检查UCMP中所有系统和子系统兼容性的重要性

作者：布拉克·德米尔坎

电梯轿厢意外移动是一种极其危险的情况，指在电梯门打开等待于楼层时，轿厢在“调平、调平及提前开门”操作过程中，未经任何指令而发生的意外移动。这种意外移动可能导致乘客受伤，严重时甚至会危及生命。因此，诸如欧盟电梯指令2014/33/EU等法规要求新建电梯必须配备防止意外移动的安全装置。在技术文献中，该装置被称为意外轿厢移动保护装置（UCMP），其功能是在轿厢意外移动时立即停止并保持轿厢静止。从某种意义上说，UCMP相当于电梯的“紧急制动器”；虽然通常不易察觉，但它始终处于警戒状态，以确保电梯安全运行。

为了强调UCMP系统的重要性，我们可以用一个简单的类比：想象一下用乐高积木搭建一个模型。正如每个积木都必须放置在正确的位置并和谐地拼合在一起才能保证结构的稳定性一样，构成UCMP的各个子系统也必须展现出同样的和谐性。否则，就像乐高模型中一个错误的积木会导致整个结构坍塌一样，UCMP中任何一个子系统的不匹配都可能危及整个防护功能。UCMP的功能通常由三个基本子系统的协同运作来实现：

• 检测：用于检测客舱何时开始以不希望的方式移动的装置或传感器。当客舱门打开时，如果检测到特定的移动（例如，特定的速度或距离），系统就会触发。例如，在某些系统中，客舱绳索移动 200-250 毫米被用作检测阈值；如果客舱移动了这么远，传感器就会触发。检测元件可以是电子传感器、速度监控电路或机械装置，但其主要功能是尽快检测到“客舱正在移动”的信息。

活化控制功能接收来自检测元件的信号并激活停止机构。该子系统通常是一个电气安全电路，充当检测和停止之间的接口。

例如，当检测装置检测到异常移动时，激活电路会切断启动紧急制动器的电磁阀或关闭液压阀的电源。在某些设计中，检测和触发功能可能集成在同一装置中（例如，某些控制器既能检测又能机械地触发制动），但从概念上讲，触发功能是指将检测信号立即传递给停止机构。

• 停止真正使轿厢停止并使其在停止后保持静止的部件是制动系统。这是一种机械制动装置；在电动电梯中，它是夹紧轨道的安全装置（降落伞式制动器）或作用于钢索的绳索制动器；在液压电梯中，它是防止失控移动的安全阀。制动子系统通过施加足够的制动扭矩/力，确保轿厢在一定距离内安全停止，并防止其再次移动。关键在于，制动元件必须能够使轿厢停止并防止其在停止后滑动。这三个子系统共同构成了UCMP装置。在某些设计中，这三个功能分别由独立的装置执行，而有些方案则将这些功能集成到一个或两个装置中。例如，电子控制的绳索制动器可以同时执行检测（通过监测电机转速）和制动功能。然而，无论装置的数量多少，系统的可靠性都取决于各个子系统是否按正确的顺序协调工作。

UCMP 的主要参考标准是 EN 81-20/50 标准、其国际对应标准 ISO 8100-1/2 以及 NB-L 建议，这些标准反映了公告机构的共识。这些文件详细规定了 UCMP 子系统的性能标准和接口要求。其目的是确保电梯整体上 UCM 保护系统安全运行所需的技术兼容性，而与电梯品牌或设计无关。

EN 81-20:2020 标准要求电梯设计人员在轿厢门打开时安装防止意外移动的保护装置（条款 5.6.7），并规定该装置必须在特定距离内停止轿厢。根据现行标准，该距离最大为 1,200 毫米。换句话说，即使轿厢开始远离层站，也必须在超过 1.2 米之前停止。设定此限制是为了最大限度地降低乘客坠落的风险。然而，1,200 毫米的限制不应被视为给予设计人员过多的自由裁量权，因为检测、触发和停止阶段都必须在此距离内完成。事实上，每个阶段的任何延迟都会增加轿厢停止前的总行驶距离。标准要求设计人员在选择和调整装置时，必须考虑“最坏情况”。

EN 81-50:2020 标准详细规定了 UCMP 组件的测试和认证。根据 EN 81-50 第 5.8 条，UCMP 组件可以作为一个完整的系统进行型式试验，也可以将子功能（检测、触发、停止）作为独立的子系统单独申请型式认可。但是，当子系统单独认证时，存在一个关键条件：必须明确定义每个子系统的接口要求和技术性能参数。该标准明确规定，制造商必须定义确保子系统在集成到完整系统后能够通过单独型式认可获得兼容性的限值和运行条件，并在型式试验文件中予以明确。在此背景下，申请型式试验的制造商/申请人必须告知实验室与系统或子系统使用相关的关键技术参数。EN 81-50 给出了以下参数示例：

• 质量范围：电梯中预期的最低和最高质量条件（空轿厢、满载轿厢等）。
• 力/扭矩限制如有必要，制动元件施加的最小-最大力或扭矩（或液压系统的流量/压力值）。
• 响应时间：检测装置、控制电路和制动元件的单独响应时间（延迟）。
• 速度值：在开始制动之前，驾驶室可以达到的最大速度（例如，计算超过检测阈值时的驾驶室速度）。
• 传感器安装高度：检测装置在锁释放区域内离地面的高度（这可能会影响检测距离）。
• 测试速度：型式试验中用于验证系统是否正常运行的速度（由制造商确定并与实验室商定的值；例如，可以按检验速度进行测试）。
• 环境条件：设计预期适用的温度、湿度范围及其他相关环境条件。 

欧盟公告机构协调小组 (NB-L) 发布的第 1/008 号建议旨在就 UCMP 设备的设计和评估达成共识。该文件重点阐述了在评估 UCMP 子设备时需要考虑的要点，并与上述标准规定并行执行。根据 NB-L 建议，每个履行子功能（检测、触发、停止）的设备均可单独接受欧盟型式检验，或在制造商控制下进行全面质量保证评估。然而，需要注意的是，如果 UCMP 的任何子设备未经过此类设计验证（即未获得单独认证），则必须将 UCMP 组件作为完整设备提交欧盟型式检验。这种方法确保所有子系统均得到验证，所有功能均可单独或整体验证。

此外，还明确了为每个子功能设备准备的型式认可证书中必须包含的内容。特别是，在准备子系统的型式认可证书时，必须描述该子系统与其他设备的接口条件以及所有相关参数（距离、检测时间、速度、加速度、延迟时间等）。这意味着，例如，检测设备的制造商必须明确说明其设备的工作条件（例如，检测距离或速度阈值、信号输出时间等）以及如何将其与制动设备配合使用。同样，制动设备（例如，降落伞制动器）制造商必须记录制动器可应用的速度范围、所需的触发方式和触发时间。

总而言之，欧洲的做法如下：构成UCMP系统的每个组件都必须作为一个整体进行测试；如果单独测试，则必须明确定义这些组件的互操作性标准。关于合格评定模块（模块B、模块H等）的详细信息不在本文讨论范围之内，将在后续文章中阐述；本文重点在于技术合规性和性能要求。

UCMP系统只有在各个子系统正确协调运作的情况下才能执行其任务。时序（同步）和接口信号在检测、触发和制动子系统之间的交互中起着至关重要的作用。为此，我们来解释一下它们之间的关系。每个子系统都有其响应时间：检测元件需要一定的延迟才能激活，触发电路需要时间来发送信号，制动元件也需要时间来产生全部制动力。

这些时间的总和决定了从驾驶舱开始移动到完全停止的总时间。驾驶舱行驶的距离也随时间增加。图 1 显示了典型的 UCMP 反应中简化的速度-时间曲线。当失控运动开始时，驾驶舱开始加速（自然加速度，例如约 1.5 m/s²，是可以接受的）。驾驶舱加速直至检测系统被激活；在检测延迟结束时（例如 0.3 秒），传感器被触发。然后，在触发延迟期间，信号到达制动系统，制动机构被激活（例如在 0.2 秒内）。当施加制动时，驾驶舱速度开始下降，并在制动结束时停止。在此过程中，检测延迟和触发延迟越短，制动开始得越早，总制动距离就越短。

如上图所示，如果子系统的响应时间不合适，驾驶室停止所需的距离可能会显著增加。例如，如果检测系统触发过晚或制动机构接合缓慢，驾驶室可能会行驶超过标准的1.2米。事实上，文献表明，检测、电子信号传输和电磁阀响应延迟的累积会导致驾驶室速度高于预期，从而延长制动距离。因此，必须正确确定检测阈值，确保快速的电子控制，并确保制动机构能够足够迅速地接合。EN 81-50标准要求在型式试验中分别测量检测电路、控制电路和制动元件的响应时间，并记录总行驶距离。型式试验还验证系统的自动自监控功能（如有）是否正常工作。

检测子系统和触发子系统之间的通信通常通过电梯的安全电路进行。UCM保护被视为电气安全电路范围内的一个组件。NB-L建议指出，如果触发装置包含电子元件，则必须根据电梯指令附件III的定义，获得欧盟型式认证，作为安全装置使用。在大多数现代UCMP设计中，检测装置通过断开安全触点（释放常通电的电磁阀或释放安全继电器）来中断安全链，并同时启动制动装置。

需要注意的是，该信号必须达到 4 类安全等级（相当于 EN 81-20 标准 5.11.2.3 条）；也就是说，其设计必须确保即使发生单一故障也不会失效，并且在需要时必须获得型式认可。检测子系统接口的设计遵循故障安全原则：例如，如果检测传感器的电源被切断，系统会将其检测为故障并阻止电梯运行（因为 UCMP 可能已被停用）。

UCMP子系统可来自不同的制造商，并且必须进行物理集成。例如，检测装置提供的用于触发绳索制动器的接口可以是释放一个电磁铁，该电磁铁会在达到特定电流时切断电源。诸如该电磁铁的供电电压、断电释放时间和行程等细节必须与检测电路的输出兼容。EN 81-20规定，UCM保护应设计为“当轿厢到达解锁区域末端时启动”。这意味着检测应在轿厢距离地面约几厘米（例如20厘米）时进行。如果检测距离太小（例如1-2厘米），系统可能灵敏但容易误触发（可能将微小的振动误判为UCM）。如果检测距离太大（例如半米），轿厢已经行驶了相当长的距离，导致制动距离不足。因此，最佳检测阈值和相应的触发机制设置需要进行严格的平衡。

现场经验表明，子系统接口的不兼容性会导致各种风险。例如，在某些安装中，由于未完全遵守文档数据中的参数，导致UCMP检测装置和制动装置来自不同制造商并组合使用，从而引发了问题。举例来说，在液压电梯中，如果仅依赖阀门内部的泄漏传感器进行UCM检测而未使用单独的制动器，则在泄漏非常缓慢的情况下，由于传感器无法触发，轿厢可能会逐毫米地偏离楼层。这种情况会造成危险，例如轿厢卡在门槛处或乘客进出时发生意外移动。另一个例子是触发错误，由于电子传感器校准不正确，制动器在轿厢开始移动之前就锁死。这会导致电梯无法使用，如同系统持续发生故障。因此，严格遵守子系统制造商规定的接口要求至关重要，并且如果可能，应在集成阶段对整个系统进行测试。 EN 81-50 目前建议在型式试验期间进行“协同试验”以验证这种集成性。具体而言，在型式试验期间，制造商需要提供基于设备相互参数的计算、公式或图表，并经实验室批准。例如，制造商应提供一条曲线或计算结果，以表明制动系统在特定触发速度下能够停止多远，并在试验期间进行验证。

对UCMP子系统进行单独认证为行业提供了灵活性，因为电梯制造商可以选择并使用来自不同供应商的UCMP组件。然而，如果管理不当，这种灵活性可能会造成技术责任漏洞。例如，如果制造商使用A公司的传感装置和B公司的制动系统，并将它们集成到自己的电梯中，那么谁应该对整个系统的性能负责？

如果型号核准证书是单独颁发的，则每份证书都证明其在特定条件下能够正常工作。但是，如果接口存在不兼容，导致UCM保护失效，电梯制造商不能以“部件已通过认证”为由推卸责任。从监管和工程伦理的角度来看，最终集成方（电梯制造商或安装商）有责任确保UCMP功能作为一个整体正常运行。NB-L建议也涉及此问题，指出如果任何子功能未经型式检验，则整个设备必须进行型号核准。因此，当多个子系统证书组合用于电梯时，制造商必须验证这些子系统彼此兼容。最佳方法是通过现场测试和必要的额外风险分析来强化集成。例如，在电梯安装后，在不同的负载和场景下进行UCM测试，可以验证子系统的实际兼容性。 

公告机构（NOBO）通常会在电梯的CE认证检验中对UCMP功能进行全面检查。即使已提交型式认可证书，仍需检查设备，以确保其安装和调整符合相关规定。此时，明确区分认证条款和技术责任至关重要：例如，制动系统证书可能规定其“最大触发速度为2.0米/秒”，但检测装置的触发速度却设置为2.5米/秒。在这种情况下，即使两者在纸面上都获得了认证，但同时使用时也无法正常工作。因此，必须综合考虑所有这些参数。

此致...