Die Bedeutung der Überprüfung der Kompatibilität aller Systeme und Subsysteme in UCMP

von Burak Demircan

Unbeabsichtigte Kabinenbewegungen in Aufzügen stellen eine äußerst gefährliche Situation dar. Sie treten auf, wenn sich die Kabine während der Nivellierungs-, Niveaukorrektur- und Voröffnungsvorgänge ohne Aufforderung bewegt, während die Türen auf der Etage geöffnet sind. Diese ungewollte Bewegung kann zu Verletzungen von Fahrgästen oder im schlimmsten Fall zum Tod führen. Aus diesem Grund schreiben Vorschriften wie die Aufzugsrichtlinie 2014/33/EU vor, dass neue Aufzüge mit einer Sicherheitsvorrichtung ausgestattet sein müssen, die unbeabsichtigte Kabinenbewegungen verhindert. In der Fachliteratur wird diese Vorrichtung als Schutz vor unbeabsichtigten Kabinenbewegungen (UCMP) bezeichnet. Ihre Funktion besteht darin, die Kabine sofort zu stoppen und zu halten, sobald sie sich unerwartet in Bewegung setzt. Der UCMP fungiert gewissermaßen als „Notbremse“ des Aufzugs; obwohl er normalerweise nicht wahrnehmbar ist, ist er permanent aktiv, um die sichere Nutzung des Aufzugs zu gewährleisten.

Um die entscheidende Bedeutung des UCMP-Systems zu verdeutlichen, bietet sich eine einfache Analogie an: Stellen Sie sich vor, Sie bauen ein Modell aus LEGO-Steinen. So wie jedes Teil an der richtigen Stelle sein und harmonisch zusammenpassen muss, damit die Struktur stabil ist, müssen auch die Teilsysteme des UCMP diese Harmonie aufweisen. Andernfalls kann, genau wie ein einziges falsches LEGO-Teil zum Einsturz des gesamten Modells führen kann, eine Fehlfunktion in einem der UCMP-Teilsysteme die gesamte Schutzfunktion gefährden. Die UCMP-Funktion wird im Allgemeinen durch das Zusammenspiel dreier grundlegender Teilsysteme gewährleistet:

• DetectionDer Mechanismus oder Sensor erkennt unerwünschte Kabinenbewegungen. Er löst das System aus, indem er bei geöffneten Kabinentüren eine bestimmte Bewegung (z. B. eine bestimmte Geschwindigkeit oder Strecke) erfasst. Beispielsweise dient in manchen Systemen eine Bewegung des Kabinenseils von 200–250 mm als Erkennungsschwelle; bewegt sich die Kabine bis zu diesem Wert, wird der Sensor ausgelöst. Das Erfassungselement kann ein elektrischer Sensor, eine Geschwindigkeitsüberwachungsschaltung oder ein mechanisches Bauteil sein, seine Hauptfunktion besteht jedoch darin, die Information „Die Kabine bewegt sich“ so schnell wie möglich zu erfassen.

AktivierungDie Steuerfunktion empfängt das Signal vom Detektionselement und aktiviert den Stoppmechanismus. Dieses Teilsystem ist üblicherweise ein elektrischer Sicherheitsschaltkreis und dient als Schnittstelle zwischen Detektion und Stopp.

Wenn beispielsweise das Detektionsgerät eine unerwünschte Bewegung erkennt, schaltet der Aktivierungskreis den Magneten ab, der die Notbremse betätigt oder ein Hydraulikventil schließt. Bei manchen Ausführungen sind Detektion und Auslösung in einem Gerät integriert (z. B. erkennen manche Steuergeräte die Bewegung und lösen gleichzeitig die Bremsung mechanisch aus). Prinzipiell besteht die Auslösefunktion jedoch darin, das Detektionssignal verzögerungsfrei an den Stoppmechanismus weiterzuleiten.

• EinstellungDas Bremselement, das die Kabine anhält und nach dem Stillstand fixiert, ist eine mechanische Bremsvorrichtung. Bei elektrischen Aufzügen handelt es sich um eine Sicherheitsvorrichtung, die die Schienen greift (Fallschirmbremse), oder eine Seilbremse, die auf das Seil wirkt. Bei hydraulischen Aufzügen verhindert ein Sicherheitsventil unkontrollierte Bewegungen. Das Bremssystem sorgt dafür, dass die Kabine innerhalb eines bestimmten Abstands sicher zum Stehen kommt, indem es ein ausreichendes Bremsmoment bzw. eine ausreichende Bremskraft aufbringt und ein erneutes Anfahren verhindert. Wichtig ist, dass das Bremselement die Kabine sowohl anhalten als auch ein Weiterrutschen nach dem Stillstand verhindern kann. Diese drei Teilsysteme bilden zusammen das UCMP-System. In manchen Ausführungen werden die drei Funktionen von separaten Geräten ausgeführt, während andere Lösungen diese Funktionen in einem oder zwei Geräten kombinieren. Beispielsweise kann eine elektronisch gesteuerte Seilbremse sowohl die Erkennung (durch Überwachung der Motordrehzahl) als auch die Bremsung übernehmen. Unabhängig von der Anzahl der Geräte hängt die Zuverlässigkeit des Systems jedoch davon ab, dass die Teilsysteme in der richtigen Reihenfolge und harmonisch zusammenarbeiten.

Die wichtigsten Referenzen für UCMP sind die Normen EN 81-20/50, ihre internationalen Pendants ISO 8100-1/2 sowie die NB-L-Empfehlungen, die die gemeinsame Auffassung der Benannten Stellen widerspiegeln. Diese Dokumente beschreiben detailliert die Leistungskriterien und Schnittstellenanforderungen für UCMP-Subsysteme. Ziel ist es, die für den sicheren Betrieb des UCM-Schutzes in Aufzügen insgesamt erforderliche technische Kompatibilität zu gewährleisten, unabhängig von Marke oder Bauart.

Die Norm EN 81-20:2020 verpflichtet Aufzugskonstrukteure, eine Schutzvorrichtung gegen unbeabsichtigte Bewegungen bei geöffneten Kabinentüren einzubauen (Abschnitt 5.6.7). Diese Vorrichtung muss die Kabine innerhalb eines bestimmten Abstands stoppen. Gemäß den geltenden Normen beträgt dieser Abstand maximal 1,200 mm. Das heißt, selbst wenn sich die Kabine vom Stockwerk entfernt, muss sie vor Überschreiten von 1.2 m gestoppt werden. Dieser Grenzwert wurde gewählt, um das Risiko von Stürzen zu minimieren. Der Grenzwert von 1,200 mm sollte jedoch nicht als zu großer Spielraum für Konstrukteure missverstanden werden, da die Erkennungs-, Auslöse- und Stoppphasen innerhalb dieses Abstands erfolgen müssen. Jede Verzögerung in einer dieser Phasen verlängert die Gesamtstrecke, die die Kabine bis zum Stillstand zurücklegt. Normen fordern Konstrukteure daher auf, ihre Vorrichtungen unter Berücksichtigung der ungünstigsten Bedingungen auszuwählen und anzupassen.

Die Prüfung und Zertifizierung von UCMP-Baugruppen ist in der Norm EN 81-50:2020 detailliert geregelt. Gemäß EN 81-50 Abschnitt 5.8 kann die UCMP-Baugruppe als Gesamtsystem typgeprüft oder die Teilfunktionen (Erkennung, Auslösung, Stopp) als separate Subsysteme zur separaten Typgenehmigung eingereicht werden. Bei der separaten Zertifizierung von Subsystemen besteht jedoch eine kritische Bedingung: Die Schnittstellenanforderungen und technischen Leistungsparameter jedes Subsystems müssen definiert werden. Die Norm legt eindeutig fest, dass die Grenzwerte und Betriebsbedingungen, die die Kompatibilität der Subsysteme mit separaten Typgenehmigungen im integrierten Gesamtsystem gewährleisten, vom Hersteller definiert und in der Typprüfungsdokumentation spezifiziert werden müssen. In diesem Zusammenhang muss der Hersteller/Antragsteller, der die Typprüfung beantragt, das Prüflabor über die wichtigsten technischen Parameter im Zusammenhang mit der Verwendung des Systems oder der Subsysteme informieren. EN 81-50 nennt folgende Beispiele für diese Parameter:

• MassenbereichDie niedrigsten und höchsten Massenzustände, die im Aufzug zu erwarten sind (leere Kabine, voll beladene Kabine usw.).
• Kraft-/Drehmomentgrenzen: Falls erforderlich, die minimale und maximale Kraft bzw. das minimale und maximale Drehmoment, die vom Bremselement aufgebracht werden (oder Durchfluss-/Druckwerte bei hydraulischen Systemen).
• ReaktionszeitDie einzelnen Reaktionszeiten (Verzögerungen) des Detektionsgeräts, des Steuerkreises und des Bremselements.
• GeschwindigkeitswerteDie maximale Geschwindigkeit, die die Kabine erreichen kann, bevor ein Bremsvorgang eingeleitet wird (z. B. Berechnung der Kabinengeschwindigkeit beim Überschreiten des Erkennungsschwellenwerts).
• Montagehöhe des Sensors: Wie hoch über dem Boden das Detektionsgerät innerhalb der Entriegelungszone montiert ist (dies kann die Erfassungsreichweite beeinflussen).
• Testgeschwindigkeit(en)Die Geschwindigkeit oder Geschwindigkeiten, die bei der Typprüfung verwendet werden sollen, um zu überprüfen, ob das System ordnungsgemäß funktioniert (ein vom Hersteller festgelegter und mit dem Labor vereinbarter Wert; zum Beispiel kann es mit Inspektionsgeschwindigkeit geprüft werden).
• UmweltbedingungenDie Temperatur- und Feuchtigkeitsbereiche sowie andere relevante Umgebungsbedingungen, für die die Konstruktion vorgesehen ist. 

Die Empfehlung Nr. 1/008 der Koordinierungsgruppe der Benannten Stellen der Europäischen Union (NB-L) zielt darauf ab, ein gemeinsames Verständnis für die Konstruktion und Bewertung von UCMP-Geräten zu schaffen. Dieses Dokument hebt Punkte hervor, die bei der separaten Bewertung von UCMP-Teilgeräten parallel zu den oben genannten Standardbestimmungen zu berücksichtigen sind. Gemäß der NB-L-Empfehlung kann jedes Gerät, das eine Teilfunktion (Erkennung, Auslösung, Stopp) erfüllt, einzeln einer EU-Baumusterprüfung unterzogen oder im Rahmen der vollständigen Qualitätssicherung unter der Kontrolle des Herstellers bewertet werden. Es ist jedoch wichtig zu beachten, dass, wenn eines der UCMP-Teilgeräte keiner solchen Konstruktionsprüfung unterliegt (d. h. wenn es nicht einzeln zertifiziert ist), die UCMP-Baugruppe als vollständiges Gerät zur EU-Baumusterprüfung eingereicht werden muss. Dieses Vorgehen stellt sicher, dass kein Teilsystem unberücksichtigt bleibt und dass alle Funktionen entweder einzeln oder gemeinsam geprüft werden.

Des Weiteren wurde präzisiert, welche Angaben in den Typgenehmigungszertifikaten für jedes Teilfunktionsgerät enthalten sein müssen. Insbesondere müssen bei der Erstellung des Typgenehmigungszertifikats für ein Teilsystem die Schnittstellenbedingungen dieses Teilsystems mit anderen Geräten sowie alle relevanten Parameter (Abstände, Erfassungszeit, Geschwindigkeiten, Beschleunigungen, Verzögerungszeiten usw.) beschrieben werden. Dies bedeutet beispielsweise, dass ein Hersteller eines Detektionsgeräts die Betriebsbedingungen seines Geräts (z. B. Erfassungsabstand oder Geschwindigkeitsschwelle, Signalausgabezeit usw.) und die Kopplung mit einem Bremsgerät genau angeben muss. Ebenso muss ein Hersteller eines Bremsgeräts (z. B. einer Fallschirmbremse) den Geschwindigkeitsbereich, in dem die Bremse betätigt werden kann, die erforderliche Auslösemethode und die Auslösezeit dokumentieren.

Zusammenfassend lässt sich der Ansatz in Europa wie folgt darstellen: Jede Komponente des UCMP-Systems muss entweder als integriertes Ganzes geprüft werden oder, falls eine separate Prüfung erfolgt, müssen die Interoperabilitätskriterien für diese Komponenten klar definiert sein. Details zu den Konformitätsbewertungsmodulen (Modul B, Modul H usw.) fallen nicht in den Rahmen dieses Artikels und werden in nachfolgenden Artikeln behandelt; der Schwerpunkt liegt hier ausschließlich auf den Anforderungen an die technische Konformität und Leistung.

Ein UCMP-System kann seine Aufgabe nur mit der korrekten Koordination seiner Subsysteme erfüllen. Zeitliche Abläufe (Synchronisation) und Schnittstellensignale spielen eine wichtige Rolle für die Interaktion zwischen den Detektions-, Trigger- und Stopp-Subsystemen. Daher erläutern wir im Folgenden deren Zusammenhänge. Jedes Subsystem hat eine Reaktionszeit: Das Detektionselement benötigt eine gewisse Verzögerung zur Aktivierung, die Triggerschaltung benötigt Zeit zur Signalübertragung und das Bremselement benötigt ebenfalls Zeit, um die volle Bremskraft aufzubauen.

Die Summe dieser Zeiten bestimmt die Gesamtzeit vom Beginn der Bewegung bis zum vollständigen Stillstand der Kabine. Die von der Kabine zurückgelegte Strecke erhöht sich ebenfalls in Abhängigkeit von dieser Zeit. Abbildung 1 zeigt ein vereinfachtes Geschwindigkeits-Zeit-Profil einer typischen UCMP-Reaktion. Bei Beginn der unkontrollierten Bewegung beschleunigt die Kabine (eine natürliche Beschleunigung von z. B. ca. 1.5 m/s² ist zulässig). Die Kabine beschleunigt, bis das Detektionssystem aktiviert wird; nach Ablauf der Detektionsverzögerung (z. B. 0.3 s) wird der Sensor ausgelöst. Innerhalb der Auslöseverzögerung erreicht das Signal das Bremssystem, und der Bremsmechanismus wird aktiviert (z. B. innerhalb von 0.2 s). Beim Bremsen beginnt die Kabinengeschwindigkeit zu sinken, und die Kabine kommt am Ende des Bremsvorgangs zum Stehen. Je kürzer die Detektions- und Auslöseverzögerungen sind, desto früher setzt die Bremsung ein und desto geringer ist der gesamte Bremsweg.

Wie aus der obigen Grafik hervorgeht, kann sich der Bremsweg der Kabine deutlich verlängern, wenn die Reaktionszeiten der Teilsysteme nicht angemessen sind. Wird beispielsweise das Detektionssystem zu spät ausgelöst oder greift der Bremsmechanismus zu langsam ein, kann die Kabine die Standardbremsstrecke von 1.2 m überschreiten. Tatsächlich zeigt die Fachliteratur, dass die Summe von Verzögerungen bei der Detektion, der elektronischen Signalübertragung und der Magnetventilreaktion dazu führen kann, dass die Kabine eine höhere Geschwindigkeit als erwartet erreicht und sich der Bremsweg verlängert. Daher ist es notwendig, die Detektionsschwelle korrekt zu bestimmen, eine schnelle elektronische Steuerung zu gewährleisten und sicherzustellen, dass der Bremsmechanismus schnell genug eingreift. Die Norm EN 81-50 schreibt vor, dass die Reaktionszeiten des Detektionskreises, des Steuerkreises und der Bremselemente während der Typprüfung separat gemessen und der gesamte Bremsweg aufgezeichnet werden. Die Typprüfung überprüft außerdem, ob die automatische Selbstüberwachungsfunktion des Systems, sofern vorhanden, ordnungsgemäß funktioniert.

Die Kommunikation zwischen den Detektions- und Auslösesubsystemen erfolgt üblicherweise über die Sicherheitsschaltungen des Aufzugs. Der UCM-Schutz wird als Komponente innerhalb der elektrischen Sicherheitsschaltung betrachtet. Die NB-L-Empfehlung besagt, dass Auslösevorrichtungen mit elektronischen Bauteilen eine EU-Baumusterzulassung als Sicherheitseinrichtung gemäß Anhang III der Aufzugsrichtlinie benötigen. In den meisten modernen UCMP-Systemen unterbricht die Detektionseinrichtung die Sicherheitskette durch Öffnen eines Sicherheitskontakts (durch Freigabe eines normalerweise unter Spannung stehenden Magnetventils oder eines Sicherheitsrelais) und aktiviert gleichzeitig die Bremseinrichtung.

Es ist wichtig zu beachten, dass dieses Signal der Sicherheitskategorie 4 (entspricht EN 81-20 Abschnitt 5.11.2.3) entsprechen muss. Das heißt, es muss so ausgelegt sein, dass es bei einem einzelnen Fehler nicht ausfällt und gegebenenfalls typgenehmigt sein. Die Schnittstelle des Detektionssubsystems ist nach dem Ausfallsicherheitsprinzip ausgelegt: Wird beispielsweise die Stromversorgung des Detektionssensors unterbrochen, erkennt das System dies als Fehler und verhindert den Betrieb des Aufzugs (da der UCMP möglicherweise deaktiviert wurde).

UCMP-Subsysteme können von verschiedenen Herstellern stammen und müssen physisch integriert werden. Beispielsweise kann die Schnittstelle des Detektionsgeräts zur Auslösung einer Seilbremse in Form eines Elektromagneten realisiert werden, der die Stromzufuhr bei einem bestimmten Strom unterbricht. Details wie die Versorgungsspannung dieses Elektromagneten, die Auslösezeit beim Abschalten der Stromzufuhr und der Hub müssen mit dem Ausgang des Detektionskreises kompatibel sein. Die Norm EN 81-20 schreibt vor, dass der UCM-Schutz so ausgelegt sein muss, dass er „aktiviert, sobald das Fahrzeug das Ende der Entriegelungszone erreicht“. Dies bedeutet, dass die Detektion erfolgen sollte, wenn sich die Kabine etwa wenige Zentimeter über dem Boden befindet (z. B. 20 cm). Ist der Detektionsabstand zu gering (z. B. 1–2 cm), reagiert das System zwar empfindlich, neigt aber zu Fehlauslösungen (es könnte minimale Vibrationen fälschlicherweise als UCM interpretieren). Ist er zu groß (z. B. ein halber Meter), hat das Fahrzeug bereits eine beträchtliche Strecke zurückgelegt, sodass der Bremsweg zu kurz ist. Daher ist ein sorgfältiges Abwägen zwischen optimaler Detektionsschwelle und entsprechendem Auslösemechanismus erforderlich.

Die Praxiserfahrung zeigt, dass Inkompatibilitäten an den Schnittstellen von Subsystemen zu verschiedenen Risiken führen können. Beispielsweise traten in einigen Installationen Probleme auf, wenn das UCMP-Erkennungsgerät und die Bremsvorrichtung von unterschiedlichen Herstellern bezogen und kombiniert wurden, weil die Parameter in den Dokumentationsdaten nicht vollständig eingehalten wurden. Ein Beispiel: Bei einem hydraulischen Aufzug kann sich die Kabine millimeterweise vom Boden entfernen, wenn für die UCM-Erkennung nur der Leckagesensor im Ventil verwendet wird und keine separate Bremse zum Einsatz kommt, da der Sensor bei sehr kleinen Leckagen nicht auslöst. Dies birgt Gefahren wie das Festfahren an Türschwellen oder unerwartete Bewegungen beim Betreten des Aufzugs. Ein weiteres Beispiel ist die fehlerhafte Auslösung, bei der die Bremse blockiert, bevor sich die Kabine aufgrund eines falsch kalibrierten elektronischen Sensors in Bewegung setzt. Dadurch kann der Aufzug unbrauchbar werden, da das System permanent Fehlfunktionen aufweist. Daher ist es unerlässlich, die von den Subsystemherstellern spezifizierten Schnittstellenanforderungen strikt einzuhalten und, wenn möglich, das Gesamtsystem während der Integrationsphase zu testen. Die Norm EN 81-50 empfiehlt derzeit einen „Kooperationstest“, um diese Integration im Rahmen der Typprüfung zu überprüfen. Konkret muss der Hersteller während der Typprüfung eine Berechnung, Formel oder ein Diagramm auf Basis der gemeinsamen Parameter der Bauteile vorlegen, das vom Prüflabor freigegeben werden muss. Beispielsweise sollte der Hersteller eine Kurve oder Berechnung bereitstellen, die angibt, wie weit das Bremssystem bei einer bestimmten Auslösegeschwindigkeit zum Stehen kommt. Diese Kurve oder Berechnung muss während der Prüfung verifiziert werden.

Die separate Zertifizierung von UCMP-Subsystemen bietet der Branche Flexibilität, da Aufzugshersteller UCMP-Komponenten verschiedener Lieferanten auswählen und verwenden können. Diese Flexibilität kann jedoch, wenn sie nicht ordnungsgemäß gehandhabt wird, zu Haftungslücken führen. Wenn beispielsweise ein Hersteller das Sensorsystem von Firma A und das Bremssystem von Firma B verwendet und in seinen Aufzug integriert, wer ist dann für die Gesamtleistung des Systems verantwortlich?

Wenn separate Typgenehmigungszertifikate vorliegen, belegt jedes Zertifikat die Funktionsfähigkeit unter spezifischen Bedingungen. Bei Inkompatibilitäten an der Schnittstelle und dem Versagen des UCM-Schutzes kann sich der Aufzugshersteller jedoch nicht der Verantwortung entziehen, indem er behauptet, die Teile seien zertifiziert. Sowohl aus regulatorischer als auch aus ingenieurtechnischer Sicht ist derjenige, der die Endintegration durchführt (Aufzugshersteller, Aufzugsinstallateur), dafür verantwortlich, dass die UCMP-Funktion als integriertes System funktioniert. Die NB-L-Empfehlung befasst sich ebenfalls mit diesem Thema und besagt, dass das gesamte Gerät einer Typgenehmigung unterzogen werden muss, wenn eine der Teilfunktionen nicht typgeprüft ist. Werden daher Teilsystemzertifikate für den Einsatz in einem Aufzug kombiniert, muss der Hersteller die Kompatibilität dieser Teilsysteme untereinander sicherstellen. Dies lässt sich am besten durch die Ergänzung der Integration durch Feldtests und gegebenenfalls zusätzliche Risikoanalysen gewährleisten. Beispielsweise zeigen UCM-Tests am Aufzug nach der Installation unter verschiedenen Lasten und Szenarien die praktische Kompatibilität der Teilsysteme. 

Benannte Stellen (NOBOs) prüfen die Funktion des UCMP (Unified Control Module) im Rahmen der CE-Prüfungen von Aufzügen in der Regel ganzheitlich. Selbst bei Vorlage von Typgenehmigungszertifikaten werden die Geräte daraufhin untersucht, ob sie vorschriftsmäßig installiert und eingestellt sind. Hierbei ist es wichtig, klar zwischen Zertifizierungsangaben und technischer Verantwortung zu unterscheiden: Beispielsweise gibt das Zertifikat des Bremssystems an, dass es „bei einer maximalen Auslösegeschwindigkeit von 2.0 m/s betrieben werden kann“, während das Detektionsgerät auf eine Auslösegeschwindigkeit von 2.5 m/s eingestellt ist. In diesem Fall funktionieren die Geräte, selbst wenn sie formal zertifiziert sind, nicht ordnungsgemäß zusammen. Daher ist es unerlässlich, alle diese Parameter gemeinsam zu prüfen.

Freundliche Grüße ...