[发明专利]更新安全相关软件的方法

说明书

本发明涉及一种更新人员输送机系统，特别是电梯系统中的安全相关软件的方法。本发明还涉及一种人员输送机系统，特别是一种电梯系统，该人员输送机系统包括用于控制人员输送机系统的操作的控制器，该控制器被配置来实现这种更新安全相关软件的方法。

人员输送机系统须符合特殊的安全要求。因此，为了满足这些安全要求，用于控制人员输送机操作的硬件或软件是须符合特定条件的重要部分。根据所控制的人员输送机系统的相应功能或操作的安全相关度，存在不同水平的安全完整性要求。有关这些安全要求的一般概述，请参考国际标准IEC 61508-1至IEC 61508-3。

电梯系统是人员输送机系统的一个特例。另一示例是自动扶梯或自动人行道。在下文中，将使用电梯系统作为人员输送机系统的示例性实施方案来描述本发明，应当理解，相应的考虑也适用于自动扶梯或自动人行道。

在人员输送机系统中，使用连接到安全控制器(下文中也称为安全单元)的传感器和/或开关设备(下文中简称为安全开关)来控制或至少监控安全关键操作。通常在各“安全点”使用安全开关，在这些“安全点”，必须在开始某一动作之前，并且如有必要，在这一动作过程中，监控安全关键部件的状态(例如，诸如门等可移动部件的位置)。在典型的配置中，具体而言，多个这样的安全开关串联连接起来以形成所谓的“安全链”，使得只有当所有安全开关或者(更广义地说)开关设备处于预定的开关状态时，该动作才开始或继续。例如，在电梯系统的情形中，必须确保在电梯轿厢启动之前和行进过程中，所有的门(每个楼层上的轿厢门以及层站门)保持关闭并机械锁定。因此，除非连接监控门的关闭状态的各安全开关的安全链中的所有安全开关均闭合，否则通常不允许电梯轿厢的行进。

传统上，一直使用机械或磁力机械开关设备作为安全链中的安全开关。如今，在安全链中使用电子或电磁开关或传感器设备，例如，在US 5 487 448或EP 0 535 205 B1中描述的类型的电子或电磁开关或传感器设备。此类电子或电磁开关或传感器设备可以在不接触的情况下致动，例如通过移近或移远磁体从而感应或不感应出电压。使用这些类型的开关或传感器设备，开关点通常更容易设置，并且在较长的操作期间也保持稳定。另外，不再存在可能在机械开关中导致接触片和其他可移动部件的磨损的停机原因。然而，对于这种类型的开关或传感器设备，对无故障运行进行测试是重要的，另外，能够在发生故障的情况下尽可能简单地确定安全链中的哪个开关导致了功能错误并中断了安全链也是重要的。与机械开关不同，电子开关或传感器设备的开关状态无法像典型的机械安全开关那样通过光学方式确定。因此，通常，电子、非接触和可测试的开关或传感器设备具有用于检测开关/传感器的状态并为了测试目的而改变该状态的传感器和控制电子器件。通过特定的控制流程和测试流程来实现对此类电子传感器/开关设备的正确运行的操作和监控。

现今，本文中所描述的安全单元通常涉及软件来控制其操作和监控所连接的单元和安全开关的正确运行。已经开发了特定的测试协议，用于测试人员输送机的安全链中使用的安全开关的无故障运行。确定何时以及如何执行此类测试协议以及如何评估测试协议的结果的流程由驻留在安全单元中的特定安全相关软件来控制，该安全单元与安全链的开关连接，并控制安全链的操作和状态。经过认证，这种软件执行特定的安全相关功能。这种安全相关软件的编程需要非常小心，例如，通常，所提供的任何功能都需要提供冗余。

需要不时地更新人员输送机系统中的这种安全相关软件。在更新这种安全相关软件时需要小心。因此，直到今天，在人员输送机领域的现有技术中，也通过替换实现这些流程的相应硬件来更新安全相关控制或监控流程。即使在这些流程纯粹由软件实现，即，可以通过仅更新软件并且原则上不需要硬件的任何改变来实现更新的情况下，也是这样。

对于非安全关键软件更新，限制不太严重。例如，US 2008/0062981 A1描述了一种通过近场无线电连接来使对电梯系统中的目的地楼层调度楼层终端的控制现代化的方法，当移动包含软件更新的移动数据存储终端使之距离相应的目的地楼层调度终端小于约30cm时，该近场无线电连接建立。一旦建立了近场无线电通信，则将软件更新从移动数据存储终端传输到目的地楼层调度终端。一旦将移动终端移出近场范围，通信即将自动终止，从而确保没有其他终端受到软件更新的影响。

允许技术人员在不替换硬件的情况下更新人员输送机系统中，特别是电梯系统中的安全相关软件将是有益的。