带有具有例如乘客自主撤离的选择的两个单元的电梯安全监督实体的制作方法

本发明涉及一种电梯安全监督实体(sse)，其包括两个单独的安全监督单元(ssu)，以用于监督与安全相关的条件和控制电梯中的与安全相关的功能。

背景技术：

电梯用于在建筑物内的不同楼层之间运送乘客或物品。为此目的，电梯轿厢(有时称为电梯厢)在整个电梯竖井(有时称为井道)中移位。电梯轿厢由驱动发动机驱动，驱动发动机的运动由电梯控制器控制。

当电梯轿厢在极大的高度上移位时，必须满足严格的安全和保安要求。因此，电梯内的与安全相关的条件通常由特定装置监督或监控，在检测到安全临界条件的情况下，特定装置可以指示电梯控制器或者可以否决电梯控制器的正常操作，以便将电梯带入安全状态。通常，通过启动驱动发动机的电动机制动器，使驱动发动机进入安全扭矩关闭模式，激活轿厢的安全装置(有时称为紧急制动器)和/或关闭轿厢门处的门锁来建立这种安全状态。在安全扭矩关闭模式下，驱动发动机不对牵引滑轮施加任何扭矩或力。因此，电梯的正常操作立即被中断，从而最小化潜在危险条件下电梯乘客的危险。

在传统的电梯中，通常包括经典的安全电路，经典的安全电路包括串联连接的安全触点，串联连接的安全触点接通/打开驱动和/或制动功率。在打开其中的一个安全触点时，整个安全电路被中断并且可以启动安全保持功能。

目前，这种经典的系统旨在被依赖于总线技术的电子安全系统所取代。

例如，ep2022742a1公开了这种基于总线的电子安全系统的示例。安全系统以分散的方式组织，包括两个独立的安全监督单元(ssu)。一个安全监督单元包括在电梯轿厢中或电梯轿厢处，以便与轿厢一起移位，并且在本文中称为轿厢安全监督单元。另一个安全监督单元例如静止设置在电梯竖井内，并且在这里称为顶部安全监督单元。两个安全监督单元通过安全总线系统互连。例如，轿厢安全监督单元监控轿厢的所有安全相关的运动状态，该运动状态例如与轿厢的位置、速度和/或加速度有关。顶部安全监督单元监控例如安全触点，例如竖井门触点或竖井端部触点。

wo2016/062686a1公开了一种电梯的另一示例，其包括具有两个单独的安全监督单元的分散式电子安全系统。

包括若干分布式安全监督单元的分散式电子安全系统可提供多个益处。例如，在基于总线的系统中，可以显著地减少用于电互连多个安全相关装置(例如安全开关)的布线工作。通常，所有安全相关装置可以连接到相同的数据连接，诸如基于总线的电连接系统。其中，数据连接可以是硬连线或无线的。此外，每个安全相关装置可以使用例如一系列比特数据容易地电子地传送其标识，从而通知例如安全监督单元接收有关其身份、功能和/或位置的信号。因此，可以在基于总线的系统中实现各种额外功能，这种功能几乎不适用于传统的经典系统。

在包括通过数据连接而连接的单独安全监督单元的安全监督实体中，针对电梯操作的最大安全性设计每个部件。为此目的，每个安全监督单元以及数据连接通常被配置为满足高安全完整性等级(sil)。例如，数据连接可以用安全快速链接实现。传统上，在这种安全监督实体中，每个安全监督单元适于检测与另一个安全监督单元的数据通信中的任何故障或内部故障，并且在检测到这种故障时通常通过启动制动器、紧急装置等立即停止电梯的正常操作并使电梯进入其安全状态。

然而，已经发现，对安全监督实体的部件内的任何故障的常规反应可能导致电梯轿厢中的乘客的不便或甚至危险。特别是，乘客从电梯轿厢撤离可能是麻烦的。

因此，可能需要包括单独的安全监督单元的电梯安全监督实体，这可以允许在内部故障的情况下避免乘客的这种不便或甚至危险。此外，可能需要包括这种电梯安全监督实体的电梯。

技术实现要素：

独立权利要求的主题可以满足这些需求。有利的实施例在从属权利要求和以下说明书中限定。

根据本发明的一个方面，提出了一种用于电梯的电梯安全监督实体，该电梯包括可在电梯竖井内移位的电梯轿厢，并且还包括电梯安全部件，所述电梯安全部件包括设置在电梯轿厢上的轿厢安全部件和静止设置在电梯竖井中的竖井安全部件。电梯安全监督实体包括轿厢安全监督单元(轿厢ssu)、顶部监督单元(顶部ssu)和数据连接。轿厢安全监督单元适于控制轿厢安全部件的功能，并且包括至少一个轿厢传感器，以用于感测与轿厢相关的参数。顶部安全监督单元适于控制竖井安全部件的功能，并且包括至少一个竖井传感器，以用于检测与竖井相关的参数。数据连接适于在轿厢安全监督单元和顶部安全监督单元之间传输信号数据。轿厢安全监督单元和顶部安全监督单元都适于在正常操作模式和故障操作模式中的每一个中操作。其中，轿厢安全监督单元和顶部安全监督单元都适于检测轿厢安全监督单元和顶部安全监督单元中的另一个的故障，并检测通过数据连接的信号数据传输的故障并在检测到这种故障时从正常操作模式切换到故障操作模式。此外，在正常操作模式中，轿厢安全监督单元和顶部安全监督单元适于交换信号数据，并且轿厢安全监督单元适于基于从感测到的与轿厢相关的参数和感测到的与竖井相关的参数获得的信息生成用于控制电梯安全部件的功能的控制信号，且顶部安全监督单元适于基于从感测到的与轿厢相关的参数和感测到的与竖井相关的参数两者获得的信息来控制电梯安全部件的功能。在故障操作模式中，轿厢安全监督单元和顶部安全监督单元适于自主操作，并且轿厢安全监督单元适于基于从感测到的与轿厢相关的参数获得的信息，但是不基于从由顶部安全监督单元的至少一个竖井传感器感测到的与竖井相关的参数获得的信息，来至少控制轿厢安全部件的功能。类似地，顶部安全监督单元适于基于从感测到的与竖井相关的参数获得的信息，但是不基于从由轿厢安全监督单元的至少一个轿厢传感器感测到的与轿厢相关的参数获得的信息，来至少控制顶部安全部件的功能。

根据本发明的第二方面，提出了一种电梯，该电梯包括可在电梯竖井内移位的电梯轿厢和根据本发明第一方面的实施例的电梯安全监督实体，电梯安全监督实体的轿厢安全监督单元布置在电梯轿厢处且电梯安全监督实体的顶部安全监督单元相对于电梯竖井静止设置。

尤其基于以下观察和认识理解本发明的实施例的基本思想。

在操作电梯时，在电梯的正常操作期间，即当电梯轿厢在整个电梯竖井中移动以运送乘客时，必须在各种条件和环境下满足安全要求。为此目的，具有其单独的轿厢安全监督单元和其顶部安全监督单元的分散式电梯安全监督实体通常包括各种传感器和各种电梯安全部件。基于来自传感器的数据或信号，可以检测电梯内的安全临界条件，然后可以激活电梯安全部件以使电梯进入安全状态。

传感器以及电梯安全部件可以与轿厢安全监督单元和顶部安全监督单元中的任何一个相关联。

例如，轿厢安全监督单元可以包括一个或多个轿厢传感器，以用于感测与轿厢相关的参数。这种轿厢传感器可以是例如用于感测电梯轿厢的加速度的加速度传感器，用于感测电梯轿厢的速度的速度传感器和/或用于感测电梯轿厢的位置的位置传感器等。这些轿厢传感器可以布置在轿厢处或轿厢内，优选地布置在轿厢安全监督单元的壳体内，以便与轿厢一起移动。传感器也可以与壳体分开设置，并且仅与轿厢安全监督单元电连接，但仍然与电梯轿厢相关联。基于来自这种轿厢传感器的信号，轿厢安全监督单元可以控制被称为轿厢安全部件的特定电梯安全部件的功能。这种轿厢安全部件可以是例如轿厢的安全装置，即制动器，制动器可以在紧急情况下通过例如与固定地连接在电梯竖井内的导轨接合而快速停止任何轿厢运动。轿厢安全部件的另一个例子可以是轿厢门锁，只要电梯轿厢没有直接停在竖井门附近，轿厢门锁通常就可以关闭。因此，在感测到电梯轿厢的任何过大的加速度或速度或电梯轿厢的任何非预期位置时，轿厢安全监督单元可以控制轿厢安全部件，例如通过激活安全装置来停止轿厢的任何运动和/或通过激活轿厢门锁保持轿厢门关闭。相应的控制信号可以直接传输到安全部件，或者可以传输到电梯控制器，然后电梯控制器指示安全部件。

顶部安全监督单元可包括一个或多个竖井传感器，以用于感测与竖井相关的参数。这种竖井传感器可以是例如用于检测竖井门是否正确关闭的竖井门传感器、用于检测电梯轿厢当前是否位于与地板水平高度处的最终停止位置紧密相邻的门区域的门区域传感器、用于检测电梯轿厢是否接近电梯竖井的一个端部的竖井端部传感器，等。这些竖井传感器可以静止地布置在电梯竖井内或相对于电梯竖井的静止位置处，并且仅电连接到顶部安全监督单元。基于来自这种竖井传感器的信号，顶部安全监督单元可以控制被称为竖井安全部件的特定电梯安全部件的功能。这种竖井安全部件可以是驱动发动机的电动机制动器，驱动发动机例如驱动悬挂电梯轿厢的悬挂牵引装置。通过激活这种电动机制动器，可以通过停止其悬挂牵引装置来停止电梯轿厢的运动。此外，这种竖井安全部件可以是例如安全扭矩关闭开关，安全扭矩关闭开关可以中断对电梯驱动发动机的电动机的能量供应，使得电动机不再产生作用在悬挂牵引装置上的任何扭矩或力。因此，在感测到例如任何竖井门打开而没有电梯轿厢与该竖井门相邻或者至少在其门区域内时，顶部安全监督单元可以控制竖井安全部件例如以通过以下方式停止轿厢的任何运动：激活电动机制动器并启动安全扭矩关闭开关。

应始终在电梯安全监督实体的正常操作期间执行以下动作，即，前段中描述的分别使用轿厢传感器和竖井传感器感测与轿厢相关的参数和与竖井相关的参数，然后通过适当控制电梯安全部件的功能启动安全增强功能。在这种正常操作模式期间，轿厢安全监督单元和顶部安全监督单元通常交换信号数据。这样的信号数据可以是来自各个轿厢传感器和竖井传感器的未处理数据，或者可以是已经在相应安全监督单元内处理的数据。其中，在正常操作模式期间，轿厢安全监督单元通常基于几个或所有可获得的信息以生成用于控制电梯安全部件的功能的控制信号，该信息来自由其自已的轿厢传感器提供的感测到的与轿厢相关的参数，以及由竖井传感器提供的通过数据连接从顶部安全监督单元传输到轿厢安全监督单元的感测到的与竖井相关的参数。其中，在正常操作模式期间，顶部安全监督单元通常基于几个或所有可获得的信息以生成用于控制电梯安全部件的功能的控制信号，该信息来自由其自己的竖井传感器提供的感测到的与竖井相关的参数，以及由轿厢传感器提供的通过数据连接从轿厢安全监督单元传输到顶部安全监督单元的感测到的与轿厢相关的参数。换句话说，在正常操作期间，轿厢安全监督单元和顶部安全监督单元可以彼此协作，以便基于来自轿厢传感器和竖井传感器的信号提供最佳安全监督，并且在检测到任何安全临界状态的情况下，以提供对电梯安全部件的功能的最佳控制。

然而，如在介绍部分中简要指出的，内部故障可能发生在电梯安全监督实体内，即在其轿厢安全监督单元、顶部安全监督单元和/或数据连接内。传统上，安全监督实体的所有部件都被调整成使得在发生任何内部故障时，整个电梯被设定为其安全模式，即例如安全装置和/或电动机制动器被激活，使得电梯轿厢立即停止。

然而，虽然电梯轿厢的这种立即停止通常可以避免电梯操作期间的死亡陷阱危险，例如电梯轿厢的自由下落，但是它可能至少对轿厢乘客造成不便或甚至有害的危险。

例如，当安全装置被启动时，电梯轿厢通常非常突然地停止，使得过度加速可能危及诸如老年人或孕妇的乘客。此外，例如安全装置通常设计成使得一旦安全装置被启动，它只能由经过培训的维护人员释放。因此，被困在轿厢内的乘客可能不得不等待这样的人员，因此不能迅速从轿厢中撤离。

因此，提出以这样的方式改变轿厢安全监督单元和顶部安全监督单元，使得它们可以检测轿厢安全监督单元和顶部安全监督单元中的另一个中的故障，并且特别地，检测通过轿厢安全监督单元和顶部安全监督单元之间的数据连接进行的信号数据传输中的故障。在检测到另一个安全监督单元或数据连接中的这种故障时，相应的安全监督单元将自动从其先前的正常操作模式切换到特定的故障操作模式。然而，在这种故障操作模式中，安全监督单元可能不一定立即激活安全部件以便立即停止电梯轿厢的运动。

相反，提出使轿厢安全监督单元和顶部安全监督单元适应特定的自主操作。在这种自主操作期间，相应的安全监督单元不一定需要来自另一个安全监督单元的数据、信号或信息。相反，例如轿厢安全监督单元适于基于从感测到的与轿厢相关的参数(即来自其自身轿厢传感器的信号)得到的信息，但不基于从由顶部安全监督单元的竖井传感器感测到的与竖井相关的参数得到的信息，以至少控制轿厢安全部件的功能。换句话说，在其故障操作模式期间，轿厢安全监督单元不需要通过数据连接提供的其他信息或信号，而是可以自主地提供足够的安全监督。类似地，顶部安全监督单元可以适于基于从感测到的与竖井相关的参数(即，来自其自身的竖井传感器的信号)得到的信息，但是不基于从由轿厢安全监督单元的轿厢传感器感测到的与轿厢相关的参数得到的信息，来至少控制竖井安全部件的功能。因此，在其故障操作模式期间，顶部安全监督单元不一定需要由数据连接提供的任何其他信息或信号，而是可以自主地提供足够的安全监督。

因此，利用这里提出的电梯安全监督实体，即使在轿厢安全监督单元和顶部安全监督单元中的任一个和/或轿厢安全监督单元和顶部安全监督单元之间的数据连接未正确操作的情况下，轿厢安全监督单元和顶部安全监督单元中的另一个也可以提供足够的基本功能，该基本功能例如在安全监督实体发生任何故障的情况下，允许避免对轿厢乘客造成不便或甚至危险。

特别地，根据一个实施例，轿厢安全监督单元和顶部安全监督单元中的至少一个适于在故障操作模式中控制电梯安全部件的功能，以便能够使乘客从电梯轿厢中撤离。

换句话说，当轿厢安全监督单元和顶部安全监督单元中的一个检测到在轿厢安全监督单元和顶部安全监督单元中的另一个或轿厢安全监督单元和顶部安全监督单元之间的数据连接发生故障时，所述一个安全监督单元可以适应于自主地，即在没有所述另一个安全监督单元的协作或反馈的情况下，控制电梯安全部件的功能，以便使乘客能够安全地从电梯轿厢中撤离。例如，在这种撤离过程期间，未发生故障的轿厢安全监督单元或顶部安全监督单元可以允许电梯轿厢的运动，以便将乘客至少带到下一个竖井门，在下一个竖井门，乘客可以离开电梯轿厢到达建筑物的楼层。

根据一个实施例，轿厢安全监督单元适于控制轿厢安全装置的启动，并且轿厢安全监督单元还适于在故障操作模式中至少在预定的一段时间内将安全装置保持在非启动状态。

换句话说，由轿厢安全监督单元控制的轿厢安全部件中的一个可以是安全装置，安全装置在其启动时可以快速停止轿厢运动。然而，在每个真正危险状态的情况下，例如由于例如悬挂牵引装置的断裂导致的轿厢的自由下落，该安全装置应尽可能快地启动，轿厢安全监督单元在确定顶部安全监督单元或数据连接发生任何故障时的反应可能不同。事实上，安全监督实体的部件中的这种故障通常不会直接导致危险情况，危险情况将立即要求例如安全装置启动。例如，数据连接的中断通常可能妨碍安全监督实体本身的正常操作，但只要电梯中不发生其他缺陷，这种故障通常不会危及电梯及其乘客的完整性甚至安全性。因此，似乎可以接受的是将安全装置的激活至少推迟预定的一段时间。这样的一段时间可以持续例如几秒到几分钟，例如最多5分钟。可以假设在安全监督实体发生故障之后的这么短的时间内发生的电梯内的任何严重损坏的统计风险可以忽略不计。在这一段时间内，例如通过将轿厢带到最近的楼层或甚至到建筑物中的目的地楼层，乘客可以从电梯轿厢撤离。在完成这样的撤离之后，轿厢安全监督单元然后可以启动安全装置以使电梯进入安全状态。因为在安全监督实体发生任何故障时，可能不再能够安全地检测到电梯部件内的严重损坏或故障，所以这种最终达到安全状态会是必要的。

类似地，根据本发明的实施例，轿厢安全监督单元适于控制轿厢门锁的启动，并且轿厢安全监督单元适于在故障操作模式中至少在预定的一段时间内将轿厢门锁保持在解锁状态。

换句话说，由轿厢安全监督单元控制的轿厢安全部件中的一个可以是轿厢门锁，轿厢门锁在其启动时防止轿厢门打开。只要电梯轿厢当前未停在直接靠近竖井门的位置，这种轿厢门锁就通常保持关闭。例如，只要电梯轿厢在整个电梯竖井中移动或者停在两个竖直相邻的竖井门之间的位置，轿厢门锁就可以保持轿厢门关闭，以避免对乘客造成任何危险。此外，在传统系统中，因为当安全监督单元中发生任何故障时，不能再证明电梯轿厢处于允许位置，例如在靠近竖井门的门区域内，所以轿厢门锁自动关闭或保持关闭以便安全。

然而，在安全监督实体发生内部故障的情况下，可以假设允许至少在预定的一段时间内能够打开轿厢门，例如几秒钟或者长达几分钟，例如5分钟。因此，在这样的一段时间中，电梯轿厢可以被带到下一楼层，并且轿厢门可以在下一楼层打开，使得乘客可以离开。在完成这样的撤离之后，轿厢安全监督单元可以控制轿厢门锁进入其锁定状态，以便例如保证没有其他乘客进入电梯轿厢。

在另一个实施例中，顶部安全监督单元适于控制电动机制动器的启动和电梯驱动发动机的安全扭矩关闭模式的激活中的至少一个，并且顶部安全监督单元适于在故障操作模式中至少在预定的一段时间内保持电动机制动器处于非启动状态。

换句话说，由顶部安全监督单元控制的两个竖井安全部件可以是电动机制动器和安全扭矩关闭开关，电动机制动器和安全扭矩关闭开关通常在电梯操作期间检测到任何故障或甚至紧急情况时被启动。然而，由于安全监督实体的故障通常不表示立即需要应对作用的危险，因此在检测到这种故障时，从正常操作模式切换到故障操作模式可能就足够了，但是，至少在预定的一段时间内，保持电动机制动器处于其非启动状态。通常，在这样的一段时间内，安全转矩关闭模式被保持不激活，以便电梯轿厢能够进一步移动。同样，在这样有限的一段时间内，乘客可以在电动机制动器最终被启动之前撤离，以避免在没有足够的安全监督的情况下电梯轿厢进一步移动。

根据另一实施例，顶部安全监督单元又适于控制电动机制动器的启动和激活电梯驱动发动机的安全转矩关闭模式，但是在这种情况下，顶部安全监督单元适于在故障操作模式中，通常关闭电动机制动器，但间歇地在短时间内释放电动机制动器。

因此，与在预定的一段时间内电动机制动器完全保持打开的前述实施例相反，可以有利地增加安全性以不完全打开电动机制动器而是以所谓的pebo(脉冲式电子制动器打开)模式操作电动机制动器。在这种pebo模式中，在非常短的一段时间内，电动机制动器间歇地打开，例如几毫秒到最多几秒，然后再次关闭。因此，一方面，电梯轿厢可以在电动机制动器短暂打开的阶段期间在整个电梯竖井中朝向下一个竖井门的出口移动，但另一方面，可以防止电梯轿厢以过大的速度移动。

根据一个实施例，在故障操作模式中，轿厢安全监督单元和顶部安全监督单元中的至少一个适于控制安全部件的功能，所述安全部件在正常操作模式下由轿厢安全监督单元和顶部安全监督单元中的另一个控制。

换句话说，在正常操作期间，电梯内的安全监督在轿厢安全监督单元和顶部安全监督单元之间共用，并且这些安全监督单元中的每一个控制相关安全部件的特定功能，这样可以在检测到其中一个安全监督单元和/或数据连接的任何故障时改变对安全功能进行控制的共用。

特别地，例如在顶部安全监督单元发生故障的情况下，通常由顶部安全监督单元控制的功能可以至少部分地由轿厢安全监督单元接管，反之亦然。其中，可接受的是，至少在有限的一段时间内，轿厢安全监督单元不完全适于执行或控制这种额外控制功能。

具体地，根据一个实施例，在故障操作模式中，轿厢安全监督单元和顶部安全监督单元中的至少一个适于基于对于检测到故障之前的电梯操作参数的了解而得到关于与轿厢相关的参数和与竖井相关的参数中的至少一个的额外信息。

换句话说，在其故障操作模式中，由于另一个安全监督单元或数据连接的故障，轿厢安全监督单元和顶部安全监督单元中的其余一个通常接收不到来自另一个安全监督单元的任何数据或信号，使得一些正常操作期间可用的信息可能会丢失。然而，其余一个的安全监督单元可以适于获得额外信息，以帮助其连续执行至少基本的监督功能。这些额外信息可以从对于电梯操作参数的了解中获得，该电梯操作参数恰好在检测到故障之前就已经共用。

例如，如果轿厢安全监督单元从顶部安全监督单元获得的最近的信息表明所有竖井门都正确关闭，然后在顶部安全监督单元或数据连接中发生故障，则轿厢安全监督单元将检测到这种故障并且很可能会假设，例如在接下来的几秒或几分钟内所有竖井门都保持正确关闭。类似地，例如当顶部安全监督单元从轿厢安全监督单元获得的最后信息表明电梯轿厢以可接受的速度移动时，可以假设将至少在接下来的几秒或几分钟内保持这种可接受的速度，即，可以假设直接根据检测到的安全监督实体的故障不可能发生超速状态。

基于先前状态的信息假设这种未来的状态并且例如推断这些先前状态，可以合法地至少暂时限制电梯的进一步操作，例如将电梯轿厢移动到下一楼层以撤离乘客。

根据一个实施例，轿厢安全监督单元包括至少一个辅助轿厢传感器，其中，在故障操作模式中，轿厢安全监督单元适于基于辅助轿厢传感器获取的信号得到关于与竖井相关的参数的额外信息。

辅助轿厢传感器可以是如下的传感器，该传感器在正常操作期间可能不是必需的，或者可能仅提供对在正常操作时由例如竖井传感器提供的信息冗余的信息。然而，在故障操作模式期间，来自这种辅助轿厢传感器的信息可以帮助轿厢安全监督单元至少保持基本的安全监督功能。

例如，通常使用布置在电梯竖井内的竖井端部开关来确定电梯轿厢是否靠近电梯竖井的端部。这些竖井端部开关通常是竖井传感器，在正常操作期间，竖井传感器向顶部安全监督单元提供它们的信号，然后信号可以通过数据连接转发到轿厢安全监督单元。但是，当顶部安全监督单元或数据连接出现任何故障时，轿厢安全监督单元将缺少相应的信息。轿厢安全监督单元中可以包括额外的传感器，以用于提供相同或类似的信息。例如，距离测量装置可以附接到电梯轿厢并且可以测量电梯轿厢到电梯竖井的顶部或底部的当前距离。这种距离测量装置可以使用例如指向电梯竖井的顶部或底部的激光束，并且可以从运行时间测量值或干扰测量值得到当前距离。

类似地，根据另一实施例，顶部安全监督单元包括至少一个辅助竖井传感器，其中，在故障操作模式中，顶部安全监督单元适于基于由辅助竖井传感器获取的信号得到关于与轿厢相关的参数的额外信息。

这种辅助竖井传感器可能在正常操作期间不再是必需的或者可能是冗余的，但是可以在轿厢安全监督单元或数据连接发生任何故障时提供有用的信息。

例如，在正常操作期间，电梯轿厢的当前速度通常由作为电梯轿厢中的轿厢传感器提供的速度传感器感测，然后关于这种速度的信息从轿厢安全监督单元转发到顶部安全监督单元。然而，在发生任何故障并因此中断数据传输时，在顶部安全监督单元处将丢失相应的速度信息。为了获得辅助信息，例如可以提供感测电梯驱动发动机或其牵引滑轮的当前旋转速度的辅助竖井传感器。基于来自这种辅助竖井传感器的信息，顶部安全监督单元可以至少近似地确定电梯轿厢的当前速度并且可以相应地调整其控制功能。

根据先前三个实施例的具体实施方式，以比感测到的与轿厢相关的参数和感测到的与竖井相关的参数更低的安全完整性水平得到额外信息。

换句话说，可以接受的是，例如从关于先前电梯操作参数的知识或从辅助轿厢传感器或辅助竖井传感器的信号得到的额外信息可能不如由普通轿厢传感器和竖井传感器提供的信息，即从感测到的与轿厢相关的参数或感测到的与竖井相关的参数得到的信息，可靠。

通常，分别针对轿厢安全监督单元和顶部安全监督单元提供的轿厢传感器和竖井传感器适于以非常高的可靠性(即以非常高的安全完整性水平)提供其感测参数，以确保安全监督实体可以根据非常高的安全标准，监督电梯在正常操作期间的安全性。当然，偏离这种正常操作通常会导致可靠性的损失。然而，这里认为，在采取适当的措施的情况下，电梯的操作可以至少暂时地继续以便例如使得乘客能够撤离。为了在这种故障操作模式期间进一步提高安全水平，如上所述得到额外信息可能是有帮助的。然而，由于这种故障操作模式是非标准的并且通常仅在短时间内被接受，因此认为可接受的是这样的额外信息可能不太可靠，即满足比用于在正常操作期间建立安全监督功能的信息更低的安全完整性水平。

根据一个实施例，轿厢安全监督单元和/或顶部安全监督单元适于仅在预定的一段时间内保持在故障操作模式中，然后通过控制电梯安全部件自动切换到安全停止操作模式以停止操作电梯。

换句话说，虽然可能接受的是，在检测到安全监督实体的一个部件中的任何故障之后的同时，在其受限制的故障操作模式中继续短时间地操作电梯，在这样的预定的一段时间之后，剩余的完整轿厢安全监督单元或顶部安全监督单元应自动切换到安全停止操作模式。在这种安全停止操作模式中，电梯的操作完全停止，并且特别地，例如通过启动安全装置和/或电动机制动器来停止电梯轿厢的任何运动。可以选择足够长的一段时间以将电梯轿厢驱动到最近的楼层，在那里打开门并允许乘客离开。或者，预定的一段时间甚至可以更长，以使乘客到达目的地楼层，但是然后终止电梯的操作，直到例如维护人员已经修理了安全监督实体的导致其故障的有缺陷的部件。然而，预定的一段时间不应该过长，以便降低在此期间电梯中发生的并且不能被安全监督实体安全地检测到的任何与安全相关的缺陷的风险。例如，预定的一段时间可以在10秒至10分钟之间，优选地在30秒至3分钟之间。

根据一个实施例，在故障操作模式中，轿厢安全监督单元和顶部安全监督单元适于根据增强的安全规则控制轿厢安全部件和竖井安全部件的功能。

这是基于这样的假设：在正常操作期间，安全监督实体以高可靠性检测到任何潜在的安全临界状态，并且可以在非常短的响应时间内启动应对作用。然而，在故障操作模式期间，可以降低这种安全临界状态的检测的可靠性，并且可以更慢地启动应对作用。

因此，在故障操作模式期间，可以通过根据增强的安全规则控制轿厢安全部件的和竖井安全部件的功能来增加电梯操作的整体安全性。换句话说，在这种故障操作模式期间，可以更谨慎地操作电梯安全部件。

作为示例，虽然在正常操作期间电梯轿厢的特定速度可以是可接受的，但是在故障操作模式期间可以将这种轿厢速度的限制设置在较低水平。因此，虽然轿厢可以在正常操作期间例如以5m/s的最大速度移位，但是在故障操作期间最大速度可以被限制为小于例如2m/s，例如可以增加在检测到安全临界状态时的响应时间。

类似地，尽管在正常操作期间，因为电梯轿厢的位置可以通过竖井端部开关可靠地检测，所以电梯轿厢可以移位到电梯竖井的端部附近，但是在故障操作模式期间，电梯轿厢的移位距离可以被限制。

应当注意，本文中部分地针对电梯安全监督实体及其部件并且部分地针对包括这种电梯安全监督单元的电梯来描述本发明的实施例的可能的特征和优点。本领域技术人员将认识到，可以将特征从一个实施例适当地转移到另一个实施例，并且可以修改、改编、组合和/或替换特征等，以便得到本发明的其他实施例。

附图说明

在下文中，将参考附图描述本发明的有利实施例。然而，附图和说明书都不应解释为限制本发明。

图1示出了根据本发明的实施例的包括电梯安全监督实体的电梯。

该图仅是示意图而非按比例绘制。

具体实施方式

图1示出了根据本发明的实施例的电梯1。电梯1包括电梯轿厢3和布置在电梯竖井7中的配重5。电梯轿厢3和配重5由包括若干绳索或带的悬挂牵引装置9悬挂。悬挂牵引装置9由驱动发动机11的牵引滑轮13驱动。驱动发动机11的操作由电梯控制器15控制。驱动发动机11的电动机可通过电动机制动器14减速。此外，安全扭矩关闭开关16可以中断对驱动发动机11的能量供应，以便在某些情况下防止任何扭矩或力施加到悬挂牵引装置9上。电梯轿厢3包括安全装置31，安全装置31例如在诸如自由下落的紧急情况下可以快速停止电梯轿厢3。此外，轿厢门28设置有轿厢门锁30。

为了能够控制电梯1的功能和/或保证其安全，电梯1包括多个轿厢传感器17、19、21和竖井传感器23、25。

例如，加速度传感器17、位置传感器19和轿厢速度传感器21设置在轿厢3上，使得它们与轿厢3一起移动。加速度传感器17可以确定轿厢3的当前加速度。例如，加速度传感器可以是微电子装置，微电子装置可以输出与作用在其上的当前加速度成比例的加速度信号。位置传感器19可以确定轿厢3在电梯竖井7内的当前位置。例如，位置标记20可以设置在电梯竖井7内的预定位置处，并且通过识别这些位置标记，位置传感器19可以确定其现在的位置。轿厢速度传感器21可以确定电梯轿厢3在电梯竖井7内移位时的当前速度。可选地，轿厢速度传感器21和位置传感器19可以协作或者可以集成到单个装置中。

电梯1还可以包括竖井传感器23、25，竖井传感器23、25静止地定位在电梯竖井7内。例如，竖井门触点23可以设置在布置在建筑物的每个楼层29处的多个竖井门27中的每一个上。这些竖井门触点23可以确定相关联的竖井门27是否正确关闭。此外，可以提供门区域触点25。这些门区域触点25可以确定电梯轿厢3当前是否位于其中一个竖井门27附近。这种门区域触点25可以静止地布置在电梯竖井3内，以便感测相邻电梯轿厢3的存在或者可以布置在电梯轿厢3处，以便感测例如在每个门区域附近静止设置的标记。

可以在电梯安全监督实体(sse)33内处理多个传感器17至25的信号。为了适当地处理这些信号并适当地控制电梯安全部件，例如电动机制动器14、安全扭矩关闭开关16、轿厢门锁30和/或安全装置31，电梯安全监督实体33由两个单独的安全监督单元组成，即轿厢安全监督单元35和顶部安全监督单元37。

在电梯1的正常操作期间，轿厢安全监督单元35和顶部安全监督单元37可以协作并且可以经由数据连接38彼此通信。此外，轿厢安全监督单元35和顶部安全监督单元37可以与电梯控制器15以及电梯1的其他部件通信，以便控制电梯1的各种功能和安全功能，其他部件例如为电梯的安全部件14、16、30、31。

轿厢安全监督单元35连接到电梯轿厢3，以与电梯轿厢3一起移动。利用其加速度传感器17、位置传感器19和速度传感器21，轿厢安全监督单元35可以检测与轿厢相关的参数，例如轿厢的位置、速度和/或加速度。例如，基于加速度传感器17的指示电梯轿厢3的当前加速度的信号，轿厢安全监督单元35然后可以检测例如电梯轿厢3的自由下落的发生。因此，轿厢安全监督单元35可以快速地激活轿厢3的安全装置31。

轿厢安全监督单元35还包括专用能量源43，例如缓冲电池或具有足够大电容的电容器，以用于提供电能。因此，轿厢安全监督单元35可以至少临时地操作，而不受建筑物的电网的任何电力供应的影响。

顶部安全监督单元37连接到多个竖井门传感器23和门区域传感器25。其中，竖井门传感器23和门区域传感器25中的每一个可以连接到总线45，以便能够用最少的布线工作将信号传输到顶部安全监督单元37。

结合使用轿厢安全监督单元35和顶部安全监督单元37，电梯安全监督实体33可以使用各种不同的传感器17至25监控电梯1中的多种状态，并且可以基于由这些传感器提供的可能在其适当处理之后的信号来控制电梯1的功能。

特别地，在电梯1的正常操作期间，电梯安全监督实体33可以监督所有安全临界状态，例如电梯轿厢3的自由下落的发生，电梯轿厢3到达电梯竖井7的端部区域，至少一个竖井门27打开而轿厢3没有在该竖井门27附近停止和/或其他与安全相关的状态。在这种正常操作期间，轿厢安全监督单元35和顶部安全监督单元37中的每一个可以从其相关联的传感器17至25接收信号，并且可以处理这些信号和/或可以将信号发送到顶部安全监督单元37和轿厢安全监督单元中的另一个。基于几个或甚至所有感测到的与轿厢相关的功能和与竖井相关的功能的组合，轿厢安全监督单元35和顶部安全监督单元37分别可以控制轿厢安全部件(例如轿厢门锁30、安全装置31)的功能以及竖井安全部件(例如电动机制动器14和安全扭矩关闭开关16)的功能，以满足电梯操作期间的较高安全要求。换句话说，在正常操作期间，可以在轿厢安全监督单元35和顶部安全监督单元37之间共用整个安全监督工作。

然而，除了这种正常操作模式之外，这里提出的轿厢安全监督单元35应特别适于在顶部安全监督单元37和/或数据连接38显示一些故障的情况下，即在轿厢安全监督单元35可能不再能够与顶部安全监督单元37通信的情况下，以自主方式提供至少一些基本安全监督功能。对于顶部安全监督单元37，在轿厢安全监督单元35和/或数据连接38发生故障的情况下，是这样，反之亦然。

例如，当检测到顶部安全监督单元37或数据连接38中的故障时，轿厢安全监督单元35可以自动切换到其故障操作模式，其中轿厢的速度和/或位置可以由轿厢安全监督单元35自主监控。在这种情况下，安全装置31通常保持打开，即保持在不会使电梯轿厢3停止的释放模式。具体地，轿厢3的速度和/或位置的限制可以适应特定的故障操作模式。这种操作模式可以允许在不立即激活安全装置31的情况下继续移动电梯轿厢3。安全装置31可以有利地以在轿厢运动的两个相反方向上都有效的方式实施。

在另一个例子中，当顶部安全监督单元37或数据连接38发生故障时，轿厢安全监督单元35可以自动切换到其故障操作模式，在故障操作模式中，它自主地监控门区域。其中，轿厢门锁30保持在其可以未激活的模式。因此，在撤离的情况下，门区域中的轿厢门28可以打开。

当轿厢安全监督单元35或数据连接38发生故障时，顶部安全监督单元37可以切换到故障操作模式，在故障操作模式中，优选地在脉冲式电子制动器打开(pebo)模式中，至少在预定的一段时间允许电动机制动器14的受控释放。顶部安全监督单元37自主地监控电动机制动器14的打开和关闭，从而在乘客撤离的情况下实现电梯轿厢3的受控运动。

当轿厢安全监督单元35或数据连接38发生故障时，顶部安全监督单元37可以获得替代的速度信号或位置信号，利用该信号，顶部安全监督单元37可以至少在预定的一段时间内保持电动机制动器14和安全扭矩关闭开关16打开，以便能够进行电梯轿厢3的撤离行程。

通常，在发生故障的情况下，通常嵌入在顶部安全监督单元37中的安全功能可以由轿厢安全监督单元35接管，反之亦然。

轿厢安全监督单元35包括由距离测量装置形成的辅助轿厢传感器22，辅助轿厢传感器22允许基于到电梯竖井7的顶部的测量距离来确定电梯轿厢3的当前位置。因此，例如可以在与顶部安全监督单元37及其竖井端部传感器25的数据交换被中断的情况下获得关于轿厢位置的额外信息。

顶部安全监督单元37包括辅助竖井传感器24，使得能够测量驱动发动机11的牵引滑轮13的旋转速度，从而在例如轿厢安全监督单元35一方面与其速度传感器19，另一方面与顶部安全监督单元37之间的数据传输被扰乱的情况下，提供关于电梯轿厢3的当前速度的额外信息。

利用这里描述的电梯安全监督实体33，即使当电梯安全监督实体33的功能由于故障而受到干扰时，电梯1也可以至少暂时在足够高的安全性的下保持操作，并且乘客可以在例如完全停止电梯操作之前从电梯轿厢3中撤离。

最后，应该注意，术语“包括”不排除其他元件或步骤，并且“一”或“一个”不排除多个。并且，可以组合关于不同实施例所描述的元件。还应该注意，权利要求中的附图标记应该不被解释为限制权利要求的范围。