具体实施方式

现在将参照附图更加完全地描述本发明，附图中示出了本发明的示例性实施例。但是，本发明可按照很多不同的形式实现，并且不应该被理解为限制于这里阐述的实施例。相反，提供这些实施例使得本公开变得彻底和完整，并将本发明的构思完全传递给本领域技术人员。

虽然本发明的特征是结合若干实施/实施例的仅其中之一来公开的，但是如针对任何给定或可识别的功能可能是期望和/或有利的，可以将此特征与其他实施/实施例的一个或多个其他特征进行组合。

附图中所示的一些方框图是功能实体，不一定必须与物理或逻辑上独立的实体相对应。可以采用软件形式来实现这些功能实体，或者在一个或多个硬件模块或集成电路中实现这些功能实体，或者在不同处理装置和/或微控制器装置中实现这些功能实体。

本发明以下实施例中的机器乘客可以是各种类型的可以与电梯系统相关联的可移动的机器主体，机器乘客具体可以为例如外卖机器人、送餐机器人、快递机器人等可以乘用电梯的机器人，机器乘客也可以是受控地自主移动的运输车辆。将理解，机器乘客的具体类型、结构和/或用途可以是多种多样的，其不受本发明以下实施例的限制。

图1所示为按照本发明一实施例的电梯系统的示意图，其示意了电梯系统使用本发明一实施例的交互安全控制装置与一个或多个机器乘客进行无线交互；图2所示为按照本发明一实施例的交互安全控制装置或计算机设备的基本结构示意图；图3所示为按照本发明一实施例的交互安全控制装置的模块结构示意图。

如图1所示，本发明的电梯系统10包括一个或多个电梯轿厢120、以及电梯控制设备110，电梯控制设备110可以通过例如电梯控制柜、群控制器等来实现，其可以用来控制一个或多个电梯轿厢120在井道中行进。电梯控制设备110的具体实现方式不是限制性的。

将理解，电梯系统10还可以包括图中未示出的其他常规部件，例如曳引装置、对重等。

继续如图1所示，电梯系统10使用本发明一实施例的交互安全控制装置200与一个或多个机器乘客90进行无线交互。机器乘客90在需要乘坐电梯系统10的某个电梯轿厢120至目的楼层时，机器乘客90可以发送相应的指令901并经由无线网络80传输至交互安全控制装置200，在交互安全控制装置200确定指令901相对电梯系统10安全的情况下，才将指令901上送至电梯控制设备110，从而避免电梯控制设备110受不安全的指令影响而导致电梯系统运行不正常（例如运行不稳定、运行紊乱等），也减轻电梯控制设备110处理过多的来自机器乘客90的不安全指令的工作负荷。因此，在本发明实施例的电梯系统10中，电梯控制设备110并不直接与机器乘客90进行交互，机器乘客90所发出的指令901也并不直接发送到电梯控制设备110，而是在交互安全控制装置200中进行检测验证，以确定其相对电梯系统10的安全性。

具体地，机器乘客90上可以设置有例如支持4G/5G/Wifi通信的无线通信模块，交互安全控制装置200也可以设置有相应的无线通信模块，从而交互安全控制装置200可以与一个或多个机器乘客90实时地经由无线网络80进行无线通信连接。交互安全控制装置200的无线通信模块（例如如图2所示的通信设备280）中可以被配置有例如如图3所示的接口310，以接收来自各个机器乘客90的指令901，当然，接口310也向各个机器乘客90发送来自电梯系统10的信息，例如，调度信息、电梯运行状态信息等。

在一实施例中，交互安全控制装置200可以作为电梯系统10的一部分，其可以相对电梯控制设备110独立地外置，并且与电梯控制设备110通信连接；例如，交互安全控制装置200可以独立地制造形成并通过有线连接方式连接至电梯控制设备110来安装在电梯系统10中，从而可以非常方便、简单地对现有的不具有本发明的交互安全控制装置200的功能的电梯系统进行改造，例如通过外置增加一个交互安全控制装置200即可实现。

将理解，根据需要交互安全控制装置200也可以集成于电梯控制设备110中实现；也可以多个电梯系统10共用一个交互安全控制装置200。

如图2所示，交互安全控制装置200可以通过本发明一实施例的计算机设备200实现，该计算机设备可以是通用计算机、专用计算机或具有基于预定程序进行计算处理功能的机器，其甚至可以通过云计算来实现。

参见图2所示实施例的计算机设备200的具体示例性框架结构，在基本配置201中，计算机设备200典型地包括系统存储器220和一个或者多个处理器210。存储器总线230可以用于在处理器210和系统存储器220之间的通信。

取决于期望的配置，处理器210可以是任何类型的处理，包括但不限于：微处理器(μP)、微控制器(μC)、数字信息处理器(DSP)或者它们的任何组合。处理器210可以包括诸如一级高速缓存211和二级高速缓存213之类的一个或者多个级别的高速缓存，还可以包括处理器核心215和寄存器217。示例的处理器核心215可以包括运算逻辑单元(ALU)、浮点数单元(FPU)、数字信号处理核心(DSP核心)或者它们的任何组合。示例的存储器控制器219可以与处理器210一起使用，或者在一些实施例中，存储器控制器219可以是处理器210的一个内置部分。

取决于期望的配置，系统存储器220可以是任意类型的存储器，包括但不限于：易失性存储器(诸如RAM)、非易失性存储器(诸如ROM、闪存等)或者它们的任何组合。系统存储器220可以包括操作系统221、一个或者多个应用223以及程序数据229。在一些实施方式中，应用223可以布置为在操作系统上利用程序数据229进行操作。

计算机设备200还可以包括接口总线290，其有助于从各种接口设备（例如，输出设备260、外设接口270和通信设备280）经由总线/接口控制器250到基本配置102的通信。示例的输出设备260包括图形处理单元261和音频处理单元263。它们可以被配置为有助于经由一个或者多个A/V端口265与诸如显示器或者扬声器之类的各种外部设备进行通信。示例的外设接口270可以包括串行接口控制器 和并行接口控制器，它们可以被配置为有助于经由一个或者多个I/O端口和诸如输入设备(例如，键盘、鼠标、笔、语音输入设备、触摸输入设备)或者其他外设(例如打印机、扫描仪等)之类的外部设备进行通信。示例的通信设备280可以包括网络控制器281，其可以被布置为适于经由一个或者多个通信端口283与一个或者多个其他计算机设备（例如机器乘客90上的计算机设备）进行通信。

继续如图2所示，在一实施例中，计算机设备200的应用223中还包括交互安全控制单元227。交互安全控制单元227可以作为一个独立的软件安装于计算机设备200中，或仅体现为一段代码；将理解，交互安全控制单元227在计算机设备200中的存在形式不是限制性的。交互安全控制单元227可以控制机器乘客90与电梯控制设备110之间的交互安全性，也即基于从机器乘客90接收的指令901确定其相对电梯系统的安全性、并且在确定指令901相对电梯系统10不安全的情况下不发送指令901至电梯系统10的电梯控制设备110。

交互安全控制单元227可以被包含电梯系统10或维护管理系统800中，并作为电梯系统10的一功能部件。交互安全控制单元227的具体功能和实现方式可以结合以下图4至图11所示实施例的交互安全控制方法来理解。

参见图3，其示出了本发明一实施例的交互安全控制装置200或计算机设备200的模块结构示意图。交互安全控制装置200配置有接口310；交互安全控制装置200还配置有指令安全判断模块320、指令传输控制模块330，甚至还配置有支持有线通信的信息接收模块340，该信息接收模块340对应于电梯控制设备110而设置。

具体地，接口310可以是一种支持无线通信的接口，其可以在相应的通信端口283的基础上通过软件定义的方式来实现。接口310中还可选地可以定义一个或多个用于接收各种类型的来自机器乘客90的指令901的子接口，例如子接口311-316的一个或多个。通过例如软件定义方式来配置各个子接口，可以确定对每个子接口所能接收的来自机器乘客90的指令901的指令类型。

具体地，子接口311可以接收对应请求登记目的楼层的指令类型，子接口312可以接收对应请求电梯状态的指令类型，子接口313可以接收对应请求呼梯的指令类型，子接口314可以接收对应请求保持（hold）轿厢门打开的指令类型，子接口315可以接收对应请求释放（unhold）轿厢门的指令类型，子接口316可以接收对应状态轮询的指令类型。可以预先地通过软件定义的方式，确定每个子接口是否向机器乘客90安全开放，从而安全开放的子接口成为安全子接口；这样，安全子接口之外的其他子接口将被视为非安全接口，在指令安全判断模块320中，非安全接口所接收的相应指令类型的各种指令将被视为相对电梯系统10不安全的指令。

在一实施例中，接口310中向机器乘客90开放的子接口仅有子接口311和/或子接口312（如实线框所示），子接口311、子接口312 将分别成为第一安全子接口311、第二安全子接口312，这样，指令安全判断模块320对第一安全子接口311和第二安全子接口312之外的子接口所接收的其他类型的各种指令将被视为相对电梯系统不安全的指令；也即，请求登记目的楼层（例如Car Call）、请求电梯状态之外的其他各种类型的指令将视为相对电梯系统不安全的指令，即使它们被子接口313至子接口316接收，也将被过滤或不发送至电梯控制设备110。

在又一实施例中，接口310中向机器乘客90开放的子接口除子接口311、子接口312（如实线子框所示）之外，还可以选自子接口313-316（如虚线子框所示）的一个或多个，例如，子接口311、子接口312、子接口313、子接口314、子接口315、子接口316 将分别成为第一安全子接口311、第二安全子接口312、第三安全子接口313、第四安全子接口314、第五安全子接口315、第六安全子接口316，这样，指令安全判断模块320对第一安全子接口311至第六安全子接口316之外的子接口（图中未示出）所接收的其他类型的各种指令将被视为相对电梯系统不安全的指令；也即，请求登记目的楼层（例如Car Call）、请求电梯状态、请求呼梯（例如Hall Call）、请求保持轿厢门121打开（例如Hold Car Door）、请求释放轿厢门（例如Unhold Car Door）、状态轮询（例如Hello）之外的其他各种类型的指令将视为相对电梯系统不安全的指令，即使它们接口310接收，也将被过滤或不发送至电梯控制设备110。

将理解，向机器乘客90开放的子接口可以根据功能需要等在电梯系统管理人员允许的情况下来预先地设置，但是，设置后的使用过程中，开放的子接口不发生变化，这样防止机器乘客90发送各种类型多样的指令901来侵扰电梯系统10、减小电梯控制设备110的工作负重。当然，开放的子接口在重新预设置或预定义后，开放的子接口数量可以发生变化。

继续如图3所示，指令安全判断模块320被配置为用于基于接收的指令901确定其相对电梯系统10的安全性。各种类型的指令901可以具有相应的预定义格式，指令901的信息（即指令信息）具体可以包括指令类型、发送该指令的机器乘客的标识符、以及接收时间等，指令安全判断模块320可以检测分析每个指令901以获取其想要的指令信息，这些指令信息可以作为判断指令901是否相对电梯系统10的安全的信息基础。

继续如图3所示，指令传输控制模块330被配置为在确定指令901相对电梯系统10不安全的情况下不发送该不安全的指令至电梯控制设备110，可以尽可能地实现仅发送相对电梯系统10安全的指令110a至电梯控制设备110。

继续如图3所示，信息接收模块340可以被配置为接收电梯控制设备110的各种信息，例如，某一机器乘客90的一个或多个指令的相应电梯运行结果、电梯系统10的当前运行状态信息等。

继续如图3所示，交互安全控制装置200可以设置有状态确定模块350，确定模块350可以用于判断机器乘客901是否处于异常运行状态，这样与电梯系统10交互的机器乘客901如果处于异常运行状态（例如死机、网络连接异常、内部功能故障等），交互安全控制装置200可以及时发现，有助于管理人员对机器乘客901进行维护操作等，也可以避免异常运行状态下的机器乘客90对电梯系统10的运行造成负面影响（例如导致电梯系统运行异常、影响乘客体验）。相应的，指令安全判断模块320还配置为根据接收的指令901中机器乘客的标识符判断其是否来自于异常运行状态的机器乘客、并将来自于处于异常运行状态的机器乘客90的指令确定为相对电梯系统10不安全的指令。

以下进一步结合图4至图11所示的交互安全控制方法的流程图来说明本发明多个实施例的交互安全控制方法以及上述交互安全控制装置200中的各个模块的相应具体配置。

图4所示为按照本发明第一实施例的交互安全控制方法的流程图。如图4所示，首先，在机器乘客90与交互安全控制装置200已经建立无线连接的情况下，执行步骤S410：接收来自机器乘客90的指令901。该步骤S410可以通过接口310实现，指令901的信息可以包括指令类型、发送该指令的机器乘客的标识符、以及接收时间，其中，接收时间可以通过接口310获取。

步骤S421，基于指令901的指令类型判断当前接收的指令901是否属于向机器乘客90预先开放的安全子接口所对应的指令类型。

在步骤S421中，在一实施例中，向机器乘客90预先开放的安全子接口选自以下的一个或多个：对应请求登记目的楼层的指令类型的第一安全子接口311，对应请求电梯状态的指令类型的第二安全子接口312；第一安全子接口311或第二安全子接口312对应接收的指令是相对安全的指令类型。在又一实施例中，向机器乘客90预先开放的安全子接口还进一步可以选自以下的一个或多个：对应请求呼梯的指令类型的第三安全子接口313，对应请求保持轿厢门打开的指令类型的第四安全子接口314，对应请求释放轿厢门的指令类型的第五安全子接口315，对应状态轮询的指令类型的第六安全子接口316；安全子接口对应接收的指令类型是相对安全的指令类型

步骤S430，在该当前接收的指令901为不属于安全子接口的其中任何一个所对应的指令类型的情况下（即步骤S421判断为“否”的情况下），确定该当前接收的指令901相对电梯系统10不安全。

步骤S440，在确定指令相对电梯系统10不安全的情况下，不发送该指令901至电梯系统10的电梯控制设备110；具体可以通过阻止发送、过滤等方式来实现不发送该指令901至电梯控制设备110。

步骤S450，在该当前接收的指令901为属于安全子接口的其中任何一个所对应的指令类型的情况下（即步骤S421判断为“是”的情况下），也即可以确定该当前接收的指令901相对电梯系统10基本安全，继续发送当前接收的指令901至电梯控制设备110，从而电梯控制设备110可以响应于机器乘客90的该安全的指令来控制电梯系统10，例如，为机器乘客90派梯、保持轿厢门121打开等。

以上步骤S421和S430可以在交互安全控制装置200的指令安全判断模块320中实现，以上步骤S440和S450可以在交互安全控制装置200的指令传输控制模块330中实现。

以上实施例的交互安全控制方法可以从指令类型角度将被定义为不安全的来自机器乘客90的指令901过滤掉，避免机器乘客90的各种类型的指令901都上送至电梯控制设备110，有利于确保电梯系统10的安全可靠运行、并减少电梯控制设备110的工作负荷。

图5所示为按照本发明第二实施例的交互安全控制方法的流程图，其相比于图4所示实施例的安全交互方法增加了步骤S422。

如图5所示，在步骤S421判断为“是”的情况下，进入步骤S422对检测通过的指令901进行进一步的安全检测。

在步骤S422中，基于来自同一机器乘客90的指令901的接收时间，确定来自同一机器乘客的相同指令类型的指令的相邻接收时间间隔T_i，以及基于确定的相邻接收时间间隔T_i确定指令901相对电梯系统的安全性；具体地，如果当前接收的指令的相邻接收时间间隔T_i小于该指令的指令类型所对应的安全时间间隔T_s（即T_i<T_s），进入步骤S430，确定该当前接收的指令901相对电梯系统10不安全；否则，进入步骤S450。

其中，安全时间间隔T_s是根据相应指令类型的指令被电梯系统正常执行一次最少所需的时间而分别预先设置的，这样，对应不同的指令类型，可能对应设置有不同的安全时间间隔T_s。示例地，对于请求登记目的楼层指令，T_s=3秒；对于请求呼梯指令，T_s=10秒；对于请求保持轿厢门打开的指令，T_s=3秒；对于释放轿厢门的指令，T_s=10秒；对于状态轮询的指令，T_s=30秒。

以上步骤S422也可以在交互安全控制装置200的指令安全判断模块320中实现。

以上第二实施例的交互安全控制方法可以将来自同一机器乘客90的重复的且过于频繁的指令过滤掉，进一步减少这种不安全指令对电梯系统10的运行产生紊乱，相比第一实施例的交互安全控制方法进一步确保电梯系统10的安全可靠运行、并减少电梯控制设备110的工作负荷。

将理解，在其他实施例中，也可以省去例如步骤S421但保留步骤S422来实现安全交互控制。

图6所示为按照本发明第三实施例的交互安全控制方法的流程图，其相比于图5所示实施例的安全交互方法增加了步骤S423。

如图6所示，在步骤S422判断为“是”的情况下，进入步骤S423，对之前通过检测的指令901进行进一步的安全检测。

在步骤S423中，判断指令排列组合是否符合电梯系统10的控制逻辑。具体地，如果来自同一机器乘客90的前后依次接收的第一指令和第二指令具有互不相同的指令类型且之前已经接收的第一指令已经发送至电梯控制设备110，则判断包含该第一指令与该第二指令的指令排列组合是否符合电梯系统10同一乘客的控制逻辑；如果所述指令排列组合不符合控制逻辑（即判断为“否”），则进入步骤S430，确定当前接收的第二指令相对电梯系统10不安全；否则，进入步骤S450。

其中，电梯系统10的控制逻辑对于电梯系统10来说是已知的，并且可以存储在交互安全控制装置200中。

在一实施例中，步骤S423还可以包括形成对应当前接收的第二指令的指令排列组合的过程。具体地，根据当前接收的第二指令的接收时间确定从该接收时间向前推相应的预定时间段得到的预定时间段，其中，该预定时间段与第二指令的指令类型有关，例如，对于不同指令类型，可以设置不同的所述预定时间；进一步，确定预定时间段内所包含的已接收且已发送至所述电梯控制设备的来自同一机器乘客的第一指令，并形成按接收时间的先后顺序形成的包含该第一指令和第二指令的指令排列组合。

当然，如果预定时间段内包含的已接收且已发送至所述电梯控制设备的所述第一指令，步骤S423中判断使用的指令排列组合将缺少，可以理解为步骤S423判断为“是”。

以上步骤S423也可以在交互安全控制装置200的指令安全判断模块320中实现。

以上第三实施例的交互安全控制方法可以防止自同一机器乘客90对应电梯系统10产生不符合其控制逻辑的指令组合，进一步减少这种不安全指令对电梯系统10的运行产生紊乱，相比第二实施例的交互安全控制方法进一步确保电梯系统10的安全可靠运行、并减少电梯控制设备110的工作负荷。

为理解以上第三实施例的交互安全控制方法的技术效果，以下具体示例说明。如果机器乘客90在t₁时刻发出请求保持轿厢门打开的指令901₁，在2秒后的t₂时刻又相继发出请求登记目的楼层的指令901₂，指令安全判断模块320在接收到指令901₂时，可以生成对应3秒时间段内的包含指令901₁和901₂的指令排列组合，该指令排列组合明显不符合电梯系统10的控制逻辑，指令901₂很可能是机器乘客90自动错误发送的指令，其对电梯系统10的运行安全产生负面作用，因此，该指令901₂将被阻止上送至电梯控制设备110。

图7所示为按照本发明第四实施例的交互安全控制方法的流程图，其相比于图5所示实施例的安全交互方法增加了步骤S424。

如图7所示，在步骤S422判断为“是”的情况下，进入步骤S424，对之前通过检测的指令901进行进一步的安全检测。

在步骤S424中，判断指令所要求的将要进入的运行状态是否被允许，其中，基于接收的指令及其指令类型以及电梯系统的当前运行状态信息确定该接收的指令相对电梯系统10的安全性。其中，电梯系统10的当前运行状态信息可以通过信息接收模块340从电梯控制设备110接收获取。

具体地，如果从电梯系统10的当前运行状态切换至所述指令所要求的将要进入的运行状态是电梯系统10不允许的，则确定该当前接收的指令相对电梯系统不安全。示例地，电梯系统的当前运行状态为“轿厢行进中”、机器乘客90发出的请求保持轿厢门打开的指令对应要求进入的运行状态是保持轿厢门121打开，这在任何已有的电梯系统中都是不允许进行这种状态切换的，因此，确定当前求保持轿厢门打开的指令相对电梯系统10不安全。

其中，电梯系统10是否不允许某些运行状态切换，对于电梯系统10来说是已知的，并且可以存储在交互安全控制装置200中。

以上步骤S424也可以在交互安全控制装置200的指令安全判断模块320中实现。

以上第四实施例的交互安全控制方法可以防止自某一机器乘客90对应电梯系统10产生不符合电梯系统10的当前实际运行状态的指令，进一步减少这种不安全指令对电梯系统10的运行产生紊乱，相比第二实施例的交互安全控制方法进一步确保电梯系统10的安全可靠运行、并减少电梯控制设备110的工作负荷。

图8所示为按照本发明第五实施例的交互安全控制方法的流程图，其相比于图5所示实施例的安全交互方法增加了步骤S425。

如图8所示，在步骤S422判断为“是”的情况下，进入步骤S425，对之前通过检测的指令901进行进一步的安全检测。

在步骤S425中，判断某类型的指令是否包含错误的参数值。

具体地，基于接收的指令901及其指令类型判断该指令中是否包含相应指令类型的错误参数值；如果该指令901包含错误参数值，则确定该当前接收的指令相对电梯系统10不安全。示例地，就请求登记目的楼层的指令而言，如果当前电梯轿厢120允许登记的目的楼层不包括例如5-10楼，如果从机器乘客90接收的指令901为请求登记目的楼层8楼，那么可以确定该请求登记目的楼层的指令901包含错误的参数值。

需要理解的是，对于不同指令类型，可以预先地定义相应的错误参数值，并将其存储在交互安全控制装置200中。

以上步骤S425也可以在交互安全控制装置200的指令安全判断模块320中实现。

以上第五实施例的交互安全控制方法可以将来自机器乘客90的重包含错误的参数值的指令过滤掉，进一步减少这种不安全指令对电梯系统10的运行产生紊乱，相比第二实施例的交互安全控制方法进一步确保电梯系统10的安全可靠运行、并减少电梯控制设备110的工作负荷。

图9所示为按照本发明第六实施例的交互安全控制方法的流程图，其相比于图5所示实施例的安全交互方法增加了步骤S426。

如图9所示，在步骤S421判断为“是”的情况下，进入步骤S426对检测通过的指令901进行进一步的安全检测。

在步骤S426中，基于所述接收的指令901判断其是否为相对电梯系统10有效但相对机器乘客90无效的指令。如果接收的指令901是相对电梯系统10有效但相对机器乘客90无效的指令（即判断为“是”的情况下），则确定接收的指令901相对电梯系统10不安全；如果接收的指令901是相对电梯系统10有效且相对机器乘客90有效的指令（即判断为“否”的情况下），则进入步骤S422。

将理解，相对电梯系统10有效但相对机器乘客90无效的指令可以预先地定义并存储在交互安全控制装置200中。例如，电梯系统10的某些指令是对于普通乘客或维护人员开放且有效的（例如锁定/解锁COP按钮），但是这实际上完全对机器乘客90无效的，也不能对其开放，因此，可以将这类型的诸多指令作为不安全指令预先地定义并存储在交互安全控制装置200中。

以上步骤S426也可以在交互安全控制装置200的指令安全判断模块320中实现。

以上第六实施例的交互安全控制方法可以从例如指令类型角度将被定义为相对机器乘客90无效的指令901过滤掉，作为结果，其相比第二实施例的交互安全控制方法进一步确保电梯系统10的安全可靠运行、并减少电梯控制设备110的工作负荷。

图10所示为按照本发明第七实施例的交互安全控制方法的流程图，其相比于图6所示实施例的安全交互方法增加了步骤S461-S464。

在步骤S461中，在机器乘客90的指令901被上送送至电梯控制设备110的情况下，电梯系统10会进行相应的操作（例如调度操作）并产生相应的运行结果；通过信息接收模块340可以获取对应于已发送至电梯控制设备110的一个或多个指令901的相应电梯运行结果。

在步骤S462中，判断该电梯运行结果是否包括运行异常（例如，电梯运行不稳定、非正常运行、电梯系统产生紊乱等）且该运行异常不是由电梯系统10自身所导致。

具体地，所述运行异常包括以下一个或多个：轿厢门/层门的持续打开时间长于或等于相应预定值，轿厢门/层门的开闭频率大于或等于相应预定值，轿厢的持续行进时间短于或等于相应预定值，轿厢的持续行进时间长于或等于相应预定值，电梯控制设备发生逻辑错误，等等。

具体地，在步骤S462中，判断多次（例如N次，N大于或等于2）发生的相同运行异常是否关联于由同一机器乘客多次（例如N次）发送的指令；如果判断为“是”，则进入步骤S463。

如果多次发生的相同运行异常是分别关联于由不同机器乘客所多次发送的指令，那么很可能该运行异常并不是机器乘客所导致，而是例如有可能是电梯系统10自身的问题所导致，因此，可以大致判断出该运行异常不是由电梯系统10自身所导致。

在步骤S463中，如果步骤S462判断为“是”，则确定所述一个指令相对电梯系统10不安全，或多个指令的指令排列组合不符合电梯系统10的控制逻辑。

在步骤S464中，对于已经确定的相对所述电梯系统不安全的所述指令、或者已经确定的不符合电梯系统10的控制逻辑的指令排列组合，可以将它们存储在例如交互安全控制装置200中。这些存储的指令和/或指令排列组合可以用来确定后续接收的指令901相对电梯系统的安全性，例如在步骤S423中后续应用；从而可以有效防止机器乘客90所导致的上述运行异常。

以上第七实施例的交互安全控制方法可以自学习地获得不安全的指令和/或不符合电梯系统10的控制逻辑的指令排列组合，作为结果，其相比图6实施例的交互安全控制方法可以更进一步确保电梯系统10的安全可靠运行。

图11所示为按照本发明第八实施例的交互安全控制方法的流程图。

首先，步骤S1110，判断机器乘客90是否处于异常运行状态。如果判断为“是”， 处于异常运行状态的机器乘客90的ID将被记录在交互安全控制装置200中，并在步骤S1130中使用；如果判断为“否”，可以进入以上任意第一至第七所示实施例的交互安全控制方法中。

同时，步骤S1120，接收来自多个机器乘客90的指令901。

其中，步骤S1120与图4所示实施例的交互安全控制方法的布置S410基本相同，在此省略对它的具体描述。

步骤S1130，判断当前接收的某一个指令90是否来自处于异常运行状态的机器乘客。示例地，通过提取当前接收的某一个指令90所包含的机器乘客的标识符，然后将该标识符来与已经记录的处于异常运行状态的机器乘客90的标识符进行比对，可以得到相应的判断结果。

如果判断为“是”，进入步骤S1140，确定当前接收的指令相对电梯系统10不安全，这样，对来自处于异常运行状态的机器乘客的指令都被确定为相对电梯系统10不安全的指令。

进一步，步骤S1150，不发送该指令901至电梯系统10的电梯控制设备110；具体可以通过阻止发送、过滤等方式来实现不发送该指令901至电梯控制设备110。

这样，异常运行状态的机器乘客的指令都将会被相对电梯系统10外置的交互安全控制装置200过滤掉，避免异常运行状态的机器乘客（例如被黑客劫持的机器乘客）持续对电梯系统10的安全运行产生负面影响。

以上步骤S1110具体可以在交互安全控制装置200的状态确定模块350中实现，步骤S1130和S1140可以在交互安全控制装置200的指令安全判断模块320中实现。

以上步骤S1110具体可以通过以下示例的任何一种或多种方式的组合来实现。

在示例的第一种方式中，获取对应于已发送至电梯控制设备110的来自某一机器乘客90的一个或多个指令的相应电梯运行结果；如果该电梯运行结果包括运行异常，则判断多次（例如N次，N大于或等于2）发生的相同的运行异常是否都关联于由同一机器乘客发送的指令901（例如同一机器乘客N次发送的同一指令901）；如果判断为“是”，则确定该机器乘客处于异常运行状态。可选地，如果该电梯运行结果包括运行异常，则发出第一提示信息（例如关于电梯系统运行异常的报警信息）。

需要说明的是，如果多次发生的相同的运行异常分别关联到多个不同机器乘客所发送的指令901，那么很可能该运行异常并不是机器乘客90所导致，而是例如有可能是电梯系统10自身的问题所导致，或者有可能是其他乘客的呼梯操作所导致。

在示例的第二种方式中，基于以上图4至图10的任一实施例的交互安全控制方法所获取的结果，统计相对电梯系统10不安全的指令来自哪些机器乘客90；例如，统计某一时间段各个机器乘客90发送不安全的指令的频次以得到相应的统计信息，还例如，按指令类型统计各个机器乘客90发送不安全的指令的次数；具体的统计方式可以根据相应的需求而选择。进一步，基于统计得到的关于机器乘客90的统计信息确定哪些机器乘客90处于异常运行状态；示例地，如果统计信息表示某一时间段内某一机器乘客90过于频繁地发送某一指令类型的不安全指令，则可以确定该机器乘客90在发送该指令类型的指令方面存在故障或运行异常。

在示例的第三种方式中，借助于从交互安全控制装置200一侧发出的状态轮询信息以及机器乘客90针对状态轮询信息的响应指令，来判断相应的机器乘客是否处于异常运行状态。

具体地，首先，按周期地持续向机器乘客90发送或广播状态轮询信息；作为机器乘客，如果其处于正常运行状态，将会正常地按周期地反馈相应的响应指令以表示其很可能处于正常运行状态；如果机器乘客90处于某些异常运行状态（例如死机、无线网络连接异常等），则不能反馈相应的响应指令。这样，状态轮询信息可以按周期地从交互安全控制装置200向机器乘客90发送，在机器乘客90处于正常运行状态的情况下交互安全控制装置200也能够按周期地接收到来自所述机器乘客的响应指令。

进一步，判断是否接收到从机器乘客90反馈的针对所述状态轮询信息的响应指令；如果判断为“否”（即未接收到所述响应指令），则确定相应的机器乘客90处于异常运行状态。

这样，可以快速方便地发现机器乘客90是否处于异常运行状态，尤其能够有效地发现机器乘客90不能与交互安全控制装置200或电梯系统10进行交互的异常运行状态，例如，机器乘客90因死机等故障不能从电梯轿厢120中出来时，以上第三种方式可以及时发现这种异常运行状态。

在示例的第四种方式中，借助于机器乘客90一侧发出的状态表示信息来判断相应的机器乘客90是否处于异常运行状态。

具体地，机器乘客90可以按周期地持续向交互安全控制装置200发出状态表示信息，该状态表示信息可以反映机器乘客90的运行状态、甚至可以包括具体的故障信息。特别是在机器乘客90内部的某些功能模块发生故障的情况下（例如行走机构卡死等），机器乘客90可主动地向交互安全控制装置200发送用于表示其状态异常的状态表示信息。需要说明的是，机器乘客90内部可以配置相应的故障诊断模块来获取相应的故障信息，从而确定其状态异常。

进一步，如果交互安全控制装置200接收到从机器乘客90主动发送过来的用于表示其状态异常的状态表示信息，则确定机器乘客90处于异常运行状态。当然，如果交互安全控制装置200接收到从机器乘客90主动发送过来的用于表示其状态正常的状态表示信息，则可以确定机器乘客90处于正常运行状态。

这样，可以快速方便地发现机器乘客90是否处于异常运行状态，尤其能够有效地发现机器乘客90能与交互安全控制装置200或电梯系统10进行正常交互但内部某些功能模块发生故障的异常运行状态，例如，机器乘客90因行走机构卡死、电源不足以驱动其行走、某些控制模块被黑客劫持等故障不能从电梯轿厢120中出来时，以上第四种方式可以及时发现这种异常运行状态。

需要说明的是，以上第一种和第二种方式主要是交互安全控制装置200从电梯系统10一侧获取相应的信息并对其进行分析处理，从而确定或发行机器乘客90的异常运行状态；以上第三种和第四种方式主要是从机器乘客90获取相应的反馈信息来确定或发行机器乘客90的异常运行状态。它们可以彼此组合地应用。

需要理解的是，机器乘客90的异常运行状态是多种多样的，并且可能对应不同类型的机器乘客90，其对应的异常运行状态也可能不同，甚至今后可能涌现出更多新的异常运行状态。以上示例的各种方式在确定各种具体的异常运行状态方面是存在差异化的表现，例如可能在确定某一种具体的异常运行状态方面存在不足（例如准确度不够）、但在确定另一种异常运行状态方面存在优势；因此，可以从各自的优势出发，彼此组合地应用，例如，将以上第三种方式和第三种方式组合一起应用，基于响应指令和状态表示信息二者一起判断机器乘客90的运行状态。

在又一实施例中，在确定机器乘客90处于异常运行状态的情况下，交互安全控制装置200可以向维护管理系统（图中未示出）发送至少表示相应机器乘客90处于异常运行状态的第二提示信息，例如报警信息；可选地，该第二提示信息还可以包括相应机器乘客的标识符、相应机器乘客的故障类型、相应机器乘客相对于电梯系统的位置信息等，这样非常有利于维护管理人员快速方便地定位故障并及时对机器乘客90进行维护。

需要说明的是，以上示例的各种交互安全控制方法可以主要地在计算机设备200或计算机设备200的安全交互控制单元227中实现。

需要说明的是，本发明的以上实施例的计算机设备200可以由计算机程序指令实现，例如，通过专用的APP来实现，可以将这些计算机程序指令提供给通用计算机、专用计算机或其他可编程数据处理设备的处理器以构成本发明实施例的计算机设备200，并且，可以由计算机或其他可编程数据处理设备的处理器执行的这些指令来创建用于实施这些流程图和/或框和/或一个或多个流程框图中指定的功能/操作的单元或部件。

并且，可以将这些计算机程序指令存储在计算机可读存储器中，这些指令可以指示计算机或其他可编程处理器以特定方式实现功能，以便存储在计算机可读存储器中的这些指令构成包含实施流程图和/或框图的一个或多个框中指定的功能/操作的指令部件的制作产品。

还应该注意在一些备选实现中，框中所示的功能/操作可以不按流程图所示的次序来发生。例如，依次示出的两个框实际可以基本同时地执行或这些框有时可以按逆序执行，具体取决于所涉及的功能/操作。

需要说明的是，本文公开和描绘的元件（包括附图中的流程图、方块图）意指元件之间的逻辑边界。然而，根据软件或硬件工程实践，描绘的元件及其功能可通过计算机可执行介质在机器上执行，计算机可执行介质具有能够执行存储在其上的程序指令的处理器，所述程序指令作为单片软件结构、作为独立软件模块或作为使用外部程序、代码、服务等的模块，或这些的任何组合，且全部这些执行方案可落入本公开的范围内。

虽然不同非限制性实施方案具有特定说明的组件，但本发明的实施方案不限于这些特定组合。可能使用来自任何非限制性实施方案的组件或特征中的一些与来自任何其它非限制性实施方案的特征或组件组合。

虽然示出、公开和要求了特定步骤顺序，但应了解步骤可以任何次序实施、分离或组合，除非另外指明，且仍将受益于本公开。

前述描述是示例性的而非定义成受限于其内。本文公开了各种非限制性实施方案，然而，本领域的一般技术人员将意识到根据上述教示，各种修改和变更将落入附属权利要求的范围内。因此，将了解在附属权利要求的范围内，可实行除了特定公开之外的公开内容。由于这个原因，应研读附属权利要求来确定真实范围和内容。