T／CEA 0031-2022  电梯无接触器控制技术基本要求

在出现故障或错误的情况下，功能单元继续执行一个要求功能的能力。 注：硬件故障裕度N意味着N+1次故障就可能引起安全功能的丧失，

安全功能safetyfunction 针对特定的危险事件，为达到或保持受控设备(EUC)的安全状态，由E/E/PE安全相关系统、其他技术安 全相关系统、其他技术安全相关系统或外部风险降低设施实现的功能。 [GB/T20438.42006.定义3.1.9]

设备设计图纸安全失效safefailure 不可能使安全相关系统处于潜在的危险或丧失功能状态的失效。 [GB/T20438.42006.定义3.6.8]

危险失效dangerousfailure 使安全相关系统处于潜在的危险或丧失功能状态的失效。 [GB/T20438.42006.定义3.6.7]

危险失效dangerousfailure 使安全相关系统处于潜在的危险或丧失功能状态的失效。 [GB/T20438.42006.定义3.6.7]

T/CEA 00312022

基于一个或多个可编程电子 包括系统中所有的元素，诸如电源 器和其他输入装置，数据高速公路和

4.1无接触器控制技术的通用要求

4.1.1无接触器控制技术实现的通用要求

虫器控制技术应满足GB/T7588.1—2020中5.9.2.5.4c)、d)和5.9.2.2.2.3a）2）的要求， 件的安全电路和（或）电梯安全相关的可编程电子安全相关系统来实现。

4.1.3采用PESSRAL方案的STO、SBC模块的设计要求

1.3.1采用PESSRAL方案的无接触器控制技术模块应满足GB/T7588.1一2020中5.11.2.6的

T/CEA 00312022

也见引用本部分的标准的规定。

使用无接触器控制技术控制系统的安全要求利

4.2.1安全转矩取消（STO)

4. 2. 1.1前提条件

4. 2. 1.2安全功能

4. 2. 1.3 安全状态

4. 2. 1. 4监测功能

采用STO技术的电梯控制系统应具备监测功能。满足： a）在电梯停止时，应监测STO模块的工作状态，最迟到下次启动前，当STO模块出现无法断开 电动机电流的故障时，应防止电梯再启动。 b）在电梯运行时，应监测STO模块的工作状态，当STO模块出现故障时，应使电梯立即停止运 行，并防止电梯再启动。 c）监测功能发生固定故障时，应使电梯立即停止运行，并防止电梯再启动

4. 2. 1. 5 复位

采用STO技术的电梯应定义相关的故障类型， 并根据故障类型定义复位人员和复位方式。 当电梯发生相关故障后，应根据维护手册中描述的操作方式复位电梯。

4. 2.1.6残余风险的保护

电梯控制系统宜有STO模块的残 元件都无法断开电动机的供电。 机制，当安全功能丧失时，控制系统宜 停止转矩输出的控制

4.2.2制动器安全控制（SBC)

4. 2. 2. 1安全功能

4. 2. 2. 2 安全状态

SBC模块处于切断制动器的电流的状态，并把此状态传递给控制系统。

4.2.2.3监测功能

采用SBC技术的电梯控制系统应具备监测功能。满足： 在电梯停止和启动时，应监测SBC模块的工作状态，当SBC模块发生故障时，应切断制动器电流 并防止电梯再运行。即使监测功能发生固定故障，也应具有同样结果。

模块发生故障后，只能由胜任人员恢复电梯的正

4.2.2.5残余风险的保护

电梯控制系统应有SBC模块的残余风险（如SBC模块无法切断制动器电流）的保护机制，当 能丧失时，应采用对策避免人员和电梯设备受到伤害，

5使用无接触器控制技术电梯的检验与检测

T/CEA 00312022

5.2使用无接触器控制技术的电梯的型式试验

5.2.1安全模块的型式试验应按照TSGT7007附件R的要求进行型式试验。 5.2.2对安全模块的安全功能和安全状态进行验证。 5.2.3验证电梯正常运行和停止时，安全模块的正确动作。 5.2.4对监测装置的监测功能进行验证。 5.2.5验证4.2.1.5和4.2.2.4中安全模块的故障和故障后复位方法的正确性

5.3使用无接触器控制技术的电梯的检验方法

5.3.1模拟监测功能发生固定故障时，电梯立即停梯不能再运行。

5.3.1模拟监测功能发生固定故障时， 电梯立即停梯不能再运行。 5.3.2验证监测功能发生固定故障后复位方法的正确性。

T/CEA 00312022

A.1.1避免和检测故障的通用措施

.2. 1符合SIL1的特定择

应符合GB/T35850.1—2018中表A.4的规定。 A.2.2符合SIL2的特定措施 应符合GB/T35850.1—2018中表A.5的规定。 A.2.3符合SIL3的特定措施 应符合GB/T35850.1—2018中表A.6的规定 A.3失效控制的可用措施描述 应符合GB/T35850.1—2018中表A.7的规定。

附录A （规范性附录） 电梯安全相关的可编程电子系统(PESSRAL)

T/CEA 00312022

本章以安全转矩取消(STO)安全功能的模块为例，描述了STO系统所需的要求及结构组件框图 2STO结构举例

传统的变频器依靠微处理器输出PWM信号控制IGBT的开通和关断，从而控制电机的转矩，如图B.1 所示。

图B.1变频器驱动电机原理

图B.2带STO功能的系统框图

一连续运行模式 STO被分成三个独立的子系统：双通道子系统A/B、电源/电压监控子系统PS/VM和监控子系统M 下图所示：

T/CEA 00312022

图B.3STO模块详细框图

通过把子系统A/B模型化，STO的安全功能需要通过双通道来执行，以达到硬件故障裕度1的要求 这个子系统的执行需满足以下关于安全功能的系统特性： 一B型（复杂的硬件） 一硬件故障裕度1（双通道执行） 针对B型子系统结构，为了达到SIL3和硬件故障裕度1，安全失效分数SFF必须至少为90%

B2.3 子系统 PS/VM

图B.4子系统A/B模块

安全功能STO，子系统PS/VM内含有一个带有专用的监控器的通道。图B.6表面子系统被进一步 模块功能，一个为内部电源PSTZZB标准规范范本，一个为电压监控器电路VM。 要求可以参考GB/T20438.2表3和表A.9电源的诊断措施

T/CEA 00312022

图B.5子系统PS/VM模块

把子系统EN模型化建筑技术论文，STO的安全功能需要通过双通道来执行，以达到硬件故障裕度1的要求。这 的执行需满足以下关于安全功能的系统特性：

一硬件故障裕度1（双通道执行） 针对B型子系统结构，为了达到SIL3和硬件故障裕度1，安全失效分数SFF必须至少为90%。

图B.6子系统EN模块