自动扶梯和自动人行道附加制动器
电控系统问题由来和建议
一、背景
GB16899-1997(EN115:1995)自1998年2月1日起已开始强制执
行，在标准12.6规定的条件下，自动扶梯和自动人行道必须装设附
加制动器。由于标准没有规定附加制动器的具体实现形式，且自动扶
梯和自动人行道在2004年前并没有列入生产许可证管理的设备范
围，因此GB16899-1997(EN115:1995)标准并没有得到全面贯彻实施。
2004年开展自动扶梯和自动人道制造许可和型式试验工作以来，我
们发现各制造厂家附加制动器动作原理差距甚远，各检测机构对标准
和细则的要求也不一致，造成了一定的混乱。因此提请安全技术委员
会对有关技术问题进行分析和澄清，以助于正确全面的贯彻标准和细
则，促进行业的健康发展。
二、问题由来
目前市场上已出现多家企业生产安装在自动扶梯和自动人行道
上的附加制动器，其电气控制部分的原理如附图1和附图2。
主驱动链上装有防断裂开关，当主驱动链断裂时，防断裂开关动
作，常开触点JA 闭合, 附加制动器的电磁线圈得电, 使得附加制动器动
作。
梯级或者踏板回路的上部和下部分别装有一个光电开关，将光电
开关的信号送入PLC 的输入端，检测回路的运转方向和速度。当电
梯超速或者非操纵逆转时，PLC 输出一个动作信号，使得附加制动器
的电磁线圈得电, 附加制动器动作。
其中需要特别指出的是，这种系统在附加制动器的电磁铁是不通
电的，当常开触点JA 闭合或者PLC 输出点导通后，电磁铁才通电触
发附加制动器动作。即附加制动器的工作机理是得电动作的。
三、存在的主要问题分析
存在的主要问题有：
1. 上述电控系统触发电磁铁是得电动作的。我们在2004年型式
试验中发现有多台按照上述原理设计的附加制动器不能动作，仔细分
析主要是因导线松动线圈绝缘损坏等原因，而由于正常运行时电磁铁
是不通电的，因此无法检测出回路的异常情况。估计在用自动扶梯和
自动人行道附加制动器有相当比例的附加制动器现已失效，构成了安
全隐患，请总局领导给予高度重视。
2. 目前采用两个光电开关+PLC检测超速和防逆转的电气回路不
能达到安全电路设计的要求。应涉及到安全电路的问题，由我中心冯
宏景向安全技术委员会提出专题报告，在此不作展开。
下面对第1个问题作简单的分析。
在GB16899等相关标准中仍然规定了这种电控系统应达到的要求，具体有：
1. GB16899-1997 14.2.2所有停止运行装置应通过切断电流起作用，而不是通过一个继电器电路的接通来完成。EN115:1995 14.2.2 All stopping devices shall act by interrupting current and not by the completion of a circuit of a relay.
附加制动器是停止运行装置的一种（详见14.2.2.4和14.2.4），因此按照标准的要求，附加制动器的作用应通过切断电流起作用而不是通过继电器电路的接通起作用。这表明，附加制动器应在自动扶梯和自动人行道正常运行时保持通电状态，而当需要附加制动器动作时，应通过切断其电流起作用, 即要求失电动作。上述附加制动器是得电动作型附加制动器, 因此是不符合要求的。
2. GB16899-1997 14.1.1所有在14.1.1.1中列出的自动扶梯和自动行道电气设备中的任何一种故障，如果在14.1.1.2或附录A （标准的附录）条件下不能排除的话，则本身不应成为自动扶梯和自动人行道危险故障的原因。
14.1.1.1 可能出现的故障：
a) 无电压；
b) 电压降低；
c) 导线（体）中断；
d) 电路的接地故障；
e) 某电气元件的短路或断路，参数值或功能改变如电阻器、电容器、晶体管、灯等；
f) 某接触器或继电器的可动衔铁不吸合或不完全吸合；
g) 某接触器或继电器的可动衔铁不断开；
h) 某触点不断开；
i) 某触点不闭合。
14.1.1Any one of the faults envisaged in 14.1.1.1 in the electrical equipment of the escalator or passenger conveyor if it cannot be exluded under conditions described in 14.1.1.2 and/or appendix A (normative) shall not on its own be the cause of a dangerous malfunction of the escalator or passenger conveyor.
14.1.1.1 Faults envisaged
a) absence of voltage;
b) voltage drop;
c) loss of continuity of a conductor;
d) fault to earth of a circuit;
e) short circuit or open circuit, change of value or function in an electrical component such as resistor, capacitor, transistor, lamp;
g) non-separation of the moving armature of a contactor or relay; f) non-attraction or incomplete attraction of the moving armature of a contactor or relay;
h) non-opening of a contact;
i) non-closing of a contact.
GB ／T 15706．1—1995（ISO ／TR 12100—1：1992）《机械安全——基本概念，设计通则——第1部分：基本术语、方法学》标准中将危险故障定义为“在机械（或其动力源）中产生危险状态的某种故障。”将危险状态定义为“使人面临一种或多种危险的某一状态。”将危险定义为“可能损伤或危害健康的起源”。因此可以将“其本身不应成为导致电梯危险故障的原因”解释为“其本身不应成为使人面临一种或多种可能损伤或危害健康的故障的原因”。具体到安全保护装置，由于其失效时使人面临一种或多种可能损伤或者危害健康的危险，因此安全保护装置应设计成14.1.1.1规定的十种故障中的任一单一故障发生时，保护装置不能失效，即仍应起作用。
对于上述附加制动器电气控制系统，当发生导线中断电压降低等导致附加制动器失效的单一故障时，附加制动器即使可能有报警信号输出，但附加制动器已经同时失效，此时的单一故障导致使人丧失上行超速保护，产生可能损伤或危害健康的危险，因此没有达到14.1.1的要求。而如果采用了失电动作的电气控制系统，上述单一故障的发生都是意味着电磁铁输出电磁能力的降低或者丧失，即单一故障发生的后果均是使得附加制动器趋于动作，安全保护的功能没有并丧失，因此是失电动作型的电气控制系统才是安全的
3. GB16899-1997 14.1.2.5 电气安全装置的操作
如果操作电气安全装置的装置设置在人们容易接近的地方，则它们应这样设置：即采用简单的方法不能使其失效。注：用磁铁或桥接件不算简单方法。EN115:1995 14.1.2.5 Actuation of electric safety devices If the devices for actuating electric safety devices are through the nature of their installation accessible to persons, they shall be so built that these electric safety devices cannot be rendered inoperative by simple means. NOTE : A magnet or a bridge piece is not considered a simple means.
装设在附加制动器上的安全开关是属于电气安全装置，对于电触发型附加制动器，从电气控制的角度来说，其所有电气控制的目的均是为了操作装设在附加制动器上的安全开关。按照标准14.1.2.5条款
的规定，采用简单的方法应不能使操作电气安全装置的装置失效。但是对于按照上述原理设计的附加制动器，只要剪断电磁铁的供电线或者限速器开关的导线，附加制动器的上行超速保护就已经失效了，即不可能动作了，因此上述原理设计的电气控制系统是不符合标准要求的。
4. 电梯作为一种机械产品，不仅应该符合电梯相关标准的规定，也应该符合机械安全的基本要求。这方面ISO/IEC和EN 有系列标准的规定，其中绝大部分标准也已被我国直接等效采用。实际上电梯标准的制定也是在通用机械安全的基础上结合具体电梯产品的特点制定的，因此有时为了更准确的理解电梯标准的相关条款，有必要查找相关的机械安全基础标准。有关机械安全控制系统的基础标准有GB/T16855.1-1997（EN954-1、ISO/TC199N45）《机械安全控制系统有关部件－第1部分：设计通则》，该标准将机械安全控制系统的安全级别进行了分类，从低到高分为B 、1、2、3、4五种类别，并规
上述附加制动器的电气控制部分不是3类（单向故障时安全功能始终执行），也不是2类（通过控制系统以适当的时间间隔检查安全功能），最多只能是1类，即通过选用经过验证的安全元件和安全原则来保证安全。那么附加制动器的电气控制部分应选择什么样的类别呢？可以根据GB/T16855.1-1997附录B “类别的选择指南”来确定。
附录B 规定根据损伤的严重度（S ）、暴露于危险的频次和时间（F ）、避开危险的可能性（P ）这三个要素的组合进行选择，具体见下表：
其中:
1．损伤的严重度（S ）分为S1：轻度（通常是可恢复的）损伤，S2严重（通常是不可恢复的）损伤
由于附加制动器的失效可能导致电梯使用者重伤或者死亡，因此应选择S2;
2．暴露于危险的频次和或时间（F ），分为F1：偶然到时常和/或暴露时间短，F2：频繁到连续和/或暴露时间长
这是一个危险相对于设备使用总时间有关的平均值的评估参数，电梯上行超速导致需要附加制动器动作的时间和电梯长期使用的时间相比是很少的，因此应选择F1;
3．避开危险的可能性（P ），分为P1：在特定条件下有可能；P2：几乎不可能
这是一个判定当危险发生时是否有可能认识并避免事故的评价参数，电梯上行超速需要附加制动器动作而附加制动器此时若失效，则避免事故的可能性是几乎没有的，因此应选择P2;
根据以上分析附加制动器电气控制系统的风险评价参数为S2-F1-P2, 对应的应达到安全类别为2类或者3类。因此上述1类的电
气控制系统是不符合要求的。
此外，对于GB7588－2003规定的电气安全装置的控制系统，包括如补偿绳的张紧装置、限速器绳的防跳装置等失效危险较小的电气安全装置，实际上均要求采用2类以上的安全类别进行设计，附加制动器的电气控制系统也应达到2类或者3类的安全类别。
值得注意是，2类电气控制系统是通过适当的时间间隔检查安全功能来保证系统安全的。电梯上制动器接触器和主接触器就是2类电气控制系统的典型例子。它们通过最迟到电梯下一次运行方向改变时检查接触器触点的状态，防止接触器可动衔铁不释放的危险。试验安全功能是否能可靠动作是检查安全功能的最有效手段，所以安全功能常常用于安全功能经常动作的场合。由于附加制动器一般在电梯正常运行中长期处于不动作（待动作）状态，因此实际上不适合采用2类安全类别来进行设计。
三、建议
综合以上分析，我们认为基于上述原理设计的电梯附加制动器电气控制系统是不符合要求的，建议安全技术委员会讨论并达成如下决议：
1. 如果附加制动器的动作需要电网电池等外部能量来驱动，当外部能量没有时，附加制动器应动作，并使电梯制动和使其保持在停止状态。带导向的压缩弹簧除外。
2．在GB16899-1997(EN115:1995) 14.1.1.1中所列出的任何单一电气设备故障，如在14.1.1.2和（或）附录H 所述条件下，其本身不应成为导致上行保护装置功能丧失的原因。
3. 附加制动器的电气控制系统应设置成采用简单的方法不能使其失效。注：用磁铁或桥接件不算简单方法。
4．附加制动器电气控制系统应按照2类或3类安全类别的要求进行设计。
自动扶梯和自动人行道附加制动器
电控系统问题由来和建议
一、背景
GB16899-1997(EN115:1995)自1998年2月1日起已开始强制执
行，在标准12.6规定的条件下，自动扶梯和自动人行道必须装设附
加制动器。由于标准没有规定附加制动器的具体实现形式，且自动扶
梯和自动人行道在2004年前并没有列入生产许可证管理的设备范
围，因此GB16899-1997(EN115:1995)标准并没有得到全面贯彻实施。
2004年开展自动扶梯和自动人道制造许可和型式试验工作以来，我
们发现各制造厂家附加制动器动作原理差距甚远，各检测机构对标准
和细则的要求也不一致，造成了一定的混乱。因此提请安全技术委员
会对有关技术问题进行分析和澄清，以助于正确全面的贯彻标准和细
则，促进行业的健康发展。
二、问题由来
目前市场上已出现多家企业生产安装在自动扶梯和自动人行道
上的附加制动器，其电气控制部分的原理如附图1和附图2。
主驱动链上装有防断裂开关，当主驱动链断裂时，防断裂开关动
作，常开触点JA 闭合, 附加制动器的电磁线圈得电, 使得附加制动器动
作。
梯级或者踏板回路的上部和下部分别装有一个光电开关，将光电
开关的信号送入PLC 的输入端，检测回路的运转方向和速度。当电
梯超速或者非操纵逆转时，PLC 输出一个动作信号，使得附加制动器
的电磁线圈得电, 附加制动器动作。
其中需要特别指出的是，这种系统在附加制动器的电磁铁是不通
电的，当常开触点JA 闭合或者PLC 输出点导通后，电磁铁才通电触
发附加制动器动作。即附加制动器的工作机理是得电动作的。
三、存在的主要问题分析
存在的主要问题有：
1. 上述电控系统触发电磁铁是得电动作的。我们在2004年型式
试验中发现有多台按照上述原理设计的附加制动器不能动作，仔细分
析主要是因导线松动线圈绝缘损坏等原因，而由于正常运行时电磁铁
是不通电的，因此无法检测出回路的异常情况。估计在用自动扶梯和
自动人行道附加制动器有相当比例的附加制动器现已失效，构成了安
全隐患，请总局领导给予高度重视。
2. 目前采用两个光电开关+PLC检测超速和防逆转的电气回路不
能达到安全电路设计的要求。应涉及到安全电路的问题，由我中心冯
宏景向安全技术委员会提出专题报告，在此不作展开。
下面对第1个问题作简单的分析。
在GB16899等相关标准中仍然规定了这种电控系统应达到的要求，具体有：
1. GB16899-1997 14.2.2所有停止运行装置应通过切断电流起作用，而不是通过一个继电器电路的接通来完成。EN115:1995 14.2.2 All stopping devices shall act by interrupting current and not by the completion of a circuit of a relay.
附加制动器是停止运行装置的一种（详见14.2.2.4和14.2.4），因此按照标准的要求，附加制动器的作用应通过切断电流起作用而不是通过继电器电路的接通起作用。这表明，附加制动器应在自动扶梯和自动人行道正常运行时保持通电状态，而当需要附加制动器动作时，应通过切断其电流起作用, 即要求失电动作。上述附加制动器是得电动作型附加制动器, 因此是不符合要求的。
2. GB16899-1997 14.1.1所有在14.1.1.1中列出的自动扶梯和自动行道电气设备中的任何一种故障，如果在14.1.1.2或附录A （标准的附录）条件下不能排除的话，则本身不应成为自动扶梯和自动人行道危险故障的原因。
14.1.1.1 可能出现的故障：
a) 无电压；
b) 电压降低；
c) 导线（体）中断；
d) 电路的接地故障；
e) 某电气元件的短路或断路，参数值或功能改变如电阻器、电容器、晶体管、灯等；
f) 某接触器或继电器的可动衔铁不吸合或不完全吸合；
g) 某接触器或继电器的可动衔铁不断开；
h) 某触点不断开；
i) 某触点不闭合。
14.1.1Any one of the faults envisaged in 14.1.1.1 in the electrical equipment of the escalator or passenger conveyor if it cannot be exluded under conditions described in 14.1.1.2 and/or appendix A (normative) shall not on its own be the cause of a dangerous malfunction of the escalator or passenger conveyor.
14.1.1.1 Faults envisaged
a) absence of voltage;
b) voltage drop;
c) loss of continuity of a conductor;
d) fault to earth of a circuit;
e) short circuit or open circuit, change of value or function in an electrical component such as resistor, capacitor, transistor, lamp;
g) non-separation of the moving armature of a contactor or relay; f) non-attraction or incomplete attraction of the moving armature of a contactor or relay;
h) non-opening of a contact;
i) non-closing of a contact.
GB ／T 15706．1—1995（ISO ／TR 12100—1：1992）《机械安全——基本概念，设计通则——第1部分：基本术语、方法学》标准中将危险故障定义为“在机械（或其动力源）中产生危险状态的某种故障。”将危险状态定义为“使人面临一种或多种危险的某一状态。”将危险定义为“可能损伤或危害健康的起源”。因此可以将“其本身不应成为导致电梯危险故障的原因”解释为“其本身不应成为使人面临一种或多种可能损伤或危害健康的故障的原因”。具体到安全保护装置，由于其失效时使人面临一种或多种可能损伤或者危害健康的危险，因此安全保护装置应设计成14.1.1.1规定的十种故障中的任一单一故障发生时，保护装置不能失效，即仍应起作用。
对于上述附加制动器电气控制系统，当发生导线中断电压降低等导致附加制动器失效的单一故障时，附加制动器即使可能有报警信号输出，但附加制动器已经同时失效，此时的单一故障导致使人丧失上行超速保护，产生可能损伤或危害健康的危险，因此没有达到14.1.1的要求。而如果采用了失电动作的电气控制系统，上述单一故障的发生都是意味着电磁铁输出电磁能力的降低或者丧失，即单一故障发生的后果均是使得附加制动器趋于动作，安全保护的功能没有并丧失，因此是失电动作型的电气控制系统才是安全的
3. GB16899-1997 14.1.2.5 电气安全装置的操作
如果操作电气安全装置的装置设置在人们容易接近的地方，则它们应这样设置：即采用简单的方法不能使其失效。注：用磁铁或桥接件不算简单方法。EN115:1995 14.1.2.5 Actuation of electric safety devices If the devices for actuating electric safety devices are through the nature of their installation accessible to persons, they shall be so built that these electric safety devices cannot be rendered inoperative by simple means. NOTE : A magnet or a bridge piece is not considered a simple means.
装设在附加制动器上的安全开关是属于电气安全装置，对于电触发型附加制动器，从电气控制的角度来说，其所有电气控制的目的均是为了操作装设在附加制动器上的安全开关。按照标准14.1.2.5条款
的规定，采用简单的方法应不能使操作电气安全装置的装置失效。但是对于按照上述原理设计的附加制动器，只要剪断电磁铁的供电线或者限速器开关的导线，附加制动器的上行超速保护就已经失效了，即不可能动作了，因此上述原理设计的电气控制系统是不符合标准要求的。
4. 电梯作为一种机械产品，不仅应该符合电梯相关标准的规定，也应该符合机械安全的基本要求。这方面ISO/IEC和EN 有系列标准的规定，其中绝大部分标准也已被我国直接等效采用。实际上电梯标准的制定也是在通用机械安全的基础上结合具体电梯产品的特点制定的，因此有时为了更准确的理解电梯标准的相关条款，有必要查找相关的机械安全基础标准。有关机械安全控制系统的基础标准有GB/T16855.1-1997（EN954-1、ISO/TC199N45）《机械安全控制系统有关部件－第1部分：设计通则》，该标准将机械安全控制系统的安全级别进行了分类，从低到高分为B 、1、2、3、4五种类别，并规
上述附加制动器的电气控制部分不是3类（单向故障时安全功能始终执行），也不是2类（通过控制系统以适当的时间间隔检查安全功能），最多只能是1类，即通过选用经过验证的安全元件和安全原则来保证安全。那么附加制动器的电气控制部分应选择什么样的类别呢？可以根据GB/T16855.1-1997附录B “类别的选择指南”来确定。
附录B 规定根据损伤的严重度（S ）、暴露于危险的频次和时间（F ）、避开危险的可能性（P ）这三个要素的组合进行选择，具体见下表：
其中:
1．损伤的严重度（S ）分为S1：轻度（通常是可恢复的）损伤，S2严重（通常是不可恢复的）损伤
由于附加制动器的失效可能导致电梯使用者重伤或者死亡，因此应选择S2;
2．暴露于危险的频次和或时间（F ），分为F1：偶然到时常和/或暴露时间短，F2：频繁到连续和/或暴露时间长
这是一个危险相对于设备使用总时间有关的平均值的评估参数，电梯上行超速导致需要附加制动器动作的时间和电梯长期使用的时间相比是很少的，因此应选择F1;
3．避开危险的可能性（P ），分为P1：在特定条件下有可能；P2：几乎不可能
这是一个判定当危险发生时是否有可能认识并避免事故的评价参数，电梯上行超速需要附加制动器动作而附加制动器此时若失效，则避免事故的可能性是几乎没有的，因此应选择P2;
根据以上分析附加制动器电气控制系统的风险评价参数为S2-F1-P2, 对应的应达到安全类别为2类或者3类。因此上述1类的电
气控制系统是不符合要求的。
此外，对于GB7588－2003规定的电气安全装置的控制系统，包括如补偿绳的张紧装置、限速器绳的防跳装置等失效危险较小的电气安全装置，实际上均要求采用2类以上的安全类别进行设计，附加制动器的电气控制系统也应达到2类或者3类的安全类别。
值得注意是，2类电气控制系统是通过适当的时间间隔检查安全功能来保证系统安全的。电梯上制动器接触器和主接触器就是2类电气控制系统的典型例子。它们通过最迟到电梯下一次运行方向改变时检查接触器触点的状态，防止接触器可动衔铁不释放的危险。试验安全功能是否能可靠动作是检查安全功能的最有效手段，所以安全功能常常用于安全功能经常动作的场合。由于附加制动器一般在电梯正常运行中长期处于不动作（待动作）状态，因此实际上不适合采用2类安全类别来进行设计。
三、建议
综合以上分析，我们认为基于上述原理设计的电梯附加制动器电气控制系统是不符合要求的，建议安全技术委员会讨论并达成如下决议：
1. 如果附加制动器的动作需要电网电池等外部能量来驱动，当外部能量没有时，附加制动器应动作，并使电梯制动和使其保持在停止状态。带导向的压缩弹簧除外。
2．在GB16899-1997(EN115:1995) 14.1.1.1中所列出的任何单一电气设备故障，如在14.1.1.2和（或）附录H 所述条件下，其本身不应成为导致上行保护装置功能丧失的原因。
3. 附加制动器的电气控制系统应设置成采用简单的方法不能使其失效。注：用磁铁或桥接件不算简单方法。
4．附加制动器电气控制系统应按照2类或3类安全类别的要求进行设计。