在电梯安全装置中使用软件和电子元件的风险

随着技术的进步，软件和电子设备的发展也影响着电梯，因为控制系统可以在更短的时间内处理更多的数据并变得“更智能”。 此外，虽然针对机械风险（跌落、破裂、燃烧等）制定了足够的措施，但由于软件风险评估不全面，因此采取预防措施以提供与软件和电子元件相关的安全性仍然是一个发展中的问题。

提供安全的所有必要保护均由软件和电子设备控制。 软件用于电梯的所有部分，包括通过电触点监控安全部件、连续通信电梯位置、同步发动机制动器的操作以及监控轿门是否关闭。

由于软件和电子元件，电梯变得更轻了。 例如，控制器局域网 (CAN) 技术使复杂的接线和电子卡变得不必要，而安全扭矩关闭 (STO) 驱动器则消除了使用接触器对电机的控制，并使用热、接近和光传感器来免除对机械继电器的需求和各种机械开关。

许多行业（尤其是汽车行业）使用的功能安全方法取代了用于电梯的机械保护元件，被称为 PESSRAL（电梯安全相关应用中的可编程电子系统）。 根据定义，PESSRAL 是为 EN 81-20 附录 A1 中列出的任何电气安全设备提供系统的系统，该系统由一个或多个可编程电子元件组成。 在这种情况下，系统的所有部分，例如传感器、数据高速公路和集成模块，都包含在 PESSRAL 中。 附件 A1 中列出的安全装置（层门锁定装置、限速器、缓冲触点等）可以安装多次。 除了处理数据并将其转换为命令的传统安全触点、传感器和电子卡外，还可以使用。 例如，限位开关可以通过安全触点安装，一个在顶部，一个在底部，控制器可以测量驾驶室的位置，控制器处理来自编码器和井信息系统的连续数据. 在第二种情况下，由于安全触点不使用机械杠杆来固定触点，因此可以节省材料。 此外，当使用 PESSRAL 时，整个系统被视为一个安全组件。 因此，如果没有获得指定机构的欧盟型式检验证书，电梯就不能投放市场。 此外，PESSRAL 并不偏离标准。 PESSRAL 是一项重要的创新，因为它导致了作为标准电梯部件运行的电子机制的发展。  

在安全组件中使用软件时，它会引入标准未涵盖的风险，或者无需验证即可消除这些风险。 风险之一是软件内容不可见且不可检查。 随着软件和电子设备使用的增加，控制器在安全方面变得越来越重要。 例如，虽然简单的电触点通过机械断开电路来断开电机的电源，但当使用软件时，控制模块必须激活一系列命令来断开电机的电源。 这些电子零件和软件应符合定义的安全等级标准，称为“SIL”——“安全完整性等级”——它基本上决定了系统的错误频率容限。 此外，虽然该标准要求测试安全组件的功能，但它不需要内容测试。 我们目前在计算机、汽车、智能手机和智能冰箱中看到的软件更新现在可以在电梯中使用。 更新的软件是新的软件，它表示对经过 NOBO 验证的系统进行了更改。 根据该指令，在 NOBO 对安全组件执行的 Module C 内的产品检查中，安全组件的任何部分发生变化都需要 NOBO 暂停认证。 尽管全球制造商经常对软件进行更改，但仍使用欧盟认证的 PESSRAL 系统。 这意味着无法知道更新的安全组件是否仍然“安全”。 将来在标准中添加新条款也就不足为奇了。

另一个问题是外部干预。 监控和干预系统提供电梯的远程监控和预测性维护，基本上可以访问控制系统。 任何外部干预都可以保护软件——它变得更加复杂，有时使用基于 Linux 的操作系统——免受病毒侵害，但它被忽略了。 控制系统检测到外部干预并关闭。 然而，绕过安全系统是一个可能的风险。 由于高安全性建筑物的智能系统经常受到外部监控，木马等有害脚本可以利用安全电路的漏洞。

软件机械消除的与安全相关的系统部件的另一个缺陷是维护指南中的说明。 例如，使用 PESSRAL 取消选择的限位开关的最大风险可能是对重绳的拉伸。 根据标准，限位开关应在配重或驾驶室接触缓冲器之前激活。 通过计算客舱位置来激活限位开关的系统在初始调整期间通过考虑配重的位置进行校准。 然而，由于绳索的伸长，配重长期接触缓冲器。 尽管 EN 13015 要求对安全部件进行维护指南，但考虑到其他部件的说明，存在可能间接影响安全部件的缺陷。 因此，如果制造商不要求经过公告机构检查的维护程序来消除与基于软件的安全组件相关的风险，则存在风险。

软件和电子设备确保了电梯和我们生活的所有其他领域的发展。 然而，这种快速进展的风险尚未完全得到控制。 保证电梯安全安装的 EN 81 标准系列应该为制造商带来新的规定和额外的责任。 例如，关于软件的某些信息（版本、名称等）应该是可见和可控的。 无论如何，应增加第 4 章中定义的风险数量，并应扩大风险评估以管理当前技术。