电梯制动器控制系统的制作方法

电梯制动器通常被构造成故障安全制动器，即，不需要供应电能来释放所述制动器，所述制动器处于其啮合状态，其中制动机构阻止所述电梯轿厢的移动。电梯安全标准需要冗余的制动器系统。举例来说，安全标准EN 81-1需要两个独立的安全继电器以便在发生故障的情况下，例如，在电梯的安全链中安全触点断开的情况下，中断向电梯制动器供应电力。

常规上用于电梯制动器控制系统中的安全继电器中的每一者是响应于电梯的故障检测系统的机电开关装置，其通常是包括若干安全开关的至少一个安全链。只要安全链中的所有安全开关都闭合，安全继电器将处于闭合状态，且因此允许供应电力以便释放电梯制动器。在安全链中的安全开关中的至少一者断开的情况下，安全继电器将切换到断开状态中，从而中断将电力供应给电梯制动器，且致使电梯制动器进入啮合状态来制动电梯轿厢。

根据当前安全标准，在正常电梯操作期间，通过两个单独的控制电路控制电梯制动器：第一控制电路提供电梯制动器的制动器安全功能且包括两个独立的安全继电器。第一控制电路确保在安全链中的至少一个安全开关断开的情况下电梯制动器处于其制动电梯轿厢的啮合状态。第二控制电路提供电梯制动器的制动器性能功能且包括单独的晶体管电路以便调整所要的时间/电流分布，以便：(i)在轿厢开始移动时释放电梯制动器，(ii)在轿厢行进期间保持电梯制动器处于释放状态；以及(iii)在轿厢将停止时啮合电梯制动器。性能功能不是安全相关的，且因此，不需要以冗余的方式实现第二电路。通常，仅通过独立于第一控制电路的一个第二控制电路来提供性能功能。通常，第二控制电路串联连接到第一控制电路。

在紧急情况下，其中已经通过中断向电梯制动器供应电力来制动轿厢，可能出现轿厢已经在井道中的邻近的层站之间的途中停止。在那种情况下，需要通过将轿厢手动地移动到下一个安全层站来救援被困在轿厢中的乘客。为了手动救援被困的乘客，需要释放电梯制动器以便允许轿厢移动到附近层站。通常在按键开关(常常被称为制动器释放开关BRB2)的帮助下执行制动器释放操作。在具有机房的常规电梯中，制动器释放开关位于机房中、靠近电梯的驱动机器。在其中驱动机器位于井道中且因此几乎不可接近的无机房电梯中，制动器释放开关位于井道中的可接近位置处，或甚至在井道外部的控制面板上。通过维修人员手动地操作制动器释放开关，通常需要操作特定钥匙以便激活制动器释放开关。一旦被激活，制动器释放开关启用电力应急系统以便临时地释放啮合的电梯制动器。制动器释放开关是常开型，例如，制动器释放开关配备有弹簧，其迫使制动器释放开关的触点处于其中停用制动器释放功能的位置。因此，需要手动地操作制动器释放开关以便释放电梯制动器。在操作者释放制动器释放开关时，电梯制动器将自动地返回到啮合状态。因为此特征对于安全操作是必不可少的，所以需要根据对应标准核证制动器释放开关。

尤其在无机房电梯的情况下的问题是，制动器释放开关需要驻留在井道中的可接近位置处，或甚至在井道外部，例如，在控制面板处，以便让经授权的人员接近。然而，电梯制动器以及常常还有电梯制动器的紧急电力供应器(例如电池)驻留在井道中、靠近电梯机器。因此，在制动器释放开关与电梯制动器之间需要电连接。取决于井道的竖直延伸，此类电连接(例如，通过电线或电缆)可能非常长。这是不利的，尤其在考虑到需要相对大的电流来与啮合电梯制动器的机械偏置力相抵地释放电梯制动器时。常常需要较大横截面的接线，从而显著增加了成本。

提供没那么复杂但仍然允许提供与常规的电梯制动器控制系统相当的安全水平(如相关安全规范(例如，EN 81-1)中所指定)的电梯制动器的控制系统将是有益的。明确来说，如果此类简化的电梯制动器控制系统提供冗余的制动器释放功能以及制动器性能功能，那么将是有益的。

本文中所描述的实施例涉及一种电梯制动器控制系统，电梯包括：驱动机器，其驱动地耦合到电梯轿厢以便使电梯轿厢在井道中的多个层站之间移动；以及电梯制动器，其至少具有使电梯轿厢保持在井道中的固定位置处的啮合状态，和允许电梯轿厢沿着井道移动的释放状态。所述电梯制动器控制系统包括第一安全装置和第二安全装置，所述第一安全装置和所述第二安全装置中的每一者可响应于对电梯的任何子系统中的故障的检测，以便响应于检测到此类故障而使所述电梯制动器处于其啮合状态；其中所述第一安全装置和所述第二安全装置中的每一者包括功率半导体开关装置。

本文提出的电梯制动器控制系统尤其被配置成用于控制无机房电梯中的电梯制动器。

本文中所描述的另一实施例涉及一种包括上文提及的制动器控制系统的无机房电梯。

将在下文参考附图详细描述本发明的特定实施例，其中：

图1示出根据实施例的用于控制电梯制动器的系统的电路图。

图2示出说明由根据实施例的用于控制电梯制动器的系统实行完整性测试序列以便确保电梯制动器控制系统中的第一和第二功率半导体开关装置的正确操作的图。

图1示出根据实施例的用于控制电梯制动器的系统10的电路图。在图1中，仅示出与理解本发明相关的电梯制动器控制系统10的那些部分。出于简明起见而省略了控制系统的其它部分，应理解，实际上存在那些部分。

图1示出用于提供操作电梯制动器(电梯制动器本身未示出)所需的电操作力的制动器操作电路30。电梯制动器是“常闭”类型，即，电梯制动器经受偏置力(通常(例如)由偏置弹簧机械地产生)。在偏置力下，电梯制动器将处于啮合状态，从而阻止电梯轿厢的任何移动，除非将通过向电梯制动器施加充分大的操作力来补偿所述偏置力而补偿电梯制动器的所述偏置力。此类操作力是由制动器操作电路30基于由制动器控制电路26产生和处理的控制命令而产生。因此，制动器操作电路30产生充分大的操作力(在完全施加到电梯制动器时)来与所述偏置力相抵地释放电梯制动器。

制动器操作电路30包括制动器释放电力供应器32、制动器操作端子34，以及第一功率半导体开关装置T1和第二功率半导体开关装置T2，以作为其主要组件。制动器释放电力供应器32提供产生用于补偿电梯制动器的偏置力并且释放电梯制动器的足够大的补偿力所需的电能。在图1中示出的实施例中，制动器释放电力供应器是DC电力供应器，其提供具有48V额定电压的DC电力，应理解，在其它实施例中，制动器释放电力供应器可以具有另一额定电压并且甚至可以是AC电力供应器而不是DC电力供应器。制动器释放电力供应器32具有两个组件：第一组件在电梯的正常操作下操作并且由建筑的正常主要电力网(通常为230V、50/60Hz AC或110V/60Hz AC)供应。在DC制动器释放电力供应器32的情况下，第一组件通常将涉及开关模式电力供应器，或由主要电力网馈送并且被配置成将来自电力网的AC电压变换为具有额定电压的DC电压的其它电力供应器。制动器释放电力供应器将被配置成递送足够的电力以便在制动器释放电力供应器的额定电压下提供补偿力。制动器释放电力供应器32还包括第二组件，其将在来自建筑的主要电力网的电力的供应被中断或另外不正常的情况下有效。电梯安全要求通常指定在建筑中的主要电力供应器的中断或不正常的情况下必须停止电梯轿厢。在此类情况下，电梯轿厢将不再由电梯驱动机器驱动，且在不存在由制动器操作电路32施加的用于补偿偏置力的任何制动器释放力的情况下，电梯制动器将在向其施加的偏置力下啮合。然而，可能需要在此类紧急状况下仍然在井道中移动电梯轿厢，因为电梯轿厢可能会在其在井道中的行进路径上停在两个层站之间的位置处。随后，电梯轿厢将必须移动到下一个安全层站以便疏散可能被困在电梯轿厢中的任何乘客。因此，需要具有独立于建筑中可用的主要电力网的额外的电能来源。通常，此类紧急电力供应器是由电池或某一其它形式的电储存装置提供，所述电储存装置具有预期足以将满荷轿厢移动到下一个层站的容量。

在图1的实施例中，且一般在如本文中所描述的实施例中，制动器释放电力供应器32可以包括紧急电力供应器来作为额外组件，其被配置成在正常电力供应器被中断或不正常的情况下被激活来代替正常电力供应器。

经由制动器操作电路30的制动器操作端子34将来自制动器释放电力供应器32的电能提供给电梯制动器。

电梯安全要求进一步指定在电梯系统中发生故障的情况下，通过至少两个冗余的安全装置使任何电力与电梯的驱动机器断开，并且还与电梯制动器断开。通常，此类安全装置具有机电开关装置(机电继电器)的配置，其可响应于安全链中的任何安全触点的断开，且其通过断开驱动机器电力供应器与驱动机器之间以及制动器释放电力供应器与电梯制动器之间的机械触点而使电梯的驱动机器和制动器两者与其电力供应器机械地分离。

在图1中示出的实施例中，第一功率半导体开关装置T1以及第二功率半导体开关装置T2彼此串联连接。所述第一和第二功率半导体开关装置T1和T2还串联连接到制动器释放电力供应器32和制动器操作端子34。在图1的实施例中没有提供机电开关装置来用于在检测到安全链中任何地方的故障的情况下或通过电梯系统中的任何其它安全触点(图1示出示例性安全触点16、18、28，但还可以想到其它安全触点)来分离制动器释放电力供应器32与制动器操作端子34之间的电连接。而是，第一功率半导体开关装置T1和第二功率半导体开关装置T2用作传统上使用的机电开关装置的取代物。

第一功率半导体开关装置T1和第二功率半导体开关装置T2中的每一者具有功率半导体晶体管(例如，功率金属氧化物半导体晶体管(MOSFET)或绝缘栅极双极晶体管(IGBT))的配置。第一功率半导体开关装置T1和第二功率半导体开关装置T2中的每一者具有源极端子、漏极端子和栅极电极。栅极电极46、48形成于将功率半导体晶体管T1、T2中的每一者的源极端子和漏极端子互连的区中。取决于栅极电极46、48的电势，可以形成将功率半导体开关装置T1、T2的源极端子和漏极端子彼此连接的导电性沟道。因此，第一和第二功率半导体开关装置T1、T2可以用作开关装置，其在将合适的控制电压施加到相应的栅极电极46、48的情况下形成连接相应的功率半导体晶体管T1、T2的源极和漏极端子的导电路径。

第一和第二功率半导体晶体管T1和T2的源极漏极沟道串联连接，即，第一功率半导体晶体管T1的漏极端子连接到第二功率半导体晶体管T2的源极端子。第一功率半导体晶体管T1的源极端子连接到制动器释放电力供应器32，而第二功率半导体晶体管T2的漏极端子连接到制动器操作端子34。

通过指派给制动器操作电路30的制动器控制电路26控制制动器操作电路30的操作。制动器控制电路26是具有故障安全配置的微处理器电路，其包括处于冗余配置的至少两个微处理器电路，其中第一微处理器电路和第二微处理器电路具有相同的配置并且提供相同的功能性，其中第一微处理器电路和第二微处理器电路交换信息以便监视另一微处理器电路的正确操作。用于制动器控制电路26中的那种类型的故障安全微处理器电路在所参考的US 6 173 814中有描述。

制动器控制电路26将第一控制信号SBC-PWM-1提供到指派给第一功率半导体晶体管T1的栅极电极46的制动器操作电路30的接口42。另外，制动器控制电路26将第二控制信号SBC-2提供到指派给第二功率半导体晶体管T2的栅极电极48的制动器操作电路30的另一接口44。

第一控制信号SBC-PWM-1包括基础分量和应用于所述基础分量的调制分量。第一控制信号SBC-PWM-1的基础分量基本上是二电平信号，其包括对应于第一功率半导体晶体管T1的栅极电势46的第一电平，其中第一功率半导体晶体管T1的源极漏极沟道是非传导的，且因此电梯制动器将在其偏置力下完全啮合。第一控制信号SBC-PWM-1的基础分量还包括对应于第一功率半导体晶体管T1的栅极电势46的第二电平，其中第一功率半导体晶体管T1的源极漏极沟道是完全传导的，且因此将与电梯制动器的偏置力相抵地完全释放电梯制动器。另外，第一控制信号SBC-PWM-1包括脉冲宽度调制分量(PWM)以便根据电梯制动器的啮合/释放状态的所要的时间轮廓来调制基础分量。所述脉冲宽度调制分量因此提供电梯制动器的电梯制动器性能功能。

第二控制信号SBC-2仅包括与根据第一控制信号SBC-PWM-1的基础分量相同的配置的基础分量，但不包括应用于基础分量的任何调制。而是，第二控制信号SBC-2包括对应于第二功率半导体晶体管T2的栅极电势48的第一电平，其中第二功率半导体晶体管T2的源极漏极沟道是非传导的，且因此电梯制动器将在其偏置力下完全啮合。另外，第二控制信号SBC-2包括对应于第二功率半导体晶体管T2的栅极电势48的第二电平，其中第二功率半导体晶体管T2的源极漏极沟道是完全传导的，且因此将与电梯制动器的偏置力相抵地完全释放电梯制动器。

制动器操作电路30包括各种接口、36、38、40以便提供关于制动器操作电路30的状态、尤其关于第一功率半导体晶体管T1的状态和关于第二功率半导体晶体管T2的状态的信息。制动器电流接口36提供关于在第一功率半导体晶体管T1的制动器释放电力供应器32侧上的制动器操作电路30的电路区段中流动的电流的信息(在下文为：“制动器电流”)。制动器供应接口38提供关于在第一功率半导体晶体管T1的制动器释放电力供应器42侧上的制动器操作电路30的点的电压相对于在第二功率半导体晶体管T2的制动器操作端子34侧上的制动器操作电路30的点的电压的信息(在下文为：“制动器供应”)。制动器状态接口40提供关于在第二功率半导体晶体管的制动器操作端子34侧上的制动器操作电路30的电路区段中流动的电流的信息(在下文为：“制动器状态”)。

分别从I/O接口36、38和40读取信号“制动器电流”、“制动器供应”和“制动器状态”，且馈送到制动器控制电路26中。基于这些信号，制动器控制电路26相对于制动器操作电路30的正确操作、尤其相对于功率半导体晶体管T1和T2的正确开关特性而周期性地实行完整性测试序列，如下文相对于图2更详细地概述。

制动器控制电路26经由网络接入点24通过通信网络22连接到电梯的其它子系统。电梯的此类其它子系统可以包括电梯控制，用于电梯的驱动机器的各种控制器、电梯的紧急和检查控制、轿厢控制器、楼层控制器等。在图1中，出于简明起见，仅示出一个额外控制器12经由其自身的网络接入点20连接到电梯通信网络，应理解，实际上通信网络22将连接包括之前提及的那些控制器的多个控制器。

在图1中，连接到制动器控制电路26的额外控制器12被指派给紧急和检查面板，其位于井道外部或井道中以便可让维护人员接近，以便进行检查和维护。所述紧急和维护面板还包括紧急救援控制区段，其包括制动器释放开关BRB2和紧急救援控制电路，如通过参考数字14所指示。通过操作制动器释放开关，有可能在啮合电梯的制动器以便停止轿厢且驱动机器已经与其电力供应器电断开时在紧急情况下手动地释放电梯制动器。在此类情况下，制动器释放电力供应器32将与建筑的主要电力网断开。然而，如之前描述，制动器释放电力供应器32还包括紧急电力供应器(例如，电池)，其将在紧急救援控制区段14被激活(例如，通过激活紧急和检查面板上的制动器释放开关BRB2)时在紧急情况下被激活，以便供应临时地释放电梯制动器所需的电能。经由通信网络20、22、24在控制器12和26之间交换用于激活紧急释放模式、去活来自电力供应器的电力供应和激活来自紧急电力供应器的电力供应的命令信号。而且，经由紧急和检查面板输入(例如，通过操作制动器释放开关)用于在紧急救援操作的过程中临时地释放电梯制动器以便将电梯轿厢移动到下一个层站的命令信号，并且随后经由通信网络传送到制动器控制电路26。紧急和检查面板以及指派给其的紧急和检查控制电路12可以位于井道中或井道附近的任何合适的位置，甚至在需要时与制动器控制电路26非常远地定位，因为将仅经由通信网络传输制动器操作命令，而不是需要大功率的其它信号。甚至可以将制动器释放开关BRB2和指派给其的制动器释放控制器14定位在完全远离电梯的单独的控制面板上，例如，在供应商操作的中心维护和紧急设施中。随后，可以实现并且远程地控制用于从电梯轿厢疏散乘客的紧急救援操作，甚至不需要向电梯派出维修技术员。

通信网络20、22、24可以具有现场总线的配置，例如，CAN总线(＝控制器区域网络)。在US 6 173 814中描述了经由此类通信网络对电梯的操作的控制。出于简明起见，参考那个文献。另外，WO 2011/001197 A1描述了经由救援操作面板控制电梯系统中的救援操作，所述救援操作面板与救援操作装置远程地安置且通过通信网络连接到所述救援操作装置。还参考那个文献中的公开内容。

如图1中指示，电梯制动器控制单元26响应于由各种安全触点16、18、28递送的信号。在这些安全触点16、18、28中的一者断开的情况下，制动器控制电路26将致使制动器释放电力供应器32中断，使得不再将制动器释放电力供应给制动器操作端子34。通过将功率半导体装置T1和T2切换到它们的非传导状态而实现制动器释放电力供应器的中断，如上文陈述。安全触点16、18、28可以直接连接到制动器控制电路26(如通过图1中的参考数字28指示)，但还可以连接到通信网络20、22、24中的其它节点，如通过图1中的参考数字16、18指示，所述节点连接到指派给紧急和检查面板的额外控制器12。在此类情况下，将经由通信网络20、22、24把关于断开的安全触点16、18的任何信息传输到电梯制动器控制电路26。

图2示出说明用于确保第一和第二功率半导体开关装置T1、T2的正确操作的完整性测试序列100的图，所述完整性测试序列由根据实施例的用于控制电梯制动器的系统10实行。实行完整性测试序列100以便验证制动器操作电路30的完整性。尤其可以以时间间隔间歇地执行完整性测试序列100，所述时间间隔短到足以定期地检测第一功率半导体开关装置T1和/或第二功率半导体开关装置T2中的任何故障。基本上，可以以规则的时间间隔实行完整性测试序列100，例如每10分钟、每个小时、每天或每周，其取决于电梯的操作特性。此外，在电梯轿厢已经在预定时间(例如，一个小时或一天)内不再使用的情况下，可以在每次起动电梯轿厢之前执行完整性测试序列100。为了本公开的目的，如果电梯轿厢不服务用户请求的任何运输，那么可以将电梯轿厢视为不再使用。为了万无一失，可以在电梯轿厢每次移动以便服务乘客请求之前实行完整性测试序列100。

完整性测试序列100是基于在以预定模式断开第一功率半导体开关装置T1和第二功率半导体开关装置T2的源极漏极沟道(即，将源极漏极沟道的状态改变为传导)和/或闭合漏极源极沟道(即，将源极漏极沟道的状态改变为非传导)之后检查制动器操作电路30中的各个点处的电势和/或电流电平。完整性测试序列100首先检测第一半导体开关装置T1的供应侧上的第一触点与第二功率半导体开关装置T2的制动器输出侧上的第二触点之间的电势。通过制动器操作电路30经由接口38将此类电压作为信号“制动器供应”输出到制动器控制电路26。完整性测试序列100还确定第一半导体开关装置T1的供应侧上的制动器操作电路30的电路区段中的电流。通过制动器操作电路30经由接口36将此电流作为信号“制动器电流”输出到制动器控制电路26。另外，完整性测试序列100确定第二功率半导体开关装置T2的制动器输出侧上的制动器控制电路30的电路区段中的电流。通过制动器操作电路30经由接口40将此电流作为信号“制动器状态”输出到制动器控制电路26。

完整性测试序列100开始于图2中的步骤110。在步骤112中在等待预定时间之后，完整性测试序列100首先在功率半导体开关装置T1、T2两者处于非传导状态(即，功率半导体开关装置T1、T2两者的源极漏极沟道处于非传导状态)时确定信号“制动器供应”和“制动器状态”，参看步骤114。在那个状态下，电压“制动器供应”应等同于制动器释放电力供应器32的额定电压(在图1的实例中，制动器释放电力供应器的额定电压是48V DC)。电流“制动器状态”应为零。如果满足这些状态，程序在步骤116中认为“制动器供应”有效且“制动器状态”无效，且前进到步骤118。

另外，完整性测试序列前进到步骤152且在步骤158发现未给出制动器操作电路30的完整性的情况下中止完整性测试序列100。

在步骤118中，完整性测试序列100通过将相应的控制电压施加到第一功率半导体开关装置T1的栅极端子46而将第一功率半导体开关装置T1的源极漏极沟道的状态从非传导改变为传导。由制动器控制电路26通过改变写入到制动器操作电路30的接口42的信号“SBC-PCM-1”的值来实现第一功率半导体开关装置T1的栅极电压46的改变。在步骤118中，完整性测试序列不改变第二功率半导体开关装置T2的栅极端子48处的电压，且因此第二功率半导体开关装置T2的源极漏极沟道保持处于非传导状态。

完整性测试序列100随后前进到步骤120，且等待预定时间，直到在步骤122中再次确定制动器操作电路30的接口38和40中存在的信号“制动器供应”和“制动器状态”的值为止。在第一和第二功率半导体装置开关装置T1、T2正确地操作的情况下，这些信号的值应该不会显著改变。如果在步骤122中的确定显露出“制动器供应”和“制动器状态”的值未在预先界定的阈值内改变，那么完整性测试序列100在步骤124中确定“制动器供应”仍然有效且“制动器状态”仍然无效，且前进到步骤126。

另外，完整性测试序列前进到步骤154且在步骤158发现未给出制动器操作电路30的完整性的情况下中止完整性测试。

在步骤126中，完整性测试序列100通过将相应的控制电压施加到第一功率半导体开关装置T1的栅极端子46而将第一功率半导体开关装置T1的源极漏极沟道的状态从传导改变为非传导。由制动器控制电路26通过改变写入到制动器操作电路30的接口42的信号“SBC-PCM-1”的值来实现第一功率半导体开关装置T1的栅极电压46的改变。随后，在步骤128中，完整性测试序列等待预定时间。此外，在步骤130中，完整性测试序列100改变第二功率半导体开关装置T2的栅极端子48处的电压，以便将第二功率半导体开关装置T2的源极漏极沟道从非传导改变为传导。由制动器控制电路26通过改变写入到制动器操作电路30的接口44的信号“SBC-2”的值来实现第二功率半导体开关装置T2的栅极电压48的改变。

完整性测试序列100随后前进到步骤132，且等待预定时间，直到在步骤134中再次确定制动器操作电路30的接口38和40中存在的信号“制动器供应”和“制动器状态”的值为止。在第一和第二功率半导体装置开关装置T1、T2正确地操作的情况下，这些信号的值应该不会显著改变。如果在步骤134中的确定显露出“制动器供应”和“制动器状态”的值未在预先界定的阈值内改变，那么完整性测试序列100在步骤136中确定“制动器供应”仍然有效且“制动器状态”仍然无效，且前进到步骤138。在步骤138中，完整性测试程序将第二功率半导体开关装置T1的源极漏极沟道的状态改变回到非传导，使得功率半导体开关装置T1、T2两者返回到非传导状态。在步骤140中，完整性测试序列等待预定时间，且随后在步骤142中成功地终止。

另外，完整性测试序列前进到步骤156且在步骤158发现未给出制动器操作电路30的完整性的情况下中止完整性测试。

如上文描述的实施例提供制动器控制系统，其使用电子通信来提供具有与现有技术解决方案相当的安全水平的制动器释放功能，但同时提供独立于制动器释放功能的制动器性能功能。

本文公开的实施例涉及用于控制电梯制动器、尤其用于控制无机房电梯中的电梯制动器的系统和方法。所述电梯包括：驱动机器，其驱动地耦合到电梯轿厢以便使轿厢在位于井道中的不同水平处的多个层站之间移动；以及电梯制动器，其至少具有使电梯轿厢保持在井道中的固定位置处的啮合状态，和允许电梯轿厢沿着井道移动的释放状态。在无机房电梯的情况下，不存在用于驱动机器的单独机房，且至少驱动机器的必要的组件(比如，驱动滑轮、拉紧部件和驱动电机)位于井道中。所述电梯制动器控制系统包括第一安全装置和第二安全装置，所述第一安全装置和所述第二安全装置中的每一者可响应于对电梯的任何子系统中的故障的检测，以便响应于检测到此类故障而使电梯制动器处于其啮合状态。所述第一安全装置和第二安全装置中的每一者包括功率半导体开关装置。在特定实施例中，可以通过相应的功率半导体开关装置取代常规使用的机电安全继电器中的每一者。

明确来说，电梯制动器可以被配置成以一种方式啮合驱动机器，以便防止将驱动力从驱动机器传递到电梯轿厢。因此，在无机房电梯的情况下，至少电梯制动器的必要的组件可以位于井道中、邻近于驱动机器或至少与其处于靠近关系。

明确来说，功率半导体开关装置可以包括源极端子、漏极端子和至少一个栅极端子。随后，源极端子和漏极端子可以经由源极漏极沟道电连接，或者可以彼此电隔离，这取决于栅极端子的电势。如本文所使用，其中连接源极端子和漏极端子的源极漏极沟道被中断，从而使源极端子与漏极端子电隔离的状态将被称为功率半导体开关装置的隔离或断开状态。其中源极漏极沟道导电的状态将被称为功率半导体开关装置的传导或闭合状态。

明确来说，第一安全装置和/或第二安全装置可以在包括源极端子、漏极端子和栅极端子的至少一个功率半导体晶体管的配置中包括功率半导体开关装置。例如，功率半导体晶体管可以具有功率金属氧化物半导体晶体管(MOSFET)和绝缘栅极双极晶体管(IGBT)中的至少一者的配置。

明确来说，第一安全装置和第二安全装置可以彼此串联连接，以便将第一功率半导体开关装置的源极漏极沟道串联连接到第二功率半导体开关装置的源极漏极沟道，或反之亦然。

所述电梯制动器控制系统可以包括制动器释放电力供应器和制动器操作端子。制动器释放电力供应器可以连接在功率半导体开关装置的源极端子的侧上。制动器操作端子可以连接在功率半导体开关装置的漏极端子的侧上。随后，可以经由功率半导体晶体管的源极-漏极沟道将用于释放电梯制动器的电力以及与电梯制动器操作相关的其它功能所需的电力从制动器释放电力供应器供应给制动器操作端子。在第一和第二功率半导体开关装置的源极漏极沟道串联连接的情况下，为了释放电梯制动器，第一安全装置和第二安全装置两者需要切换到传导状态，其中相应功率半导体晶体管的源极漏极沟道是导电的。

用于控制电梯制动器的系统进一步可以包括制动器操作电路，其包括第一功率半导体开关装置和第二功率半导体开关装置，所述制动器操作电路被配置成依据第一功率半导体开关装置和/或第二功率半导体开关装置的开关状态而将制动器释放电力供应器电连接到电梯制动器以便释放电梯制动器。制动器释放电力供应器可以是正常操作制动器释放电力供应器，例如，DC电力供应器，以便在正常操作中(即，在需要轿厢行进时)释放电梯制动器。正常操作制动器释放电力供应器可以与公共电力网(例如，呈开关电力供应器或DC中间电路的形式)连接。另外，制动器释放电力供应器可以包括紧急制动器释放电力供应器，其被配置成在紧急情形提供用于释放电梯制动器的电力以便允许电梯轿厢到达井道中的下一个安全层站。紧急制动器释放电力供应器可以(例如)包括DC电池。因此，同一制动器操作电路可以用于在正常操作中释放电梯制动器以及用于在紧急情况下在救援操作中释放电梯制动器。

用于控制电梯制动器的系统进一步可以包括制动器控制电路，其具有被配置成用于连接到第一安全装置的控制端子、尤其连接到第一功率半导体开关装置的栅极端子的第一制动器控制端子，且具有被配置成用于连接到第二安全装置的控制端子、尤其连接到第二功率半导体开关装置的栅极端子的第二制动器控制端子。所述制动器控制电路可以被配置成与将控制电压供应到第二制动器控制端子独立地将控制电压供应到第一制动器控制端子。在第一功率半导体开关装置和/或第二功率半导体开关装置分别包括功率半导体晶体管的情况下，第一制动器控制端子和/或第二制动器控制端子可以被配置成用于分别连接到第一和/或第二功率半导体晶体管的栅极端子。根据提供到制动器控制电路的第一和/或第二制动器控制端子的信号，第一和/或第二功率半导体开关装置将处于传导状态，或将处于隔离状态。仅在第一和第二功率半导体开关装置两者处于传导状态的情况下，将向电梯制动器供应足够的电力来释放电梯制动器和/或使电梯制动器保持为其释放状态。

制动器控制电路可以包括至少一个微处理器，并且因此可以具有制动器控制微处理器电路的配置。制动器控制微处理器电路可以具有故障安全配置，例如，包括彼此监视的至少两个冗余的微处理器的配置，如US 6 173 814中所描述。

从而，到目前为止描述的实施例使用安全电子器件、尤其是电力电子器件将产生制动器释放命令的功能与实行制动器释放操作的功能在物理上分离。制动器释放命令是由制动器控制电路产生并且供应给第一和/或第二制动器控制端子(具体来说，第一和第二功率半导体开关装置的栅极端子)，而制动器释放操作是由包括第一和第二功率半导体开关装置的单独的制动器操作电路实现。明确来说，第一功率半导体开关装置的源极-漏极沟道和第二功率半导体开关装置的源极漏极沟道形成制动器操作电路的部分，其在第一功率半导体开关装置和第二功率半导体开关装置两者的源极漏极沟道都断开的情况下将制动器释放电力供应器连接到电梯制动器。因为第一和第二安全装置分别包括功率半导体开关装置，所以通过两个功率半导体开关装置、尤其通过两个功率半导体晶体管代替现有技术中的两个机电安全继电器来在正常操作中和救援操作中控制电梯制动器。功率半导体开关装置自身是由安全制动器控制电路控制和监视。

需要保持电连接(例如，接线或缆线)尽可能短。这尤其适用于制动器操作电路中的电连接，因为这些电连接必须运输充分大的电力以便能够与电梯制动器的偏置力相抵地释放电梯制动器。因此，在无机房电梯的情况下，包括指派给其的制动器释放电力供应器的制动器操作电路，但任选地还有制动器控制电路可以与电梯的驱动机器紧密接近地定位，即，处于井道中对于操作者来说相对难以接近的位置。

可以由制动器控制电路基于来自电梯中的其它传感器或子系统(例如，可以被隔离或者可以包括在电梯的各个安全链中的一者中的特定安全触点)的输入而产生用于电梯制动器的控制命令。用于电梯制动器的控制命令还可以基于来自操作者的手动输入(例如，在紧急救援操作的情况下)。制动器控制电路可以包括用于来自安全触点的状态信息的输入或用于手动输入的相应的接口或I/O装置。

明确来说，制动器控制电路可以集成在包括经由电气通信网络互连的多个网络节点的较大的电梯控制通信网络中。举例来说，制动器控制电路可以通过现场总线网络(比如CAN总线(控制区域网络))与电梯控制系统的其它控制电路连接。制动器控制电路随后与其它节点一起形成此类电连接网络的节点中的一者，所述其它节点比如是位于电梯机器附近的电梯驱动控制、位于轿厢中的轿厢操作控制器、位于每个服务楼层上的楼层控制器，或用于供维修人员操作电梯以用于维护和救援乘客的电梯救援和维护操作面板等。所有节点都通过电气通信网络(例如，现场总线或CAN总线)彼此连接。在此类电气通信网络内，可以经由电梯控制通信网络在所有节点之间交换制动器控制电路所需的输入，以及由制动器控制电路提供的关于电梯制动器的状态的任何信息。这允许制动器控制电路评估指派给电梯控制通信网络中的不同节点的不同安全触点的状态，使得不需要将对于电梯制动器的操作相关的每个安全触点直接连接到制动器控制电路。一些现场总线系统(例如，CAN总线)甚至允许经由现场总线将电力供应给各种低功率装置，使得此类装置不需要单独的电力供应器。然而，这不适用于驱动轿厢所需的电力以及释放电梯制动器所需的电力。这些装置需要单独的电力供应器，因为已知的现场总线无法提供这些装置的高功率和电压要求。

在将制动器控制电路集成于电梯控制通信网络中时，甚至可以远程地控制制动器释放操作，例如从连接到制动器释放开关BRB2并且定位在井道中或甚至井道外部某一可接近的位置处的另一安全控制电路进行控制。将经由电梯控制通信网络将从制动器释放开关输入的命令传递到制动器控制电路。在电梯控制通信网络包括到公共电信网络(例如，电信线路或因特网)的接口的情况下，甚至可以完全经由此类公共电信网络远程地实现对电梯制动器的控制。

为了满足本文中所描述的电梯制动器控制系统的所需的安全水平，可以检查所提出的控制电路的完整性。制动器操作电路可以适配成提供指示第一和第二功率半导体开关装置的状态的信号。在特定实施例中，制动器操作电路可以向制动器控制电路或向其它控制电路提供用于交换若干监视信号的接口，例如在下文被称为“制动器电流”、“制动器供应”和“制动器状态”的监视信号。可以将这些信号输入到制动器控制电路或任何其它控制电路，使得两个功率半导体开关装置中和/或制动器操作电路的其它组件处的任何故障可以是可以通过分析这些信号检测的。明确来说，可以将这些信号提供给制动器控制电路，且制动器控制电路可以适配成评估这些信号以便监视制动器操作电路的完整性，尤其是第一和第二功率半导体开关装置的开关特性的完整性。在其它实施例中，还可以将这些信号提供给连接到电梯控制通信网络的其它节点，并且在这些节点处进行评估。

可以提供用于识别制动器操作电路的完整性的特定测试序列。尤其可以以时间间隔间歇地执行此类测试序列，所述时间间隔短到足以定期地检测第一和/或第二安全装置中的任何故障并且确保电梯制动器的适当的操作。可以以规则的时间间隔实行完整性测试序列，例如每10分钟、每个小时、每天或每周，其取决于电梯的操作特性。举例来说，在电梯轿厢已经在预定时间(例如，一个小时或一天)内不再使用的情况下，可以在每次起动电梯轿厢之前执行完整性测试序列。为了本公开的目的，如果轿厢不服务用户请求的任何运输，那么可以将轿厢视为不再使用。为了万无一失，可以在轿厢每次移动以便服务乘客请求之前实行如之前描述的类型的完整性测试序列。为了允许尽可能的灵活性，特别可以使用可以在相对短的时间内实行的完整性测试序列。

为了测试各自包括合适的功率半导体开关装置中的至少一者的第一和第二安全装置的完整性，可能实行合适的完整性测试序列，其包括在以预定模式断开和/或关闭第一和第二功率半导体开关装置的漏极源极沟道之后检查制动器操作电路中的各个点处的电势和/或电流的电平。举例来说，此类完整性测试序列可能首先在两个功率半导体装置关闭时检测第一半导体开关装置的供应侧上的第一触点与第二功率半导体开关装置的制动器输出侧上的第二触点之间的电势(在下文被称为“制动器供应”)，以及确定第一半导体开关装置的供应侧上的电路区段中的电流(在下文被称为“制动器电流”)，和第二功率半导体开关装置的制动器输出侧上的电路区段中的电流(在下文被称为“制动器状态”)。制动器供应应该等同于制动器释放电力供应器的额定电压，且两个电路区段中的电流“制动器电流”和“制动器状态”应该为零。随后，完整性测试序列可能断开第一功率半导体开关装置的源极漏极沟道，同时保持第二功率半导体开关的源极漏极沟道处于关闭状态，且再次确定信号“制动器供应”、“制动器电流”和“制动器状态”。在第一和第二功率半导体装置开关装置正确地操作的情况下，这些信号的值应该不会显著改变。随后，测试序列可能关闭第一功率半导体开关装置的源极漏极沟道，且断开第二功率半导体开关装置的源极漏极沟道，且再次确定信号“制动器供应”、“制动器电流”和“制动器状态”。再次地，在第一和第二功率半导体开关装置正确地操作的情况下，这些信号的值应该不会显著改变。

在另一实施例中，完整性测试序列可以基于测量制动器操作电路中的各个点之间的电压差。除了测量第一半导体开关装置的供应侧上和第二功率半导体开关装置的制动器输出侧上的触点之间的电压差(在上文这些触点之间的电势差被称为“制动器供应”)之外，还可以测量这些触点与位于所述两个功率半导体晶体管之间的其它触点之间的电压差。可以在如上文描述的情形中测量这三个触点之间的电压差，即，在两个功率半导体开关装置关闭的情况下的一个测量；在第一功率半导体开关装置处于传导状态且第二功率半导体开关装置处于隔离状态的情况下的一个测量；以及在第一功率半导体开关装置处于隔离状态且第二功率半导体开关装置处于传导状态的情况下的一个测量。通过此测试序列测量的电压差允许决定开关特性对于所述第一和第二功率半导体开关装置两者是否适当。

实行如上文描述的完整性测试序列所需的时间可以在低于100ms的范围内，从而允许以较小的时间间隔重复所述完整性测试序列，甚至每次在轿厢开始行进以便服务运输请求之前进行。

用于断开第一功率半导体开关装置的源极漏极沟道的控制命令以及用于断开第二功率半导体开关装置的源极漏极沟道的控制命令可以另外包括合适的调制，例如，PWM调制。这允许调整制动器时序和制动器电流，以便(i)在轿厢开始移动时释放电梯制动器，(ii)在轿厢行进期间保持电梯制动器处于释放状态；以及(iii)在轿厢将停止时啮合电梯制动器，即，通过调制用于断开制动器操作电路的第一功率半导体开关装置和/或第二功率半导体开关装置的源极漏极沟道的控制命令中的至少一者而提供电梯制动器的性能功能。在调制用于两个功率半导体开关装置中的仅一者的控制信号的同时使用于所述功率半导体开关中的另一者的控制信号不变将已足够，并且为了同步的目的，这甚至是优选的。从而，所提出的电梯制动器控制系统不仅可以实施电梯制动器的制动器释放功能，而且可以通过同一控制电路(即，制动器控制电路和制动器操作电路)实施制动器性能功能。因此，本文提出的控制系统被适配成将电梯制动器的电梯制动器安全功能与性能功能组合起来，而不会损害各自包括功率半导体开关装置的两个安全装置中的每一者的独立的激活。