a plurality of shaft doors.
  • the multiple door switches are connected in series within the security monitoring chain, so that the security monitoring chain as a whole is only closed when each of the door switches is closed.
  • An elevator control connected to the safety monitoring chain may or can, in this case, only move an elevator car within an elevator shaft if the safety monitoring chain is closed as a whole and it can therefore be assumed that all car and shaft doors are currently closed.
  • the safety monitoring chain can additionally comprise further switches and / or sensors.
  • a so-called car emergency limit switch can be provided in the elevator, which is normally closed and which is actuated to open as soon as the elevator car is moved beyond a permissible travel path, for example in the direction of an elevator shaft ceiling or in the direction of an elevator shaft floor.
  • a sensor system can be provided which enables the functionality of the KNE switch by using the sensor system to determine a current position of the elevator car within the elevator shaft and to recognize when the elevator car is moved beyond the permissible travel path and then causes it that the security surveillance chain is interrupted. This can be used to ensure that the security surveillance chain is interrupted as soon as the elevator car leaves its permissible travel path.
  • provisions can be provided in an elevator that make it possible to open such doors in predefined exceptional situations, while the elevator car is not standing still or moving the elevator car although at least one door is open. For example, it may be desired that doors begin to open shortly before the elevator car reaches a target position and stop there, in order to be able to accelerate door opening processes and to be able to reduce the length of stay at the target position.
  • a switchable connection can be provided in parallel to the door switches connected in series, which can be temporarily closed for temporarily bridging the doors (UET switch) in order to be able to open doors without interrupting the security monitoring chain.
  • the UET switch can be closed, for example, and thus the area of the security monitoring chain comprising the door switch can be bridged as soon as a sensor system detects, for example, that the elevator car is sufficiently close to a desired target position, i.e. less than 20 cm or less than 10 cm from this is removed.
  • a safety-relevant state can be detected directly with the aid of a switch and this switch can be integrated into the safety monitoring chain.
  • the safety-relevant state can be monitored with a sensor system, for example.
  • the sensor system can evaluate signals which reflect the safety-relevant state with the aid of a controller arrangement in order to then be able to operate a switch integrated in the safety monitoring chain in a suitable manner.
  • relays can be used as switches integrated in the safety monitoring chain, which can be switched in the desired manner by means of control voltages suitably generated by the controller arrangement.
  • both the controller arrangement and a relay arrangement are usually designed redundantly.
  • the relay arrangement comprises two relays connected in series, both of which have to be brought into closed states by the controller arrangement in order to complete an associated switching state within the safety monitoring chain.
  • the effort involved in implementing a safety monitoring device can be considerable, in particular due to the large number of components to be kept available and their interconnection.
  • a safety monitoring device in which such an expense is reduced. Furthermore, there may be a need for a passenger conveyor system equipped with such a safety monitoring device. In addition, there may be a need for a method by means of which the functionality of such a safety monitoring device can be monitored.
  • a safety monitoring device for monitoring safety-relevant conditions in a passenger conveyor system.
  • the safety monitoring device has a first and a second double contact relay and a first and a second controller.
  • Both double contact relays are designed to switch a first normally open contact and a second normally open contact, as well as a feedback contact, synchronously with one another between an open and a closed relay state, controlled by a control voltage.
  • the two controllers are designed to determine properties of the passenger conveyor system that correlate with a safety-relevant state and to generate the control voltages for the first and the second double contact relay depending on the properties determined.
  • a first and a second safety monitoring switch arrangement is formed.
  • the first safety monitoring switch arrangement is designed for monitoring a first safety-relevant state and for correspondingly switching a first switching state within a safety monitoring chain of the passenger conveyor system.
  • the second safety monitoring switch arrangement is designed for monitoring a second safety-relevant state and for correspondingly switching a second switching state within the safety monitoring chain of the passenger conveyor system.
  • the first safety monitoring switch arrangement comprises the first working contact of the first double contact relay and, connected in series with this, the first working contact of the second double contact relay.
  • the second safety monitoring switch arrangement comprises the second working contact of the first double contact relay and, connected in parallel to this, the second working contact of the second double contact relay.
  • a passenger conveyor system which has a safety monitoring device according to an embodiment of the first aspect of the invention.
  • security monitoring switch arrangements are used to monitor a safety-relevant state within the passenger conveyor system, with a safety monitoring device being a controller for determining properties within the passenger conveyor system that correlate with the condition to be monitored, as well as relays for opening or closing a contact has within a security surveillance chain.
  • a safety monitoring switch arrangement with one or more separate controllers and relays is conventionally provided for each safety-relevant state to be monitored.
  • two relays are connected in series in a redundant manner. Accordingly, at least one controller and one relay, but in many cases two controllers and two relays, must be provided for each safety-relevant state to be monitored.
  • a number of relays to be kept available in the passenger conveyor system can hereby become large, which can be associated with significant preparation and maintenance expenditure and corresponding costs.
  • double contact relays instead of simple relays in a safety monitoring device and to interconnect them in an advantageous manner and to have them controlled by two controllers.
  • a control voltage applied to the relay in a control circuit can be used to open or close the relay in a controlled manner like a switch.
  • the control voltage can for example cause a current through a coil, whereby the coil generates a magnetic field which attracts or repels an armature.
  • the armature moved in this way can then move arms of a normally open contact towards one another or away from one another.
  • a simple relay only a single normally open contact is opened or closed.
  • double contact relay With a double contact relay, on the other hand, two working contacts are opened or closed simultaneously, i.e. synchronously with one another, moved by one and the same armature.
  • the double contact relay can therefore not only open or close one switch in one working circuit but two switches in two different working circuits controlled by the control voltage and synchronized with one another.
  • a so-called feedback contact which is moved synchronously with the two normally open contacts, can also be provided in a double contact relay.
  • the feedback contact can be used, for example, to check whether the working contacts were actually opened following the applied control voltage. Accordingly, it can be recognized, for example by monitoring the feedback contact, when the double contact relay has a defect and no longer switches correctly. In particular, it can be recognized when adjacent arms of a normally open contact are, for example, inadvertently welded to one another or stick to one another and thus no longer open correctly despite a correspondingly applied control voltage.
  • the two double contact relays provided therein can advantageously be interconnected in such a way that they form two safety monitoring switch arrangements with the aid of which two different safety-relevant states can be monitored and associated switching states within the safety monitoring chain of the passenger conveyor system are switched accordingly.
  • a desired redundancy can be achieved when switching the switching states without at least two separate relays having to be provided for each switching state to be switched.
  • the two double contact relays can be integrated into the safety monitoring chain of the passenger conveyor system, ie with other components of the Be connected to the safety monitoring chain so that all the desired switching states within the safety monitoring chain can be switched in response to the two monitored safety-relevant states with just two double contact relays.
  • the first working contact of the first double contact relay is connected in series with the first working contact of the second double contact relay to form the first safety monitoring switch arrangement.
  • the second working contact of the first double contact relay and the second working contact of the second double contact relay are connected in parallel to one another.
  • the first safety monitoring switch arrangement is only completely closed when both of the series-connected first working contacts of the two double contact relays are closed, ie when both controllers control the two double contact relays to close.
  • the second safety monitoring switch arrangement is already closed when only one of the second working contacts connected in parallel is closed, that is, when at least one of the double contact relays is actuated to close by one of the controllers, and only opened when both of the second working contacts of the two Double contact relays are open.
  • the safety monitoring device is set up to take into account that the monitoring of the first safety-relevant state requires a higher safety integrity level than the monitoring of the second safety-relevant state.
  • the special circuit of the two double contact relays proposed here can be used particularly advantageously in a constellation in which two different safety-relevant states are to be monitored with the aid of the safety monitoring device within the passenger conveyor system, which are significantly different in terms of their safety integrity level.
  • the first safety monitoring switch arrangement with the two series-connected first working contacts of the first and second double contact relay can ensure a higher level of safety integrity than the second safety monitoring switch arrangement in which the two second working contacts of both double contact relays are connected in parallel to one another.
  • a safety integrity level which is also sometimes referred to as the safety requirement level or SIL (Safety Integrity Level), is a term from the field of functional safety, as described, for example, in the international standardization IEC 62508 / IEC61511.
  • a safety integrity level is used to assess electrical, electronic or programmable electronic systems with regard to their reliability of safety functions. The desired level results in safety-related construction principles, for example, which must be adhered to in order to be able to minimize the risk of malfunctions.
  • SIL 1 to SIL4 the safety integrity level.
  • the safety monitoring device can be set up to take into account that the monitoring of the second safety-relevant state requires a safety integrity level SIL1 and the monitoring of the first safety-relevant state requires at least one safety integrity level SIL2.
  • the first safety monitoring switch arrangement used to monitor the first safety-relevant state can be designed in such a way that it can perform its monitoring function in accordance with the higher requirements of a safety integrity level SIL2 or even SIL3, whereas the second safety monitoring switch arrangement used to monitor the second safety-relevant state can be designed in such a way that it can only perform its monitoring function in accordance with the lower requirements of a safety integrity level SIL1.
  • the first safety-relevant state can indicate whether parts of the safety monitoring chain which monitor the closed states of doors of the passenger conveyor system may be temporarily short-circuited.
  • the parts of the safety monitoring chain which monitor the closed states of doors of the passenger conveyor system can then be temporarily short-circuited by closing switching of the first switching state.
  • the first safety-relevant state monitored by the first safety monitoring switch arrangement can contain information about whether, for example, there are currently conditions in which the actual closed states of the car door and shaft doors may be temporarily ignored and the elevator car may be moved, for example, despite the car door or shaft door being open .
  • a safety-relevant state can exist when the car is very close (e.g. ⁇ 20 cm) to a target position, i.e. for example at a floor stop, and the respective door may already be opened before the target position is actually reached. This can be recognized, for example, by analyzing the current position of the elevator car within the elevator shaft.
  • the information about the current position of the car can be interpreted as indicating a safety-relevant state, in which the closed states of the doors of the passenger conveyor system can be temporarily ignored and thus parts of the safety monitoring chain that monitor these closed states can be temporarily short-circuited.
  • the first and second controller can control the two double contact relays appropriately so that both double contact relays in their override closed relay state.
  • the first two working contacts of the two double contact relays are then closed, so that a closed state also results overall for their series connection within the framework of the first safety monitoring switch arrangement.
  • the first safety monitoring switch arrangement can close a circuit that runs parallel to the part of the safety monitoring chain that monitors the closed states of the doors of the passenger conveyor system, and can thus temporarily short-circuit the monitoring of the doors in the form of a UET contact as in a bypass.
  • the second safety-relevant state can indicate whether an elevator car has been moved beyond a permissible movement range.
  • the safety monitoring chain can be interrupted by opening the second switching state.
  • the second safety-relevant state monitored by the second safety monitoring switch arrangement can include information about the current position of the elevator car, so that it can be determined whether the elevator car is currently within its permissible travel range, that is, for example, between an uppermost permissible end position and a lowermost permissible end position inside the elevator shaft, or whether the elevator car has left its permissible travel range, for example due to a malfunction, and has been moved beyond the upper permissible end position or below the lower permissible end position, for example.
  • the first and second controller can control the two double contact relays appropriately so that both double contact relays switch to their open relay state.
  • the two second working contacts of the two double contact relays are then both open, so that an open state also results overall for the parallel connection within the scope of the second safety monitoring switch arrangement.
  • the second safety monitoring switch arrangement for example if it is connected in series with a remainder of the safety monitoring chain of the passenger conveyor system, can act like an open switch and thus the safety monitoring chain temporarily interrupt. As a result, operation of the elevator or, in particular, further movement of the elevator car beyond a respective end position is prevented.
  • the safety monitoring device furthermore has a plurality of third safety monitoring switch arrangements connected in series for monitoring third safety-relevant states.
  • the safety monitoring device can have further safety monitoring switch arrangements with the aid of which other tasks or functionalities can be implemented.
  • third safety monitoring switch arrangements can be door switches, for example, with the aid of which the closed states of elevator doors, in particular the car door or one of the shaft doors, can be monitored.
  • the several third safety monitoring switch arrangements can be connected in series so that they can form part of the safety monitoring chain of the passenger conveyor systems.
  • a series connection ensures that all doors, and thus all door switches, must be closed so that the cited part of the security monitoring chain is closed as a whole.
  • the first safety monitoring switch arrangement can be connected in parallel to the series of third safety monitoring switch arrangements and the second safety monitoring switch arrangement can be connected in series with the series of third safety monitoring switch arrangements.
  • the first safety monitoring switch arrangement with its two series-connected first working contacts of the two double contact relays can be connected in parallel to the series circuit of third safety monitoring switch arrangements.
  • the first safety monitoring switch arrangement thus forms a bypass running parallel to the series circuit comprising third safety monitoring switch arrangements and can thus bridge this series circuit in a controlled manner like a UET switch.
  • the second safety monitoring switch arrangement with its two second working contacts of the two double contact relays connected in parallel can be connected in series with the series connection of third safety monitoring switch arrangements. As long as at least one of the double contact relays is closed, the second switching state also remains closed, so that overall that part of the safety chain formed by the third safety monitoring switch arrangements and the second safety switch monitoring arrangement remains closed. This part of the safety chain is only opened when both double contact relays are open at the same time and the second switching state is therefore also open.
  • the second safety monitoring switch arrangement can thus temporarily interrupt a safety chain in a controlled manner like a KNE switch.
  • the first and the second controller can each be designed as safety-related, programmable logic controllers.
  • a programmable logic controller is a device that can usually be used to control or regulate a system or a machine.
  • Programmable logic controllers are increasingly replacing conventional hard-wired, connection-programmed controllers.
  • the fact that a PLC can be programmed on a digital basis and thus adapted to various tasks can be used to advantage.
  • a PLC has inputs, outputs, an operating system and, if necessary, an interface via which a user program can be loaded.
  • the user program can program how the outputs are to be switched depending on the inputs, so that the system or machine functions in the desired manner.
  • the operating system can be kept up-to-date in the form of firmware, for example.
  • a PLC can also perform other tasks such as the visualization of data, a design as Interface, for example in the form of a man-machine interface, take over an alarm and / or a recording of operational messages (data logging).
  • a safety-related PLC is a special implementation of a PLC.
  • a safety-related PLC has a largely redundant design of its components and is usually designed in such a way that the safety-related PLC in the event of a failure of a component or a Conflict between redundant components is transferred to a predetermined safe state.
  • safety-related PLCs differ significantly from conventional PLCs.
  • a conventional PLC typically has a microprocessor that executes a program, non-volatile memory for storing the program, volatile memory (RAM) for performing calculations, ports for data communication and I / O connections for to detect and control a system or machine.
  • a safety-related PLC generally has at least two of the respective components which continuously monitor each other or are monitored by what is known as a watch dog circuit.
  • the inputs of a conventional PLC typically do not have any means for testing the functionality of an input circuit.
  • safety-related PLCs usually have an internal output circuit that is assigned to each input and with which the respective input can be tested.
  • safety-related PLCs generally have a test point after each of two safety switches located after an output driver and a third test point downstream of the output driver.
  • Each of two safety switches are generally controlled by a single microprocessor. If a fault in one of the two safety switches is due, for example, to a fault in the switch or the Microprocessor or at the test point downstream of the output driver is detected, the operating system of the safety-related PLC will automatically detect a system error and the safety-related PLC is transferred to a predefined state in which a system can be shut down properly, for example.
  • the two controllers are designed as safety-related PLCs, they are suitable, on the one hand, for being able to be adapted to different elevator types as retrofit devices, for example.
  • the controllers or the safety monitoring device equipped with them can guarantee a high level of safety for the passenger conveyor systems equipped with them.
  • the security monitoring device can be set up to execute or control a method according to an embodiment of the third aspect of the invention.
  • the first and second controllers of the safety monitoring device which are designed as PLCs or safety-related PLCs, can be programmed in such a way that the control voltages generated by them are varied in such a way that at least one of the two double contact relays is always in its closed relay state, but one of the two double contact relays is briefly put into its open relay state and back into its closed relay state. It is always monitored whether the associated feedback contact of a double contact relay follows the generated control voltage, i.e. whether the feedback contact indicates the relay state that was actually controlled by the associated controller, or whether, for example, due to a malfunction within the double contact relay, an actual relay state does not correspond to the desired controlled relay state is equivalent to.
  • the two controllers in the event that the feedback contacts of the two double contact relays do not indicate a relay state indicating the currently activated relay state, the two controllers can generate control voltages in such a way that both the first and the second Double contact relays are switched to their open relay state.
  • each of the two controllers monitors the feedback contacts of each of the two double contact relays.
  • the first and the second controller should not only monitor the feedback contacts of the double contact relay assigned to them, i.e. controlled by you. Instead, each controller should monitor the feedback contact of its assigned double contact relay as well as the feedback contact of the other double contact relay. In this way, redundancy can be created which further increases the safety of the safety monitoring device and, in particular, drastically increases the probability that malfunctions will be correctly recognized in its double contact relay.
  • the proposed method is carried out before, during or after each individual journey of the passenger transport system.
  • the method with which the functionality of the safety monitoring device is checked can in principle be carried out at any time or triggered by any events. However, it is considered advantageous to carry out the method at least when the passenger transport system is driving. It can thus be ensured that the functionality of the safety monitoring device is checked sufficiently frequently.
  • Fig. 1 shows a passenger conveyor system 1 in the form of an elevator.
  • the elevator comprises an elevator car 5 and a counterweight 7, which can be displaced vertically within an elevator shaft 3 by means of belts 9 driven by a drive machine 11.
  • the elevator control 13 can, for example, supply the drive machine 11 with electrical power from an electrical power source 15 in a controlled manner.
  • the elevator car 5 can be moved between different floors 17.
  • a shaft door 19 is provided on each floor 17 and a car door 21 is provided on the elevator car 15.
  • a plurality of safety monitoring switch arrangements 23 is provided in the passenger conveyor system 1, with the aid of which safety-relevant states within the passenger conveyor system 1 can be monitored.
  • door switches 25 are provided on each of the shaft doors 19 and on the car door 21, with the aid of which it can be monitored whether the respective shaft or car door 19, 21 is currently correctly closed or at least partially open.
  • a ladder presence switch 27 is provided in a pit area of the elevator shaft 3, with the aid of which the presence and correct arrangement of a ladder 29 can be monitored.
  • safety monitoring switch arrangements 23 can be provided, for example, as simple, mechanically operated switches.
  • the passenger conveyor system 1 can also have more complex safety monitoring switch arrangements 23.
  • an absolute position sensor 35 can be formed, with the aid of which information about a current position of the elevator car 5 within the elevator shaft 3 can be obtained. Based on this information, safety-relevant states can then be monitored.
  • the elevator car 5 can be recognized whether the elevator car 5 is currently located opposite or at least close to one of the shaft doors 19 and thus the car door 21 and / or the opposite shaft door 19 may be opened. Furthermore, based on this information, it can be recognized whether the elevator car 5 is located within a permissible travel range 37 within the elevator shaft 3 or whether it was unintentionally moved out of this permissible travel range 37.
  • Data or signals can be transmitted from the various safety monitoring switch arrangements 23 to a safety monitoring device 39, for example in a wired or wireless manner.
  • the safety monitoring switch arrangements 23 can be connected to one another, in particular connected to one another in series, in order to form parts of a safety monitoring chain 41.
  • the door switches 25 and the conductor presence switch 27 can be connected in series so that the part of the security monitoring chain 41 formed thereby is only closed as a whole when all the door switches 25 and the conductor presence switch 27 are closed.
  • the safety monitoring device 39 can communicate with the elevator control 13 or be part of the same and influence functions of the elevator control 13.
  • the safety monitoring device 39 can actuate one or more main relay arrangements 43, for example to be able to interrupt a power supply between the elevator control 13 and the drive machine 11 and / or to activate or release the brake 12 for braking the elevator car 5.
  • Fig. 2 illustrates details of a safety monitoring chain 41.
  • Several safety monitoring switch arrangements 23 (which are also referred to below as “third safety monitoring switch arrangements”) in the form of door switches 25 and further safety monitoring switch arrangements 23, for example in the form of a conductor presence switch 27 or the like, are connected in series.
  • One of these further safety monitoring switch arrangements 23 acts as a cabin emergency limit switch 28 (KNE switch). This cabin emergency limit switch 28 is opened when the elevator car 5 is moved beyond its permissible travel range 37.
  • KNE switch cabin emergency limit switch 28
  • the part of the safety monitoring chain 41 formed by the safety monitoring switch arrangements 23 connected in series is connected in series with the main relay arrangement 43.
  • the main relay arrangement 43 comprises a first main double contact relay 45 with a coil 49, a first normally open contact 53, a second normally open contact 57 and a feedback contact 61 and a second main double contact relay 47 with a coil 51, a first make contact 55, a second make contact 59 and a feedback contact 63.
  • the main relay arrangement 43 is normally open, ie when the coils 49, 51 are not energized.
  • the main relay arrangement 43 closes an electrical connection running in series through the first working contacts 53, 55 of the first and second main double contact relays 45, 47 between the power-supplying elevator control 13 and the drive machine 11 only when its two coils 49, 51 are completely closed Safety monitoring chain 41 are energized.
  • the brake 12 is only energized and thus released when a connection between a power source and the brake 12 is closed with the aid of the main relay arrangement 43 as a result of a completely closed safety monitoring chain 41.
  • a so-called UET switch 65 is provided in parallel to the series connection of door switches 25.
  • This UET switch 65 also forms a safety monitoring switch arrangement 23 and may only be closed when the predetermined requirements are met, ie for example when the elevator car 5 has already approached a target floor position within a few centimeters and has already begun is to open the doors 19, 21 before the elevator car 5 has finally stopped at the destination floor position. By closing the UET switch 65, the part of the security monitoring chain 41 formed by the door switches 25 is temporarily bridged.
  • both the KNE switch 28 and the UET switch 65 have so far been implemented in a redundant manner, each with two simple relays.
  • the two simple relays were connected in series, so that a switching state of the UET switch 65 was only closed when both relays were closed at the same time, i.e. both relays were in their closed relay state.
  • Fig. 3 illustrates a safety monitoring device 67 according to the invention, which can be implemented as part of a safety monitoring chain 41 of a passenger conveyor system 1 in order to monitor safety-relevant states in the passenger conveyor system 1.
  • the safety monitoring device 67 can in particular implement the functions of a KNE switch 28 and a UET switch 65.
  • the safety monitoring device 67 comprises a first double contact relay 69 and a second double contact relay 71.
  • Both double contact relays 69, 71 are designed as normally opened relays and each have coils 73, 75 which, when a control voltage is applied to them, first work contacts 77, 79 and second work contacts 81, 83 close.
  • Each of the double contact relays 69, 71 also has a feedback contact 85, 87.
  • the respective coil 73, 75 shifts, ie opens and closes, its first and second working contacts 77, 79, 81, 83 and their feedback contact 85, 87 synchronously with one another and can thus be controlled by the control voltage in an open or closed relay state can be switched.
  • the safety monitoring device 67 further comprises a first and a second controller 89, 91.
  • the two controllers 89, 91 are designed to determine properties of the passenger conveyor system 1 that correlate with a safety-relevant state, and then suitable control voltages for to generate the first or the second double contact relay 69, 71 as a function of the properties determined.
  • the two controllers 89, 91 can communicate with one another or control one another.
  • the controllers 89, 91 can be designed as safety-related programmable logic controllers (SSPS).
  • the two controllers 89, 91 receive information about the current position of the elevator car 5 within the elevator shaft 3 from the absolute position sensor 35 is located or whether it has left it. Depending on which of these two cases applies, the controllers 89, 91 can generate different control voltages for the two double contact relays 69, 71 in order to emulate the function of a KNE switch 28 with the safety monitoring device 67. On the other hand, the controllers 89, 91 can infer from the information whether the elevator car 5 is currently sufficiently close to a destination floor position so that it appears permissible to temporarily bypass the part of the safety monitoring chain 41 formed by the door switches 25 in order to be able to use of the security monitoring device 67 to emulate the function of a UET switch.
  • the safety monitoring device 67 with its double contact relays 69, 71 and their controllers 89, 91, forms safety monitoring switch arrangements 23 in the form of a first and a second safety monitoring switch arrangement 93, 95.
  • the first safety monitoring switch arrangement 93 comprises the first working contact 77 of the first double contact relay 69 and the first working contact 79 of the second double contact relay 71, which are connected to one another in series. With this first safety monitoring switch arrangement 93, the safety monitoring device 67 emulates the function of the UET switch at a first output 97.
  • the second safety monitoring switch arrangement 95 comprises the second normally open contact 81 of the first double contact relay 69 and the second normally open contact 83 of the second double contact relay 71, which are connected in parallel to one another. With this second safety monitoring switch arrangement 95, the safety monitoring device 67 emulates the function of the KNE switch at a second output 99.
  • An actually assumed relay state of each of the double contact relays 69, 71 can be determined by the controllers 89, 91 via the respective feedback contact 85, 87 of the associated double contact relay 69, 71. This makes it possible to monitor whether a relay state activated by a controller 89, 91 in the associated double contact relay 69, 71 has led to the desired relay state being assumed or whether a defect has prevented this.
  • Each of the two feedback contacts 85, 87 can transmit a feedback signal to each of the two controllers 89, 91.
  • the first output 97 is designed to implement the function of the UET switch 65 and the second output 99 is designed to implement the function of the KNE switch 28.
  • the UET switching state emulated by the first safety monitoring switch arrangement 93 is only “closed” when both double contact relays 69, 71 have been activated by the two controllers 89, 91 in their closed relay state ("1") .
  • the KNE switching state emulated by the second safety monitoring switch arrangement 95 is only opened (“open") when both double contact relays 69, 71 have been activated by the two controllers 89, 91 in their open relay state ("0").
  • the function of the UET switch 65 can be controlled via the first safety monitoring switch arrangement 93 with a very high safety integrity level of SIL2 or even required for this Implement SIL3.
  • the function of the KNE switch 28 can be implemented via the second safety monitoring switch arrangement 95 at least with the sufficient safety integrity level of SIL1.
  • the normal operation of the safety monitoring devices 67 during which the safety-relevant states in the passenger conveyor system 1 are monitored, is briefly interrupted at predetermined time intervals, i.e., for example periodically, or triggered by certain events such as the beginning or the end of a journey.
  • each of the two double contact relays 69, 71 is activated at least once for opening and subsequent closing.
  • the first safety monitoring switch arrangement 93 effecting the UET function is briefly opened and closed again, but the second safety monitoring switch arrangement 95 effecting the KNE function always remains closed.
  • the entire safety monitoring chain 41 thus always remains closed during this variation of the control voltages.
  • the control voltages be varied with the aid of, for example, the controllers 89, 91, but also the actual relay status indicated by the feedback contacts 85, 87 of both double contact relays 69, 71.
  • the relay status reported by the feedback contacts 85, 87 should match that of the controllers 89, 91 controlled relay status match. If this no longer applies at a point in time to, a defect in one of the double contact relays 69, 71 can be assumed. This can be brought about, for example, by the fact that arms of one of the working contacts 77, 79, 81, 83 have been glued or welded to one another.
  • both controllers 89, 91 generate control voltages in such a way that both the first and the second double contact relay 69, 71 are switched to their open relay state. It can thus be ensured that at least the extremely safety-critical UET function of the first safety monitoring switch arrangement 93 is reliably switched to its open state, so that a dangerous movement of the elevator car 5 when the doors 19, 21 are open is definitely avoided.

Landscapes

  • Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Structural Engineering (AREA)
  • Escalators And Moving Walkways (AREA)
  • Maintenance And Inspection Apparatuses For Elevators (AREA)

Description

  • Die vorliegende Erfindung betrifft eine Sicherheitsüberwachungsvorrichtung zum Überwachen von sicherheitsrelevanten Zuständen in einer Personenförderanlage. Ferner betrifft die Erfindung eine Personenförderanlage mit einer solchen Sicherheitsüberwachungsvorrichtung. Außerdem betrifft die Erfindung ein Verfahren zum Überwachen einer Funktionsfähigkeit einer solchen Sicherheitsüberwachungsvorrichtung. Personenförderanlagen in Form von Aufzügen, Fahrtreppen oder Fahrsteigen dienen dazu, Personen innerhalb von Bauwerken zu befördern. Die Personenförderanlage ist dabei in dem Bauwerk fest installiert. Im Falle eines Aufzugs kann eine Aufzugkabine zwischen verschiedenen Stockwerken vertikal verlagert werden. Im Falle von Fahrtreppen oder Fahrsteigen können Passagiere auf Tritteinheiten stehend entlang von geneigten oder horizontalen Fahrwegen befördert werden.
  • Um eine Sicherheit von Passagieren gewährleisten zu können, sollten innerhalb einer Personenförderanlage sicherheitsrelevante aktuelle Zustände von etlichen ihrer
  • Komponenten überwacht werden, um beispielsweise daraufhin andere Komponenten der Personenförderanlage geeignet und sicher betreiben oder ansteuern zu können. Um solche sicherheitsrelevanten Zustände von Komponenten der Personenförderanlage überwachen zu können, sind meist an den entsprechenden Komponenten bzw. an verschiedenen Stellen der Personenförderanlage Sensoren und/oder Schalter vorgesehen. Signale von solchen Sensoren bzw. Schaltern können einer Steuerung der Personenförderanlage zur Verfügung gestellt werden, sodass diese die Signale beim Steuern von Funktionen der Personenförderanlage berücksichtigen kann und somit einen sicheren Betrieb der Personenförderanlage bewirken kann.
  • Beispiele für Sicherheitseinrichtungen für Personenförderanlagen und deren Betrieb sind unter anderem in DE 19849238 , CN 102190216 , WO 2000/051929 , US 4977984 und
  • Nachfolgend werden Einzelheiten zu Ausführungsformen der hierin vorgestellten Erfindung am Beispiel einer Personenförderanlage in Form eines Aufzuges erläutert.
  • Merkmale des Aufzugs können jedoch in analoger Weise auf andere Personenförderanlagen wie Fahrtreppen oder Fahrsteigen übertragen werden.
  • In einem Aufzug wird herkömmlich eine sogenannte Sicherheitsüberwachungskette eingesetzt, um einen sicheren Betrieb des Aufzugs zu gewährleisten. Die Sicherheitsüberwachungskette umfasst dabei eine Vielzahl von Sensoren und/oder Schaltern, mithilfe derer Informationen über aktuelle sicherheitsrelevante Zustände von Komponenten des Aufzugs ermittelt werden können.
  • Beispielsweise sind typischerweise an einer Kabinentür sowie an jeder einer Mehrzahl von Schachttüren jeweils ein Türschalter vorgesehen, welcher geschlossen ist, solange die jeweilige Tür geschlossen ist. Die mehreren Türschalter sind innerhalb der Sicherheitsüberwachungskette in Serie geschaltet, sodass die Sicherheitsüberwachungskette als Ganzes ausschließlich dann geschlossen ist, wenn jeder der Türschalter geschlossen ist. Eine mit der Sicherheitsüberwachungskette verbundene Aufzugsteuerung darf bzw. kann in diesem Fall eine Aufzugkabine ausschließlich dann innerhalb eines Aufzugschachts verlagern, wenn die Sicherheitsüberwachungskette als Ganzes geschlossen ist und somit davon ausgegangen werden darf, dass alle Kabinen- und Schachttüren aktuell geschlossen sind.
  • Die Sicherheitsüberwachungskette kann ergänzend weitere Schalter und/oder Sensoren umfassen. Beispielsweise kann ein so genannter Kabinennotendschalter (KNE-Schalter) in dem Aufzug vorgesehen sein, welcher normalerweise geschlossen ist und welcher öffnend betätigt wird, sobald die Aufzugkabine über einen zulässigen Verfahrweg hinaus beispielsweise in Richtung einer Aufzugschachtdecke oder in Richtung eines Aufzugschachtbodens verlagert wird. Alternativ kann eine Sensorik vorgesehen sein, welche die Funktionalität des KNE-Schalters ermöglicht, indem mithilfe der Sensorik eine aktuelle Position der Aufzugkabine innerhalb des Aufzugschachts ermittelt werden kann und erkannt werden kann, wenn die Aufzugkabine über den zulässigen Verfahrweg hinaus verfahren wird und welche daraufhin bewirkt, dass die Sicherheitsüberwachungskette unterbrochen wird. Damit kann sichergestellt werden, dass die Sicherheitsüberwachungskette unterbrochen wird, sobald die Aufzugkabine ihren zulässigen Verfahrweg verlässt.
  • Ferner können als Ausnahme von einer Regel, gemäß der die Aufzugkabine nie bewegt werden darf, solange bzw. sobald die Kabinentür oder eine der Schachttüren geöffnet ist, in einem Aufzug Vorkehrungen vorgesehen sein, die es ermöglichen, in vordefinierten Ausnahmesituationen solche Türen doch zu öffnen, während die Aufzugkabine nicht stillsteht bzw. die Aufzugkabine zu verfahren, obwohl zumindest eine Türe geöffnet ist. Beispielsweise kann gewünscht sein, dass Türen bereits beginnen, zu öffnen, kurz bevor die Aufzugkabine eine Zielposition erreicht und dort anhält, um auf diese Weise Türöffnungsvorgänge beschleunigen und Aufenthaltsdauern an der Zielposition verringern zu können. Hierzu kann beispielsweise parallel zu den in Reihe geschalteten Türschaltern eine schaltbare Verbindung vorgesehen sein, welche zur temporären Überbrückung der Türen (UET-Schalter) zeitweilig geschlossen werden kann, um Türen öffnen zu können, ohne die Sicherheitsüberwachungskette zu unterbrechen. Der UET-Schalter kann beispielsweise geschlossen werden und damit der die Türschalter umfassende Bereich der Sicherheitsüberwachungskette überbrückt werden, sobald z.B. mithilfe einer Sensorik erkannt wird, dass sich die Aufzugkabine ausreichend nahe zu einer angestrebten Zielposition befindet, d.h. beispielsweise weniger als 20cm oder weniger als 10cm von dieser entfernt ist.
  • Ein sicherheitsrelevanter Zustand kann direkt mit Hilfe eines Schalters detektiert werden und dieser Schalter kann in die Sicherheitsüberwachungskette integriert sein.
  • Alternativ kann der sicherheitsrelevante Zustand beispielsweise mit einer Sensorik überwacht werden. In diesem Fall kann die Sensorik Signale, welche den sicherheitsrelevanten Zustand wiedergeben, mithilfe einer Kontrolleranordnung auswerten, um daraufhin einen in die Sicherheitsüberwachungskette integrierten Schalter geeignet betätigen zu können. Für eine solche Implementierung können als in die Sicherheitsüberwachungskette integrierte Schalter insbesondere Relais genutzt werden, welche mittels von der Kontrolleranordnung geeignet generierter Steuerspannungen in gewünschter Weise geschaltet werden können.
  • Um hierbei eine ausreichende Sicherheit gewährleisten zu können, ist meist sowohl die Kontrolleranordnung als auch eine Relaisanordnung redundant ausgeführt. Beispielsweise umfasst die Relaisanordnung zwei in Serie geschaltete Relais, welche beide von der Kontrolleranordnung in geschlossene Zustände gebracht werden müssen, um insgesamt einen zugehörigen Schaltzustand innerhalb der Sicherheitsüberwachungskette zu schließen.
  • Ein Aufwand zur Implementierung einer Sicherheitsüberwachungsvorrichtung kann insbesondere aufgrund einer vorzuhaltenden Vielzahl von Komponenten und deren Verschaltung erheblich sein.
  • Es kann unter anderem ein Bedarf an einer Sicherheitsüberwachungsvorrichtung bestehen, bei der ein solcher Aufwand reduziert ist. Ferner kann ein Bedarf an einer mit einer solchen Sicherheitsüberwachungsvorrichtung ausgestatteten Personenförderanlage bestehen. Außerdem kann ein Bedarf an einem Verfahren bestehen, mithilfe dessen eine Funktionsfähigkeit einer solchen Sicherheitsüberwachungsvorrichtung überwacht werden kann.
  • Einem solchen Bedarf kann durch den Gegenstand eines der unabhängigen Ansprüche entsprochen werden. Vorteilhafte Ausführungsformen sind in den abhängigen Ansprüchen sowie der nachfolgenden Beschreibung definiert.
  • Gemäß einem ersten Aspekt der Erfindung wird eine Sicherheitsüberwachungsvorrichtung zum Überwachen von sicherheitsrelevanten Zuständen in einer Personenförderanlage vorgeschlagen. Die Sicherheitsüberwachungsvorrichtung weist ein erstes und ein zweites Doppelkontaktrelais sowie einen ersten und einen zweiten Kontroller auf. Beide Doppelkontaktrelais sind dazu ausgestaltet, jeweils gesteuert durch eine Steuerspannung einen ersten Arbeitskontakt und einen zweiten Arbeitskontakt sowie einen Feedbackkontakt synchron miteinander zwischen einem geöffneten und einem geschlossenen Relaiszustand zu schalten. Die beiden Kontroller sind dazu ausgestaltet, jeweils mit einem sicherheitsrelevanten Zustand korrelierende Eigenschaften der Personenförderanlage zu ermitteln und die Steuerspannungen für das erste bzw. das zweite Doppelkontaktrelais abhängig von den ermittelten Eigenschaften zu generieren. Hierbei sind mittels der zwei Doppelkontaktrelais und der zwei Kontroller eine erste und eine zweite Sicherheitsüberwachungsschalteranordnung ausgebildet. Die erste Sicherheitsüberwachungsschalteranordnung ist zum Überwachen eines ersten sicherheitsrelevanten Zustandes und zum entsprechenden Schalten eines ersten Schaltzustands innerhalb einer Sicherheitsüberwachungskette der Personenförderanlage ausgestaltet. Die zweite Sicherheitsüberwachungsschalteranordnung ist zum Überwachen eines zweiten sicherheitsrelevanten Zustandes und zum entsprechenden Schalten eines zweiten Schaltzustands innerhalb der Sicherheitsüberwachungskette der Personenförderanlage ausgestaltet. Hierbei umfasst die erste Sicherheitsüberwachungsschalteranordnung den ersten Arbeitskontakt des ersten Doppelkontaktrelais und in Serie zu diesem geschaltet den ersten Arbeitskontakt des zweiten Doppelkontaktrelais. Die zweite Sicherheitsüberwachungsschalteranordnung umfasst den zweiten Arbeitskontakt des ersten Doppelkontaktrelais und parallel zu diesem geschaltet den zweiten Arbeitskontakt des zweiten Doppelkontaktrelais.
  • Gemäß einem zweiten Aspekt der Erfindung wird eine Personenförderanlage vorgeschlagen, welche eine Sicherheitsüberwachungsvorrichtung gemäß einer Ausführungsform des ersten Aspekts der Erfindung aufweist.
  • Gemäß einem dritten Aspekt der Erfindung wird ein Verfahren zum Überwachen einer Funktionsfähigkeit einer Sicherheitsüberwachungsvorrichtung gemäß einer Ausführungsform des ersten Aspekts der Erfindung vorgeschlagen. Das Verfahren umfasst zumindest die folgenden Schritte des
    1. (a) Variierens der von dem ersten und dem zweiten Kontroller generierten Steuerspannungen derart, dass abwechselnd eines des ersten und des zweiten Doppelkontaktrelais kurzzeitig in seinen geöffneten Relaiszustand und wieder zurück in seinen geschlossenen Relaiszustand geschaltet wird und dass stets zumindest eines des ersten und des zweiten Doppelkontaktrelais in seinem geschlossenen Relaiszustand ist, und
    2. (b) Überwachens, ob die Feedbackkontakte der beiden Doppelkontaktrelais stets einen dem aktuell angesteuerten Relaiszustand angebenden Relaiszustand angeben.
  • Mögliche Merkmale und Vorteile von Ausführungsformen der verschiedenen Aspekte der Erfindung können unter anderem und ohne die Erfindung einzuschränken als auf nachfolgend beschriebenen Ideen und Erkenntnissen beruhend angesehen werden.
  • Wie einleitend bereits angemerkt, werden bei herkömmlichen Sicherheitsüberwachungsvorrichtungen für Personenförderanlagen teilweise Sicherheitsüberwachungsschalteranordnungen eingesetzt, um einen sicherheitsrelevanten Zustand innerhalb der Personenförderanlage zu überwachen, wobei eine Sicherheitsüberwachungsvorrichtung Kontroller zum Ermitteln von mit dem zu überwachenden Zustand korrelierenden Eigenschaften innerhalb der Personenförderanlage sowie Relais zum Öffnen oder Schließen eines Kontakts innerhalb einer Sicherheitsüberwachungskette aufweist.
  • Herkömmlich werden hierbei für jeden zu überwachenden sicherheitsrelevanten Zustand jeweils eine Sicherheitsüberwachungsschalteranordnung mit einem oder mehreren eigenen Kontrollern und Relais bereitgestellt. Zum Überwachen besonders sicherheitskritischer Zustände werden dabei zwei Relais in redundanter Weise in Serie verschaltet. Dementsprechend müssen für jeden zu überwachenden sicherheitsrelevanten Zustand zumindest ein Kontroller und ein Relais, in vielen Fällen jedoch zwei Kontroller und zwei Relais vorgesehen werden.
  • Eine Anzahl von in der Personenförderanlage vorzuhaltenden Relais kann hierdurch groß werden, womit signifikanter Bereitstellungs- und Wartungsaufwand und entsprechende Kosten einhergehen können.
  • Um einen solchen Aufwand und Kosten reduzieren zu können, wird vorgeschlagen, in einer Sicherheitsüberwachungsvorrichtung statt einfacher Relais Doppelkontaktrelais einzusetzen und diese in vorteilhafter Weise miteinander zu verschalten und von zwei Kontrollern ansteuern zu lassen.
  • Ähnlich wie bei einfachen Relais kann hierbei eine in einem Steuerstromkreis an das Relais angelegte Steuerspannung dazu eingesetzt werden, um das Relais wie einen Schalter gesteuert zu öffnen bzw. zu schließen. Die Steuerspannung kann hierbei beispielsweise einen Strom durch eine Spule bewirken, wodurch die Spule ein Magnetfeld erzeugt, welches einen Anker anzieht oder abstößt. Der in dieser Weise bewegte Anker kann dann Arme eines Arbeitskontakts aufeinander zu oder voneinander weg bewegen. Bei einem einfachen Relais wird hierbei lediglich ein einzelner Arbeitskontakt geöffnet bzw. geschlossen.
  • Bei einem Doppelkontaktrelais werden hingegen zwei Arbeitskontakte gleichzeitig, d.h. synchron miteinander, bewegt von ein und demselben Anker geöffnet bzw. geschlossen. Das Doppelkontaktrelais kann somit nicht nur einen Schalter in einem Arbeitsstromkreis sondern zwei Schalter in zwei verschiedenen Arbeitsstromkreisen gesteuert durch die Steuerspannung synchronisiert miteinander öffnen bzw. schließen.
  • Ein konstruktiver Aufwand und somit damit verbundene Kosten sind dabei bei einem Doppelkontaktrelais lediglich geringfügig höher als bei einem einfachen Relais und sind im Regelfall deutlich geringer als entsprechender Aufwand und Kosten für zwei separate einfache Relais.
  • Ähnlich wie bei einem einfachen Relais kann ergänzend auch bei einem Doppelkontaktrelais ein sogenannter Feedbackkontakt vorgesehen sein, der synchron mit den beiden Arbeitskontakten bewegt wird. Der Feedbackkontakt kann beispielsweise dazu genutzt werden, um zu überprüfen, ob die Arbeitskontakte tatsächlich der angelegten Steuerspannung folgend geöffnet wurden. Dementsprechend kann beispielsweise durch Überwachen des Feedbackkontakts erkannt werden, wenn das Doppelkontaktrelais einen Defekt aufweist und nicht mehr korrekt schaltet. Insbesondere kann erkannt werden, wenn benachbarte Arme eines Arbeitskontakts beispielsweise unbeabsichtigt miteinander verschweißt sind oder aneinander kleben und somit trotz entsprechend angelegter Steuerspannung nicht mehr korrekt öffnen.
  • Bei der hier vorgeschlagenen Sicherheitsüberwachungsvorrichtung können die beiden darin vorgesehenen Doppelkontaktrelais in vorteilhafter Weise derart verschaltet werden, dass sie zwei Sicherheitsüberwachungsschalteranordnungen bilden, mithilfe derer zwei unterschiedliche sicherheitsrelevante Zustände überwacht werden können und zugehörige Schaltzustände innerhalb der Sicherheitsüberwachungskette der Personenförderanlage entsprechend geschaltet werden. Im Gegensatz zu herkömmlichen Sicherheitsüberwachungsvorrichtungen kann dabei eine gewünschte Redundanz beim Schalten der Schaltzustände erreicht werden, ohne dass für jeden zu schaltenden Schaltzustand wenigstens zwei eigene Relais bereitgestellt werden müssen. Stattdessen können die beiden Doppelkontaktrelais derart in die Sicherheitsüberwachungskette der Personenförderanlage integriert sein, d.h. mit anderen Komponenten der Sicherheitsüberwachungskette verschaltet sein, dass mit den lediglich zwei Doppelkontaktrelais alle gewünschten Schaltzustände innerhalb der Sicherheitsüberwachungskette in Reaktion auf die überwachten beiden sicherheitsrelevanten Zustände geschaltet werden können.
  • Um zum Beispiel zwei verschiedene sicherheitsrelevante Zustände überwachen und entsprechende Schaltzustände innerhalb der Sicherheitsüberwachungskette in redundanter Weise schalten zu können, sind somit nicht wie bisher wenigstens vier Relais, sondern lediglich zwei Doppelkontaktrelais notwendig. Hiermit kann ein konstruktiver wie auch ein kostenmäßiger Aufwand signifikant verringert werden.
  • Um eine solche Einsparung von Relais zu ermöglichen, wird zur Bildung der ersten Sicherheitsüberwachungsschalteranordnung der erste Arbeitskontakt des ersten Doppelkontaktrelais mit dem ersten Arbeitskontakt des zweiten Doppelkontaktrelais in Serie geschaltet. Zur Bildung der zweiten Sicherheitsüberwachungsschalteranordnung werden der zweite Arbeitskontakt des ersten Doppelkontaktrelais und der zweite Arbeitskontakt des zweiten Doppelkontaktrelais parallel zueinander verschaltet.
  • Durch geeignetes Ansteuern jedes der beiden Doppelkontaktrelais können durch eine solche Verschaltung in den beiden Sicherheitsüberwachungsschalteranordnungen verschiedene Schaltzustände in gewünschter Weise erzeugt werden. Beispielsweise ist die erste Sicherheitsüberwachungsschalteranordnung lediglich dann vollständig geschlossen, wenn beide in Serie geschalteten ersten Arbeitskontakte der beiden Doppelkontaktrelais geschlossen sind, d.h. wenn beide Kontroller die beiden Doppelkontaktrelais zum Schließen ansteuern. Im Gegensatz hierzu ist die zweite Sicherheitsüberwachungsschalteranordnung bereits dann geschlossen, wenn lediglich einer der parallel zueinander geschalteten zweiten Arbeitskontakte der geschlossen ist, d.h. wenn wenigstens eines der Doppelkontaktrelais von einen der Kontroller zum Schließen angesteuert ist, und ausschließlich dann geöffnet, wenn beide zweiten Arbeitskontakte der zwei Doppelkontaktrelais geöffnet sind.
  • Gemäß einer Ausführungsform ist die Sicherheitsüberwachungsvorrichtung dafür eingerichtet, zu berücksichtigen, dass das Überwachen des ersten sicherheitsrelevanten Zustands einen höheren Sicherheitsintegritätslevel erfordert als das Überwachen des zweiten sicherheitsrelevanten Zustands.
  • Mit anderen Worten kann die hierin vorgeschlagene spezielle Schaltung der beiden Doppelkontaktrelais insbesondere in einer Konstellation vorteilhaft eingesetzt werden, bei der mithilfe der Sicherheitsüberwachungsvorrichtung innerhalb der Personenförderanlage zwei verschiedene sicherheitsrelevante Zustände überwacht werden sollen, die sich hinsichtlich ihres Sicherheitsintegritätslevels signifikant unterscheiden. Die erste Sicherheitsüberwachungsschalteranordnung mit den beiden in Serie verschalteten ersten Arbeitskontakten des ersten und zweiten Doppelkontaktrelais kann dabei ein höheres Sicherheitsintegritätslevel gewährleisten als die zweite Sicherheitsüberwachungsschalteranordnung, bei der die beiden zweiten Arbeitskontakte beider Doppelkontaktrelais parallel zueinander geschaltet sind.
  • Unter einem Sicherheitsintegritätslevel, welcher teilweise auch als Sicherheitsanforderungsstufe oder SIL (Safety Integrity Level) bezeichnet wird, wird ein Begriff aus dem Gebiet der funktionalen Sicherheit verstanden, wie er beispielsweise in der internationalen Normung IEC 62508/IEC61511 beschrieben ist. Ein Sicherheitsintegritätslevel dient hierbei zur Beurteilung elektrischer, elektronischer oder programmierbarer elektronischer Systeme hinsichtlich ihrer Zuverlässigkeit von Sicherheitsfunktionen. Aus dem angestrebten Level ergeben sich beispielsweise sicherheitsgerichtete Konstruktionsprinzipien, die eingehalten werden müssen, um ein Risiko von Fehlfunktionen minimieren zu können. Generell werden gemäß der internationalen Norm vier Stufen von Sicherheitsintegritätslevels SIL 1 bis SIL4 unterschieden, wobei SIL4 die sicherste Stufe darstellt.
  • Insbesondere kann gemäß einer Ausführungsform die Sicherheitsüberwachungsvorrichtung dafür eingerichtet sein, zu berücksichtigen, dass das Überwachen des zweiten sicherheitsrelevanten Zustands einen Sicherheitsintegritätslevel SIL1 erfordert und das Überwachen des ersten sicherheitsrelevanten Zustands wenigstens einen Sicherheitsintegritätslevel SIL2 erfordert.
  • Mit anderen Worten kann die zum Überwachen des ersten sicherheitsrelevanten Zustands eingesetzte erste Sicherheitsüberwachungsschalteranordnung derart ausgestaltet sein, dass sie ihre Überwachungsfunktion den höheren Anforderungen eines Sicherheitsintegritätslevels SIL2 oder sogar SIL3 entsprechend durchführen kann, wohingegen die zum Überwachen des zweiten sicherheitsrelevanten Zustands eingesetzte zweite Sicherheitsüberwachungsschalteranordnung derart ausgestaltet sein kann, dass sie ihre Überwachungsfunktion lediglich den geringeren Anforderungen eines Sicherheitsintegritätslevel SIL1 entsprechend durchführen kann.
  • Gemäß einer Ausführungsform kann der erste sicherheitsrelevante Zustand angeben, ob Teile der Sicherheitsüberwachungskette, welche Schließzustände von Türen der Personenförderanlage überwachen, temporär kurzgeschlossen werden dürfen. Dabei können durch schließendes Schalten des ersten Schaltzustandes die Teile der Sicherheitsüberwachungskette, welche Schließzustände von Türen der Personenförderanlage überwachen, dann temporär kurzgeschlossen werden.
  • Mit anderen Worten kann der von der ersten Sicherheitsüberwachungsschalteranordnung überwachte erste sicherheitsrelevante Zustand eine Information darüber beinhalten, ob beispielsweise aktuell Bedingungen vorliegen, in denen die tatsächlichen Schließzustände der Kabinentür und der Schachttüren temporär ignoriert werden dürfen und die Aufzugkabine beispielsweise trotz geöffneter Kabinentür oder Schachttür verfahren werden darf. Beispielsweise kann ein solcher sicherheitsrelevanter Zustand vorliegen, wenn sich die Kabine sehr nahe (z.B. < 20cm) bei einer Zielposition, d.h. beispielsweise bei einem Stockwerkshalt, befindet und die jeweilige Tür bereits geöffnet werden darf, bevor die Zielposition tatsächlich erreicht ist. Dies kann beispielsweise durch eine Analyse der aktuellen Position der Aufzugkabine innerhalb des Aufzugschachts erkannt werden. In diesem Fall kann die Information über die augenblickliche Position der Kabine als einen sicherheitsrelevanten Zustand angebend interpretiert werden, bei dem die Schließzustände der Türen der Personenförderanlage temporär ignoriert werden dürfen und somit Teile der Sicherheitsüberwachungskette, welche diese Schließzustände überwachen, temporär kurzgeschlossen werden dürfen.
  • Falls die genannte Bedingung erkannt wurde, können der erste und zweite Kontroller die beiden Doppelkontaktrelais geeignet ansteuern, sodass beide Doppelkontaktrelais in ihren geschlossenen Relaiszustand übergehen. Die beiden ersten Arbeitskontakte der beiden Doppelkontaktrelais sind dann geschlossen, sodass sich auch für deren Serienverschaltung im Rahmen der ersten Sicherheitsüberwachungsschalteranordnung insgesamt ein geschlossener Zustand ergibt. In diesem geschlossenen Zustand kann die erste Sicherheitsüberwachungsschalteranordnung einen Stromkreis schließen, der parallel zu dem Teil der Sicherheitsüberwachungskette verläuft, der die Schließzustände der Türen der Personenförderanlage überwacht, und kann somit die Überwachung der Türen in Form eines UET-Kontakts wie in einem Bypass temporär kurzschließen.
  • Gemäß einer weiteren Ausführungsform kann der zweite sicherheitsrelevante Zustand angeben, ob eine Aufzugkabine über einen zulässigen Verfahrbereich hinaus verfahren wurde. Für diesen Fall kann durch öffnendes Schalten des zweiten Schaltzustandes die Sicherheitsüberwachungskette unterbrochen werden.
  • Anders ausgedrückt kann der von der zweiten Sicherheitsüberwachungsschalteranordnung überwachte zweite sicherheitsrelevante Zustand eine Information über die aktuelle Position der Aufzugkabine umfassen, sodass sich ermitteln lässt, ob sich die Aufzugkabine aktuell innerhalb ihres zulässigen Verfahrbereichs, d.h. zum Beispiel zwischen einer obersten zulässigen Endposition und einer untersten zulässigen Endposition innerhalb des Aufzugschachts, befindet oder ob die Aufzugkabine beispielsweise aufgrund einer Fehlfunktion ihren zulässigen Fahrbereich verlassen hat und zum Beispiel über die obere zulässigen Endposition oder unter die untere zulässigen Endposition hinaus verfahren wurde.
  • Falls diese Bedingung erkannt wurde, können der erste und zweite Kontroller die beiden Doppelkontaktrelais geeignet ansteuern, sodass beide Doppelkontaktrelais in ihren geöffneten Relaiszustand übergehen. Die beiden zweiten Arbeitskontakte der beiden Doppelkontaktrelais sind dann beide geöffnet, sodass sich auch für die Parallelverschaltung im Rahmen der zweiten Sicherheitsüberwachungsschalteranordnung insgesamt ein geöffneter Zustand ergibt. In diesen geöffneten Zustand kann die zweite Sicherheitsüberwachungsschalteranordnung, wenn sie beispielsweise seriell mit einem Rest der Sicherheitsüberwachungskette der Personenförderanlage verschaltet ist, wie einen geöffneter Schalter wirken und somit die Sicherheitsüberwachungskette temporär unterbrechen. Im Ergebnis wird ein Betrieb des Aufzugs bzw. insbesondere ein weiteres Verfahren der Aufzugkabine über eine jeweilige Endposition hinaus unterbunden.
  • Gemäß einer weiteren Ausführungsform weist die Sicherheitsüberwachungsvorrichtung ferner eine Mehrzahl von in Serie geschalteten dritten Sicherheitsüberwachungsschalteranordnungen zum Überwachen von dritten sicherheitsrelevanten Zuständen auf.
  • Mit anderen Worten kann die Sicherheitsüberwachungsvorrichtung ergänzend zu den bereits erörterten ersten und zweiten Sicherheitsüberwachungsschalteranordnungen, welche beispielsweise Aufgaben eines UET-Schalters und eines KNE-Schalters implementieren, weitere Sicherheitsüberwachungsschalteranordnungen aufweisen, mithilfe derer andere Aufgaben oder Funktionalitäten implementiert werden können.
  • Diese dritten Sicherheitsüberwachungsschalteranordnungen können beispielsweise Türschalter sein, mithilfe derer Schließzustände von Aufzugtüren, insbesondere der Kabinentür bzw. einer der Schachttüren, überwacht werden können. Die mehreren dritten Sicherheitsüberwachungsschalteranordnungen können dabei in Serie geschaltet sein, sodass sie einen Teil der Sicherheitsüberwachungskette der Personenförderanlagen bilden können. Bei dem genannten Beispiel einer Implementierung der dritten Sicherheitsüberwachungsschalteranordnungen jeweils als Türschalter wird dabei durch eine Serienverschaltung sichergestellt, dass alle Türen, und somit alle Türschalter, geschlossen sein müssen, damit der genannte Teil der Sicherheitsüberwachungskette als Ganzes geschlossen ist.
  • Bei einer derartigen Ausgestaltung der Sicherheitsüberwachungsvorrichtung kann die erste Sicherheitsüberwachungsschalteranordnung parallel zu der Serie aus dritten Sicherheitsüberwachungsschalteranordnungen verschaltet sein und die zweite Sicherheitsüberwachungsschalteranordnung in Serie mit der Serie aus dritten Sicherheitsüberwachungsschalteranordnungen verschaltet sein.
  • Anders ausgedrückt kann die erste Sicherheitsüberwachungsschalteranordnung mit ihren beiden in Serie verschalteten ersten Arbeitskontakten der beiden Doppelkontaktrelais parallel zu der Serienschaltung aus dritten Sicherheitsüberwachungsschalteranordnungen verschaltet sein. Sobald beide ersten Arbeitskontakte in diesem Fall geschlossen sind, d.h. sobald der erste Schaltzustand geschlossen ist, bildet die erste Sicherheitsüberwachungsschalteranordnung somit einen zu der Serienschaltung aus dritten Sicherheitsüberwachungsschalteranordnungen parallel verlaufenden Bypass und kann diese Serienschaltung somit wie ein UET-Schalter gesteuert überbrücken.
  • Die zweite Sicherheitsüberwachungsschalteranordnung mit ihren beiden parallel verschalteten zweiten Arbeitskontakten der beiden Doppelkontaktrelais kann in Serie mit der Serienschaltung aus dritten Sicherheitsüberwachungsschalteranordnungen verschaltet sein. Solange zumindest eines der Doppelkontaktrelais geschlossen ist, bleibt hierbei auch der zweite Schaltzustand geschlossen, sodass insgesamt der von den dritten Sicherheitsüberwachungsschalteranordnungen und der zweiten Sicherheitsschalterüberwachungsanordnung gebildete Teil der Sicherheitskette geschlossen bleibt. Dieser Teil der Sicherheitskette wird erst geöffnet, wenn beide Doppelkontaktrelais gleichzeitig geöffnet sind und dadurch auch der zweite Schaltzustand geöffnet ist. Die zweite Sicherheitsüberwachungsschalteranordnung kann somit wie ein KNE-Schalter gesteuert eine Sicherheitskette temporär unterbrechen.
  • Gemäß einer Ausführungsform können der erste und der zweite Kontroller jeweils als sicherheitsgerichtete speicherprogrammierbare Steuerung ausgebildet sein.
  • Eine speicherprogrammierbare Steuerung (SPS; englisch: Programmable Logic Controller - PLC) ist ein Gerät, das üblicherweise zum Steuern oder Regeln einer Anlage oder einer Maschine eingesetzt werden kann. Speicherprogrammierbare Steuerungen ersetzen hierbei zunehmend herkömmliche festverdrahtete verbindungsprogrammierte Steuerungen. Dabei kann vorteilhaft genutzt werden, dass eine SPS auf digitaler Basis programmiert werden und somit an verschiedene Aufgabenstellungen angepasst werden kann. Eine SPS weist im simpelsten Fall Eingänge, Ausgänge, ein Betriebssystem und gegebenenfalls eine Schnittstelle, über die ein Anwenderprogramm geladen werden kann, auf. Das Anwenderprogramm kann dabei programmieren, wie die Ausgänge in Abhängigkeit von den Eingängen geschaltet werden sollen, so dass die Anlage oder Maschine in einer gewünschten Weise funktioniert. Das Betriebssystem kann beispielsweise in Form einer Firmware auf einem aktuellen Stand gehalten werden. Eine SPS kann ferner neben ihren Kernaufgaben der Steuerung bzw. Regelung weitere Aufgaben wie zum Beispiel eine Visualisierung von Daten, eine Gestaltung als Schnittstelle beispielsweise in Form einer Mensch-Maschine-Schnittstelle, eine Alarmierung und/oder eine Aufzeichnung von Betriebsmeldungen (Data-Logging) übernehmen.
  • Eine sicherheitsgerichtete SPS (SSPS; englisch: safety PLC) stellt eine spezielle Implementierung einer SPS dar. Eine sicherheitsgerichtete SPS verfügt hierbei über eine weitgehend redundante Ausgestaltung ihrer Komponenten und ist im Regelfall derart ausgelegt, dass die sicherheitsgerichtete SPS bei einem Ausfall einer Komponente bzw. einem Konflikt zwischen redundanten Komponenten in einen vorbestimmten sicheren Zustand überführt wird.
  • Bezüglich der Architektur, Eingängen und Ausgängen unterscheiden sich sicherheitsgerichtete SPS dabei signifikant von herkömmlichen SPS. Beispielsweise verfügt eine herkömmliche SPS typischerweise über einen Mikroprozessor, der ein Programm ausführt, einen nicht-flüchtigen Speicher zum Speichern des Programms, einen flüchtigen Speicher (RAM), um zum Beispiel Berechnungen durchzuführen, Ports für eine Datenkommunikation und I/O-Anschlüsse, um eine Anlage oder Maschine zu detektieren und kontrollieren. Eine sicherheitsgerichtete SPS verfügt hingegen im Allgemeinen über wenigstens zwei der jeweiligen Komponenten, welche sich kontinuierlich gegenseitig überwachen bzw. durch eine sogenannte Wachhund-Schaltung (watch dog circuit) überwacht werden.
  • Die Eingänge einer herkömmlichen SPS verfügen typischerweise nicht über Mittel zum Testen einer Funktionalität einer Eingangsschaltung. Im Gegensatz hierzu haben sicherheitsgerichtete SPS im Regelfall eine interne Ausgabeschaltung, die jedem Eingang zugeordnet ist und mithilfe derer der jeweilige Eingang getestet werden kann.
  • In ähnlicher Weise besitzen herkömmliche SPS typischerweise lediglich eine Ausgangsschalteinrichtung, wohingegen sicherheitsgerichtete SPS im allgemeinen einen Testpunkt hinter jedem von zwei Sicherheitsschaltern, die hinter einem Ausgabetreiber angeordnet sind, und einen dritten Testpunkt stromabwärts des Ausgabetreibers aufweisen. Jeder von zwei Sicherheitsschaltern wird im Allgemeinen durch einen einzigen Mikroprozessor gesteuert. Wenn ein Fehler in einem der zwei Sicherheitsschalter beispielsweise aufgrund eines Fehlers in dem Schalter oder dem Mikroprozessor oder an dem Testpunkt stromabwärts des Ausgabetreibers detektiert wird, wird das Betriebssystem der sicherheitsgerichteten SPS automatisch einen Systemfehler erkennen und die sicherheitsgerichtete SPS wird in einen vordefinierten Zustand überführt, in dem eine Anlage beispielsweise ordnungsgemäß heruntergefahren werden kann.
  • Aufgrund der Ausführung der beiden Kontroller als sicherheitsgerichtete SPS sind diese einerseits dazu geeignet, beispielsweise als Nachrüstgeräte an verschiedene Aufzugtypen angepasst werden zu können. Andererseits können die Kontroller beziehungsweise die damit ausgestattete Sicherheitsüberwachungsvorrichtung ein hohes Maß an Sicherheit für die damit ausgerüsteten Personenförderanlagen garantieren.
  • Gemäß einer Ausführungsform kann die Sicherheitsüberwachungsvorrichtung dazu eingerichtet sein, ein Verfahren gemäß einer Ausführungsform des dritten Aspekts der Erfindung auszuführen oder zu steuern.
  • Hierzu können beispielsweise die als SPS oder sicherheitsgerichtete SPS ausgeführten ersten und zweiten Kontroller der Sicherheitsüberwachungsvorrichtung in einer Weise programmiert sein, dass die von ihnen generierten Steuerspannungen derart durchvariiert werden, dass zwar stets mindestens eines der beiden Doppelkontaktrelais in seinem geschlossenen Relaiszustand ist, jedoch abwechselnd eines der beiden Doppelkontaktrelais kurzzeitig in seinen geöffneten Relaiszustand und wieder zurück in seinen geschlossenen Relaiszustand versetzt wird. Dabei wird stets überwacht, ob der zugehörige Feedbackkontakt eines Doppelkontaktrelais der generierten Steuerspannung folgt, d.h. ob der Feedbackkontakt denjenigen Relaiszustand angibt, der tatsächlich von dem zugehörigen Kontroller angesteuert wurde, oder ob beispielsweise aufgrund einer Fehlfunktion innerhalb des Doppelkontaktrelais ein tatsächlicher Relaiszustand nicht dem gewünschten angesteuerten Relaiszustand entspricht.
  • Gemäß einer Ausführungsform des Verfahrens können dabei für den Fall, dass die Feedbackkontakte der beiden Doppelkontaktrelais nicht einen dem aktuell angesteuerten Relaiszustand angebenden Relaiszustand angeben, die beiden Kontroller Steuerspannungen derart generieren, dass sowohl das erste als auch das zweite Doppelkontaktrelais in ihren geöffneten Relaiszustand geschaltet werden.
  • Mit anderen Worten kann für den Fall, dass durch Überwachen der Feedbackkontakte darauf rückgeschlossen werden kann, dass zumindest eines der Doppelkontaktrelais nicht korrekt der durch den jeweiligen Kontroller bewirkten Ansteuerung folgt und somit von einem Defekt innerhalb des Doppelkontaktrelais auszugehen ist, eine Reaktion dahingehend ausgelegt werden, dass beide Kontroller ihr jeweils zugehöriges Doppelkontaktrelais dazu ansteuern, in seinen geöffneten Relaiszustand zu schalten. Hierdurch kann die Personenförderanlage auch für den Fall eines Defekts bei den Doppelkontaktrelais ihrer Sicherheitsüberwachungsvorrichtung in einen weitgehend sicheren Zustand überführt werden.
  • Gemäß einer Ausführungsform überwacht bei dem vorgeschlagenen Verfahren jeder der beiden Kontroller die Feedbackkontakte jedes der beiden Doppelkontaktrelais.
  • Mit anderen Worten sollen der erste und der zweite Kontroller nicht nur die Feedbackkontakte des ihnen jeweils zugeordneten, d.h. von Ihnen gesteuerten, Doppelkontaktrelais überwachen. Stattdessen soll jeder Kontroller den Feedbackkontakt seines zugeordneten Doppelkontaktrelais sowie den Feedbackkontakt des jeweils anderen Doppelkontaktrelais überwachen. Auf diese Weise kann eine Redundanz geschaffen werden, welche die Sicherheit der Sicherheitsüberwachungsvorrichtung weiter erhöht und insbesondere eine Wahrscheinlichkeit, dass Fehlfunktionen bei deren Doppelkontaktrelais korrekt erkannt werden, drastisch erhöht.
  • Gemäß einer Ausführungsform wird das vorgeschlagene Verfahren vor, während oder nach jeder einzelnen Fahrt der Personentransportanlage durchgeführt.
  • Anders ausgedrückt kann das Verfahren, mit dem die Funktionsfähigkeit der Sicherheitsüberwachungsvorrichtung geprüft wird, prinzipiell zwar zu beliebigen Zeitpunkten oder getriggert durch beliebige Ereignisse ausgeführt werden. Es wird jedoch als vorteilhaft erachtet, das Verfahren zumindest dann auszuführen, wenn von der Personentransportanlage eine Fahrt durchgeführt wird. Damit kann sichergestellt werden, dass die Funktionsfähigkeit der Sicherheitsüberwachungsvorrichtung ausreichend häufig überprüft wird.
  • Es wird daraufhingewiesen, dass einige der möglichen Merkmale und Vorteile der Erfindung hierin mit Bezug auf unterschiedliche Ausführungsformen der Sicherheitsüberwachungsvorrichtung einerseits und eines Verfahrens zum Überwachen von deren Funktionsfähigkeit andererseits beschrieben sind. Ein Fachmann erkennt, dass die Merkmale in geeigneter Weise kombiniert, angepasst oder ausgetauscht werden können, um zu weiteren Ausführungsformen der Erfindung zu gelangen.
  • Nachfolgend werden Ausführungsformen der Erfindung unter Bezugnahme auf die beigefügten Zeichnungen beschrieben, wobei weder die Zeichnungen noch die Beschreibung als die Erfindung einschränkend auszulegen sind.
    • Fig. 1 zeigt eine erfindungsgemäße Personentransportanlage.
    • Fig. 2 zeigt eine Sicherheitsüberwachungskette einer erfindungsgemäßen Personentransportanlage.
    • Fig. 3 zeigt Details einer erfindungsgemäßen Sicherheitsüberwachungsvorrichtung.
    • Fig. 4a zeigt angesteuerte Relaiszustände und daraus resultierende Schaltzustände in der erfindungsgemäßen Sicherheitsüberwachungsvorrichtung.
    • Fig. 4b veranschaulicht ein Variieren von angesteuerten Relaiszuständen im Rahmen eines erfindungsgemäßen Verfahrens zum Überwachen der Funktionsfähigkeit einer Sicherheitsüberwachungsvorrichtung.
  • Die Figuren sind lediglich schematisch und nicht maßstabsgetreu. Gleiche Bezugszeichen bezeichnen in den verschiedenen Figuren gleiche oder gleichwirkende Merkmale.
  • Fig. 1 zeigt eine Personenförderanlage 1 in Form eines Aufzugs. Der Aufzug umfasst eine Aufzugkabine 5 und ein Gegengewicht 7, welche mittels von einer Antriebsmaschine 11 angetriebenen Riemen 9 innerhalb eines Aufzugsschacht 3 vertikal verlagert werden können. Es kann ferner eine Bremse 12 zum Bremsen der Antriebsmaschine 11 bzw. zum direkten Bremsen der Aufzugkabine 5 vorgesehen sein. Ein Betrieb der Antriebsmaschine 11 und/oder der Bremse 12 wird von einer Aufzugsteuerung 13 gesteuert. Die Aufzugsteuerung 13 kann z.B. die Antriebsmaschine 11 dabei gesteuert mit elektrischer Leistung von einer elektrischen Leistungsquelle 15 versorgen.
  • Die Aufzugkabine 5 kann zwischen verschiedenen Stockwerken 17 verfahren werden. An jedem Stockwerk 17 ist dabei eine Schachttür 19 vorgesehen und an der Aufzugkabine 15 ist eine Kabinentür 21 vorgesehen.
  • In der Personenförderanlage 1 ist eine Vielzahl von Sicherheitsüberwachungsschalteranordnungen 23 vorgesehen, mithilfe derer sicherheitsrelevante Zustände innerhalb der Personenförderanlage 1 überwacht werden können.
  • Beispielsweise sind an jeder der Schachttüren 19 sowie an der Kabinentür 21 jeweils Türschalter 25 vorgesehen, mithilfe derer überwacht werden kann, ob die jeweilige Schacht- bzw. Kabinentür 19, 21 aktuell korrekt geschlossen oder zumindest teilweise geöffnet ist. Ferner ist in einem Grubenbereich des Aufzugsschachts 3 ein Leiteranwesenheitsschalter 27 vorgesehen, mithilfe dessen die Anwesenheit und korrekte Anordnung einer Leiter 29 überwacht werden kann. Sowohl im Falle der Türschalter 25 als auch des Leiteranwesenheitsschalters 27 können Sicherheitsüberwachungsschalteranordnungen 23 beispielsweise als einfache, mechanisch zu betätigende Schalter vorgesehen sein.
  • Ergänzend kann die Personenförderanlage 1 auch komplexer aufgebaute Sicherheitsüberwachungsschalteranordnungen 23 aufweisen. Beispielsweise kann mithilfe eines sich vertikal entlang des Aufzugsschachts 3 erstreckenden Magnetbandes 33 und eines an der Aufzugkabine 5 angebrachten Magnetbandauslesegeräts 31 ein Absolutpositionssensor 35 gebildet werden, mithilfe dessen Informationen über eine aktuelle Position der Aufzugkabine 5 innerhalb des Aufzugschacht 3 gewonnen werden können. Basierend auf diesen Informationen können dann sicherheitsrelevante Zustände überwacht werden.
  • Beispielsweise kann erkannt werden, ob sich die Aufzugkabine 5 aktuell gegenüber oder zumindest nahe einer der Schachttüren 19 befindet und somit die Kabinentür 21 und/oder die gegenüberliegende Schachttür 19 geöffnet werden darf. Ferner kann basierend auf diesen Informationen erkannt werden, ob sich die Aufzugkabine 5 innerhalb eines zulässigen Verfahrbereichs 37 innerhalb des Aufzugsschachts 3 befindet oder ob sie unbeabsichtigt aus diesem zulässigen Verfahrbereich 37 heraus bewegt wurde.
  • Daten oder Signale können von den verschiedenen Sicherheitsüberwachungsschalteranordnungen 23 an eine Sicherheitsüberwachungsvorrichtung 39 beispielsweise drahtgebunden oder drahtlos übermittelt werden.
  • Insbesondere können mehrere der Sicherheitsüberwachungsschalteranordnungen 23 miteinander verschaltet werden, insbesondere miteinander in Serie verschaltet werden, um Teile einer Sicherheitsüberwachungskette 41 zu bilden. Beispielsweise können die Türschalter 25 sowie der Leiteranwesenheitsschalter 27 in Serie geschaltet werden, sodass der dadurch gebildete Teil der Sicherheitsüberwachungskette 41 nur dann als Ganzes geschlossen ist, wenn alle Türschalter 25 sowie der Leiteranwesenheitsschalter 27 geschlossen sind.
  • Die Sicherheitsüberwachungsvorrichtung 39 kann mit der Aufzugsteuerung 13 kommunizieren bzw. Teil derselben sein und Funktionen der Aufzugsteuerung 13 beeinflussen. Insbesondere kann die Sicherheitsüberwachungsvorrichtung 39 ein oder mehrere Hauptrelaisanordnungen 43 betätigen, um beispielsweise eine Leistungsversorgung zwischen der Aufzugsteuerung 13 und der Antriebsmaschine 11 unterbrechen zu können und/oder um die Bremse 12 zum Bremsen der Aufzugkabine 5 aktivieren bzw. diese lösen zu können.
  • Fig. 2 veranschaulicht Details einer Sicherheitsüberwachungskette 41. Mehrere Sicherheitsüberwachungsschalteranordnungen 23 (welche nachfolgend auch als "dritte Sicherheitsüberwachungsschalteranordnungen" bezeichnet werden) in Form von Türschaltern 25 sowie weitere Sicherheitsüberwachungsschalteranordnungen 23 beispielsweise in Form eines Leiteranwesenheitsschalters 27 oder Ähnlichem sind in Serie geschaltet.
  • Eine dieser weiteren Sicherheitsüberwachungsschalteranordnungen 23 wirkt dabei als Kabinennotendschalter 28 (KNE-Schalter). Dieser Kabinennotendschalter 28 wird geöffnet, wenn die Aufzugkabine 5 über ihren zulässigen Verfahrbereich 37 hinaus verfahren wird.
  • Der durch die in Serie geschalteten Sicherheitsüberwachungsschalteranordnungen 23 gebildete Teil der Sicherheitsüberwachungskette 41 ist in Serie geschaltet mit der Hauptrelaisanordnung 43. Die Hauptrelaisanordnung 43 umfasst ein erstes Haupt-Doppelkontaktrelais 45 mit einer Spule 49, einem ersten Arbeitskontakt 53, einem zweiten Arbeitskontakt 57 sowie einem Feedbackkontakt 61 sowie ein zweites Haupt-Doppelkontaktrelais 47 mit einer Spule 51, einem ersten Arbeitskontakt 55, einem zweiten Arbeitskontakt 59 sowie einem Feedbackkontakt 63. Die Hauptrelaisanordnung 43 ist hierbei normalerweise, d.h. wenn die Spulen 49, 51 nicht bestromt sind, geöffnet. Dementsprechend schließt die Hauptrelaisanordnung 43 eine seriell durch die ersten Arbeitskontakte 53, 55 des ersten und zweiten Haupt-Doppelkontaktrelais 45, 47 verlaufende elektrische Verbindung zwischen der leistungsversorgenden Aufzugsteuerung 13 und der Antriebsmaschine 11 ausschließlich dann, wenn ihre beiden Spulen 49, 51 aufgrund einer vollständig geschlossenen Sicherheitsüberwachungskette 41 bestromt werden. In ähnlicher Weise wird die Bremse 12 ausschließlich dann bestromt und somit gelöst, wenn mithilfe der Hauptrelaisanordnung 43 eine Verbindung zwischen einer Leistungsquelle und der Bremse 12 infolge einer vollständig geschlossenen Sicherheitsüberwachungskette 41 geschlossen wird.
  • Um zu ermöglichen, dass die Kabinentür 21 und/oder eine der Schachttüren 19 unter vorbestimmten Voraussetzungen geöffnet werden dürfen, obwohl die Antriebsmaschine 11 die Aufzugkabine 5 verlagert, ist parallel zu der Serienschaltung von Türschaltern 25 ein so genannter UET-Schalter 65 vorgesehen. Dieser UET-Schalter 65 bildet ebenfalls eine Sicherheitsüberwachungsschalteranordnung 23 und darf ausschließlich dann geschlossen werden, wenn die vorbestimmten Voraussetzungen erfüllt sind, d.h. beispielsweise dann, wenn sich die Aufzugkabine 5 einer Ziel-Stockwerk-Position bereits bis auf wenige Zentimeter genähert hat und bereits begonnen werden soll, die Türen 19, 21 zu öffnen, bevor die Aufzugkabine 5 an der Ziel-Stockwerk-Position letztendlich angehalten hat. Durch ein Schließen des UET-Schalters 65 wird somit der von den Türschaltern 25 gebildete Teil der Sicherheitsüberwachungskette 41 temporär überbrückt.
  • Um den für Personenförderanlagen 1 geltenden hohen Sicherheitsanforderungen zu genügen, wurde bisher sowohl der KNE-Schalter 28 als auch der UET-Schalter 65 in redundanter Weise mit jeweils zwei einfachen Relais implementiert. Die beiden einfachen Relais waren beispielsweise im Fall des UET-Schalters 65 in Serie geschaltet, sodass ein Schaltzustand des UET-Schalters 65 nur dann geschlossen war, wenn beide Relais gleichzeitig geschlossen waren, d.h. beide Relais in ihrem geschlossenen Relaiszustand waren.
  • Allerdings mussten dementsprechend für die zwei Funktionen, die mit dem KNE-Schalter 28 und dem UET-Schalter 65 zu implementieren waren, insgesamt vier einfache Relais eingesetzt werden.
  • Fig. 3 veranschaulicht eine erfindungsgemäße Sicherheitsüberwachungsvorrichtung 67, welche als einen Teil einer Sicherheitsüberwachungskette 41 einer Personenförderanlage 1 bildend implementiert werden kann, um sicherheitsrelevante Zustände in der Personenförderanlage 1 zu überwachen. Die Sicherheitsüberwachungsvorrichtung 67 kann dabei insbesondere die Funktionen eines KNE-Schalters 28 und eines UET-Schalters 65 umsetzen.
  • Die Sicherheitsüberwachungsvorrichtung 67 umfasst ein erstes Doppelkontaktrelais 69 und ein zweites Doppelkontaktrelais 71. Beide Doppelkontaktrelais 69, 71 sind als normalerweise geöffnete Relais ("normally opened") ausgebildet und weisen jeweils Spulen 73, 75 auf, welche, wenn sie mit einer Steuerspannung beaufschlagt werden, jeweils erste Arbeitskontakte 77, 79 sowie zweite Arbeitskontakte 81, 83 schließen. Jedes der Doppelkontaktrelais 69, 71 weist zudem einen Feedbackkontakt 85, 87 auf. Bei jedem der Doppelkontaktrelais 69, 71 verlagert, d.h. öffnet und schließt, die jeweilige Spule 73, 75 deren erste und zweite Arbeitskontakte 77, 79, 81, 83 sowie deren Feedbackkontakt 85, 87 synchron miteinander und kann somit gesteuert durch die Steuerspannung in einen geöffneten bzw. geschlossenen Relaiszustand geschaltet werden.
  • Die Sicherheitsüberwachungsvorrichtung 67 umfasst ferner einen ersten und einen zweiten Kontroller 89, 91. Die beiden Kontroller 89, 91 sind dazu ausgelegt, Eigenschaften der Personenförderanlage 1 zu ermitteln, die mit einem sicherheitsrelevanten Zustand korrelieren, und daraufhin geeignete Steuerspannungen für das erste bzw. das zweite Doppelkontaktrelais 69, 71 in Abhängigkeit von den ermittelten Eigenschaften zu generieren. Die beiden Kontroller 89, 91 können dabei miteinander kommunizieren bzw. sich gegenseitig kontrollieren. Insbesondere können die Kontroller 89, 91 als sicherheitsgerichtete Speicherprogrammierbare Steuerungen (SSPS) ausgebildet sein.
  • Im dargestellten Beispiel erhalten die beiden Kontroller 89, 91 von dem Absolutpositionssensor 35 Informationen über die aktuelle Position der Aufzugkabine 5 innerhalb des Aufzugsschachts 3. Aus diesen Informationen können die Kontroller 89, 91 einerseits ableiten, ob sich die Aufzugkabine 5 aktuell innerhalb des zulässigen Verfahrbereichs 37 befindet oder ob sie diesen verlassen hat. Je nachdem, welcher dieser beiden Fälle zutrifft, können die Kontroller 89, 91 unterschiedliche Steuerspannungen für die beiden Doppelkontaktrelais 69, 71 erzeugen, um mit der Sicherheitsüberwachungsvorrichtung 67 die Funktion eines KNE-Schalters 28 emulieren. Andererseits können die Kontroller 89, 91 aus den Informationen rückschließen, ob sich die Aufzugkabine 5 aktuell ausreichend nahe zu einer Ziel-Stockwerk-Position befindet, sodass es zulässig erscheint, den von den Türschaltern 25 gebildeten Teil der Sicherheitsüberwachungskette 41 temporär zu überbrücken, um mit der Sicherheitsüberwachungsvorrichtung 67 die Funktion eines UET-Schalters zu emulieren.
  • Die Sicherheitsüberwachungsvorrichtung 67 bildet mit ihren Doppelkontaktrelais 69, 71 und ihren Kontrollern 89, 91 hierbei Sicherheitsüberwachungsschalteranordnungen 23 in Form einer ersten und einer zweiten Sicherheitsüberwachungsschalteranordnung 93, 95 aus.
  • Die erste Sicherheitsüberwachungsschalteranordnung 93 umfasst dabei den ersten Arbeitskontakt 77 des ersten Doppelkontaktrelais 69 sowie den ersten Arbeitskontakt 79 des zweiten Doppelkontaktrelais 71, welche miteinander in Serie verschaltet sind. Mit dieser ersten Sicherheitsüberwachungsschalteranordnung 93 emuliert die Sicherheitsüberwachungsvorrichtungen 67 die Funktion des UET-Schalters an einem ersten Ausgang 97.
  • Die zweite Sicherheitsüberwachungsschalteranordnung 95 umfasst den zweiten Arbeitskontakt 81 des ersten Doppelkontaktrelais 69 sowie den zweiten Arbeitskontakt 83 des zweiten Doppelkontaktrelais 71, welche parallel zueinander verschaltet sind. Mit dieser zweiten Sicherheitsüberwachungsschalteranordnung 95 emuliert die Sicherheitsüberwachungsvorrichtungen 67 die Funktion des KNE-Schalters an einem zweiten Ausgang 99.
  • Ein tatsächlich eingenommener Relaiszustand jedes der Doppelkontaktrelais 69, 71 kann von den Kontrollern 89, 91 über den jeweiligen Feedbackkontakt 85, 87 des zugehörigen Doppelkontaktrelais 69, 71 ermittelt werden. Dadurch kann überwacht werden, ob ein von einem Kontroller 89, 91 angesteuerter Relaiszustand in dem zugeordneten Doppelkontaktrelais 69, 71 zum Einnehmen des gewünschten Relaiszustandes geführt hat oder ob ein Defekt dies verhindert hat. Jeder der beiden Feedbackkontakte 85, 87 kann dabei ein Feedbacksignal an jeden der beiden Kontroller 89, 91 übermitteln.
  • Fig. 4a veranschaulicht tabellarisch mögliche von den beiden Kontrollern 89, 91 erzeugte Steuerspannungen K1, K2 zum Steuern des ersten und zweiten Doppelkontaktrelais 69, 71 in einen offenen Relaiszustand (K1 = "0" bzw. K2 = "0", d.h. keine Steuerspannung an die Spule angelegt) oder einen geschlossenen Relaiszustand (K1 = "1" bzw. K2 = "1", d.h. Steuerspannung an die Spule angelegt) sowie daraus resultierende Schaltzustände UET, KNE an den zwei Ausgängen 97, 99 der Sicherheitsüberwachungsvorrichtung 67. Dabei ist der erste Ausgang 97 zur Umsetzung der Funktion des UET-Schalters 65 ausgebildet und der zweite Ausgang 99 ist zur Umsetzung der Funktion des KNE-Schalters 28 ausgebildet.
  • Es ist zu erkennen, dass der von der ersten Sicherheitsüberwachungsschalteranordnung 93 emulierte UET-Schaltzustand ausschließlich dann geschlossen ist ("closed"), wenn beide Doppelkontaktrelais 69, 71 von den beiden Kontrollern 89, 91 in ihren geschlossenen Relaiszustand ("1") angesteuert wurden. Andererseits ist der von der zweiten Sicherheitsüberwachungsschalteranordnung 95 emulierte KNE-Schaltzustand ausschließlich dann geöffnet ("open"), wenn beide Doppelkontaktrelais 69, 71 von den beiden Kontrollern 89, 91 in ihren geöffneten Relaiszustand ("0") angesteuert wurden.
  • Mit der vorgestellten Sicherheitsüberwachungsvorrichtung 67 lässt sich die Funktion des UET-Schalters 65 über die erste Sicherheitsüberwachungsschalteranordnung 93 mit einem hierfür erforderlichen sehr hohen Sicherheitsintegritätslevel von SIL2 oder sogar SIL3 implementieren. Die Funktion des KNE-Schalters 28 kann über die zweite Sicherheitsüberwachungsschalteranordnung 95 zumindest mit dem hierfür ausreichenden Sicherheitsintegritätslevel von SIL1 implementiert werden.
  • Abschließend wird unter Bezugnahme auf Fig. 4b eine Ausführungsform eines Verfahrens erläutert, mithilfe dessen eine Funktionsfähigkeit der Sicherheitsüberwachungsvorrichtung 67 überwacht werden kann.
  • In vorgegebenen zeitlichen Abständen, d.h., beispielsweise periodisch, oder getriggert durch bestimmte Ereignisse wie zum Beispiel den Beginn oder das Ende einer Fahrt wird der normale Betrieb der Sicherheitsüberwachungsvorrichtungen 67, bei dem die sicherheitsrelevanten Zustände in der Personenförderanlage 1 überwacht werden, kurzzeitig unterbrochen. Stattdessen werden die von dem ersten und zweiten Kontroller 89, 91 generierten Steuerspannungen derart variiert, dass einerseits abwechselnd eines der beiden Doppelkontaktrelais 69, 71 kurzzeitig in seinen geöffneten Relaiszustand (Kx = "0") und wieder zurück in seinen geschlossenen Relaiszustand (Kx = "1") geschaltet wird, und dass andererseits stets zumindest eines der beiden Doppelkontaktrelais 69, 71 in seinen geschlossenen Relaiszustand ist.
  • Durch ein derartiges Durchvariieren der Steuerspannungen kann einerseits erreicht werden, dass jedes der beiden Doppelkontaktrelais 69, 71 zumindest einmal zum Öffnen und anschließenden Schließen angesteuert wird. Andererseits wird sichergestellt, dass die die UET-Funktion bewirkende erste Sicherheitsüberwachungsschalteranordnung 93 zwar kurzzeitig geöffnet und wieder geschlossen wird, die die KNE-Funktion bewirkende zweite Sicherheitsüberwachungsschalteranordnung 95 jedoch stets geschlossen bleibt. Somit bleibt die gesamte Sicherheitsüberwachungskette 41 während dieses Durchvariierens der Steuerspannungen stets geschlossen.
  • Während das beschriebene Verfahren durchgeführt wird, können mithilfe beispielsweise der Kontroller 89, 91 nicht nur die Steuerspannungen durchvariiert werden, sondern ergänzend auch überwacht werden, welchen tatsächlichen Relaiszustand die Feedbackkontakte 85, 87 beider Doppelkontaktrelais 69, 71 angeben. Solange die Doppelkontaktrelais 69, 71 ordnungsgemäß funktionieren, sollte der von den Feedbackkontakten 85, 87 rückgemeldete Relaiszustand mit dem von den Kontrollern 89, 91 angesteuerten Relaiszustand übereinstimmen. Sollte dies zu einem Zeitpunkt to nicht mehr zutreffen, kann von einem Defekt in einem der Doppelkontaktrelais 69, 71 ausgegangen werden. Dieser kann beispielsweise dadurch bewirkt sein, dass Arme eines der Arbeitskontakte 77, 79, 81, 83 miteinander verklebt oder verschweißt wurden.
  • Für diesen Fall kann vorgesehen sein, dass beide Kontroller 89, 91 Steuerspannungen derart generieren, dass sowohl das erste als auch das zweite Doppelkontaktrelais 69, 71 in ihren geöffneten Relaiszustand geschaltet werden. Damit kann sichergestellt werden, dass zumindest die überaus sicherheitskritische UET-Funktion der ersten Sicherheitsüberwachungsschalteranordnung 93 zuverlässig in ihren geöffneten Zustand geschaltet wird, sodass ein gefährliches Verfahren der Aufzugkabine 5 bei geöffneten Türen 19, 21 auf jeden Fall vermieden wird.
  • Mit der hierin beschriebenen Sicherheitsüberwachungsvorrichtung 67 bzw. dem Verfahren zum Überwachen von deren Funktionsfähigkeit kann für die entsprechend ausgerüstete Personenförderanlage 1 die Möglichkeit einer Kostenreduzierung eröffnet werden, da zu deren Implementierung lediglich zwei Doppelkontaktrelais anstatt herkömmlich vier einfache Relais benötigt werden. Ferner kann insgesamt eine höhere Zuverlässigkeit erreicht werden, da lediglich zwei statt bisher vier sichere Relais benötigt werden. Auch eine Komplexität einer elektronischen Schaltung für die Sicherheitsüberwachungsvorrichtung 67 kann einfacher als bei herkömmlichen Vorrichtungen ausfallen, da weniger Komponenten gesteuert werden brauchen. Abschließend ist darauf hinzuweisen, dass Begriffe wie "aufweisend", "umfassend", etc. keine anderen Elemente oder Schritte ausschließen und Begriffe wie "eine" oder "ein" keine Vielzahl ausschließen. Bezugszeichen in den Ansprüchen sind nicht als Einschränkung anzusehen.
    • Bezugszeichenliste
    • 1
    Personenförderanlage
    3
    Aufzugschacht
    5
    Aufzugkabine
    7
    Gegengewicht
    9
    Riemen
    11
    Antriebsmaschine
    12
    Bremse
    13
    Aufzugsteuerung
    15
    Leistungsquelle
    17
    Stockwerk
    19
    Schachttür
    21
    Kabinentür
    23
    Sicherheitsüberwachungsschalteranordnungen
    25
    Türschalter
    27
    Leiteranwesenheitsschalter
    28
    Kabinennotendschalter (KNE-Schalter)
    29
    Leiter
    31
    Magnetbandauslesegerät
    33
    Magnetband
    35
    Absolutpositionssensor
    37
    zulässiger Verfahrbereich
    39
    Sicherheitsüberwachungsvorrichtung
    41
    Sicherheitsüberwachungskette
    43
    Hauptrelaisanordnung
    45
    erstes Haupt-Doppelkontaktrelais
    47
    zweites Haupt-Doppelkontaktrelais
    49
    Spule des ersten Haupt-Doppelkontaktrelais
    51
    Spule des zweiten Haupt-Doppelkontaktrelais
    53
    erster Arbeitskontakt des ersten Haupt-Doppelkontaktrelais
    55
    erster Arbeitskontakt des zweiten Haupt-Doppelkontaktrelais
    57
    zweiten Arbeitskontakt des ersten Haupt-Doppelkontaktrelais
    59
    zweiter Arbeitskontakt des zweiten Haupt-Doppelkontaktrelais
    61
    Feedbackkontakt des ersten Haupt-Doppelkontaktrelais
    63
    Feedbackkontakt des zweiten Haupt-Doppelkontaktrelais
    65
    Türüberbrückungsschalter (UET-Schalter)
    67
    Sicherheitsüberwachungsvorrichtung
    69
    erstes Doppelkontaktrelais
    71
    zweites Doppelkontaktrelais
    73
    Spule des ersten Doppelkontaktrelais
    75
    Spule des zweiten Doppelkontaktrelais
    77
    erster Arbeitskontakt des ersten Doppelkontaktrelais
    79
    erster Arbeitskontakt des zweiten Doppelkontaktrelais
    81
    zweiter Arbeitskontakt des ersten Doppelkontaktrelais
    83
    zweiter Arbeitskontakt des zweiten Doppelkontaktrelais
    85
    Feedbackkontakt des ersten Doppelkontaktrelais
    87
    Feedbackkontakt des zweiten Doppelkontaktrelais
    89
    erster Kontroller
    91
    zweiter Kontroller
    93
    erste Sicherheitsüberwachungsschalteranordnung
    95
    zweite Sicherheitsüberwachungsschalteranordnung
    97
    erster Ausgang für UET-Funktion
    99
    zweiter Ausgang für KNE-Funktion

Claims (14)

  1. Sicherheitsüberwachungsvorrichtung (67) zum Überwachen von sicherheitsrelevanten Zuständen in einer Personenförderanlage (1), aufweisend:
    - ein erstes und ein zweites Doppelkontaktrelais (69, 71), welche beide jeweils gesteuert durch eine Steuerspannung einen ersten Arbeitskontakt (77, 79) und einen zweiten Arbeitskontakt (81, 83) sowie einen Feedbackkontakt (85, 87) synchron miteinander zwischen einem geöffneten und einem geschlossenen Relaiszustand schalten;
    - einen ersten und einen zweiten Kontroller (89, 91) jeweils zum Ermitteln von mit einem sicherheitsrelevanten Zustand korrelierenden Eigenschaften der Personenförderanlage (1) und zum Generieren der Steuerspannungen für das erste bzw. das zweite Doppelkontaktrelais (69, 71) abhängig von den ermittelten Eigenschaften;
    dadurch gekennzeichnet dass,
    mittels der zwei Doppelkontaktrelais (69, 71) und der zwei Kontroller (89, 91) eine erste Sicherheitsüberwachungsschalteranordnung (93) zum Überwachen eines ersten sicherheitsrelevanten Zustandes und zum entsprechenden Schalten eines ersten Schaltzustands innerhalb einer Sicherheitsüberwachungskette (41) der Personenförderanlage (1) und eine zweite Sicherheitsüberwachungsschalteranordnung (95) zum Überwachen eines zweiten sicherheitsrelevanten Zustandes und zum entsprechenden Schalten eines zweiten Schaltzustands innerhalb der Sicherheitsüberwachungskette (41) der Personenförderanlage (1) gebildet werden; wobei die erste Sicherheitsüberwachungsschalteranordnung (93) den ersten Arbeitskontakt (77) des ersten Doppelkontaktrelais (69) und in Serie zu diesem geschaltet den ersten Arbeitskontakt (79) des zweiten Doppelkontaktrelais (71) umfasst; und wobei die zweite Sicherheitsüberwachungsschalteranordnung (95) den zweiten Arbeitskontakt (81) des ersten Doppelkontaktrelais (69) und parallel zu diesem geschaltet den zweiten Arbeitskontakt (83) des zweiten Doppelkontaktrelais (71) umfasst.
  2. Sicherheitsüberwachungsvorrichtung nach Anspruch 1, wobei das Überwachen des ersten sicherheitsrelevanten Zustands einen höheren Sicherheitsintegritätslevel erfordert als das Überwachen des zweiten sicherheitsrelevanten Zustands.
  3. Sicherheitsüberwachungsvorrichtung nach einem der vorangehenden Ansprüche, wobei das Überwachen des zweiten sicherheitsrelevanten Zustands einen Sicherheitsintegritätslevel SIL1 erfordert und das Überwachen des ersten sicherheitsrelevanten Zustands wenigstens einen Sicherheitsintegritätslevel SIL2 erfordert.
  4. Sicherheitsüberwachungsvorrichtung nach einem der vorangehenden Ansprüche, wobei der erste sicherheitsrelevante Zustand angibt, ob Teile der Sicherheitsüberwachungskette (41), welche Schließzustände von Türen (19, 21) der Personenförderanlage (1) überwachen, temporär kurzgeschlossen werden dürfen und wobei durch schließendes Schalten des ersten Schaltzustandes die Teile der Sicherheitsüberwachungskette (41), welche Schließzustände von Türen (19, 21) der Personenförderanlage (1) überwachen, temporär kurzgeschlossen werden.
  5. Sicherheitsüberwachungsvorrichtung nach einem der vorangehenden Ansprüche, wobei der zweite sicherheitsrelevante Zustand angibt, ob eine Aufzugkabine (5) über einen zulässigen Verfahrbereich (37) hinaus verfahren wurde, und wobei durch öffnendes Schalten des zweiten Schaltzustandes die Sicherheitsüberwachungskette (41) unterbrochen wird.
  6. Sicherheitsüberwachungsvorrichtung nach einem der vorangehenden Ansprüche, ferner aufweisend eine Mehrzahl von in Serie geschalteten dritten Sicherheitsüberwachungsschalteranordnungen (23) zum Überwachen von dritten sicherheitsrelevanten Zuständen.
  7. Sicherheitsüberwachungsvorrichtung nach Anspruch 6, wobei die erste Sicherheitsüberwachungsschalteranordnung (93) parallel zu der Serie aus dritten Sicherheitsüberwachungsschalteranordnungen (23) verschaltet ist und wobei die zweite Sicherheitsüberwachungsschalteranordnung (95) in Serie mit der Serie aus dritten Sicherheitsüberwachungsschalteranordnungen (23) verschaltet ist.
  8. Sicherheitsüberwachungsvorrichtung nach einem der vorangehenden Ansprüche, wobei der erste und der zweite Kontroller (89, 91) jeweils als sicherheitsgerichtete speicherprogrammierbare Steuerung ausgebildet sind.
  9. Sicherheitsüberwachungsvorrichtung nach einem der vorangehenden Ansprüche, wobei die Sicherheitsüberwachungsvorrichtung (67) dazu eingerichtet, ein Verfahren gemäß einem der Ansprüche 11 bis 14 auszuführen oder zu steuern.
  10. Personenförderanlage (1) mit einer Sicherheitsüberwachungsvorrichtung (67) gemäß einem der Ansprüche 1 bis 9.
  11. Verfahren zum Überwachen einer Funktionsfähigkeit einer Sicherheitsüberwachungsvorrichtung (67) gemäß einem der Ansprüche 1 bis 9, wobei das Verfahren aufweist:
    Variieren der von dem ersten und dem zweiten Kontroller (89, 91) generierten Steuerspannungen derart, dass abwechselnd eines des ersten und des zweiten Doppelkontaktrelais (69, 71) kurzzeitig in seinen geöffneten Relaiszustand und wieder zurück in seinen geschlossenen Relaiszustand geschaltet wird und dass stets zumindest eines des ersten und des zweiten Doppelkontaktrelais (69, 71) in seinem geschlossenen Relaiszustand ist, und
    Überwachen, ob die Feedbackkontakte (85, 87) der beiden Doppelkontaktrelais (69, 71) stets einen dem aktuell angesteuerten Relaiszustand angebenden Relaiszustand angeben.
  12. Verfahren nach Anspruch 11, wobei für einen Fall, dass die Feedbackkontakte (85, 87) der beiden Doppelkontaktrelais (69, 71) nicht einen dem aktuell angesteuerten Relaiszustand angebenden Relaiszustand angeben, die beiden Kontroller (89, 91) Steuerspannungen derart generieren, dass sowohl das erste als auch das zweite Doppelkontaktrelais (69, 71) in ihren geöffneten Relaiszustand geschaltet werden.
  13. Verfahren nach einem der vorangehenden Ansprüche 11 bis 12, wobei jeder der beiden Kontroller (89, 91) die Feedbackkontakte (85, 87) jedes der beiden Doppelkontaktrelais (69, 71) überwacht.
  14. Verfahren nach einem der vorangehenden Ansprüche 11 bis 13, wobei das Verfahren vor, während oder nach jeder einzelnen Fahrt der Personentransportanlage (1) durchgeführt wird.
EP18779406.0A 2017-10-31 2018-10-05 Sicherheitsüberwachungsvorrichtung zum überwachen von sicherheitsrelevanten zuständen in einer personenförderanlage sowie verfahren zum betreiben derselben Active EP3704048B1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
EP17199318 2017-10-31
PCT/EP2018/077190 WO2019086205A1 (de) 2017-10-31 2018-10-05 Sicherheitsüberwachungsvorrichtung zum überwachen von sicherheitsrelevanten zuständen in einer personenförderanlage sowie verfahren zum betreiben derselben

Publications (2)

Publication Number Publication Date
EP3704048A1 EP3704048A1 (de) 2020-09-09
EP3704048B1 true EP3704048B1 (de) 2021-12-01

Family

ID=60201420

Family Applications (1)

Application Number Title Priority Date Filing Date
EP18779406.0A Active EP3704048B1 (de) 2017-10-31 2018-10-05 Sicherheitsüberwachungsvorrichtung zum überwachen von sicherheitsrelevanten zuständen in einer personenförderanlage sowie verfahren zum betreiben derselben

Country Status (4)

Country Link
US (1) US11618648B2 (de)
EP (1) EP3704048B1 (de)
CN (1) CN111295350B (de)
WO (1) WO2019086205A1 (de)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115362119A (zh) * 2020-03-31 2022-11-18 因温特奥股份公司 用于对电梯设备进行安全监控的安全监控装置和方法
US20220242692A1 (en) * 2021-02-01 2022-08-04 Otis Elevator Company Elevator switch monitoring device
CN114167267B (zh) * 2021-11-12 2025-01-03 通号城市轨道交通技术有限公司 站台门监测电路、方法及装置

Family Cites Families (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
ES2050185T3 (es) 1988-08-23 1994-05-16 Inventio Ag Procedimiento y dispositivo para la creacion de una informacion de caja de ascensores.
EP0483560B1 (de) 1990-10-31 1995-08-09 Inventio Ag Zweikanalige Gabellichtschranke in Failsafe-Ausführung
DE19849238C1 (de) 1998-10-26 2000-03-09 O & K Rolltreppen Gmbh Verfahren zur Abschaltung von Personenförderanlagen sowie Sicherheitskreis für Personenförderanlagen
US6173814B1 (en) 1999-03-04 2001-01-16 Otis Elevator Company Electronic safety system for elevators having a dual redundant safety bus
SG85215A1 (en) * 1999-10-08 2001-12-19 Inventio Ag Safety circuit for an elevator installation
FI125141B (fi) * 2007-01-03 2015-06-15 Kone Corp Hissin turvalaite
US8813919B2 (en) * 2008-12-23 2014-08-26 Inventio Ag Elevator safety system preventing collision of cars
AU2010314253B2 (en) * 2009-10-26 2016-08-04 Inventio Ag Safety circuit in an elevator system
JP2011195205A (ja) 2010-03-17 2011-10-06 Toshiba Elevator Co Ltd エレベータの安全回路
TWI622548B (zh) * 2012-12-13 2018-05-01 伊文修股份有限公司 用於人員輸送設備的監視裝置、人員輸送設備、以及用於監視人員輸送設備之方法
CA2898671C (en) * 2013-02-12 2020-08-18 Inventio Ag Safety circuit-monitoring using alternating voltage
US10364127B2 (en) * 2013-12-18 2019-07-30 Inventio Ag Elevator installation safety system and method of checking same
EP2886501A1 (de) 2013-12-18 2015-06-24 Inventio AG Aufzug mit einem Absolutpositionierungssystem für eine Doppeldeckerkabine
WO2016156658A1 (en) * 2015-04-01 2016-10-06 Kone Corporation A brake control apparatus and a method of controlling an elevator brake
WO2017008849A1 (en) 2015-07-15 2017-01-19 Otis Elevator Company Elevator control system
CN105384018A (zh) * 2015-11-25 2016-03-09 苏州汾湖电梯科技有限公司 一种家用电梯门双触点检测系统

Also Published As

Publication number Publication date
US11618648B2 (en) 2023-04-04
WO2019086205A1 (de) 2019-05-09
EP3704048A1 (de) 2020-09-09
US20200346893A1 (en) 2020-11-05
CN111295350B (zh) 2021-10-08
CN111295350A (zh) 2020-06-16

Similar Documents

Publication Publication Date Title
EP1423326B1 (de) Situationsabhängige reaktion im falle einer störung im bereich einer türe eines aufzugsystems
DE69018448T2 (de) Eine getrennte Aufzugstürkette.
DE3614979C2 (de) Sicherheitssystem für eine Druckmaschine
EP3233694B1 (de) Sicherheitsschaltung für eine aufzugsanlage
EP2493802B1 (de) Sicherheitskreis in einer aufzugsanlage
EP0875810B1 (de) Verfahren und Vorrichtung zum Überwachen einer Anlage mit mehreren Funktionseinheiten
EP2845072B1 (de) Schaltgerät
EP2956396B1 (de) Batteriegestützte sicherheitskreis-überwachungsanlage
EP3793925B1 (de) Inspektionssteuerungssystem einer aufzugsanlage sowie verfahren zum umschalten einer aufzugsanlage zwischen einem normal- und einem inspektionsbetrieb
DE102011002481A1 (de) Steuerungssystem
WO2005101440A1 (de) Sicherheitsschalteinrichtung für eine sicherheitsschaltung
EP3704048B1 (de) Sicherheitsüberwachungsvorrichtung zum überwachen von sicherheitsrelevanten zuständen in einer personenförderanlage sowie verfahren zum betreiben derselben
WO2005101439A1 (de) Meldegerät für eine sicherheitsschaltung
EP2160349B1 (de) Anordnung, modul und verfahren zum sicheren betreiben einer anlage
EP2587512B1 (de) Sicherheitsgerichtetes Schaltgerät
EP3191357B1 (de) Förderanlage mit sicherheitsfunktion
EP3814267A1 (de) Sicherheitsschaltsystem und verfahren zum umschalten einer aufzugsanlage zwischen einem normal- und einem inspektionsbetriebsmodus
DE102016214419A1 (de) Sanftstarter, Betriebsverfahren und Schaltsystem
DE102005014804A1 (de) Bordnetzsystem für ein Kraftfahrzeug sowie Steuergerät und intelligentes Energieversorgungsgerät für ein Bordnetzsystem eines Kraftfahrzeugs
DE102004050647A1 (de) Überwachungsverfahren für eine Antriebseinrichtung auf Stillstand, hiermit korrespondierende Überwachungseinrichtung und hiermit korrespondierendes Antriebssystem
EP3112966B1 (de) Sicherheitsschalter für eine elektrische anlage, insbesondere für eine sicherheitskette einer aufzuganlage
EP3798176B1 (de) Verfahren und vorrichtung zur überwachung einer elektromagnetischen bremse
WO2021197811A1 (de) Sicherheitsüberwachungsvorrichtung und verfahren zum sicherheitsüberwachen einer aufzuganlage
DE102012012047A1 (de) Antriebsregler und Verfahren zur Stillsetzung einer Achse
EP1323661A1 (de) Verfahren zum Anhalten einer Personenfördereinrichtung

Legal Events

Date Code Title Description
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: UNKNOWN

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE INTERNATIONAL PUBLICATION HAS BEEN MADE

PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20200312

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

AX Request for extension of the european patent

Extension state: BA ME

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)
GRAP Despatch of communication of intention to grant a patent

Free format text: ORIGINAL CODE: EPIDOSNIGR1

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: GRANT OF PATENT IS INTENDED

INTG Intention to grant announced

Effective date: 20210719

GRAS Grant fee paid

Free format text: ORIGINAL CODE: EPIDOSNIGR3

GRAA (expected) grant

Free format text: ORIGINAL CODE: 0009210

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE PATENT HAS BEEN GRANTED

AK Designated contracting states

Kind code of ref document: B1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

REG Reference to a national code

Ref country code: GB

Ref legal event code: FG4D

Free format text: NOT ENGLISH

REG Reference to a national code

Ref country code: AT

Ref legal event code: REF

Ref document number: 1451596

Country of ref document: AT

Kind code of ref document: T

Effective date: 20211215

Ref country code: CH

Ref legal event code: EP

REG Reference to a national code

Ref country code: IE

Ref legal event code: FG4D

Free format text: LANGUAGE OF EP DOCUMENT: GERMAN

REG Reference to a national code

Ref country code: DE

Ref legal event code: R096

Ref document number: 502018008051

Country of ref document: DE

REG Reference to a national code

Ref country code: LT

Ref legal event code: MG9D

REG Reference to a national code

Ref country code: NL

Ref legal event code: MP

Effective date: 20211201

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: RS

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: LT

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: FI

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: BG

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20220301

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: SE

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: PL

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: NO

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20220301

Ref country code: LV

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: HR

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: GR

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20220302

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: NL

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: SM

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: SK

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: RO

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: PT

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20220401

Ref country code: ES

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: EE

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: CZ

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

REG Reference to a national code

Ref country code: DE

Ref legal event code: R097

Ref document number: 502018008051

Country of ref document: DE

RAP4 Party data changed (patent owner data changed or rights of a patent transferred)

Owner name: INVENTIO AG

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: IS

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20220401

PLBE No opposition filed within time limit

Free format text: ORIGINAL CODE: 0009261

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: NO OPPOSITION FILED WITHIN TIME LIMIT

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: DK

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: AL

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

26N No opposition filed

Effective date: 20220902

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: SI

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: MC

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: IT

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

REG Reference to a national code

Ref country code: CH

Ref legal event code: PL

REG Reference to a national code

Ref country code: BE

Ref legal event code: MM

Effective date: 20221031

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: LU

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20221005

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: LI

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20221031

Ref country code: CH

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20221031

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: BE

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20221031

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: IE

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20221005

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: CY

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: MK

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: HU

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT; INVALID AB INITIO

Effective date: 20181005

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: MT

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

REG Reference to a national code

Ref country code: AT

Ref legal event code: MM01

Ref document number: 1451596

Country of ref document: AT

Kind code of ref document: T

Effective date: 20231005

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: DE

Payment date: 20241029

Year of fee payment: 7

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: GB

Payment date: 20241022

Year of fee payment: 7

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: AT

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20231005

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: FR

Payment date: 20241025

Year of fee payment: 7

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: AT

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20231005