WO2017001531A1

WO2017001531A1 - Überwachungseinrichtung für eine aufzugsanlage

Info

Publication number: WO2017001531A1
Application number: PCT/EP2016/065226
Authority: WO
Inventors: Michael Geisshüsler; Simon ZINGG; Nicolas Gremaud
Original assignee: Inventio Ag
Priority date: 2015-06-30
Filing date: 2016-06-29
Publication date: 2017-01-05
Also published as: EP3317218B1; CN107810159A; AU2016286288B2; AU2016286288A1; BR112017025853B1; BR112017025853A2; CN107810159B; EP3317218A1

Abstract

Eine Überwachungseinrichtung (30) für eine Aufzugsanlage (1) mit einer Aufzugskabine (2) und mit einer an der Aufzugskabine (2) angeordneter elektromechanischer Bremseinrichtung (20) zum Bremsen der Aufzugskabine (2) umfasst zumindest zwei Sensoren (31, 32). Die Sensoren erfassen unterschiedliche Bewegungsgrössen der Aufzugskabine. Die Messgrössen der Sensoren werden bedarfsweise gefiltert und auf Plausibilität überprüft. In einem Berechnungsalgorithmus (37) wird zumindest ein tatsächlicher Fahrparameters (P) der Aufzugskabine (2) in Abhängigkeit der erfassten Messgrössen ermittelt. Dieser wird zusammen mit allfälligen Messgrössen der Sensoren mit Grenzwerten verglichen und bewertet. Abhängig von diesem Vergleich und Bewertung wird die elektromechanische Bremseinrichtung (20) freigegeben.

Description

Überwachungseinrichtung für eine Aufzugsanlage

Beschreibung

Die Erfindung betrifft eine Überwachungseinrichtung für eine Aufzugsanlage, ein Verfahren zum Überwachen eines Fahrparameters einer Aufzugsanlage und eine Aufzugsanlage mit einer derartigen Überwachungseinrichtung.

Aufzugsanlagen sind in einem Gebäude eingebaut. Die Aufzugsanlage besteht im Wesentlichen aus einer Aufzugskabine, welche über Tragmittel mit einem Gegengewicht oder mit einer zweiten Aufzugskabine verbunden ist. Mittels eines Antriebs, der wahlweise auf die Tragmittel oder direkt auf die Aufzugskabine oder das Gegengewicht einwirkt, wird die Aufzugskabine und in einer Gegenrichtung dazu das Gegengewicht entlang von im Wesentlichen vertikalen Führungsschienen verfahren. Die Aufzugsanlage wird verwendet, um Personen und Güter innerhalb des Gebäudes über einzelne oder mehrere Etagen hinweg zu befördern. Die Aufzugsanlage beinhaltet Vorrich- tungen, um die Aufzugskabine im Falle des Versagens des Antriebs oder der Tragmittel zu sichern. Dazu sind in der Regel Bremseinrichtungen verwendet, welche im Bedarfsfalle die Aufzugskabine auf den Führungsschienen abbremsen können.

Aus der WO2014/060587 ist eine Sicherheitseinrichtung bekannt, welche eine Bewegung der Aufzugskabine überwacht und welche im Bedarfsfall Fangvorrichtungen der Aufzugskabine elektrisch ansteuern kann. Hierbei wird eine Beschleunigung und eine Fahrgeschwindigkeit oder ein Fahrweg der Aufzugskabine erfasst. Weiter wird aus der Beschleunigung eine Augenblicks- Fahrgeschwindigkeit hergeleitet, wobei Daten aus Fahrgeschwindigkeit oder Fahrweg zum Starten eines Integrationszyklus verwendet werden.

Aus der WO2013/110693 ist eine weitere Sicherheitseinrichtung bekannt, welche eine Bewegung der Aufzugskabine überwacht und welche im Bedarfsfall eine Bremseinrichtung aktivieren kann. Hierbei werden verschiedene Bewegungsparameter der Aufzugskabine erfasst und diese Parameter werden gegenseitig auf Plausibilität geprüft. Werden Abweichungen zwischen den verschiedenen Bewegungsparametern festgestellt, werden Massnahmen eingeleitet.

Die Erfindung bezweckt nun eine qualitative Verbesserung der Sicherheitseinrichtung, im Besonderen der Überwachungseinrichtung zu der Sicherheitseinrichtung sowie eines entsprechenden Verfahrens. Dies bedeutet, die Überwachungseinrichtung soll sicher und zuverlässig arbeiten, sie soll einfach mit einem elektromechanischen Sicherheitsbremssystem verbindbar sein und sie soll weiterhin günstig in der Herstellung und im Betrieb sein. Die im Folgenden beschriebenen Lösungen ermöglichen zumindest einzelne dieser Anforderungen optimal zu erfüllen. In einem Lösungsansatz umfasst die elektronische Überwachungseinrichtung vorzugsweise einen ersten Sensor und einen zweiten Sensor. Diese Sensoren erfassen hierbei jeweils eine von einer Bewegung der Aufzugskabine abhängige erste Messgrösse und zweite Messgrösse, wobei die erste Messgrösse und die zweite Messgrösse unterschiedlichen Bewegungsgrössen der Aufzugskabine entsprechen. Diese unterschiedlichen Bewegungsgrössen stehen in einem mathematisch definierten Zusammenhang. Dies ermöglicht die Messgrössen vergleichbar zu machen und somit deren Funktion und Qualität zu beurteilen. Die unterschiedlichen Bewegungsgrössen bedingen zwangsläufig unterschiedliche Sensoren, womit ein Risiko eines systematischen Messfehlers reduziert wird. Vorzugsweise umfasst die elektronische Überwachungseinrichtung zumindest einen Prüfer, der die beiden Messgrössen beziehungsweise die erste Messgrösse und die zweite Messgrösse auf Plausibilität überprüft. Dies ermöglicht eine schnelle Vorprüfung der Funktion der Sensoren. So kann beispielsweise eine Plausibilität anhand der Tatsache geprüft werden, dass eine Wegmessung nicht plötzlich, das heisst in einer kurzen Zeitspanne, einen anderen Ort angeben kann, dass eine Beschleunigung eine Erdbeschleunigung nicht wesentlich übersteigen kann oder dass eine Geschwindigkeitsmessung ebenso nicht plötzlich einen Sprung machen kann. So kann mittels der Plausibilitätsprüfung eine schnelle Direktprüfung der einzelnen Sensoren erfolgen.

Ergänzend kann wegen dem mathematisch definierbaren Zusammenhang der beiden Messgrössen die Plausibilität auch durch Prüfung der mathematischen Übereinstimmung von umgerechneten Messgrössen der beiden Messgrössen erfolgen.

Vorzugsweise umfasst die elektronische Überwachungseinrichtung einen Datenspeicher. In diesem Datenspeicher ist zumindest ein Grenzwert oder zumindest eine Vorgabe zur Bestimmung des zumindest einen Grenzwerts gespeichert. Unter Verwendung von Vorgaben können die eigentlichen Grenzwerte oder zumindest ein Grenzwert beispielsweise anhand einer Lernfahrt berechnet werden. Vorteilhafterweise sind jedoch in einer besonders sicheren Ausführung Grenzwerte, wie eine kritische Geschwindigkeitsgrenze, ein Beschleunigungsgrenzwert oder auch Weggrenzmarken bei der eine Fangbremse aktiviert werden soll oder ein Toleranzwert bei der ein Sicherheitskreis der Aufzugsanlage aktiviert oder unterbrochen werden soll als feste Werte im Datenspeicher beispielsweise in einem EPROM eingebrannt. Damit ist einer versehentlichen oder mutwilligen Umprogrammierung vorgebeugt und die Grenzwerte sind nicht manipulierbar da sie durch übliche Mittel nicht verändert werden können. Allerdings müssen dann für unterschiedliche Aufzugsanlagen, beziehungsweise für Aufzugsanlagen mit unterschiedlichen Nenndaten, im Besonderen mit unterschiedlichen Fahrgeschwindigkeiten, jeweils abgestimmte Datenspeicherbausteine bereitgestellt werden.

Vorzugsweise umfasst die elektronische Überwachungseinrichtung einen Berechnungsalgorithmus zur Berechnung zumindest eines tatsächlichen Fahrparameters der Aufzugskabine in Abhängigkeit der ersten Messgrösse und der zweiten Messgrösse. Damit können bedarfsweise verschiedenartige Informationen aus den Messgrössen extrahiert werden. Die beiden Messgrössen für sich betrachtet ergeben jeweils lediglich einen Augenblickszustand wieder und sie unterliegen sensorspezifischen Ungenauigkeiten. So erfassen übliche Wegsensoren einen zurückgelegten Weg in Wegintervallen, oder Beschleunigungssensoren weisen üblicherweise eine Drift, ein Rauschen, einen Offset oder andere Ungenauigkeiten auf. Der Berechnungsalgorithmus kombiniert die zumindest zwei unterschiedlichen Bewegungsgrössen in eine resultierende Bewegungsgrösse die den tatsächlichen Fahrparameter am besten wiedergeben.

Vorzugsweise umfasst die elektronische Überwachungseinrichtung einen Vergleicher, der zumindest eine der ersten Messgrösse, der zweiten Messgrösse und des tatsächlichen Fahrparameters zu dem mindestens einen Grenzwert vergleicht und die elektronische Überwachungseinrichtung umfasst weiter einen Signalausgang der eine Erreichung oder Überschreitung des Grenzwerts oder allenfalls eine Verletzung der Plausibilität anzeigt. Die Anzeige dieses Zustands bewirkt in der Regel eine Betätigung eines elektronischen oder elektromechani- schen Schalters oder eines Relais, was je nach Konfiguration einen elektrischen Sicherheitskreis unterbricht, eine Betätigung einer Bremse initialisiert oder ein Signal an eine andere Steuergruppe wie eine Aufzugssteuerung ausgibt. Die Anzeige des Zustands erfolgt beispielsweise mittels einer Änderung der am Signalausgang anliegenden Spannung. Damit kann eine Sicherheit der Aufzugsanlage gewährleistet werden, da einerseits Sensoren unterschiedlicher Bauart verwendet werden, was ein Risiko eines Bauteilbedingten systematischen Fehlers reduziert, und da unmittelbar eine Massnahme getroffen werden kann, sobald als sicher geltende Betriebszustände verlassen werden.

Somit werden zum Überwachen von Fahrparametern der Aufzugsanlage Bewegungen der Aufzugskabine zumindest mittels eines ersten Sensors und eines zweiten Sensors erfasst, wobei die durch den ersten Sensor erfasste erste Messgrösse und die durch den zweiten Sensor erfasste zweite Messgrösse unterschiedlichen Bewegungsgrössen der Aufzugskabine entsprechen, welche unterschiedliche Bewegungsgrössen in einem mathematisch definierten Zusammenhang stehen. Die erste Messgrösse und die zweite Messgrösse werden mittels eines Prüfers auf Plausibilität überprüft und zumindest ein tatsächlicher Fahrparameters der Aufzugskabine wird in Abhängigkeit der ersten Messgrösse und der zweiten Messgrösse mittels eines Berechnungsalgorithmus berechnet. Weiter wird zumindest eine der ersten Messgrösse, der zweiten Messgrösse oder der tatsächliche Fahrparameters mittels eines Vergleichers mit mindestens einem Grenzwert verglichen, wobei der Grenzwert von einem Datenspeicher abgerufen wird. Bei Erreichung oder Überschreitung des Grenzwerts oder bei Verletzung der Plausibilität zeigt ein Signalausgang diesen Zustand an. Im Gesamten gesehen lässt sich sie so eine massgeschneiderte Überwachungseinrichtung beziehungsweise ein entsprechendes Verfahren für oder in der Aufzugsanlage bereitstellen, die oder das höchste Sicherheitsanforderungen erfüllt. Dies wird im Besonderen dadurch erreicht, dass nicht einfach Grenzwerte betrachtet werden können, sondern dadurch dass auch ein kongruentes Verhalten oder ein plausibles Verhalten der Sensoren untereinander gewichtet werden kann. Dadurch können fallweise geeignete Massnahmen getroffen werden. Durch die Berechnung des tatsächlichen Fahrparameters der Aufzugskabine in Abhängigkeit der ersten und der zweiten Messgrösse gibt der tatsächliche Fahrparameters einen Bewegungs Vorgang schnell, präzis und zuverlässig wieder. In einem Lösungsvorschlag arbeitet die Überwachungseinrichtung mit zumindest einer elektro- mechanischen Bremseinrichtung eines Bremssystems der Aufzugsanlage zusammen. Die elektromechanische Bremseinrichtung weist dabei eine Bereitschaftsstellung auf, in der die Aufzugskabine verfahrbar ist und sie weist eine Bremsstellung auf, in der die Aufzugskabine gebremst ist. Ein Aktor ist hierbei ausgelegt, die elektromechanische Bremseinrichtung in der Bereitschaftsstellung zu halten und im Bedarfsfall die elektromechanische Bremseinrichtung von der Bereitschaftsstellung in die Bremsstellung zu bewegen. Die Überwachungseinrichtung ist somit im Wesentlichen lediglich über den Signalausgang vorzugsweise ein Offenhaltungssignal mit der Bremseinrichtung verbunden. Selbstverständlich können fallweise, beispielsweise zum Zwecke von Diagnosen, von Zustandsbeurteilungen oder für Rückstelloperationen weitere Signale zwischen der Überwachungseinrichtung und der Bremseinrichtung übertragen werden.

Die elektromechanische Bremseinrichtung beinhaltet dazu vorzugsweise einen Signaleingang der in Verbindung mit dem Signalausgang der elektronischen Überwachungseinrichtung ist und der bei einem Schalten oder einer entsprechenden Anzeige des Signalausgangs als Folge der Über- schreitung des Grenzwerts den Aktor ansteuert oder freigibt, so dass der Aktor die elektromechanische Bremseinrichtung von der Bereitschaftsstellung in die Bremsstellung bewegen kann.

Die elektromechanische Bremseinrichtung beinhaltet Vorteilhafterweise weiter einen Positionsan- zeiger der zumindest einen Betriebszustand, wie die Bereitschaftsstellung oder die Bremsstellung der elektromechanischen Bremseinrichtung anzeigt oder ausgibt oder über einen Signaleingang an die Überwachungseinrichtung zurückmeldet.

Vorteilhafterweise beinhaltet die elektromechanische Bremseinrichtung oder das Bremssystem einen Energiespeicher, der dazu ausgelegt ist, die elektromechanische Bremseinrichtung im Bedarfsfall, unabhängig von einer äusseren Energieversorgung, von der Bereitschaftsstellung in die Bremsstellung zu bringen.

In einem Lösungsvorschlag beinhaltet ein komplettes Bremssystem eine Stromausfallseinrichtung in der Form einer Notstromversorgung oder einer automatischen RückStelleinrichtung.

Die Notstromversorgung umfasst hierbei einen Speicher zur Speicherung elektrischer Energie oder eine Anbindung zu einer von einer normalen Stromquelle unabhängigen Notstromquelle. Die Notstromversorgung stellt bei einer Unterbrechung einer normalen Stromquelle vorteilhafterweise unterbrechungsfrei eine elektrische Energie zur Versorgung der elektromechanischen Bremsein- richtung und der elektronischen Überwachungseinrichtung zur Verfügung.

Alternativ oder ergänzend zu der Notstromversorgung beinhaltet die Stromausfallseinrichtung des Bremssystems die automatische RückStelleinrichtung. Diese umfasst einen Entscheidungsalgorithmus zur Entscheidung über einen Betätigungsgrund, sofern die elektromechanische Bremseinrichtung betätigt ist, und sie umfasst einen Rückstellalgorithmus, der selbstständig initialisiert und ausgeführt wird, sofern der Entscheidungsalgorithmus als Betätigungsgrund ein unkritisches Ereignis feststellt. Ein unkritisches Ereignis ist Beispielsweise gegeben, wenn die elektromechanische Bremseinrichtung oder das Bremssystem als Folge eines kurzzeitigen oder eines länger andauernden Stromunterbruchs betätigt wird. Ein derartiger Unterbruch kann als Folge eines Fehlers im Energienetz entstehen oder er kann als Folge eines bewussten Abschaltens des Stromnetzes auftreten. Dies erfolgt Beispielsweise, wenn ein Hotel lediglich über eine bestimmte Jahreszeit betrieben wird und über den Rest des Jahres unbenutzt ist.

Mit der vorgeschlagenen Ausführung und deren Variationen kann ein sicheres Bremssystem bereitgestellt werden, welches ökologische Werte, Verfügbarkeit und Sicherheit verbessert. In einer Lösungsvariante beinhaltet nun der Signalausgang der elektronischen Überwachungseinrichtung einen ersten Signalausgang und einen zweiten Signalausgang. Der erste Signalausgang ist beispielsweise ausgelegt einen Sicherheitskreis der Aufzugsanlage zu öffnen, wodurch ein Nothalt der Aufzugskabine eingeleitet wird und der zweite Signalausgang ist beispielsweise ausgelegt die elektromechanische Bremseinrichtung der Aufzugskabine zum Bremsen freizugeben.

Damit lassen sich viele Fehler in einer ersten Sicherheitsebene auffangen ohne dass ein direktes aktivieren von Sicherheitsbremsen erforderlich wird. Dies ist von Vorteil, da dadurch längere Betriebsunterbrüche vermieden werden können. Ein Auslösen von Sicherheits- oder Fangbremsen bedingt in der Regel einen längeren Betriebsunterbruch.

Vorzugsweise ist zumindest einer der beiden Sensoren oder vorzugsweise alle Sensoren mit einem Filter versehen. Dieser oder diese Filter reduzieren ein Störrauschen des oder der Mess- grossen. Dies ist besonders hilfreich, wenn beispielsweise eine Beschleunigung erfasst wird. Beschleunigungssensoren erfassen Eigenschwingungen und hochfrequente Schwingungen oder Schwingungsspitzen die für eine Auswertung der Signale störend sind. Mittels eines entsprechenden Filters kann ein solches Störrauschen eliminiert oder zumindest reduziert werden.

In einer Lösungsvariante filtert der Filter der elektronischen Überwachungseinrichtung zumindest eine der ersten oder zweiten Messgrösse mittels eines Tiefpassfilters, so dass ein hochfrequentes Störrauschen abgeschwächt ist. Vorzugsweise filtert der Filter die vom zweiten Sensor erfasste zweite Messgrösse, im Besonderen die erfasste Vertikal-Beschleunigung der Aufzugskabine. Hochfrequente Schwingungen, welche beispielsweise durch Stösse angeregt werden, können so abgeschwächt werden.

In einer Lösungsvariante entspricht der berechnete oder ermittelte tatsächliche Fahrparameter einer tatsächlichen Bewegungsgrösse der Aufzugskabine. Diese tatsächliche Bewegungsgrösse wird berechnet, indem ausgehend von einem Augenblickszustand dieser tatsächlichen Bewegungsgrösse ein in einem nächsten Zeitschritt zu erwartender Zustand dieser Bewegungsgrösse auf der Basis der vom zweiten Sensor erfassten zweiten Bewegungsgrösse und der vom ersten Sensor erfassten ersten Bewegungsgrösse geschätzt wird. Die Schätzung respektive die Abschätzung des zu erwartenden Zustande der Bewegungsgrösse erfolgt hierbei unter Verwendung eines Systemmodells. Im Systemmodell sind die mathematischen Zusammenhänge der verwendeten Bewegungsgrössen abgebildet. In diesem Systemmodell werden somit im Berechnungsalgorith- mus jederzeit alle interessierenden relevanten zusammenhängenden Bewegungsgrössen, wie zum Beispiel ein Fahrweg, eine Geschwindigkeit, eine Beschleunigung, ein Ruck oder auch ein Luftdruck abgebildet. Diese Bewegungsgrössen werden im Systemmodell jederzeit zu dem erwarteten Zustand nachgeführt. Weiter wird der geschätzte erwartete Zustand der Bewegungs- grösse beziehungsweise Bewegungsgrössen mittels eines Korrekturfaktors oder eines Sets von Korrekturfaktoren korrigiert, wobei diese Korrekturfaktoren unter Berücksichtigung einer erforderlichen Genauigkeit des Ergebnisses und eines Verhaltens der verwendeten Sensoren bestimmt ist. Im vorgenannten Systemmodell bedeutet dies, dass zumindest jede der im Systemmodell geführten Bewegungsgrösse in der Regel mit einem zugehörigen Korrekturfaktor versehen ist und somit die Berechnung jederzeit die integrierte Korrektur der einzelnen System- Bewegungsgrössen beinhaltet.

Vorzugsweise erfolgt die Definition des Systemmodells und der Korrekturfaktoren nach den Regeln eines Kaiman-Filters bestimmt.

Das Kalman-Filter ist ein nach seinem Entdecker Rudolf E. Kaiman benannter Satz von mathema- tischen Gleichungen. Mittels dieses Filters sind bei Vorliegen fehlerbehafteter Beobachtungen Rückschlüsse auf den Zustand von vielen der Technik, Wissenschaft oder der Wirtschaft zugeordneten Systemen möglich. Vereinfacht gesprochen dient das Kalman-Filter zum Entfernen der von den Messgeräten verursachten Störungen. Dabei müssen sowohl die mathematische Struktur des zugrundeliegenden dynamischen Systems als auch die der Messverfälschungen bekannt sein. Im Rahmen der mathematischen Schätztheorie spricht man auch von einem Bayes'schen Minimum-Varianz-Schätzer für lineare stochastische Systeme in Zustandsraumdarstellung.

Eine Besonderheit des 1960 von Kaiman vorgestellten Filters bildet seine spezielle mathematische Struktur, die den Einsatz in Echtzeitsystemen verschiedener technischer Bereiche ermöglicht. Dazu zählen u. a. die Auswertung von Radarsignalen zur Positionsverfolgung sich bewegender Objekte (Tracking) aber auch der Einsatz in elektronischen Regelkreisen allgegenwärtiger Kommunikationssysteme wie etwa Radio und Computer. In Studienarbeiten und Veröffentlichungen unter Leitung von Professor Roland Siegwart wurden Anwendungen derartiger Systeme für autonom gesteuerte Systeme und Fahrzeuge entwickelt. In diesen Anwendungen geht es darum einen Bewegungsverlauf eines Systems, wo lediglich stochastische Festwerte - wie eine Positi- onsbestimmung mittels GPS - vorliegen mit genügender Genauigkeit zu verfolgen. Untersuchungen haben nun gezeigt, dass dieser Ansatz hervorragend geeignet ist einen Fahrverlauf einer Aufzugskabine sicher zu verfolgen beziehungsweise abzubilden. Zur Ermittlung der Korrekturfaktoren wird dementsprechend das Systemmodell mit den mathematischen Zusammenhängen der verwendeten Bewegungsgrössen, also die mathematische Struktur des zugrundeliegenden dynamischen Systems, wie es zur Schätzung respektive die Abschätzung des zu erwartenden Zustande der Bewegungsgrösse beziehungsweise Bewegungsgrössen verwendet ist, zusammen mit Messverfälschungen der verwendeten Sensoren, wie sie unter anderem aus Ungenauigkeit der verwendeten Sensoren, wie deren Anbau oder Anordnung resultieren, verwendet. Bei einem nach den Regeln des Kaiman-Filters arbeitenden Berechnungsalgorithmus wird somit die tatsächliche Bewegungsgrösse der Aufzugskabine berechnet, indem ausgehend von einem Augenblickszustand dieser Bewegungsgrösse ein in einem nächsten Zeitschritt zu erwartender Zustand dieser Bewegungsgrösse auf der Basis der vom zweiten Sensor erfassten zweiten Bewegungsgrösse und der vom ersten Sensor erfassten ersten Bewegungsgrösse geschätzt wird. Im Grundsatz wird dabei eine gemäss theoretischem Systemmodell erwartete Bewegungsgrösse mit einem gewichteten Anteil der Differenz zwischen und zu den erfassten ersten und zweiten Bewegungsgrössen korrigiert. Die Gewichtung respektive der Multiplikationsfaktor oder der Korrekturfaktor ist hierbei nach den Regeln des Kaiman-Filters durch Modellsimulation vorbestimmt.

In einer Auflösung des Systemmodells entsteht hieraus der Berechnungsalgorithmus wobei einerseits ein erwarteter Offset Wert einer Bewegungsgrösse, ausgehend von einem zuletzt bekannten Augenblickszustand des Offset Werts, eines Korrekturfaktors der Offsetberechnung und ermittelten oder berechneten Bewegungsgrössen berechnet wird und wobei weiter der erwartete Zustand der Bewegungsgrösse ausgehend vom Augenblickszustand der Bewegungsgrösse, den ermittelten oder berechneten Bewegungsgrössen, dem zuletzt bekannten Augenblickszustand des Offset Werts und eines Korrekturfaktors der Bewegungsberechnung berechnet wird. Die Korrekturfaktoren der Offsetberechnung und der Bewegungsberechnung sind hierbei unter Berücksichtigung einer erforderlichen Genauigkeit des Ergebnisses und einer Ungenauigkeit der verwendeten Sensoren nach Regeln des Kaiman-Filters durch Modellsimulation vorbestimmt und im Berechnungsalgorithmus hinterlegt. Der derart berechnete erwartete Zustand der Bewegungsgrösse wird als tatsächliche Bewegungsgrösse des Fahrparameters ausgegeben. Der Berechnungsalgorithmus ermöglicht eine schnelle und präzise Angabe des wahrscheinlichsten momentanen Bewegungszustands, da er die Verschiedenartigkeit der erfassten Bewegungsgrössen optimal kombinieren kann und da er für eine Sicherheits- und Plausibilitäts- beurteilung alle im Systemmodell definierten Grössen verwenden kann. Eine Aufzugsanlage ist im Wesentlichen ein einfaches System, da lediglich eine Bewegung in einer Dimension erfolgt. Die Aufzugsanlage bewegt sich, beziehungsweise die Aufzugskabine und das Gegengewicht bewegen sich, in festen Führungen lediglich aufwärts oder abwärts. Die Vorbestimmung der Korrekturfaktoren mittels des Kaiman-Filters und die Berechnung des erwarteten Zustande der Bewegungsgrösse der Aufzugskabine basieren auf dem gleichen Systemmodell. Damit kann somit die Bewegung der Aufzugskabine unter Zuhilfenahme von Messgrössen die teilweise lediglich stochastisch in variablen Zeitschritten - wie beispielsweise von einem Weginkrement-sensor - bereitstehen, so genau abgebildet werden, dass sicherheitsrelevante Informationen entstehen. Damit ist eine Voraussetzung gegeben, ein heute ausschliesslich mechanisch arbeitendes Sicherheitssystem zumindest in deren Ansteuerung durch elektronische Komponenten zu ersetzten.

Vorzugsweise ist die berechnete oder ermittelte tatsächliche Bewegungsgrösse im vorgenannten Zusammenhang eine Geschwindigkeit der Aufzugskabine. Dies bedeutet, dass der berechnete oder ermittelte tatsächliche Fahrparameter eine tatsächliche Geschwindigkeit der Aufzugskabine ist. Weiter ist die zweite Bewegungsgrösse eine Vertikal-Beschleunigung der Aufzugskabine und die erste Bewegungsgrösse ist eine in einer zeitlichen Abfolge erfasste Weglängeneinheit.

Eine Beschleunigungsmessung ist in hoher Taktrate möglich, eine Weglängenmessung ist eher träge. Zugleich sind Sensoren zur Erfassung von Weginkrementen oder anders gesagt zur Erfassung der zeitlichen Abfolge von Weglängeneinheiten und Sensoren zur Erfassung von Beschleunigungen in der Praxis bewährt und sie sind kostengünstig verfügbar. Eine Kombination dieser zwei Messungen ergibt somit eine präzise und kostengünstige Abschätzung der wahrscheinlichsten tatsächlichen Fahrgeschwindigkeit der Aufzugskabine. Die Fahrgeschwindigkeit ist eine relevante Sicherheitsgrösse zur Überwachung der Aufzugsanlage. Somit kann diese relevante Sicherheitsgrösse präzise und kostengünstig überwacht werden. In einer bevorzugten Lösungsvariante ist somit der erste Sensor der elektronischen Überwachungseinrichtung als Weginkrementsensor ausgeführt und die erste Messgrösse ist dementsprechend ein von der Aufzugskabine zurückgelegter Weg. Der Weginkrementsensor erfasst dabei den zurückgelegten Weg in konstanten Weglängeneinheiten. Eine typische Erfassungslängeneinheit liegt beispielsweise im Bereich von 2 bis 100 Millimeter.

Der zweite Sensor der elektronischen Überwachungseinrichtung ist vorzugsweise als Beschleunigungssensor ausgeführt und die zweite Messgrösse ist dementsprechend eine an der Aufzugskabine wirkende Vertikal-Beschleunigung. Der Beschleunigungssensor erfasst die Vertikal-Beschleunigung der Aufzugskabine kontinuierlich mit einer vorzugsweise hohen Erfassungstaktrate. Eine typische Erfassungstaktrate liegt beispielsweise in einem Bereich von 20Hz bis 1000Hz. Alternativ oder ergänzend kann in einer Lösungsvariante der erste Sensor der elektronischen Überwachungseinrichtung auch als Absolut- Wegmesssystem ausgeführt sein. Absolut- Wegmesssysteme sind im Aufzugsbau bekannt. Auch bei diesen Wegmesssystemen ergibt sich als entsprechend erste Messgrösse ein von der Aufzugskabine zurückgelegter Weg.

In einer Lösungsvariante überprüft der Prüfer der elektronischen Überwachungseinrichtung die erste Messgrösse und die zweite Messgrösse auf Plausibilität. Er prüft in einer Ausgestaltung die erste und die zweite Messgrösse im Wesentlichen unabhängig voneinander auf Plausibilität, indem die Messgrössen auf deren physikalischen Sinn geprüft werden. So deutet beispielsweise ein sehr hoher Beschleunigungswert auf ein Plausibilitätsproblem hin. In einer anderen oder ergänzenden Ausführung vergleicht der Prüfer die erste Messgrösse mit der zweiten Messgösse und gibt bei einer Übereinstimmung der beiden Messgrössen ein Statussignal "OK" aus. Bei fehlender Übereinstimmung gibt er ein Statussignal "NOT_OK" aus. Vorteilhafterweise prüft der Prüfer jeweils bei Eingang oder Registrierung eines Weginkrements inwieweit der zurückgelegte Weg unter Berücksichtigung des zugehörigen Zeitintervalls der über diesen Zeitraum erfassten Beschleunigung entspricht. Alternativ oder ergänzend dazu prüft der Prüfer kontinuierlich inwieweit die über einen Zeitraum erfassten Beschleunigungen mit einer entsprechenden Erfassung von Weginkrementen übereinstimmen. Damit kann eine Funktion grundsätzlich kontinuierlich überprüft werden. Einerseits kann beim Eintreffen eines Weginkrements festgestellt werden inwieweit die Korrelation zum Beschleunigungssignal gegeben ist und andererseits kann, beispielsweise auch im Stillstand der Aufzugsanlage, geprüft werden, inwieweit das Beschleunigungssignal in Ordnung ist. Sollte beispielsweise ein grösseres Beschleunigungssignal anliegen müsste in einem entsprechenden Zeitintervall ein Wegsignal eintreffen. Ist dies nicht der Fall liegt ein Fehler vor. Sinngemäss kann bei einer Verwendung eines Geschwindigkeitsmesssensors, beispielsweise eines Tachometers, anhand einer zeitlichen Betrachtung einer Veränderung oder anhand von maximalen Anwendungsgrenzen die Plausibilität geprüft werden.

In einer Lösungsvariante beinhaltet die elektronische Überwachungseinrichtung weiter mindes- tens einen dritten Sensor zur unabhängigen Erfassung einer von der Bewegung der Aufzugskabine abhängigen dritten Messgrösse. Vorzugsweise ist dieser dritte Sensor analog zum zweiten Sensor ein Beschleunigungssensor und die dritte Messgrösse ist dementsprechend die an der Aufzugskabine wirkende Vertikal-Beschleunigung. Auch dieser Beschleunigungssensor erfasst die Vertikal- Beschleunigung der Aufzugskabine kontinuierlich und parallel zum zweiten Sensor mit einer vorzugsweise ebenso hohen Erfassungstaktrate. Dies bedeutet, dass die Erfassungstaktraten des zweiten und dritten Sensors vorzugsweise synchron oder anders ausgedrückt gleichgetaktet laufen. Damit kann eine exakte synchrone Überwachung der beiden Sensoren erfolgen.

Damit kann eine Qualität der Überwachung optimiert werden und die Überwachungseinrichtung beziehungsweise der Prüfer kann neben dem Status "OK" oder "NOT_OK" zusätzlich eine qualitative Aussage zu den einzelnen Sensoren machen.

Stimmen beispielsweise die zweite und dritte Messgrösse - die beiden Vertikal-Beschleunigungen - überein, jedoch die erste Messgrösse - der von der Aufzugskabine zurückgelegte Weg - ist in Bezug auf die zweite und dritte Messgrösse nicht plausibel, dann liegt ein Fehler im ersten Sensor beziehungsweise der zugehörigen Auswertung vor und eine Fahrt der Aufzugskabine wird entsprechend sofort unterbrochen.

Stimmen aber beispielsweise die zweite und dritte Messgrösse - die beiden Vertikal- Beschleunigungen - nicht überein, jedoch eine der beiden zweiten und dritten Messgrösse ist in Bezug auf die erste Messgrösse - den von der Aufzugskabine zurückgelegten Weg - plausibel, dann liegt ein Fehler im entsprechend abweichenden zweiten oder dritten Sensor vor. Dann könnte beispielsweise eine eingeleitete Fahrt vollendet werden und eine neue Fahrt der Aufzugskabine könnte verhindert werden. Entsprechende Versagensmuster und die daraus resultierenden Verhaltensanweisungen werden üblicherweise mittels Risiko- und Verfügbarkeitsanalyse bewertet und entsprechend definiert.

In einer Lösungsvariante wird dementsprechend der zumindest eine Signalausgang der elektronischen Überwachungseinrichtung zeitverzögert geschaltet beziehungsweise der Signalausgang zeigt zeitverzögert an, wenn der Prüfer das Statussignal "NOT_OK" ausgibt. Die Zeitverzögerung verzögert die Schaltung beziehungsweise die Anzeige des Signalausgangs vorzugsweise so lange, bis die Aufzugskabine einen nächsten Halt erreicht hat. Alternativ oder ergänzend übermittelt der zumindest eine Signalausgang beispielsweise über einen Statussignalausgang der elektronischen Überwachungseinrichtung das Statussignal "NOT_OK" an eine Aufzugssteuerung. Die Aufzugs- Steuerung kann dann die Aufzugskabine beispielsweise in einen Haupthalt steuern und sie kann dort die Aufzugsanlage stillsetzen. Hierbei werden die vorgängig dargestellten Szenarien entsprechend berücksichtigt. Diese Zeitverzögerung ist jedoch vorzugsweise nur aktiviert, wenn eine Sicherheit der Aufzugsanlage weiterhin gewährleistet ist. Dies kann beispielsweise der Fall sein, wenn der Prüfer erkennt, dass die geprüften Messgrössen unterschiedliche Werte ergeben, jedoch beide Werte für sich genommen in einem zulässigen Bereich liegen. In einer Lösungsvariante ist im Datenspeicher der elektronischen Überwachungseinrichtung ein Beschleunigungsgrenzwert hinterlegt, der einen Beschleunigungsgrenzwert für die vom zweiten Sensor erfasste Vertikal-Beschleunigung bestimmt. Weiter ist im Datenspeicher ein erster Geschwindigkeitsgrenzwert hinterlegt, der einen Erst-Geschwindigkeitsgrenzwert für die berech- nete tatsächliche Geschwindigkeit bestimmt und es ist ein zweiter Geschwindigkeitsgrenzwert hinterlegt, der einen Zweit- Geschwindigkeitsgrenzwert für die berechnete tatsächliche Geschwindigkeit bestimmt. Zusätzlich ist im Datenspeicher eine erste Zeitspanne hinterlegt ist, die eine Erst-Reaktionszeit bestimmt. In einem Lösungsansatz sind diese Werte im Datenspeicher fest beziehungsweise unveränderbar gespeichert. Der Datenspeicher wird dann für eine bestimmte Aufzugskonfiguration in einem Herstellwerk hergestellt und der Datenspeicher oder ein entsprechender Datenspeicherbaustein oder wenn der Datenspeicher integral mit einem entsprechenden Prozessor zusammengebaut ist, der entsprechende Prozessor ist dann entsprechend bezeichnet. Die Bezeichnung kann in einem einfachen Fall eine Nominalgeschwindigkeit auf die die Werte abgestimmt sind oder es kann eine Anlagekennnummer oder ähnliches sein.

In einem anderen Lösungsansatz wird zumindest einer der im Datenspeicher hinterlegten Werte wie der Beschleunigungsgrenzwert, der Erst-Geschwindigkeitsgrenzwert, der Zweit- Geschwindigkeitsgrenzwerts oder die Erst-Reaktionszeit im Bedarfsfall oder bei einer Initialisierung der elektronischen Überwachungseinrichtung berechnet.

Vorteilhafterweise werden alle Geschwindigkeitsgrenzwerte berechnet. Bei einer Initialisierung der elektronischen Überwachungseinrichtung könnte eine Nominalgeschwindigkeit von einer Aufzugssteuerung, als Folge einer Lernfahrt oder mittels manueller Eingabe abgefragt werden. Daraus könnten mittels relativer Faktoren, die dann in einem Datenspeicher oder Prozessor vorhanden sein müssen, die Grenzwerte berechnet werden.

Ein typischer Wert für den Beschleunigungsgrenzwert könnte bei einer Beschleunigung von 3.5m/s² bis 6.0m s² liegen. Der Erst-Geschwindigkeitsgrenzwert könnte bei einem 1.1- bis 1.25- fachem Wert der Nominalgeschwindigkeit liegen und der Zweit-Geschwindigkeitsgrenzwert könnte bei einem 1.25- bis 1.5-fachem Wert der Nominalgeschwindigkeit liegen. Bei einer Nominalgeschwindigkeit von 2.5m/s liegt somit der Erst-Geschwindigkeitsgrenzwert unterhalb von 3.125m/s und der Zweit- Geschwindigkeitsgrenzwert liegt bei mindestens 3.125m/s. Die Erst- Reaktionszeit ist typischerweise bei etwa 12ms (Millisekunden) festgelegt. In einer weiterführenden Lösungsvariante zeigt nun der erste Signalausgang zum Öffnen des Sicherheitskreises an, wenn die tatsächliche Geschwindigkeit der Aufzugskabine den Erst- Geschwindigkeitsgrenzwert überschreitet oder überschritten hat. Dadurch wird eine Öffnung beziehungsweise eine Unterbrechung des Sicherheitskreises bewirkt. Der zweite Signalausgang zum Freigeben der elektromechanischen Bremseinrichtung der Aufzugskabine zeigt an, wenn die tatsächliche Geschwindigkeit der Aufzugskabine den Zweit-Geschwindigkeitsgrenzwert überschreitet. Dadurch wird erreicht, dass die elektromechanische Bremseinrichtung zum Bremsen freigegeben wird. Zusätzlich zeigt der zweite Signalausgang auch an, wenn die tatsächliche Geschwindigkeit der Aufzugskabine den Erst-Geschwindigkeitsgrenzwert überschreitet und gleichzeitig die erfasste Vertikal-Beschleunigung der Aufzugskabine den Beschleunigungsgrenzwert während einer Zeitspanne überschreitet die länger als die Erst-Reaktionszeit ist, wodurch dann ebenfalls die elektromechanische Bremseinrichtung zum Bremsen freigegeben wird.

Mit der Festlegung eines derartig gestuften Grenzwertmodells werden einerseits Grenzwerte zur Vorabschaltung eines Aufzugs und zum Auslösen einer Fangvorrichtung, wie sie in der europäischen Aufzugsnorm EN81-1, Kapitel 9.9 für einen Geschwindigkeitsbegrenzer definiert sind eingehalten und andererseits wird bei einem Versagensfall von Tragmitteln nicht zugewartet bis eine überhöhte zweite Geschwindigkeit erreicht ist, sondern es wird schon aufgrund einer Überschreitung des ersten Geschwindigkeitsgrenzwertes und zu hoher Beschleunigung reagiert. Selbstverständlich sind die vorgeschlagenen Wertbereiche lediglich Hinweise. Die Werte werden in der Regel aufgrund lokaler Vorschriften und unter Berücksichtigung von Auslegungen des Herstellers der Aufzugsanlage festgelegt.

Vorzugsweise berechnet die elektronische Überwachungseinrichtung ausgehend von den Signalen des ersten und zweiten Sensors einen ersten tatsächlichen Fahrparameter, vorzugsweise unter Verwendung des Kaiman-Filters, und sie berechnet ausgehend von den Signalen des ersten und dritten Sensors einen zweiten tatsächlichen Fahrparameter, vorzugsweise unter Verwendung des Kaiman-Filters. Die entsprechenden Berechnungsroutinen erfolgen vorzugsweise nachdem die Signale der Sensoren im Prüfer erfolgreich geprüft und mit dem Statussignal "OK" versehen wurden. In einer Ausführung erfolgen die zugehörigen zwei Berechnungsroutinen in zwei parallelen Prozessoren, vorzugsweise in gleichgetakten Prozessoren, so dass die jeweiligen Ergebnisse zueinander verglichen und ein Versagen einer Berechnungsroutine somit schnell erkannt werden kann. In einer anderen Ausführung erfolgen die beiden Berechnungsroutinen im selben Prozessor. In einer Lösungsvariante ist im Datenspeicher weiter eine zweite Zeitspanne hinterlegt ist, die einer Zweit-Reaktionszeit bestimmt. Diese Zweit-Reaktionszeit beträgt beispielsweise etwa 100ms bis zu 500ms. Die elektronische Überwachungseinrichtung bewirkt nun über den zweiten Signalausgang eine Freigabe der elektromechanischen Bremseinrichtung der Aufzugskabine zusätzlich zu den vorgängigen Schaltkriterien, wenn die tatsächliche Geschwindigkeit der Aufzugskabine den Erst-Geschwindigkeitsgrenzwert während einer Zeitspanne überschreitet, die länger als die Zweit-Reaktionszeit also beispielsweise 120ms ist.

Damit wird die elektromechanische Bremseinrichtung ebenfalls aktiviert, wenn trotz Unterbre- chung des Sicherheitskreises - was zu einer Abschaltung des Aufzugantriebs und Betätigung einer Antriebsbremse führen müsste -, innerhalb der Zweit-Reaktionszeit die tatsächliche Geschwindigkeit nicht wieder unter den Erst-Geschwindigkeitsgrenzwert reduziert worden ist. Durch diese Ausführung wird die Sicherheit der Aufzugsanlage zusätzlich verbessert. Einem länger andauernden Durchrutschen der Aufzugskabine wird vorgebeugt. Selbstverständlich wird die Zweit- Reaktionszeit unter Berücksichtigung des gesamten Geschwindigkeitsniveaus bestimmt.

In einer Lösungsvariante ist im Datenspeicher der elektronischen Überwachungseinrichtung eine Versionenidentifikation der elektronischen Überwachungseinrichtung gespeichert. Diese Versionenidentifikation ermöglicht über den Hersteller der Einrichtung und die entsprechenden Spezifikationen eine Rückverfolgung des Produktes und dementsprechend eine jederzeitige Überprüfung einer korrekten Zuordnung. Auch können allfällige Erfahrungen die mit bestimmten Ausführungsversionen gemacht wurden einfach anderen Anlagen derselben Version zugeordnet werden. Damit kann im gesamten eine Verbesserung der Zuverlässigkeit des Produkts erreicht werden.

Vorteilhafterweise umfasst die die elektronische Überwachungseinrichtung eine erste Baugruppe, welche zumindest den als Beschleunigungssensor ausgebildeten zweiten Sensor, den dem zweiten Sensor zugeordneten Filter, den Prüfer, den Datenspeicher, den Berechnungsalgorithmus und den Vergleicher beinhaltet und die elektronische Überwachungseinrichtung umfasst weiter eine zweite Baugruppe, welche zumindest den als Weginkrementsensor ausgebildeten ersten Sensor beinhaltet.

Die erste Baugruppe umfasst somit Bauteile die keine weitere externe Schnittstelle benötigen, ausser dass sie mit einer Speisespannung, mit einem Anschluss zum Sicherheitskreis der Auf- zugsanlage und allenfalls mit einer Kommunikationsschnittstelle zu der Aufzugsanlage verbunden sind. Sofern die Kommunikationsschnittstelle ebenfalls die Anbindung des Sicherheitskreises beinhaltet, kann natürlich auf einen separaten Anschluss des Sicherheitskreises verzichtet werden. Die zweite Baugruppe beinhaltet Bauteile die in einer mechanischen oder zumindest physikalischen Interaktion zur Aufzugsanlage stehen Dies kann ein Weginkrementsensor sein, der durch die Bewegung der Aufzugskabine angetrieben ist oder es kann ein Positionssystem beispielsweise ein Absolut- Wegmesssystems sein, welches auf magnetischer, optischer, radartechnischer oder andersartiger Basis aufgebaut ist. Diese zweite Baugruppe kann somit in optimaler Ausrichtung oder Anordnung angeordnet sein und es ist dann vorzugsweise mittels einer Drahtverbindung zur ersten Baugruppe angeschlossen. Selbstverständlich ist auch eine drahtlose Anbindung vorstellbar.

Die erste und die zweite Baugruppe können natürlich auch zu einer einzigen Baugruppe zusammengebaut werden. Dies hängt von einer Auswahl der verwendeten Sensoren, wie auch von Anordnungsmöglichkeiten der Bauelemente im der Aufzugsanlage ab. Die zum Zwecke des Prüfens, des Vergleichens und des Berechnens verwendeten Routinen und Algorithmen sind vorzugsweise in Prozessoren abgebildet. Es können für die unterschiedlichen Funktionen mehrere Prozessoren verwendet werden. Damit können beispielsweise ausgewählte Funktionen parallel verarbeitet werden, wodurch sich die Prozessoren gegenseitig überwachen können. Es können jedoch auch mehrere oder alle Funktionen oder Routinen in einem einzelnen Prozessor integriert werden, was eine besonders kosten und energiesparende Lösung ergibt.

Das komplette Bremssystem beinhaltet gemäss einer vorteilhaften Lösung die elektromechanische Bremseinrichtung. Diese beinhaltet vorteilhafterweise ein Bremselement und dieses Bremselement weist eine selbstverstärkende Struktur auf. Der Aktor der elektromechanischen Bremseinrichtung ist derart ausgelegt, dass er das Bremselement im Bedarfsfall von der Bereitschaftsstellung in eine Bremsstartstellung bewegen kann. Das Bremselement spannt dabei, bei einer Fahrbewegung der Bremseinrichtung in Bezug zu einem Bremsgegenstück, mit der das Bremselement in der Bremsstartstellung in Kontakt ist, die elektromechanische Bremseinrichtung selbsttätig von der Bremsstartstellung in eine Bremsendstellung. Diese Bremsendstellung be- stimmt dann die Bremsstellung der Bremseinrichtung. Damit kann der Aktor mit minimaler Kraftwirkung arbeiten, da das Bremselement lediglich in die Bremsstartstellung bewegt werden muss und das Bewegen in die Bremsendstellung, welche dann der eigentlichen Bremsstellung entspricht, durch eine kinetische Bewegungsenergie der Aufzugsanlage selbst erfolgt. Damit kann die elektromechanische Bremseinrichtung klein gebaut und mit geringer Energie betrieben werden. In einer Lösungsvariante beinhaltet der Aktor einen Elektromagnet oder einen elektrisch ansteuerbaren Treiber. Dieser kann in bestromtem Zustand die elektromechanische Bremseinrichtung oder deren Aktor in ihrer Bereitschaftsstellung halten. In stromlosem Zustand gibt dieser Elektromagnet oder der elektrisch ansteuerbare Treiber die elektromechanische Bremseinrichtung oder deren Aktor frei, so dass die elektromechanische Bremseinrichtung in die Bremsstellung oder zumindest in die Bremsstartstellung verfahren werden kann.

Diese Lösung ermöglicht die Bereitstellung eines ausfallsicheren Bremssystems, da bei einem Stromunterbruch oder Defekt in jedem Fall die Bremseinrichtung in eine Bremsstellung verbracht wird. Fail-safe Kriterien sind einfach erfüllbar.

Alternativ ist der Aktor beziehungsweise der im Aktor beinhaltete Elektromagnet beziehungsweise Treiber derart gestaltet, dass der Aktor in stromlosem Zustand die elektromechanische Bremseinrichtung in ihrer Bereitschaftsstellung halten kann und der Aktor die elektromechanische Bremseinrichtung in bestromtem Zustand in die Bremsstellung oder zumindest in die Bremsstart- Stellung verfahren kann.

Diese Lösung ermöglicht die Bereitstellung eines Bremssystems mit wenig Energieverbrauch, da Energie lediglich zur eigentlichen Betätigung erforderlich ist. Allerdings sind aufwändige Massnahmen erforderlich, um eine Sicherheit auch bei einer Strompanne oder Leitungsbruch sicherstellen zu können.

In einer Lösungsvariante beinhaltet der Aktor zumindest ein Hebelsystem, ein Klinkensystem und /oder ein Spindelsystem und der Energiespeicher der elektromechanische Bremseinrichtung beinhaltet zumindest eine Feder, eine Druckfeder, einen pneumatischen oder hydraulischen Druckspeicher oder einen pyrotechnische Gasgenerator. Der Energieinhalt des Energiespeichers ist derart dimensioniert, dass in jedem Fall genügend Energie bereitsteht, um die elektromechanische Bremseinrichtung unabhängig einer äusseren elektrischen Energiezufuhr zumindest in die Bremsstartstellung zu verfahren. Demzufolge wirkt das Bremssystem derart, dass bei Feststellung eines ungewollten Fahrzustandes, der ein Eingreifen der Bremseinrichtung der Aufzugskabine erforderlich macht, die elektronische Überwachungseinrichtung diesen Zustand detektiert was über den zweiten Signalausgang entsprechend angezeigt wird. Dies bewirkt über entsprechende Schalteinheiten, dass ein Elektromagnet der Bremseinrichtung beispielsweise deaktiviert also stromlos geschaltet wird. Damit ist der Aktor freigegeben und der entsprechende Energiespeicher der Bremseinrichtung bringt das Bremselement zum Eingriff, beziehungsweise in die Bremsstartstellung, mit dem Gegenstück, in der Regel der Führungsschiene der Aufzugskabine. Durch die Bewegung der Aufzugskabine und dem zugehörigen relativen Bewegen der Bremseinrichtung zur Führungsschiene wird das Bremselement weiter in die Bremsendstellung bewegt, wobei es dadurch die Bremseinrichtung weiter vorspannt, damit die entsprechende Bremskraft aufgebaut und erbracht werden kann.

In einer Lösungsvariante, bei welcher die Stromausfallseinrichtung des Bremssystems eine Notstromversorgung beinhaltet, weist diese Notstromversorgung eine wiederaufladbare Batterie, wie einen Kondensator oder Akkumulator auf. Dieser ist ausgelegt, um die Energieversorgung der elektronischen Überwachungseinrichtung sowie der elektromechanischen Bremseinrichtung für eine vorbestimmte Zeit zu gewährleisten. Die vorbestimmte Zeit entspricht dabei vorteilhafterweise mindestens einer Zeitdauer, die eine bevollmächtigte Person benötigt, um die Aufzugskabine nach einem Stromunterbruch der Aufzugsanlage manuell in ein Stockwerk zu bewegen.

In einer Lösungsvariante ist die wiederaufladbare Batterie der Notstromversorgung ausgelegt, um zusätzlich zur elektronischen Überwachungseinrichtung und der elektromechanischen Bremseinrichtung weitere Verbraucher, wie ein Kabinenlicht, eine Kabinenventilation, eine Informationsanzeige und/oder ein Notrufsystem mit Energie zu versorgen.

In einer Lösungsvariante ist die wiederaufladbare Batterie der Notstromversorgung im Bereich der Aufzugskabine, vorzugsweise als Bestandteil der elektronischen Überwachungseinrichtung, angeordnet ist. Alternativ ist die wiederaufladbare Batterie der Notstromversorgung in einem Steuermodul einer Aufzugssteuerung angeordnet.

Vorteilhafterweise ist die elektronische Überwachungseinrichtung derart ausgeführt, dass sie erkennt, wenn die Notstromversorgung oder die Spannungsversorgung eine kritische Spannungsgrenze unterschreitet. Weiter steuert die elektronische Überwachungseinrichtung bei Unterschreitung der kritischen Spannungsgrenze den Aktor der elektromechanischen Bremsein- richtung derart an, dass die elektromechanische Bremseinrichtung in die Bremsstellung oder zumindest in die Bremsstartstellung verfahren wird. Gleichzeitig wird eine Information, wonach die Bremseinrichtung wegen Unterschreitung der kritischen Spannungsgrenze betätigt wurde in den Datenspeicher der elektronischen Überwachungseinrichtung. Vorzugsweise weist nun das die automatische RückStelleinrichtung des Bremssystems eine Analyseroutine auf, welche bei Einschalten der Spannungsversorgung der elektronischen Über- wachungseinrichtung eine Zustandsanalyse vornimmt und welche bei Feststellung der Information im Datenspeicher, wonach die Bremseinrichtung wegen Unterschreitung der kritischen Spannungsgrenze betätigt wurde, eine automatische Rückstellroutine startet. In einer ergänzenden Lösungsvariante initialisiert die Rückstellroutine eine Informationsanzeige oder Informationsansage, die allfällige Passagiere der Aufzugskabine informiert.

In einer Ausführung beinhaltet das Bremssystem zwei an der Aufzugskabine angeordnete elekt- romechanische Bremseinrichtungen, welche jeweils einen Elektromagneten oder Treiber beinhalten. Diese können die elektromechanischen Bremseinrichtungen in ihrer Bereitschaftsstellung halten und eine Ansteuerung dieser Elektromagneten oder Treiber schaltet die beiden Elektromagneten oder Treiber seriell hintereinander. Diese beiden elektromechanischen Bremseinrichtungen sind dabei vorteilhafterweise jeweils über ein Verbindungskabel zur elektronischen Überwachungseinrichtung verbunden. Dieses Verbindungskabel weist zusätzlich zu Adern, welche die Elektromagneten oder Treiber anschliessen, Verbindungsadern auf, welche eine Information der Positionsanzeiger der elektromechanischen Bremseinrichtungen zur elektronischen Überwachungseinrichtung übertragen.

In einer alternativen Lösungsvariante zur vorhergehenden Ausführung beinhaltet das Bremssys- tem zwei an der Aufzugskabine angeordnete elektromechanische Bremseinrichtungen, welche jeweils einen Elektromagneten oder Treiber beinhalten die die elektromechanischen Bremseinrichtungen im Bedarfsfall freigeben können, so dass die elektromechanischen Bremseinrichtungen in ihre Bremsstellung verbracht werden können. Die Ansteuerung dieser Elektromagnete oder Treiber steuert die beiden Elektromagneten oder Treiber parallel an wobei diese beiden elektro- mechanischen Bremseinrichtungen jeweils über ein Verbindungskabel zur elektronischen Überwachungseinrichtung verbunden sind. Auch dieses Verbindungskabel weist, zusätzlich zu den Adern, welche die Elektromagneten oder Treiber anschliessen, Verbindungsadern auf, welche eine Information der Positionsanzeiger der elektromechanischen Bremseinrichtungen zur elektronischen Überwachungseinrichtung übertragen. Dabei gibt die elektronische Überwachungseinrichtung bei Feststellung des Aktivierens einer der beiden elektromechanischen Bremseinrichtungen auch die andere der beiden elektromechanischen Bremseinrichtungen frei.

In einer Lösungsvariante ist die elektronische Überwachungseinrichtung im Bereich der Aufzugskabine angeordnet. Dabei ist die zweite Baugruppe mit dem als Weginkrementsensor ausgebildeten ersten Sensor im Bereich einer Umlenkrolle der Aufzugskabine angeordnet, welche Umlenkrolle ein Tragmittel der Aufzugskabine umlenkt. Die zweite Baugruppe der elektronischen Überwachungseinrichtung ist mittels eines weiteren Verbindungskabels zur ersten Baugruppe der elektronischen Überwachungseinrichtung verbunden, welche sich vorzugsweise an einer leicht zugänglichen Stelle der Aufzugskabine befindet. In einer Lösungsvariante ist die elektronische Überwachungseinrichtung an eine elektrische Stromversorgung der Aufzugsanlage angeschlossen und die elektronische Überwachungseinrichtung ist mittels einer ersten Verbindungsstelle zu dem Sicherheitskreis der Aufzugsanlage und mittels einer zweiten Verbindungsstelle zu der Aufzugssteuerung der Aufzugsanlage verbunden.

Im Folgenden wird die Erfindung anhand von Ausführungsbeispielen im Zusammenhang mit den Figuren beispielhaft erläutert.

Es zeigen:

Figur 1 eine schematische Ansicht einer Aufzugsanlage in der Seitenansicht,

Figur 2 eine schematische Ansicht der Aufzugsanlage im Querschnitt,

Figur 3 eine schematische Ansicht einer elektromechanischen Bremseinrichtung,

Figur 4 eine schematische Übersicht eines gesamten Bremssystems,

Figur 5 eine schematische Übersicht einer elektronischen Überwachungseinrichtung,

Figur 6 eine schematische Übersicht einer erweiterten elektronischen Überwachungseinrich- tung mit redundanter Verwendung zweier Sensoren,

Figur 7 ein schematisches Entscheidungsschema eines Vergleichers.

In den Figuren sind für gleichwirkende Teile über alle Figuren hinweg dieselben Bezugszeichen verwendet.

Figur 1 zeigt eine Aufzugsanlage 1 in einer Gesamtschau. Die Aufzugsanlage 1 ist in einem Gebäude eingebaut und sie dient dem Transport von Personen oder Gütern innerhalb des Gebäudes. Die Aufzugsanlage 1 ist in einem Schacht 6 des Gebäudes eingebaut und beinhaltet eine Aufzugskabine 2 und ein Gegengewicht 3, welche entlang von Führungsschienen 10 auf- und abwärts bewegbar sind. Die Aufzugskabine 2 erschliesst mehrere Haltestellen 11 des Gebäudes. Ein Antrieb 5 dient zum Antreiben und Halten der Aufzugskabine 2. Der Antrieb 5 ist beispielsweise im oberen Bereich des Schachts 6 angeordnet und die Aufzugskabine 2 ist über Tragmittel 4, beispielsweise über Tragseile oder Tragriemen, zum Antrieb 5 verbunden. Im Beispiel ist der Antrieb 5 mit einer Übersetzung ins Langsame zur Aufzugskabine 2 und zum Gegengewicht 3 verbunden. Dazu sind an der Aufzugskabine 2 und am Gegengewicht 3 Tragrollen 9 angebracht und die Tragmittel 4 sind über diese Tragrollen 9 geführt. Das Gegengewicht gleicht einen Massenanteil der Aufzugskabine 2 aus, so dass der Antrieb 5 zur Hauptsache lediglich einen Massenunterschied zwischen Aufzugskabine 2 und Gegengewicht 3 ausgleichen muss. Der Antrieb 5 könnte selbstverständlich auch an einem anderen Ort im Gebäude, im Bereich der Aufzugskabine 2 oder beim Gegengewicht 3 angeordnet sein. Der Antrieb 5 wird von einer Aufzugssteuerung 7 gesteuert.

Die Aufzugskabine 2 ist mit einem Bremssystem 15 ausgerüstet, welches geeignet ist die Aufzugskabine 2 bei einer unerwarteten Bewegung oder bei Übergeschwindigkeit zu sichern und/oder zu verzögern. Das Bremssystem 15 besteht aus mehreren Komponenten. Eine elektromechanische Bremseinrichtung 20 ist im Beispiel unterhalb der Aufzugskabine 2 angeordnet. Die elektromechanische Bremseinrichtung 20 ist elektrisch mit einer elektronischen Überwachungseinrichtung 30 verbunden und von dieser gesteuert. Eine Stromausfallseinrichtung 50, welche im Beispiel mit der elektronischen Überwachungseinrichtung 30 zusammengebaut ist, steuert das Bremssystem 15 bei einem Unterbruch einer Spannungsversorgung der Aufzugsanlage 1. Die Aufzugskabine 2 ist über ein Hängekabel 8 mit der Aufzugssteuerung 7 verbunden. Das Hängekabel 8 beinhaltet Signal- und Energieversorgungsleitungen. Unter Anderem ist die elektronische Überwachungseinrichtung 30 über diese Signalleitungen mit der Aufzugssteuerung 7 verbunden. Selbstverständlich können die Signalleitungen mittels Busssystem ausgeführt sein. Es steht dem Fachmann aber offen auch eine drahtlose Signalübertragung zu realisieren.

Figur 2 zeigt die Aufzugsanlage 1 von Figur 1 in einer schematischen Draufsicht. Das Bremssystem 15 beinhaltet im Beispiel zwei Aufzugs-Bremseinrichtungen 20, 20.1. Die beiden Aufzugs- Bremseinrichtungen 20, 20.1 sind vorzugsweise baugleich oder spiegelsymmetrisch ausgeführt und sie wirken bedarfsweise auf die zu beiden Seiten der Aufzugskabine 2 angeordneten Füh- rungsschienen 10 ein. Die Führungsschienen 10 beinhalten dazu geeignete Bremsflächen, welche in Zusammen Wirkung mit den Aufzugs-Bremseinrichtungen 20, 20.1 ein Abbremsen der Aufzugskabine 2 bewirken können. Die elektronische Überwachungseinrichtung 30 ist auf dem Dach der Aufzugskabine 2 angeordnet, so dass sie für Servicezwecke gut zugänglich ist. Die elektronische Überwachungseinrichtung 30 arbeitet im Beispiel mit einem mit der Tragrolle 9 der Aufzugskabine 2 verbundenen ersten Sensor 31 und einem in die Überwachungseinrichtung 30 integrierten zweiten Sensor 32, welche Bewegungsgrössen der Aufzugskabine 2 erfassen.

Figur 3 zeigt eine mögliche bekannte Ausführung einer elektromechanischen Bremseinrichtung 20 wie sie aus der Veröffentlichung WO2005044709 bekannt ist. Die elektromechanischen Bremseinrichtung 20 beinhaltet ein Bremsgehäuse 29 und eine Bremselement 25 in der Form eines Bremskeils. Das Bremsgehäuse 29 ist an der Aufzugskabine 2 befestigt. Das Bremselement 25 ist in der Zusammenwirkung mit dem Bremsgehäuse 29 selbstverstärkend ausgeführt. Das Bremselement 25 ist von einem Aktor 21 in einer Bereitschaftsstellung gehalten. Ein Elektromagnet 26 des Aktors 21 hält dazu einen Energiespeicher 22 in der Form einer Druckfeder gespannt und das Bremselement 25 liegt auf dem Energiespeicher 22 auf. Dies entspricht der in Figur 3 gezeigten Stellung.

Die gezeigte elektromechanische Bremseinrichtung 20 ist in sich symmetrisch. Dies bedeutet, dass zwei Bremselemente 25 beidseitig der Führungsschiene 10 angeordnet sind und diese im Bedarfsfall klemmen können. Eine Lage des Bremselementes 25 ist mittels eines Positionsanzeigers 24 feststellbar und mittels eines entsprechenden Verbindungskabels 27 zur elektronischen Überwachungseinrichtung 30 übermittelbar. Ein Signaleingang 23 des Elektromagneten 26 ist ebenfalls über Verbindungskabel 27 zur elektronischen Überwachungseinrichtung 30 verbunden. Sobald die elektronische Überwachungseinrichtung 30 den Elektromagneten 26 und damit den Aktor 21 freigibt, entspannt sich der Energiespeicher 22 und die Bremselemente 25 werden in den durch das Bremsgehäuse 29 vorgegebenen sich verengenden Spalt gezwängt. Der Energiespeicher 22 transportiert die Bremselemente 25 mindestens so weit, dass die Bremselemente 25 die Führungsschiene 10 klemmen. Dies entspricht dann einer Bremsstartstellung. Ab diesem Zeitpunkt wird das Bremselement 25, wegen der keilförmigen Gestaltung, bei einer Fahrbewegung des Bremsgehäuses 29 beziehungsweise der Aufzugskabine 2, in den sich verengenden Spalt des Bremsgehäuses 29 gezogen, wodurch sich eine entsprechende Bremskraft aufbaut. Die Bewegung des Bremselements 25 im Bremsgehäuse 29 ist dann durch einen Anschlag begrenzt, so dass sich eine vorbestimmte Bremskraft aufbaut. Dies entspricht dann einer Bremsendstellung. Der Aktor 21 beinhaltet im Weiteren eine Rückstelleinheit 28. Diese Rückstelleinheit 28 beinhaltet einen Spindeleinheit, welche den Elektromagnet 26 derart bewegen kann, dass damit der Energiespeicher 22 wieder gespannt werden kann. Bei einer folgenden Rückbewegung der Aufzugskabine 2 wird schlussendlich die elektromechanische Bremseinrichtung 20 wiederum vollständig zurückgestellt. Die Rückstelleinheit 28 kann dementsprechend von einem Rückstellalgorithmus 52 gesteuert werden.

Andere elektromechanische Bremseinrichtungen 20 arbeiten mit exzentrischen Bremsbacken, die im Bedarfsfall ebenso mittels Elektromagnet freigegeben werden und die mittels Spindelmotoren zurückgestellt werden oder die durch eine Einrückbewegung der Bremsbacken zurückgestellt werden, wie Beispielsweise in der EP1733992 ausgeführt.

Das Bremssystem 15 beinhaltet im Ausführungsbeispiel von Figur 4 die elektronische Überwa- chungseinrichtung 30, die Stromausfallseinrichtung 50 und zwei elektromechanische Bremseinrichtungen 20, 20.1. Die elektromechanische Bremseinrichtungen 20, 20.1 ist im Wesentlichen wie vorgängig erläutert aufgebaut.

Die elektronische Überwachungseinrichtung 30 umfasst im Wesentlichen zwei Baugruppen. Eine erste Baugruppe 42 ist auf einer Platine 42.1 aufgebaut. Diese beinhaltet im Beispiel einen zweiten und einen dritten Sensor 32, 33. Bei beiden Sensoren 32, 33 handelt es sich um eindimensionale Beschleunigungssensoren die jeweils eine Messgrösse 32m, 33m in der Form einer Beschleunigung a erfassen. Auf der Platine 42.1 oder einem umgebenden Gehäuse ist mittels Einbaupfeil 45 eine Einbaulage der elektronischen Überwachungseinrichtung 30 in der Aufzugs- anläge 1 gekennzeichnet. Damit wird erreicht, dass die beiden Sensoren 32, 33 im konkreten Fall die Vertikalbeschleunigung erfassen. Die beiden Sensoren 32, 33 sind über jeweils einen zugehörigen optionalen Filter 34 mit einer Auswerteeinheit 46 verbunden, welche in den Figuren 5 und 6 näher erläutert ist. Der oder die optionalen Filter 34 sind im Beispiel mittels einer Schaltung von Widerständen und Kondensatoren realisiert, welche hochfrequente Schwingungen der Beschleu- nigungssensoren filtern.

Eine zweite Baugruppe 43 umfasst im Wesentlichen einen ersten Sensor 31, der eine Messgrösse 31m in der Form von Weginkrementen s erfasst. Der erste Sensor 31 ist beispielsweise mit der Tragrolle 9 der Aufzugskabine 2 (siehe Figur 2) verbunden beziehungsweise von dieser getrieben. Die Messgrösse 31m des ersten Sensors 31 wird ebenfalls zur Auswerteeinheit 46 übertragen.

Die elektronische Überwachungseinrichtung 30 verfügt weiter über erforderliche Schnittstellen, Anschlusspunkte und Verbindungen 39, 24, 24.1, 41, um Signale, Informationen und Energie zur Aufzugssteuerung 7, zum Sicherheitskreis SK zur elektromechanischen Bremseinrichtungen 20 und je nach Ausführung zu einer Spannungsversorgung UN oder einer entsprechenden Stromaus- fallseinrichtung 50 zu übertragen.

Die Stromausfallseinrichtung 50 ist im Beispiel nach Figur 4 mit der elektronischen Überwachungseinrichtung 30 zusammengebaut. Die Stromausfallseinrichtung 50 beinhaltet eine Notstromversorgung 51. Diese ist von einer üblichen Energiequelle UN der Aufzugsanlage 1 mit elektrischer Energie versorgt und sie speichert die Energie in wieder aufladbaren Batterien oder Kondensatoren. Diese sind dermassen dimensioniert, dass das Bremssystem 15 während kürzeren Stromabschaltungen in seiner Bereitschaftsstellung gehalten werden kann. Eine kürzere Stromabschaltung ist zum Beispiel eine Abschaltung einer Gebäudeversorgung während einer Nacht, also während etwa 12 Stunden. Somit kann ein Gebäudeteil, der über einen halben Tag nicht benötigt wird, stromlos geschaltet werden. Die Notstromversorgung 51 hält das Bremssystem 15 während dieser Zeit aktiv und die Aufzugsanlage 1 ist nach Einschalten des Stromes sofort wieder be- triebsbereit. Bei einer längeren Stromabschaltung, wenn beispielsweise eine Aufzugsanlage 1 saisonbedingt stillgelegt wird, sinkt die Energiereserve der Notstromversorgung 51 unter einen vorbestimmten Level. Die elektronischen Überwachungseinrichtung 30 erkennt mittels Spannungsüberwachung dieses Unterschreiten des vorbestimmten Level und sie gibt die elektromechanische Bremseinrichtungen 20 zum Bremsen frei. Gleichzeitig schreibt sie eine zugehörige Information IU der Unterschreitung der entsprechenden kritischen Spannungsgrenze und der erfolgten Betätigung der elektromechanischen Bremseinrichtung 20, 20.1 in einen Datenspeicher 36 der elektronischen Überwachungseinrichtung 30.

Die Stromausfallseinrichtung 50 beinhaltet vorzugsweise eine automatische RückStelleinrichtung 52. Ein Entscheidungsalgorithmus 54 der automatischen RückStelleinrichtung 52 startet bei Einschalten der Spannungsversorgung UN der elektronischen Überwachungseinrichtung 30 selbstständig und nimmt eine Zustandsanalyse vor. Wenn dabei festgestellt wird, dass im Datenspeicher 36 der elektronischen Überwachungseinrichtung 30 die Information IU der Unterschreitung der kritischen Spannungsgrenze und der demzufolge erfolgten Betätigung der elektromechanischen Bremseinrichtung 20, 20.1 eingetragen ist, initialisiert die automatischen RückStelleinrichtung 52 den automatischen Rückstellalgorithmus 55. Dieser steuert nun die elektromechanische Bremseinrichtung 20, 20.1 beziehungsweise deren Aktor 21, 21.1 mittels der Rückstelleinheit 28, 28.1 in ihre Bereitschaftsstellung zurück. Dabei wird die Information IU im Datenspeicher 36 zurückgestellt.

Abhängig von einer Ausführungsart der elektromechanischen Bremseinrichtung 20 erfolgt diese Steuerung direkt vom Rückstellalgorithmus 55 oder die Steuerung erfolgt über die Aufzugssteuerung 7 der Aufzugsanlage 1. Die Stromausfallseinrichtung 50 ist im Beispiel mit der elektronischen Überwachungseinrichtung 30 zusammengebaut. Sie kann jedoch zumindest teilweise auch ein Bestandteil der Aufzugssteuerung 7 sein.

Die Auswerteeinheit 46 der elektronischen Überwachungseinrichtung 30 umfasst, wie in Figur 5 ersichtlich einen Prüfer 35. Der Prüfer 35 vergleicht die vom ersten Sensor 31 übermittelte erste Messgrösse 31m mit der vom zweiten Sensor 32 übermittelten zweiten Messgrösse 32m. Im Beispiel ist die erste Messgrösse 31m ein Weginkrementssignal s und die zweite Messgrösse 32m ist eine Beschleunigungssignal a. Der Prüfer 35 prüft einerseits das Beschleunigungssignal a auf Einhaltung plausibler Grenzwerte. So sind beispielsweise im Normalbetrieb Beschleunigungen über einem Wert der Erdbeschleunigung g nicht plausibel. Sobald der Prüfer 35 demzufolge ein Beschleunigungssignal a registriert, welches deutlich über der Erdbeschleunigung g liegt, ist das Beschleunigungssignal a nicht plausibel was zu einer Ausgabe eines Statussignals 40 "NOT_OK" führt. Weiter prüft der Prüfer 35 bei Eintreffen eines Weginkrementssignals s, inwieweit die Zeitspanne zwischen zwei Weginkrementssignalen s mit den in dieser Zeitspanne registrierten Beschleunigungen korreliert und er prüft in engen Zeitschritten inwieweit die registrierten Beschleunigungen a mit dem Eintreffen der Weginkrementssignalen s übereinstimmt. Zeigt also der zweite Sensor 32 über einen gewissen Zeitraum keine relevante Beschleunigung a an, der erste Sensor 31 zeigt jedoch ein relevantes oder grosses Wegeinkrement s an, so liegt ein Fehler vor und das Statussignals 40 wird vom Prüfer 35 als "NOT_OK" ausgegeben.

Die Auswerteeinheit 46 der elektronischen Überwachungseinrichtung 30 umfasst weiter einen Berechnungsalgorithmus 37. Der Berechnungsalgorithmus 37 berechnet einen tatsächlichen Fahrparameter P, im Ausführungsbeispiel die tatsächliche Geschwindigkeit VC. Der Berechnungsalgorithmus 37 schätzt hierbei ausgehend von einem Augenblickszustand dieser tatsächlichen Geschwindigkeit Vt-i einen in einem nächsten Zeitschritt zu erwartenden Zustand dieser tatsächlichen Geschwindigkeit V_t auf der Basis der vom zweiten Sensor 32 erfassten zweiten Bewegungsgrösse 32m, a und der vom ersten Sensor 31 erfassten ersten Bewegungsgrös- se 31m, s. Die Abschätzung des zu erwarteten Zustande der tatsächlichen Geschwindigkeit VC erfolgt hierbei unter Verwendung eines Systemmodells 44, welches den mathematisch definierten Zusammenhang der Bewegungsgrössen unter Berücksichtigung von Korrekturfaktoren K_n zueinander beschreibt. Im Systemmodell 44 sind die mathematischen und zeitlichen Zusammenhänge aller verwendeten Bewegungsgrössen a, s, v abgebildet. In diesem Systemmodell 44 werden somit im Berechnungsalgorithmus 37 jederzeit alle relevanten zusammenhängenden Bewegungsgrössen, wie zum Beispiel der Fahrweg s, die Geschwindigkeit v oder die Beschleunigung a abgebildet. Im Systemmodell 44 werden auch charakterisierende Abweichungsgrössen, wie ein Offset ao der vom zweiten Sensor 32 erfassten zweiten Bewegungsgrösse 32m, a nachgeführt. Diese Bewegungsgrössen werden im Systemmodell 44 jederzeit zum nächsten erwarteten Zustand nachgeführt. Weiter werden die geschätzten erwarteten Zustände der Bewegungsgrösse mittels der Korrekturfaktoren K_n korrigiert, wobei diese Korrekturfaktoren K_n unter Berücksichtigung einer erforderlichen Genauigkeit des Ergebnisses und einer Ungenauigkeit der verwendeten Sensoren bestimmt ist. Im vorgenannten Systemmodell 44 bedeutet dies, dass die im Systemmodell 44 verwendeten Bewegungsgrössen a, s, v mit einem zugehörigen Korrekturfaktor K_n versehen sind und somit die Nachführung im Systemmodell 44 jederzeit die integrierte Korrektur der einzelnen System-Bewegungsgrössen beinhalten. Das dementsprechend korrigierte Systemmodel 44 beinhaltet somit die geschätzten, erwarteten Bewegungsgrössen. Diese korrigierten geschätzten erwarteten Bewegungsgrössen bilden das System bestens ab und dementsprechend werden diese als tatsächliche Bewegungsgrössen ausgegeben. Schlussendlich wird der berechnete zu erwartende Zustand dieser tatsächlichen Geschwindigkeit Vt als tatsächliche Fahrgeschwindigkeit VC beziehungsweise als tatsächlicher Fahrparameter P ausgegeben. Resultierend beinhaltet der Berechnungsalgorithmus 37 im ausgeführten Beispiel dazu zwei relevante Abschätzungen.

1) Berechnung eines Offset ao der vom zweiten Sensor 32 erfassten zweiten Bewegungsgrösse:

ao_t = aot-i + Kn2 x ( ds - (Vt-i x d_t + (a_m - ao_t-i) x dt²/2))

dt Zeitintervall (entspricht in der Regel einer Taktfrequez der Berechnungsroutine) ds im Zeitintervall dt erfasstes Wegintervall

a_m Im Zeitintervall dt erfasste gemittelte Beschleunigung.

ao_t erwarteter Offset ao,

ao_t-i Augenblickszustand des Offsets ao gemäss letzter Berechnung,

Kü₂ Korrekturfaktor der Offsetberechnung,

V_t-i Augenblickszustand der tatsächlichen Geschwindigkeit gemäss letzter Berechnung, 2) Berechnung der tatsächlichen Geschwindigkeit VC

V_t = Vt-i + (a_m - aot-i) x dt + Kni x (ds - (V_t-i x d_t + (a_m - ao_t-i) x dt²/2))

V_t erwarteter Zustand der tatsächlichen Geschwindigkeit (Vorausschauend),

Kni Korrekturfaktor der Geschwindigkeitsberechnung,

Die Korrekturfaktoren K_n sind unter Berücksichtigung einer erforderlichen Genauigkeit des Ergebnisses und einer Ungenauigkeit der verwendeten Sensoren, wie auch des Berechnungsprozesses vorbestimmt. Die Korrekturfaktoren K_n beinhalten fallweise auch Anteile zur Umsetzung physikalischer Einheiten. Die zur Berechnung des tatsächlichen Fahrparameters P verwendeten Korrekturfaktoren K_n, K_ni, K_n2, werden nach den Regeln eines Kaiman-Filters bestimmt.

Im vorliegenden Beispiel ist die Berechnung anhand der Berechnung der Geschwindigkeit v dargestellt. Selbstverständlich kann die Berechnung für alle mathematisch zusammenhängenden Bewegungsgrössen ausgeführt werden, wobei dann die mathematischen Abhängigkeiten entspre- chend anzupassen sind. Das Systemmodell 44 ist hierbei in den Berechnungsalgorithmus 37 integriert.

Im Weiteren umfasst die Auswerteeinheit 46 der elektronischen Überwachungseinrichtung 30 den Vergleicher 38. Der Vergleicher 38 berücksichtigt in einer Stufe das Statussignal 40, das vom Prüfer 35 ausgegeben wird. Sobald das Statussignal 40 als "NOT_OK" ausgegeben wird, bewirkt in der Ausführung gemäss Figur 5 der Vergleicher 38 über einen ersten Signalausgang 39.1 eine Öffnung des Sicherheitskreises SK. Dadurch wird die Aufzugsanlage 1 stillgesetzt. Alternativ besteht auch die Möglichkeit direkt über einen zweiten Signalausgang 39.2 eine Freigabe der elektromechanischen Bremseinrichtung 20 zu bewirken und so einen Schnellstopp mittels der elektromechanischen Bremseinrichtung 20 zu erwirken. Dies ist jedoch in der Regel nicht gefordert, da ein gleichzeitiges Eintreten einer Übergeschwindigkeit und ein Versagen eines der Sensoren 31, 32 unwahrscheinlich ist. Allenfalls kann eine Öffnung des Sicherheitskreises SK in diesem Fall sogar zeitlich verzögert werden, um ein normales Anhalten der Aufzugskabine 2 auf einer nächsten Halteetage 11 zu ermöglichen.

Solange der Prüfer 35 jedoch das Statussignal 40 als "OK" ausgibt, prüft der Vergleicher 38 ein Einhalten relevanter Grenzwerte im Bewegungsablauf der Aufzugskabine 2. Die relevanten Grenzwerte W sind im Datenspeicher 36 hinterlegt. Stellt der Vergleicher 38 eine Überschreitung eines Grenzwerts fest, erfolgt eine Ausgabe oder Anzeige des ersten Signalausgangs 39.1 zum Sicherheitskreis SK oder es erfolgt eine entsprechende Ausgabe oder Anzeige des zweiten Signalausgangs 39.2 zur elektromechanischen Bremseinrichtung 20, um diese zum Bremsen freizugeben.

Der Prüfungsfunktionen des Prüfers 35, der Berechnungsalgorithmus 37 sowie die Vergleichsfunktionen des Vergleichers 38 können in getrennten Prozessoren erfolgen. Vorzugsweise sind die Funktionen jedoch in einem Prozessor zusammengeführt.

In Figur 7 ist ein mögliches Vergleich- Szenarium dargestellt. Dem Vergleicher 38 steht einerseits der Datenspeicher 36 mit den relevanten Grenzwerten W zur Verfügung. Der Beschleunigungsgrenzwert AG bestimmt einen Grenzwert für die vom zweiten Sensor 32 erfasste Vertikal- Beschleunigung a. Der Erst-Geschwindigkeitsgrenzwert VCG1 bestimmt einen ersten Grenzwert für die berechnete tatsächliche Geschwindigkeit VC und der Zweit-Geschwindigkeitsgrenzwert VCG2 bestimmt einen zweiten Grenzwert für die berechnete tatsächliche Geschwindigkeit VC. Die berechnete tatsächliche Geschwindigkeit VC entspricht in diesem und in den folgenden Ausführungen der vorgängig als tatsächliche Fahrgeschwindigkeit beziehungsweise als tatsächlicher Fahrparameter P ausgegebenem Wert. Eine Erst-Reaktionszeit Tl definiert eine Zeitspanne, während der beispielsweise überhöhte Beschleunigungen, wie sie bei Schwingungsvorgängen entstehen, auftreten können. Eine Zweit-Reaktionszeit T2 definiert eine Zeitspanne innerhalb der eine Notbremseinrichtung, wie beispielsweise eine Antriebsbremse, eine Verzögerung der Aufzugskabine 2 bewirken sollte. Der Vergleicher 38 prüft nun inwieweit die tatsächliche Geschwindigkeit VC der Aufzugskabine 2 den Erst-Geschwindigkeitsgrenzwert VCG1 überschreitet. Solange dies nicht zutrifft ist der Vergleichsausgang auf 0 gesetzt, was bedeutet, dass der erste Signalausgang 39.1 zum Sicherheitskreis SK ebenfalls auf 0 steht. Damit bleibt der Sicherheitskreis SK geschlossen. Sollte die tatsächliche Geschwindigkeit VC der Aufzugskabine 2 den Erst-Geschwindigkeitsgrenzwert VCGl überschreiten VC > VCGl, wird der Vergleichsausgang auf 1 gesetzt, was bedeutet, dass der erste Signalausgang 39.1 zum Sicherheitskreis SK auf 1 gesetzt wird. Damit wird die bewirkt, dass der Sicherheitskreis SK geöffnet und die Aufzugsanlage 1 sofort über das Antriebssystem stillgesetzt wird.

Weiter prüft der Vergleicher 38 inwieweit die tatsächliche Geschwindigkeit VC der Aufzugskabi- ne 2 den Zweit- Geschwindigkeitsgrenzwert VCG2 überschreitet. Sobald dies VC > VCG2 eintritt, wird der entsprechende Vergleichsausgang auf 1 gesetzt. Dies bedeutet, dass der zweite Signalausgang 39.2 zur elektromechanischen Bremseinrichtung 20 auf 1 gesetzt wird. Damit wird die Aufzugsanlage 1 sofort über die entsprechende Freigabe der elektromechanischen Bremseinrichtung 20 stillgesetzt. Hat die tatsächliche Geschwindigkeit VC der Aufzugskabine 2 den Zweit- Geschwindigkeitsgrenzwert VCG2 nicht überschritten, wird überprüft, ob die erfasste Vertikal- Beschleunigung a der Aufzugskabine 2 den Beschleunigungsgrenzwert AG überschreitet a > AG. Sofern dieser Zustand während einer Zeitdauer T andauert, die länger als die im Datenspeicher festgelegte Erst-Reaktionszeit Tl ist, T > Tl, wird ebenso der zweite Signalausgang 39.2 zur elektromechanischen Bremseinrichtung 20 auf 1 gestellt. Damit wird dementsprechend ebenfalls die Aufzugsanlage 1 über die elektromechanische Bremseinrichtung 20 stillgesetzt. Somit wird bei Überschreitung des Erst-Geschwindigkeitsgrenzwerts VCGl und gleichzeitig andauernder Überschreitung eines kritischen Beschleunigungswerts AG die elektromechanische Bremseinrichtung 20 betätigt. Weiter findet in einer erweiterten optionalen Ausführung eine zusätzliche Überprüfung statt, indem der Vergleicher 38 prüft, inwieweit nach einer Überschreitung des Erst- Geschwindigkeitsgrenzwerts VCGl, innerhalb einer im Datenspeicher festgelegten Zweit- Reaktionszeit T2 die tatsächliche Geschwindigkeit VC der Aufzugskabine 2 den Erst- Geschwindigkeitsgrenzwerts VCGl wieder unterschreitet. Eine typische Grössenordnung dieser Zweit-Reaktionszeit T2 liegt bei 100 bis 200ms (Millisekunden). Verbleibt also die tatsächliche Geschwindigkeit VC länger als die Zweit-Reaktionszeit T2 oberhalb des Erst- Geschwindigkeitsgrenzwerts VCGl, wird auch der zweite Signalausgang 39.2 zur elektromechanischen Bremseinrichtung 20 auf 1 gestellt. Damit wird dementsprechend ebenfalls die Aufzugsanlage 1 sofort über die elektromechanische Bremseinrichtung 20 stillgesetzt. Der Datenspeicher 36 der elektronischen Überwachungseinrichtung 30 beinhaltet neben den bereits erläuterten Grenzwerten W weiter, wie im Zusammenhang mit Figur 4 erläutert, eine Speicheradresse zur Speicherung der Information IU. Weiter ist in der Regel im Datenspeicher 36 auch eine Versionenidentifikation der elektronischen Überwachungseinrichtung 30 hinterlegt. Fallweise sind weitere Grenzwerte hinterlegt. Dies können Grenzwerte sein die auf eine reduzierte Fahrgeschwindigkeit, auf Servicegeschwindigkeiten, auf Prüfgeschwindigkeiten oder ähnliches abgestimmt sind.

In Figur 6 ist eine Weiterentwicklung der elektronischen Überwachungseinrichtung 30 von Figur 5 gezeigt. Die Überwachungseinrichtung 30 beinhaltet einen dritten Sensor 33. Mittels dieses dritten Sensors, der analog zum zweiten Sensor 32 ausgeführt ist, wird die elektronische Überwachungseinrichtung 30 im Wesentlichen redundant geführt. Unter Verwendung eines gemeinsamen ersten Sensors 31 wird die Prüfung der Plausibilität und Korrelation der Messgrössen 31m, 32m, 33m in zwei Prüfern 35, die Berechnung der tatsächlichen Geschwindigkeit VC der Aufzugskabine 2 in zwei Berechnungsalgorithmen 37 und der Vergleich mit Grenzwerten in zwei Vergleichern 38 redundant durchgeführt. Da beide Vergleicher 38, wie zuvor erläutert nach vorgegebenen Kriterien die Öffnung des Sicherheitskreises SK beziehungsweise die Freigabe der elektromechanische Bremseinrichtung 20 zum Bremsen redundant bewirken können, ist eine Gesamtsicherheit erhöht. Zugleich ermöglicht im speziellen der Vergleich der beiden gleichartigen Sensoren 32, 33 eine direkte Diagnose eines fehlerhaften Sensors. Damit kann Fallweise eine begrenzte Weiterfahrt der Aufzugskabine 2 erfolgen, auch wenn beispielsweise einer der beiden Sensoren 32, 33 ausfällt. Zudem kann eine Fehlerquelle, das heisst der defekte Sensor oder die defekte Auswertegruppe, angezeigt werden. Weiter ermöglicht der Vergleich der durch die redundant ausgelegten Berechnungsalgorithmen 37 ermittelten tatsächlichen Geschwindigkeit VC der Aufzugskabine 2 in einem Prüfer 35.1 eine Verifikation der Funktion der kompletten Auswer- tekette.

Die dargestellten Anordnungen können vom Fachmann variiert werden. Die elektromechanischen Bremseinrichtungen 20 können oberhalb oder unterhalb der Aufzugskabine 2 angebaut sein. Es können auch mehrere Bremspaare an einer Aufzugskabine 2 verwendet sein. Das Bremssystem 15 kann im Bedarfsfalle auch am Gegengewicht 3 angebaut sein.

Die Überwachungseinrichtung 30 kann in die Aufzugssteuerung 7 oder in einen Kabinenrechner integriert sein. Der Kabinenrechner ist eine im Bereich der Kabine angeordnete Einheit, welche beispielsweise eine Steuerung einer Kabinentüre oder eine Positionsbestimmung der Aufzugskabine 2 oder ähnliches beinhaltet. Allerdings hat sich eine von anderen Geräten getrennte Ausführung der Überwachungseinrichtung 30 als vorteilhaft erwiesen, da sie für sich getestet und allenfalls typengeprüft werden kann. Ein entsprechendes Gehäuse der Überwachungseinrichtung 30 weist vorzugsweise eine geometrische Gestaltung auf, die eine eindeutige Anordnung an der Aufzugskabine 2 zulässt, so dass eine Fehlmontage praktisch ausgeschlossen werden kann. Die erste und die zweite Baugruppe 42, 43 können wie in der Eingangsbeschreibung ausgeführt auch auf einer Platine zusammengebaut sein. Die resultierende gemeinsame Baugruppe kann dann beispielsweise direkt bei einer Tragrolle 9 der Aufzugskabine 2 oder bei einer Führungsrolle der Aufzugskabine 2 angeordnet sein, so dass der Weginkrementsensor 31 direkt getrieben werden kann. Die Führungsrolle ist beispielsweise eine Führungsrolle die zur Führung der Aufzugskabine 2 entlang der Führungsschienen 10 verwendet ist.

Die vorliegenden Erläuterungen sind im Wesentlichen anhand vom Sensoren 31, 32, 33 ausgeführt, die Beschleunigungen a und Wege s beziehungsweise Wegintervalle ds erfassen und als Auswertegrösse ist die Geschwindigkeit v verwendet. Im Sinne der Erfindung können weitere oder andere Bewegungsgrössen verwendet werden, die in mathematischen Zusammenhang stehen. So könnte beispielsweise auch ein Luftdruck der in mathematischem Verhältnis zu Bewegungsparametern steht verwendet sein, oder Grenzwerte können in Abhängigkeiten von zurückgelegten Wegen definiert sein.

Claims

Uberwachungseinrichtung (30) für eine Aufzugsanlage (1) mit einer Aufzugskabine (2) und mit einer an der Aufzugskabine (2) angeordneter elektromechanischer Bremseinrichtung (20) zum Bremsen der Aufzugskabine (2), umfassend

- zumindest einen ersten Sensor (31) und einen zweiten Sensor (32) zur Erfassung einer von einer Bewegung der Aufzugskabine (2) abhängigen ersten Messgrösse (31m) und zweiten Messgrösse (32m),

wobei die erste Messgrösse (31m) und die zweite Messgrösse (32m) unterschiedlichen Bewegungsgrössen (a, v, s) der Aufzugskabine (2) entsprechen, welche unterschiedlichen Bewegungsgrössen (a, v, s) in einem mathematisch definierten Zusammenhang stehen,

- zumindest einen Prüfer (35), der die erste Messgrösse (31m) und die zweite Messgrösse (32m) auf Plausibilität überprüft,

- zumindest einen Datenspeicher (36), wobei der Datenspeicher zumindest einen Grenzwert (W) oder zumindest eine Vorgabe zur Bestimmung des zumindest einen Grenzwerts speichert,

- zumindest einen Berechnungsalgorithmus (37) zur Berechnung zumindest eines tatsächlichen Fahrparameters (P) der Aufzugskabine (2) in Abhängigkeit der ersten Messgrösse (31m) und der zweiten Messgrösse (32m),

- zumindest einen Vergleicher (38), der zumindest eine der ersten Messgrösse (31m), der zweiten Messgrösse (32m) oder des tatsächlichen Fahrparameters (P) zu dem mindestens einen Grenzwert (W) vergleicht,

- zumindest einen Signalausgang (39) der eine Erreichung oder Überschreitung des Grenzwerts (W) oder eine Verletzung der Plausibilität anzeigt.

Überwachungseinrichtung (30) gemäss Anspruch 1 , wobei

der Signalausgang (39) der elektronischen Überwachungseinrichtung (30) einen ersten Signalausgang (39.1) und einen zweiten Signalausgang (39.2) beinhaltet und der erste

Signalausgang (39.1)einen Sicherheitskreis (SK) der Aufzugsanlage (1) öffnet, wodurch ein Nothalt der Aufzugskabine (2) eingeleitet werden kann und der zweite Signalausgang (39.2) die elektromechanische Bremseinrichtung (20) der Aufzugskabine (2) zum Bremsen freigibt.

Überwachungseinrichtung (30) gemäss einem der Ansprüche 1 oder 2, wobei der tatsächliche Fahrparameter (P) eine tatsächliche Bewegungsgrösse (V, VC) der Aufzugskabine (2) ist und der Berechnungsalgorithmus (37) diese tatsächliche Bewegungsgrösse (V, VC) berechnet, indem ausgehend von einem Augenblickszustand dieser Bewegungsgrösse (V_t-i) ein in einem nächsten Zeitschritt zu erwartender Zustand dieser Bewegungsgrösse (V_t) auf der Basis der vom zweiten Sensor (32) erfassten zweiten Bewegungsgrösse (a) und der vom ersten Sensor (31) erfassten ersten Bewegungsgrösse (ds) geschätzt (37.1) wird, wobei die Abschätzung des zu erwarteten Zustande der Bewegungsgrösse (V_t) unter Verwendung eines Systemmodells (44) erfolgt, welches den mathematisch definierten Zusammenhang mehrerer

Bewegungsgrössen (a, ds) zueinander beschreibt, wobei im Systemmodell ausgehend vom Augenblickszustand der mehreren Bewegungsgrössen jeweils der erwartete Zustand der mehreren Bewegungsgrössen geschätzt wird, und indem die geschätzten erwarteten Bewegungsgrössen (V_t) mittels Korrekturfaktoren (K_n) korrigiert werden, wobei die

Korrekturfaktoren (K_n) unter Berücksichtigung einer erforderlichen Genauigkeit des Ergebnisses und einer Ungenauigkeit der verwendeten Sensoren bestimmt sind und wobei zumindest eine der derart mittels Korrekturfaktoren (K„) korrigierten geschätzten erwarteten Bewegungsgrössen als tatsächliche Bewegungsgrösse (V, VC) des Fahrparameters (P) ausgegeben wird.

Überwachungseinrichtung (30) gemäss einem der Ansprüche 1 oder 2,

wobei der tatsächliche Fahrparameter (P) eine tatsächliche Bewegungsgrösse (V, VC) der Aufzugskabine (2) ist und der Berechnungsalgorithmus (37) diese tatsächliche Bewegungsgrösse (V, VC) berechnet, indem ausgehend von einem Augenblickszustand dieser

Bewegungsgrösse (V_t-i) ein in einem nächsten Zeitschritt zu erwartender Zustand dieser Bewegungsgrösse (V_t) auf der Basis der vom zweiten Sensor (32) erfassten zweiten

Bewegungsgrösse (a) und der vom ersten Sensor (31) erfassten ersten Bewegungsgrösse (ds) geschätzt (37.1) wird,

wobei der Berechnungsalgorithmus (37) einerseits einen erwarteten Offset Wert (ao_t) zumindest einer Bewegungsgrösse (a, ds), ausgehend von einem zuletzt bekannten

Augenblickszustand des Offset Werts (ao_t-i), eines Korrekturfaktors der Offsetberechnung (K_n2), und ermittelten oder berechneten Bewegungsgrössen (a, ds, V_t-i) berechnet, wobei der Berechnungsalgorithmus (37) weiter den erwarteten Zustand der Bewegungsgrösse (V_t) ausgehend vom Augenblickszustand der Bewegungsgrösse (V_t-i), den ermittelten oder berechneten Bewegungsgrössen (a, ds), dem zuletzt bekannten Augenblickszustand des Offset Werts (ao_t-i) und eines Korrekturfaktors der Bewegungsberechnung (K„i) berechnet, wobei die Korrekturfaktoren (Κ„ι, ^) unter Berücksichtigung einer erforderlichen Genauigkeit des Ergebnisses und einer Ungenauigkeit der verwendeten Sensoren bestimmt sind, und wobei der derart berechnete erwartete Zustand der Bewegungsgrösse (V_t) als tatsächliche Bewegungsgrösse (V, VC) des Fahrparameters (P) ausgegeben wird. Uberwachungseinrichtung (30) gemäss Anspruch 3 oder 4, wobei

die von dem Berechnungsalgorithmus (37) zur Berechnung des tatsächlichen Fahrparameters (P) verwendeten Korrekturfaktoren (K„, K„i, K„2) unter Verwendung der Regeln eines Kaiman-Filters bestimmt werden.

Überwachungseinrichtung (30) gemäss einem Ansprüche 1 bis 5, wobei

der erste Sensor (31) der elektronischen Überwachungseinrichtung (30) ein Weginkrement- sensor (31s) ist, und die der ersten Bewegungsgrösse (s, ds) entsprechende erste Messgrösse (31m), die vom ersten Sensor (31) erfasst wird, ein von der Aufzugskabine (2) zurückgelegter Weg ist, wobei der Weginkrementsensor (31s) den zurückgelegten Weg in konstanten Wegintervallen erfasst, oder

der zweite Sensor (32) der elektronischen Überwachungseinrichtung (30) ein Beschleunigungssensor (32a) ist, und die der zweiten Bewegungsgrösse (a) entsprechende zweite Messgrösse (32m), die vom zweiten Sensor (31) erfasst wird, eine an der Aufzugskabine (2) wirkende Vertikal-Beschleunigung ist, wobei der Beschleunigungssensor (32a) die Vertikal- Beschleunigung der Aufzugskabine (2) mit einer hohen Erfassungstaktrate erfasst.

Überwachungseinrichtung (30) gemäss einem der Ansprüche 1 bis 6, wobei

der Prüfer (35) der elektronischen Überwachungseinrichtung (30), der die erste Messgrösse (31m) und die zweite Messgrösse (32m) auf Plausibilität überprüft, die erste Messgrösse (31m) mit der zweiten Messgösse (32m) unter Berücksichtigung des zugehörigen mathematisch definierten Zusammenhangs vergleicht und bei einer Übereinstimmung der beiden Messgrössen ein Statussignal (40) "OK" ausgibt und bei fehlender Übereinstimmung das Statussignal (40) "NOT_OK" ausgibt,

wobei die Überprüfung der beiden Messgrössen in einem Zeitschritt erfolgt, der durch den Berechnungsalgorithmus (37) zur Berechnung des tatsächlichen Fahrparameters (P) der Aufzugskabine (2) bestimmt oder verwendet ist, und / oder

wobei die Überprüfung der beiden Messgrössen beinhaltet, dass verglichen wird inwieweit eine gewichtete Differenz der beiden Messgrössen innerhalb eines durch den ersten Sensor und/oder den zweiten Sensor bestimmten charakteristischen Verhaltens liegt.

Überwachungseinrichtung (30) gemäss einem der Ansprüche 1 bis 6, wobei

der Prüfer (35) der elektronischen Überwachungseinrichtung (30), der die erste Messgrösse (31m) und die zweite Messgrösse (32m) auf Plausibilität überprüft, die erste Messgrösse (31m) mit der zweiten Messgösse (32m) vergleicht und bei einer Übereinstimmung der beiden Messgrössen ein Statussignal (40) "OK" ausgibt und bei fehlender Übereinstimmung das Statussignal (40) "NOT_OK" ausgibt, wobei die Uberprüfung der beiden Messgrössen beinhaltet,

- dass bei Registrierung eines abgeschlossenen Wegintervalls verglichen wird, inwieweit der zurückgelegte Weg unter Berücksichtigung einer zugehörigen Zeit der über diese Zeit erfassten Beschleunigung entspricht, und/oder

- dass verglichen wird, inwieweit die über einen Zeitraum erfassten Beschleunigungen mit einer entsprechenden Erfassung von Weginkrementen übereinstimmen.

9. Überwachungseinrichtung (30) gemäss Anspruch 7 oder 8, wobei

der zumindest eine Signalausgang (39) der elektronischen Überwachungseinrichtung (30), wenn der Prüfer (35) das Statussignal (40) "NOT_OK" ausgibt, die Verletzung der Plausibi- lität zeitverzögert anzeigt wobei die Zeitverzögerung vorzugsweise die Anzeige des

Signalausgangs (39) so lange verzögert, bis die Aufzugskabine (2) einen nächsten Halt (11) erreicht hat; oder

der zumindest eine Signalausgang (39) der elektronischen Überwachungseinrichtung (30) einen Statussignalausgang (41) beinhaltet, mittels dessen das Statussignal (40) "NOT_OK" beispielsweise an eine Aufzugssteuerung (7) übermittelt werden kann.

10. Überwachungseinrichtung (30) gemäss einem der Ansprüche 1 bis 9, wobei

im Datenspeicher (36) der elektronischen Überwachungseinrichtung (30) ein Beschleunigungsgrenzwert hinterlegt ist, der einen Beschleunigungsgrenzwert (AG) für die vom zweiten Sensor (32) erfasste Vertikal-Beschleunigung (a) bestimmt;

im Datenspeicher (36) der elektronischen Überwachungseinrichtung (30) ein erster Geschwindigkeitsgrenzwert hinterlegt ist, der einen Erst-Geschwindigkeitsgrenzwert (VCG1) für die berechnete tatsächliche Geschwindigkeit (VC) bestimmt;

im Datenspeicher (36) der elektronischen Überwachungseinrichtung (30) ein zweiter Geschwindigkeitsgrenzwert hinterlegt ist, der einen Zweit- Geschwindigkeitsgrenzwert (VCG2) für die berechnete tatsächliche Geschwindigkeit (VC) bestimmt;

im Datenspeicher (36) eine erste Zeitspanne hinterlegt ist, die eine Erst-Reaktionszeit (Tl) bestimmt.

11. Überwachungseinrichtung (30) gemäss Anspruch 10, wobei

der Signalausgang einen ersten Signalausgang (39.1) und einen zweiten Signalausgang (39.2) aufweist und - der erste Signalausgang (39.1) eine Öffnung des Sicherheitskreises (SK) bewirkt, wenn die tatsächliche Geschwindigkeit (VC) der Aufzugskabine den Erst- Geschwindigkeitsgrenzwert (VCG1) überschreitet oder überschritten hat; und

- der zweite Signalausgang (39.2) eine Freigabe der elektromechanischen Bremseinrichtung (20) der Aufzugskabine (2) bewirkt,

- wenn die tatsächliche Geschwindigkeit (VC) der Aufzugskabine den Zweit- Geschwindigkeitsgrenzwert (VCG2) überschreitet; oder

- wenn die tatsächliche Geschwindigkeit (VC) der Aufzugskabine den Erst- Geschwindigkeitsgrenzwert (VCG1) überschreitet und die erfasste Vertikal- Beschleunigung (a) der Aufzugskabine (2) den Beschleunigungsgrenzwert (AG) während einer Zeitspanne (t) überschreitet, die länger als die Erst-Reaktionszeit (Tl) ist.

Überwachungseinrichtung (30) gemäss Anspruch 11 , wobei

im Datenspeicher (36) weiter eine zweite Zeitspanne hinterlegt ist, die einer Zweit- Reaktionszeit (T2) bestimmt; und

der zweite Signalausgang (39.2) die Freigabe der elektromechanischen Bremseinrichtung (20) der Aufzugskabine (2) zusätzlich bewirkt, wenn die tatsächliche Geschwindigkeit (VC) der Aufzugskabine (2) den Erst-Geschwindigkeitsgrenzwert (VCG1) während einer Zeitspanne (t) überschreitet, die länger als die zweite Zeitspanne (T2) ist.

Überwachungseinrichtung (30) gemäss einem der Ansprüche 10 bis 12, wobei

zumindest einer des im Datenspeicher (36) hinterlegten Beschleunigungsgrenzwerts (AG), des Erst-Geschwindigkeitsgrenzwerts (VCG1), des Zweit-Geschwindigkeitsgrenzwerts (VCG2), der Erst-Reaktionszeit (Tl) oder der Zweit-Reaktionszeit (T2) im Bedarfsfall oder bei einer Initialisierung der elektronischen Überwachungseinrichtung (30) berechnet wird.

14. Überwachungseinrichtung (30) gemäss einem der Ansprüche 1 bis 13, wobei die elektronische Überwachungseinrichtung (30) weiter mindestens einen dritten Sensor (33) zur unabhängigen Erfassung einer von der Bewegung der Aufzugskabine (2) abhängigen dritten Messgrösse (33m) umfasst, wobei dieser dritte Sensor (33) ein Beschleunigungssensor (33g) ist und die dritte Messgrösse (33m) die an der Aufzugskabine (2) wirkende Vertikal- Beschleunigung ist, wobei der Beschleunigungssensor (33) die Vertikal-Beschleunigung der Aufzugskabine (2) kontinuierlich und parallel zum zweiten Sensor (32) erfasst, wobei eine Erfassungstaktrate des dritten Sensors vorzugsweise synchron oder gleichgetaktet zum zwei- ten Sensor läuft.

15. Überwachungseinrichtung (30) gemäss Anspruch 14, wobei der Prüfer (35), die Messgrössen des zweiten und des dritten Sensors (32, 33) direkt miteinander vergleicht und die beiden Messgrössen (32m, 33m) unter Berücksichtigung physikalischer Gesetzmässigkeiten mit der ersten Messgrösse (31m) des ersten Sensors (31) vergleicht und resultierend aus den Verglei- chen das Statussignal (40) "OK" oder das Statussignal (40) "NOT_OK" ausgibt, wobei bei einer Ausgabe des Statussignal (40) "NOT_OK" zusätzlich eine Fehlerquelle angegeben wird.

16. Verfahren zum Überwachen eines Fahrparameters (P) einer Aufzugsanlage (1), wobei

- eine Bewegung der Aufzugskabine zumindest mittels eines ersten Sensors (31) und eines zweiten Sensors (32) erfasst wird, wobei eine durch den ersten Sensor (31) erfasste erste Messgrösse (31m) und eine durch den zweiten Sensor (32) erfasste zweite Messgrösse (32m) unterschiedlichen Bewegungsgrössen (a, v, s) der Aufzugskabine (2) entsprechen, welche unterschiedliche Bewegungsgrössen (a, v, s) in einem mathematisch definierten Zusammenhang stehen,

- die erste Messgrösse (31m) und die zweite Messgrösse (32m) mittels eines Prüfers (35) auf Plausibilität überprüft werden,

- zumindest ein tatsächlicher Fahrparameters (P) der Aufzugskabine (2) in Abhängigkeit der ersten Messgrösse (31m) und der zweiten Messgrösse (32m) mittels eines Berech- nungsalgorithmus (37) berechnet wird,

- zumindest eine der ersten Messgrösse (31m), der zweiten Messgrösse (32m) oder des tatsächlichen Fahrparameters (P) mittels eines Vergleichers (38) mit mindestens einem Grenzwert (W) verglichen wird, welcher Grenzwert (W) in einem Datenspeicher (36) abgerufen wird, und

- zumindest ein Signalausgang (39) eine Erreichung oder Überschreitung des Grenzwerts

(W) oder eine Verletzung der Plausibilität anzeigt.

17. Aufzugsanlage mit einer Aufzugskabine (2) und mit einer an der Aufzugskabine (2) angeordneten elektromechanischen Bremseinrichtung (20, 20.1) und mit einer

Überwachungseinrichtung (30) nach einem der Ansprüche 1 bis 15.