KR101366955B1

KR101366955B1 - 엘리베이터 안전 제어 장치

Info

Publication number: KR101366955B1
Application number: KR1020127022851A
Authority: KR
Inventors: 가즈노리 와시오; 마사후미 이와타; 다쿠야 이시오카
Original assignee: 미쓰비시덴키 가부시키가이샤
Priority date: 2010-03-12
Filing date: 2010-03-12
Publication date: 2014-02-24
Anticipated expiration: 2030-03-12
Also published as: US20120292136A1; JP5550718B2; KR20120118058A; DE112010005384T5; US9108823B2; WO2011111223A1; CN102781804A; JPWO2011111223A1; CN102781804B

Abstract

본 발명은, 비록 복수의 안전 제어 기능을 탑재하였다 해도, 고비용 및 설치나 보수의 수고의 증대를 억제할 수 있어, 정상적인 안전 제어 기능의 안전성을 손상시키지 않는 엘리베이터 안전 제어 장치를 제공한다. 그리고, 본 발명에 따른 엘리베이터 안전 제어 장치(25)에서는, 안전 제어 기능의 독립성을 보증하는 독립성 보증부(36)를 구비하고 있다. 독립성 보증부(36)는, 각 안전 제어 기능이 허가된 영역 이외의 메모리(37)에 액세스하고 있는지 여부를 감시함으로써써, 안전 제어 기능의 독립성을 보증하고 있다. 그리고, 소정의 안전 제어 기능에 의한 허가된 영역 이외의 메모리(37)로의 액세스를 독립성 보증부(36)가 검출했을 때, 엘리베이터 안전 제어 장치(25)는, 카(1)를 정지시킨다

Description

엘리베이터 안전 제어 장치{ELEVATOR SAFETY CONTROL DEVICE}

본 발명은, 센서로부터의 센서 신호에 근거하여, 안전성의 관점에서 엘리베이터의 운전을 제어하는 엘리베이터 안전 제어 장치에 관한 것이다.

종래의 엘리베이터 안전 제어 장치에서는, 복수의 안전 제어 기능을 제공하는 경우, 기판 혹은 장치를 상기 안전 제어 기능의 수만큼 준비할 필요가 있었다(예를 들어, 특허 문헌 1 참조). 여기서, 하나의 기판 혹은 하나의 장치에는, 프로세서(CPU)와 메모리를 포함하는 논리부가 형성되어 있다.

특허 문헌 1에 따른 기술에서는, 카의 위치 및 속도를 감시하는 감시 기판(감시부)과 제 2 제동 동작을 행할 때에 브레이크 장치를 제어하는 브레이크 제어 기판(브레이크 제어부)을 갖고 있다. 즉, 특허 문헌 1에 따른 기술에서는, 2개의 안전 제어 기능을 갖고 있고, 해당 안전 제어 기능 수만큼의 상기 논리부가 형성된 기판(장치)이 배치되어 있다.

(선행 기술 문헌)

(특허 문헌)

특허 문헌 1: 국제 공개 제2007/057973호

상기와 같이, 특허 문헌 1에 따른 엘리베이터 안전 제어 장치에서는, 안전 제어 기능마다, 기판 혹은 장치를 복수 준비하지 않으면 안된다. 따라서, 특허 문헌 1에 따른 엘리베이터 안전 제어 장치에 대하여 복수의 안전 제어 기능을 실현시키면, 해당 엘리베이터 안전 제어 장치는 고비용으로 되고, 또한 해당 엘리베이터 안전 제어 장치의 설치나 보수의 수고가 증대하고 있었다.

상기 문제를 극복하는 방법으로서 하나의 기판 혹은 장치에, 복수의 안전 제어 기능을 실장시키는 방법이 있다. 그러나, 단지, 하나의 기판 혹은 장치에 복수의 안전 제어 기능을 실장시킨 것만으로는, 임의의 안전 제어 기능이 고장난 경우에, 다른 안전 제어 기능에 영향을 미쳐, 정상적인 안전 제어 기능의 안전성을 손상시킬 우려가 있었다.

그래서, 본 발명은, 비록 복수의 안전 제어 기능을 탑재했다고 해도, 고비용 및 설치나 보수의 수고의 증대를 억제할 수 있고, 정상적인 안전 제어 기능의 안전성을 손상시키지 않는 엘리베이터 안전 제어 장치를 제공하는 것을 목적으로 한다.

상기의 목적을 달성하기 위해서, 본 발명에 따른 청구항 1에 기재된 엘리베이터 안전 제어 장치는, 카의 정지를 제어하는 엘리베이터 안전 제어 장치로서, 엘리베이터 상태에 관한 신호를 입력 값으로서 입력하는 입력부와, 상기 입력 값을 이용하여, 복수의 안전 제어 기능에 관한 연산을 각각 독립된 프로그램으로 실행함으로써, 상기 엘리베이터의 안전 제어에 관한 연산을 행하는 CPU(Central Processing Unit)와 메모리를 포함하는 논리부와, 상기 안전 제어 기능간에 영향을 서로 미치지 않는 상기 안전 제어 기능의 독립성을 보증하는 독립성 보증부를 구비하고 있고, 상기 독립성 보증부는, 각 상기 안전 제어 기능이 허가된 영역 이외의 상기 메모리에 액세스하고 있는지 여부를 감시함으로써, 상기 안전 제어 기능의 독립성을 보증하고 있고, 소정의 상기 안전 제어 기능에 의한 허가된 영역 이외의 상기 메모리로의 액세스를 상기 독립성 보증부가 검출했을 때, 상기 엘리베이터 안전 제어 장치는 상기 카를 정지시킨다.

또한, 본 발명에 따른 청구항 3에 기재된 엘리베이터 안전 제어 장치는, 카의 정지를 제어하는 엘리베이터 안전 제어 장치로서, 엘리베이터 상태에 관한 신호를 입력 값으로서 입력하는 입력부와, 상기 입력 값을 이용하여, 복수의 안전 제어 기능에 관한 연산을 각각 독립된 프로그램으로 실행함으로써, 상기 엘리베이터의 안전 제어에 관한 연산을 행하는 CPU(Central Processing Unit)를 포함하는 논리부와, 상기 안전 제어 기능간에 영향을 서로 미치지 않는 상기 안전 제어 기능의 독립성을 보증하는 독립성 보증부를 구비하고 있고, 상기 독립성 보증부는, 상기 안전 제어 기능에 의한 연산 처리 시간이 미리 설정된 규정 시간을 초과하였는지 여부를 감시함으로써, 상기 안전 제어 기능의 독립성을 보증하고 있고, 상기 독립성 보증부가, 상기 연산 처리 시간이 상기 규정 시간을 초과한 것을 검출했을 때, 상기 엘리베이터 안전 제어 장치는 상기 카를 정지시킨다.

본 발명의 청구항 1에 기재된 엘리베이터 안전 제어 장치에서는, 독립성 보증부는, 각 안전 제어 기능이 허가된 영역 이외의 메모리에 액세스하고 있는지 여부를 감시함으로써, 안전 제어 기능의 독립성을 보증하고 있다. 그리고, 소정의 안전 제어 기능에 의한 허가된 영역 이외의 메모리로의 액세스를 독립성 보증부가 검출했을 때, 엘리베이터 안전 제어 장치는, 카를 정지시킨다.

또한, 본 발명의 청구항 3에 기재된 엘리베이터 안전 제어 장치에서는, 독립성 보증부는, 안전 제어 기능에 의한 연산 처리 시간이 미리 설정된 규정 시간을 초과하였는지 여부를 감시함으로써, 안전 제어 기능의 독립성을 보증하고 있다. 그리고, 독립성 보증부가, 연산 처리 시간이 규정 시간을 초과한 것을 검출했을 때, 엘리베이터 안전 제어 장치는, 카를 정지시킨다.

따라서, 하나의 안전 제어 기능이 다른 안전 제어 기능에 영향을 미치지 않고, 하나의 엘리베이터 안전 제어 장치(안전 제어 기판)에, 복수의 안전 제어 기능을 실장할 수 있다. 따라서, 엘리베이터의 안전 제어에 드는 비용을 저감할 수 있어, 설치나 보수가 간단하게 실시된다.

도 1은 본 발명에 따른 엘리베이터 장치(100)의 구성을 나타내는 도면이다.
도 2는 실시 형태 1에 따른 엘리베이터 안전 제어 장치(25)의 구성을 나타내는 블럭도이다.
도 3은 실시 형태 1에 있어서의 CPU(34), 독립성 보증부(36) 및 메모리(37)의 접속 관계를 나타내는 도면이다.
도 4는 실시 형태 1에 따른 독립성 보증부(36)의 메모리 간섭 감시 기능을 설명하기 위한 도면이다.
도 5는 실시 형태 1에 따른 독립성 보증부(36)의 실행 시간 감시 기능을 설명하기 위한 도면이다.
도 6은 실시 형태 1의 독립성 보증부(36), 출력 버퍼(35) 및 출력부(38)의 내부 구성, 및 이들의 접속 관계를 나타내는 도면이다.
도 7은 실시 형태 1에 따른 엘리베이터 안전 제어 장치(25)의 동작을 설명하기 위한 플로우 차트이다.
도 8은 실시 형태 2에 따른 독립성 보증부(36)의 메모리 간섭 감시 기능을 설명하기 위한 도면이다.
도 9는 실시 형태 3에 따른 독립성 보증부(36)의 메모리 간섭 감시 기능으로 사용되는 할당표를 예시한 도면이다.
도 10은 실시 형태 4에 따른 엘리베이터 안전 제어 장치(25A)의 구성을 나타내는 블럭도이다.
도 11은 실시 형태 4에 있어서의 CPU(34g1, 34g2), 독립성 보증부(36g1, 36g2) 및 메모리(37g1, 37g2)의 접속 관계를 나타내는 도면이다.
도 12는 실시 형태 4에 따른 엘리베이터 안전 제어 장치(25A)의 동작을 설명하기 위한 플로우 차트이다.

이하, 본 발명을 그 실시 형태를 나타내는 도면에 근거하여 구체적으로 설명한다.

(실시 형태 1)

도 1은, 본 발명의 실시 형태 1에 따른 엘리베이터 장치(100)의 구성을 나타내는 도면이다. 도 1에 있어서, 카(1) 및 균형 추(2)는, 현가(懸架) 수단(3)에 의해 승강로 내에 매달려 있다. 현가 수단(3)은, 복수개의 로프 또는 벨트를 포함하고 있다.

승강로 내의 하부에는, 카(1) 및 균형 추(2)를 승강시키는 권상기(4)가 설치되어 있다. 권상기(4)는, 현가 수단(3)이 감겨진 구동 시브(sheave)(5)와 구동 토크를 발생하여 구동 시브(5)를 회전시키는 권상기 모터와, 제동 토크를 발생하여 구동 시브(5)의 회전을 제동하는 제동 수단으로서의 권상기 브레이크(6)와, 구동 시브(5)의 회전에 따른 신호를 발생하는 권상기 인코더(7)를 갖고 있다.

권상기 브레이크(6)로서는, 예를 들면, 전자기 브레이크 장치가 이용되고 있다. 전자기 브레이크 장치에 있어서는, 제동 스프링의 스프링력에 의해 브레이크 슈(brake shoe)가 제동면에 대해 가압되어 구동 시브(5)의 회전이 제동되어, 카(1)가 제동된다. 또한, 전자기 마그넷을 여자함으로써 브레이크 슈가 제동면으로부터 분리되어 제동력이 해제된다. 또한, 권상기 브레이크(6)에 의해 인가되는 제동력은, 전자기 마그넷의 브레이크 코일에 흐르는 전류 값에 따라 변화된다.

카(1)에는, 한 쌍의 카 도르래(8a, 8b)가 설치되어 있다. 균형 추(2)에는, 균형 추 도르래(9)가 설치되어 있다. 승강로의 상부에는, 카 복귀 도르래(10a, 10b) 및 균형 추 복귀 도르래(11)가 설치되어 있다. 현가 수단(3)의 일단부는, 승강로의 상부에 설치된 제 1 로프 스톱(12a)에 접속되어 있다. 현가 수단(3)의 타단부는, 승강로의 상부에 설치된 제 2 로프 스톱(12b)에 접속되어 있다.

현가 수단(3)은, 일단부측으로부터 순서대로, 카 도르래(8a, 8b), 카 복귀 도르래(10a, 10b), 구동 시브(5), 균형 추 복귀 도르래(11) 및 균형 추 도르래(9)에 감겨져 있다. 즉, 카(1) 및 균형 추(2)는, 「2：1 로핑(roping) 방식」에 의해 승강로 내에 매달려 있다.

승강로의 상부에는, 조속기(調速機)(14)가 설치되어 있다. 조속기(14)는, 조속기 시브(15)와, 조속기 시브(15)의 회전에 따른 신호를 발생하는 조속기 인코더(16)를 갖고 있다. 조속기 시브(15)에는, 조속기 로프(17)가 감겨져 있다. 조속기 로프(17)의 양단부는, 카(1)에 탑재된 비상 정지 장치의 조작 레버에 접속되어 있다. 조속기 로프(17)의 하단부는, 승강로의 하부에 배치된 장력 도르래(18)에 감겨져 있다. 카(1)가 승강되면, 조속기 로프(17)가 순환되어 카(1)의 주행 속도에 따른 회전 속도로 조속기 시브(15)가 회전된다.

승강로 내의 상부에는, 카(1)의 위치를 검출하기 위한 상부 기준 위치 스위치(19a)가 설치되어 있다. 승강로 내의 하부에는, 카(1)의 위치를 검출하기 위한 하부 기준 위치 스위치(19b)가 설치되어 있다. 카(1)에는, 기준 위치 스위치(19a, 19b)를 조작하는 스위치 조작 부재(캠)가 설치되어 있다.

카(1)상에는, 카의 도어 개폐를 검출하는 카 도어 스위치(20)가 설치되어 있다. 각 층의 승강장에는, 승강장 도어의 개폐를 검출하는 승강장 도어 스위치가 설치되어 있다. 또한, 승강로에는, 승객이 카(1)에 안전하게 출입할 수 있는 위치(도어 구역)에 카(1)가 위치하고 있는 것을 검출하기 위한 복수의 바닥 정렬 플레이트(21a~21c)가 설치되어 있다. 카(1)에는, 바닥 정렬 플레이트(21a~21c)를 검출하는 바닥 정렬 센서(22)가 설치되어 있다.

권상기 인코더(7), 조속기 인코더(16), 기준 위치 스위치(19a, 19b), 카 도어 스위치(20), 승강장 도어 스위치, 바닥 정렬 센서(22)는, 각각 카(1)의 상태에 따른 신호를 발생하는 센서이다.

승강로 내에는, 제어반(23)이 설치되어 있다. 제어반(23) 내에는, 운행 제어부인 구동 제어부(구동 제어 기판)(24)와 엘리베이터 안전 제어 장치(안전 제어 기판)(25)가 설치되어 있다. 엘리베이터 안전 제어 장치(안전 제어 기판)(25)는, 카(1)의 정지를 제어할 수 있다.

엘리베이터 장치에서는, 안전성을 담보하기 위해서, 복수의 관점으로부터 시스템에 대한 감시·제어가 실시되어 있다. 그래서, 각 해당 감시·제어를 실시하기 위해, 안전 제어 기판(25)에는, 복수의 안전 제어 기능이 실장되어 있다. 즉, 안전 제어 기판(25)이, 해당 안전 제어 기능에 관한 연산을 별개로 독립된 프로그램(소프트웨어)으로 각각 실행함으로써, 엘리베이터 장치의 복수의 관점으로부터의 안전 제어가 실현된다. 여기서, 안전 제어 기능으로서, 예를 들어, 브레이크 제어 기능이나 과속도 감시 기능 등이 있다.

구동 제어부(24)는, 권상기(4)의 운전, 즉, 카(1)의 운행을 제어한다. 또한, 구동 제어부(24)는, 권상기 인코더(7)로부터의 신호에 근거하여, 카(1)의 주행 속도를 제어한다. 또한 구동 제어부(24)는, 카(1)를 승강장에 정지시켜 놓기 위한 브레이크 동작 지령과 카(1)의 주행을 허가하기 위한 브레이크 해제 지령을 브레이크 제어 기능에 출력한다.

안전 제어 기능의 하나인 브레이크 제어 기능은, 구동 제어부(24)로부터 브레이크의 동작 지령을 취득하고, 그 동작 지령에 따라서 권상기 브레이크(6)에 대해서 브레이크 조작 신호를 출력한다. 또한, 브레이크 제어 기능은, 권상기 브레이크(6)의 브레이크 코일에 흘리는 전류를 제어함으로써, 권상기 브레이크(6)가 발생하는 제동력(제동 토크)을 제어할 수 있게 되어 있다. 권상기 브레이크(6)가 발생하는 제동력은, 브레이크 코일의 전류 값을 크게 함으로써 작아지고, 전류 값이 소정 값을 초과하면 0이 된다. 또한, 브레이크 코일의 전류 값을 작게 하면, 제동력은 커지고, 전류 값이 0이 되면 제동력이 최대로 된다.

또한, 브레이크 제어 기능은, 바닥 정렬 센서(22)로부터의 신호를 이용하여, 카(1)가 도착 위치에 있는지 여부를 판단한다. 또한 브레이크 제어 기능은, 카 도어 스위치(20) 및 승강장 도어 스위치로부터의 신호를 이용하여, 카 도어 및 승강장 도어의 개폐 상태를 판단한다. 또한, 브레이크 제어 기능은, 권상기 인코더(7)로부터의 신호를 더 이용하여, 카(1)가 주행하고 있는지 여부를 판단한다.

또한, 브레이크 제어 기능은, 카(1)가 도착 위치에 오지 않았음에도 불구하고, 카 도어 또는 승강장 도어 중 적어도 어느 한쪽이 열려 있는 상태, 및 카(1)가 주행중임에도 불구하고, 카 도어 또는 승강장 도어 중 적어도 어느 한쪽이 열려 있는 상태를 검출하여, 브레이크 동작 지령을 출력한다. 즉, 브레이크 제어 기능은, 도어 개방 주행 상태를 검출하면, 권상기 브레이크(6)에 의해 구동 시브(5)를 제동함과 아울러, 권상기 모터를 정지시키고, 카(1)를 강제 정지시킨다.

조속기 인코더(16) 및 기준 위치 스위치(19a, 19b)로부터의 신호는, 안전 제어 기능의 하나인 과속도 감시 기능에 입력된다. 과속도 감시 기능은, 조속기 인코더(16) 및 기준 위치 스위치(19a, 19b)로부터의 신호를 이용하여, 구동 제어부(24)와는 독립적으로, 카(1)의 위치 및 속도를 구하고, 카(1)의 속도가 소정의 과속도 레벨에 도달하는지를 감시한다. 과속도 레벨은, 카(1)의 위치에 따라 변화하는 과속도 감시 패턴으로서 설정되어 있다.

카(1)의 속도가 과속도 레벨에 도달하면, 과속도 감시 기능은, 브레이크 제어 기능에 대해서 강제 정지 신호를 송신한다. 브레이크 제어 기능은, 강제 정지 신호를 수신하면, 권상기 브레이크(6)에 의해 구동 시브(5)를 제동함과 아울러, 권상기 모터를 정지시켜, 카(1)를 강제 정지시킨다.

구동 제어부(24) 및 엘리베이터 안전 제어 장치(25)는, 각각 독립된 마이크로컴퓨터를 갖고 있다. 구동 제어부(24)에 있어서의 기능 및 엘리베이터 안전 제어 장치(25)에 있어서의 기능은, 이러한 마이크로컴퓨터에 의해 실현된다. 또한, 안전 제어 장치(25)에 실장되는 각 안전 제어 기능(브레이크 제어 기능이나 과속도 감시 기능 등)의 연산은, 독립된 프로그램(소프트웨어)으로 실행된다.

본원에서는, 엘리베이터 안전 제어 장치(25)에 대해서, 「엘리베이터 안전 제어 장치」와 「안전 제어 기판」으로 상이한 명칭을 사용하지만, 모두 동일하며, 엘리베이터 안전 제어 장치(25)를 나타낸다.

본원 발명에서는, 하나의 엘리베이터 안전 제어 장치(안전 제어 기판)(25)에는, 복수의 각종 안전 제어 기능이 실장되어 있다. 그러나, 단지 하나의 기판(장치)(25)에 복수의 안전 제어 기능을 실장시킨 경우에는, 한쪽의 안전 제어 기능이 고장난 경우에, 한쪽의 안전 제어 기능이 손상되어 버려, 엘리베이터의 안전 제어에 문제가 생길 가능성이 있다(즉, 각 안전 제어 기능의 독립성을 보증할 수 없음). 그 때문에, 각각의 안전 제어 기능이 다른 안전 제어 기능에 영향을 미치지 않도록, 각 안전 제어 기능의 독립성을 보증할 필요가 있다.

그래서, 본 실시 형태에서는, 도 2에 나타내는 구성을 가지는 엘리베이터 안전 제어 장치(안전 제어 기판)(25)를 가진다. 도 2는, 도 1에 나타내는 엘리베이터 안전 제어 장치(안전 제어 기판)(25)의 구성을 나타내는, 블럭도이다. 도 2에 나타내는 엘리베이터 안전 제어 장치(25)에는, 복수의 안전 제어 기능의 독립성을 보증하는 독립성 보증부(36)가 포함되어 있다.

도 2에 나타내는 바와 같이, 엘리베이터 안전 제어 장치(25)는, 입력부(32), 입력 버퍼(33), CPU(Central Processing Unit)(34), 출력 버퍼(35), 독립성 보증부(36), 메모리(37) 및 출력부(38)를 구비하고 있다. 환언하면, 하나의 안전 제어 기판(25)상에는, 입력부(32), 입력 버퍼(33), CPU(Central Processing Unit)(34), 출력 버퍼(35), 독립성 보증부(36), 메모리(37) 및 출력부(38)가 실장되어 있다.

도 2에 있어서, 입력부(32)는, 입력 버퍼(33)에 접속되고, 입력 버퍼(33)는, CPU(34)에 접속된다. CPU(34)는, 출력 버퍼(35) 및 독립성 보증부(36)에 각각 접속된다. 독립성 보증부(36)는, 출력 버퍼(35) 및 메모리(37) 및 출력부(38)에 각각 접속된다. 또한, 입력부(32)는, 안전 제어 기판(25)의 외부 구성요소(30, 31)와 각각 접속되고, 출력부(38)는, 안전 제어 기판(25)의 외부 구성요소(4, 6)와 각각 접속된다.

입력부(32)에는, 카(1)를 포함하는 엘리베이터 시스템 전체 상태(이하, 엘리베이터 상태라고 칭함)에 관한 신호를 입력 값으로서 입력한다. 여기서, 상기한 바와 같이, 엘리베이터 상태를 감시·검출하기 위해서, 각종 스위치(19a, 19b) 등이나 각종 센서(16) 등이 존재한다. 도 2에서는, 각종 스위치를 통합하여, 스위치(30)로서 도시하고 있고, 각종 센서를 통합하여, 센서(31)로서 도시하고 있다. 입력부(32)는, 해당 스위치(30)로부터의 출력 신호 및 센서(31)로부터의 출력 신호(엘리베이터 상태에 관한 신호)를 입력 값으로서 입력한다.

또한, 입력부(32)에서는, 인코더 신호 등의 펄스 신호를 카운트하여 수치화한다. 입력부(32)에서는, 이중화된 입력 값끼리의 비교, 입력 값와 기준 센서(도시하지 않음)로부터의 신호와의 비교 등을 더 행한다. 입력부(32)에 있어서의 비교 결과, 불일치로 검출된 경우에는, 그 취지가 논리부를 구성하는 CPU(34)에 통지된다. 또한, 입력부(32)에 입력된 입력 값은, 입력 버퍼(33)에 저장된다.

CPU(34)는, 입력 버퍼(33)로부터, 센서(31)나 스위치(30)의 입력 값을 판독한다. 그리고, CPU(34)는, 엘리베이터에 관한 복수의 안전 제어에 필요한 연산을 행한다. 즉, CPU(34)는, 상기 입력 값을 이용하여, 복수의 안전 제어 기능에 관한 연산을, 각각 독립된 프로그램(소프트웨어)으로 실행한다. 이에 의해, 엘리베이터의 안전 제어가 실현된다.

독립성 보증부(36)는, 복수의 안전 제어 기능의 독립성을 보증하는 보증 기능을 제공한다. 해당 보증 기능의 하나로 메모리 간섭 감시 기능이 있다. 각 안전 제어 기능은, 논리부를 구성하는 메모리(37) 내의 결정된 영역에만 액세스 가능하다. 메모리 간섭 감시 기능은, 각 안전 제어 기능이 액세스 가능한 영역 이외의 메모리(37)에 대한 액세스를 하지 않는지를 감시하는 기능이다. 해당 메모리 간섭 감시 기능의 구체적 설명을, 도 3을 이용하여 후술한다.

도 3은, CPU(34), 메모리(37) 및 독립성 보증부(36)의 접속 관계를 나타내는 블럭도이다.

도 3에 나타내는 바와 같이, CPU(34)와 메모리(37)는, 버스(39)에 의해 접속되어 있고, 해당 버스(39)에 있어서, 독립성 보증부(36)가 개재되어 있다. 또한, CPU(34)와 독립성 보증부(36)는, 통신선(39a)에 의해 접속되어 있다.

예를 들어, CPU(34)는, CPU(34)에 대하여 현재 연산을 실행하고 있는 안전 제어 기능의 프로세스 ID를, 통신선(39a)를 개재하여 독립성 보증부(36)에 통지한다. 여기서, 프로세스 ID는, 안전 제어 기능을 식별하기 위한 정보이다. 한편, 독립성 보증부(36)는, 독립성 보증부(36)의 판단 결과(일례로서 메모리 간섭 감시 결과나 실행 시간 감시 결과 등)나 각종 명령(일례로서 리셋 처리 명령) 등을, 통신선(39a)을 개재하여 CPU(34)에 통지한다.

또한, CPU(34)는, 안전 제어 기능의 연산 처리 시에 메모리(37)의 소정의 어드레스에 액세스를 행한다. 그래서, 독립성 보증부(36)는, 해당 안전 제어 기능이 액세스하려고 하고 있는 메모리(37)의 영역에 관한 정보(즉, 어드레스 정보)를, 버스(39)를 거쳐서 입수한다.

독립성 보증부(36)에 있어서의 메모리 간섭 감시 기능에서는, 해당 입수한 어드레스 정보가, 메모리(37)에 있어서의 미리 할당된 범위에 있는지 여부의 체크를 행한다.

구체적으로, 독립성 보증부(36)에는, 도 4에 나타내는 할당표가 미리 설정되어 있다. 해당 할당표는, 프로세스 ID와 해당 프로세스 ID의 안전 제어 기능의 연산 처리 시에, 해당 안전 제어 기능이 액세스가 허가되어 있는 메모리(37)의 액세스 가능 영역으로 구성되어 있다.

메모리 간섭 감시 기능을 가지는 독립성 보증부(36)는, CPU(34)로부터 취득한 정보(프로세스 ID 및 어드레스 정보)와 해당 할당표를 이용하여, 해당 안전 제어 기능이 허가된 영역 이외의 메모리(37)에 액세스하고 있는지 여부를 감시한다. 독립성 보증부(36)는, 해당 감시를 통해서, 상기 안전 제어 기능의 독립성을 보증하고 있다.

상기한 바와 같이, 독립성 보증부(36)는, CPU(34)로부터 취득한 각 정보와 할당표를 비교함으로써, 각 안전 제어 기능이 허가된 영역 이외의 메모리(37)에 액세스하고 있는지 여부를 감시하고 있다.

여기서, 독립성 보증부(36)가, 현재 연산 실행중의 안전 제어 기능에 있어서, CPU(34)가, 해당 안전 제어 기능의 액세스가 허가되어 있는 어드레스 이외의 상기 메모리(37)에 액세스하고 있는 것을 검출한 것으로 한다(즉, 메모리 간섭의 존재를 검출했을 때로서, 환언하면, 안전 제어 기능의 독립성의 담보가 불가능함). 그 경우에는, 독립성 보증부(36)는, 통신선(39a)을 거쳐서, 해당 메모리 간섭의 검출을 CPU(34)에 통지한다. 그리고, 엘리베이터 안전 제어 장치(25)는, 자신을 리셋 상태로 한다(즉, 엘리베이터 안전 제어 장치(25)의 전원이 리셋됨).

또한, 엘리베이터 안전 제어 장치(25)의 전원이 리셋되면, 엘리베이터 안전 제어 장치(25)로부터의 출력이 「LOW(또는 제로)」로 되어, 권상기(4) 및 브레이크(6)로의 전원 공급이 끊긴다. 이에 의해, 카(1)는 정지 상태로 된다.

본 실시 형태에 따른 독립성 보증부(36)는, 상기 메모리 간섭 감시 기능 이외에, 실행 시간 감시 기능도 갖고 있다. 해당 실행 시간 감시 기능은, 각 안전 제어 기능이 실행되는 개별 연산 처리 시간 및/또는 전체 안전 제어 기능이 실행되는 토탈 연산 처리 시간을 감시하는 기능이다.

또한, 독립성 보증부(36)는, 메모리 간섭 감시 기능과 실행 시간 감시 기능 중 어느 하나만을 갖고 있어도 좋지만, 이하의 설명에는, 독립성 보증부(36)는, 메모리 간섭 감시 기능과 실행 시간 감시 기능의 양쪽 모두를 갖고 있다. 또한, 이하 설명하는 실행 시간 감시 기능에서는, 개별 연산 처리 시간 및 토탈 연산 처리 시간의 양쪽 모두를 감시한다.

독립성 보증부(36)는, 안전 제어 기능에 의한 연산 처리 시간이 미리 설정된 규정 시간을 초과하였는지 여부를 감시함으로써, 안전 제어 기능의 독립성을 보증하고 있다. 독립성 보증부(36)가, 안전 제어 기능의 연산 처리 시간이 규정 시간을 초과한 것을 검출했을 때(안전 제어 기능의 독립성의 담보가 불가능한 때), 엘리베이터 안전 제어 장치(25)는, 카(1)를 정지시킨다.

해당 실행 시간 감시 기능의 상세를, 도 5를 이용하여 설명한다.

독립성 보증부(36)는, 복수의 와치도그 타이머 WDT1, WDT2,···, WDTn, WDTtotal를 갖고 있다. 각 와치도그 타이머 WDT1, WDT2,···, WDTn, WDTtotal에는 각각, 규정 시간(시한)이 미리 별개로 독립적으로 설정되어 있다.

여기서, 와치도그 타이머 WDT1, WDT2,···, WDTn는, 각 안전 제어 기능마다 준비되어 있다(해당 설명에서는, 안전 제어 기능은 n개 존재하므로, 와치도그 타이머도 n개 존재함). 따라서, 각 규정 시간은, 각 안전 제어 기능에 대응하여 결정된다.

독립성 보증부(36)는, 각 안전 제어 기능의 연산 개시와 동시에, 각 안전 제어 기능에 대응한 와치도그 타이머 WDT1, WDT2,···, WDTn을 기동한다. 또한, 독립성 보증부(36)는, 복수의 안전 제어 기능에 있어서, 가장 먼저 연산 처리가 개시된 안전 제어 기능에 있어서의 연산의 개시 시에, 와치도그 타이머 WDTtotal를 기동한다.

그리고, 독립성 보증부(36)는, 각 안전 제어 기능의 연산 종료 시에, 각 안전 제어 기능에 대응한 와치도그 타이머 WDT1, WDT2,···, WDTn을 정지한다. 또한, 독립성 보증부(36)는, 모든 안전 제어 기능의 연산 종료 후(본 설명에서는, n개의 안전 제어 기능이 완결한 후), 즉, 마지막 안전 제어 기능의 연산 완료 후, 와치도그 타이머 WDTtotal를 정지한다.

상기와 같이, 각 와치도그 타이머 WDT1, WDT2,···, WDTn, WDTtotal에는 각각, 규정 시간이 설정되어 있다. 어느 하나에서도 규정 시간 이내에 정지되지 않았던 와치도그 타이머 WDT1, WDT2,···, WDTn, WDTtotal가 있을 때, 독립성 보증부(36)는, 안전 제어 기능의 연산 처리 시간이 규정 시간을 초과한 것을 검출한다. 해당 검출에 의해, 독립성 보증부(36)는, 해당 검출의 취지를 CPU(34)에 통지하고, 엘리베이터 안전 제어 장치(25)는 자신의 리셋을 행한다(즉, 카(1)의 정지가 실행됨).

예를 들어, 독립성 보증부(36)는, 안전 제어 기능마다, 개별 연산 처리 시간이, 해당 안전 제어 기능에 대응하는 와치도그 타이머 WDT1, WDT2,···, WDTn에 설정되어 있는 규정 시간을 초과하였는지 여부를 감시하고 있다. 여기서, 개별 연산 처리 시간이란, 안전 제어 기능 개별의 연산 소요 시간이다. 그리고, 상기 독립성 보증부(36)가, 어느 하나의 안전 제어 기능에 있어서, 해당 개별 연산 처리 시간이 규정 시간을 초과한 것을 검출했을 때(즉, 어느 하나의 와치도그 타이머 WDT1, WDT2,···, WDTn에 있어서, 규정 시간 이내에 정지되지 않았을 때), 엘리베이터 안전 제어 장치(25)는, 카(1)를 정지시킨다.

또한, 독립성 보증부(36)는, 전체 안전 제어 기능의 토탈 연산 처리 시간이 와치도그 타이머 WDTtotal에 설정되어 있는 규정 시간을 초과하였는지 여부를 감시하고 있다. 그리고, 독립성 보증부(36)가, 토탈 연산 처리 시간이 해당 규정 시간을 초과한 것을 검출했을 때(즉, 와치도그 타이머 WDTtotal에 있어서, 규정 시간 이내에 정지되지 않았을 때), 엘리베이터 안전 제어 장치(25)는 카(1)를 정지시킨다.

독립성 보증부(36)는, 메모리 간섭 감시 기능과 실행 시간 감시 기능에 의해, 임의의 안전 제어 기능의 고장이 다른 안전 제어 기능에 영향을 주지 않는지를 감시하고, 영향을 준 것과 같이 된 경우에, 안전 제어 장치(25)를 확실하게 정지한다(즉, 카(1)를 정지시킨다).

도 2에 있어서, 출력 버퍼(35)는, CPU(34)에 의한 각 안전 제어 기능의 연산 결과를 출력 값으로서 저장한다. 도 6은, 출력 버퍼(35)와 독립성 보증부(36)와 출력부(38)의 관계를 나타내는 도면이다.

도 6에 있어서, n개의 안전 제어 기능의 연산 결과가, 출력 버퍼(35)에 저장된다. 또한, 독립성 보증부(36) 내에는, 복수의 스위치가 직렬로 접속된 계통이, 제어 대상의 수만큼 존재한다. 여기서, 도 6에 예시하는 구성에서는, 제어 대상은, 권상기(4)와 브레이크(6)의 2개이다. 따라서, 독립성 보증부(36) 내에는, 해당 계통이 2개 설치된다.

한쪽의 계통에는, 스위치 SW11, SW12,···, SW1n이 직렬로 접속되어 있다. 또한, 다른쪽의 계통에는, 스위치 SW21, SW22,···, SW2n이 직렬로 접속되어 있다. 또한, 한쪽의 계통의 한쪽단과 다른쪽의 계통의 한쪽단에는, 각각 전원 Pw가 접속되어 있다.

스위치 SW11, SW21에는, 제 1 안전 제어 기능의 연산 결과가, 출력 버퍼(35)로부터 입력된다. 또한, 스위치 SW12, SW22에는, 제 2 안전 제어 기능의 연산 결과가, 출력 버퍼(35)로부터 입력된다. 또한 스위치 SW1n, SW2n에는, 제 n 안전 제어 기능의 연산 결과가, 출력 버퍼(35)로부터 입력된다. 또한, 한쪽의 계통의 출력은, 출력부(38)를 거쳐서, 권상기(4)에 접속되고, 다른쪽의 계통의 출력은, 출력부(38)를 거쳐서, 브레이크(6)에 접속된다.

도 6에 있어서, 어느 스위치 SW11,···, SW1n가 OFF 상태로 되었을 때에는, 출력부(38)는, 권상기(4)로의 전원 P의 공급을 정지한다. 또한, 어느 스위치 SW21,···, SW2n가 OFF 상태로 되었을 때에는, 출력부(38)는, 브레이크(6)로의 전원 P의 공급을 정지한다.

여기서, 안전 제어 기능의 연산 결과가, 엘리베이터의 운행상, 정상이라고 판단되는 경우(엘리베이터의 안전을 나타내는 경우), 해당 연산 결과가 각 스위치 SW11,···, SW1n, SW21,···, SW2n에 입력되면, 해당 스위치 SW11,···, SW1n, SW21,···, SW2n는, 온 상태로 된다.

한편, 안전 제어 기능의 연산 결과가, 엘리베이터의 운행상, 이상이라고 판단되는 경우(엘리베이터의 안전을 나타내지 않는 경우), 해당 연산 결과가 각 스위치 SW11,···, SW1n, SW21,···, SW2n에 입력되면, 해당 스위치 SW11,···, SW1n, SW21,···, SW2n는, 오프 상태로 된다. 이후의 설명에 있어서, 엘리베이터의 운행상, 이상이라고 판단되는 연산 결과를, 「에러」의 연산 결과라고 칭한다.

또한, 권상기(4) 및 브레이크(6)로의 전원 P의 공급이 정지되는 것은, 카(1)의 정지를 의미한다.

상기 도 6을 이용한 설명으로부터 알 수 있는 바와 같이, 독립성 보증부(36)가, 어느 하나의 안전 제어 기능에 있어서, 해당 안전 제어 기능의 연산 결과가 에러인 것을 검출했을 때, 엘리베이터 안전 제어 장치(25)는, 카(1)를 정지시킨다.

상기 스위치 SW11,···, SW1n, SW21,···, SW2n로서 트랜지스터나 MOS－FET와 같은 반도체 스위치를 채용해도 좋고, 또한 논리곱 회로(IC)에 의해서 실현되어도 좋으며, 소프트웨어에 의해서 실현되어도 좋다.

또한, 출력부(38)에 있어서의 권상기(4)나 브레이크(6)로의 전원 P의 공급·차단은, 전원 P에 접속된 릴레이 또는 콘택터를 해당 출력부(38)에 형성함으로써 실현된다(도 6 참조).

또한, 카(1)의 정지 형태로서는, 이하의 것을 생각할 수 있다.

독립성 보증부(36)가, 임의의 안전 제어 기능의 연산 결과가 에러를 나타내는 것을 검출했을 때, 또는, 각 안전성 제어 기능간의 독립성을 담보할 수 없는 것을 검출했을 때, 엘리베이터 안전 제어 장치(25)는, 즉시 카(1)를 정지시킨다. 구체적으로, 안전 제어 장치(25)는, 즉시 정지의 지시를 구동 제어부(24)에 통지하고, 해당 구동 제어부(24)에 의한 제어에 의해, 카(1)는 즉시 정지한다. 또한, 도 6의 구성은, 해당 즉시 정지 형태에 적절한 구성이다.

또는, 독립성 보증부(36)가, 임의의 안전 제어 기능의 연산 결과가 에러를 나타내는 것을 검출했을 때, 또는, 각 안전성 제어 기능간의 독립성을 담보할 수 없는 것을 검출했을 때, 엘리베이터 안전 제어 장치(25)는, 해당 검출 시의 카(1)의 위치로부터 가장 가까운 가장 근접한 플로어까지, 해당 카(1)를 이동시키고, 해당 가장 근접한 플로어에서 카(1)를 정지시킨다. 구체적으로, 안전 제어 장치(25)는, 카(1)를 상기 가장 근접한 플로어에 정지시키는 가장 근접한 플로어 정지 지시를 구동 제어부(24)에 통지하고, 해당 구동 제어부(24)에 의한 제어에 의해, 카(1)는 상기 가장 근접한 플로어에 정지한다.

여기서, 엘리베이터 안전 제어 장치(25)는, 상기 가장 근접한 플로어로의 카(1)의 정지를 지시(가장 근접한 플로어 정지 지시)하고 나서 소정의 시간 이내에, 상기 가장 근접한 플로어에 카(1)가 도착하였는지 여부를 판단한다. 엘리베이터 안전 제어 장치(25)가, 카(1)가 소정 시간 이내에 상기 가장 근접한 플로어에 도착하지 않는 것을 검출했을 때, 엘리베이터 안전 제어 장치(25)는, 해당 소정 시간 경과 후, 곧바로 카(1)를 비상 정지시킨다. 즉, 엘리베이터 안전 제어 장치(25)는, 상기 가장 근접한 플로어에 도착하지 않는 상태에서, 카(1)를 비상 정지시킨다. 구체적으로, 안전 제어 장치(25)는, 해당 소정 시간 경과 후 곧바로, 즉시 정지의 지시를 구동 제어부(24)에 통지하고, 해당 구동 제어부(24)에 의한 제어에 의해, 카(1)는 즉시 정지한다.

예를 들어, 엘리베이터 안전 제어 장치(25)는, 상기 소정의 시간(시한)의 설정이 가능한 와치도그 타이머(도시하지 않음)를 구비하고 있다. 해당 소정의 시간으로서 타이머에 다양한 값을 설정할 수 있다. 엘리베이터 안전 제어 장치(25)는, 상기 가장 근접한 플로어에 카(1)가 도착하는 소정의 시간을 추측하고, 해당 추측한 소정의 시간을 해당 와치도그 타이머로 설정한다.

그리고, 엘리베이터 안전 제어 장치(25)는, 상기 가장 근접한 플로어 정지 지시와 동시에, 와치도크 타이머를 기동시킨다. 그리고, 해당 타이머의 기동 후, 소정의 시간 이내에, 카(1)가 가장 근접한 플로어에 정지한 취지의 통지가 해당 와치도크 타이머에 통지되지 않는 것으로 한다. 그 경우에는, 해당 와치도크 타이머는, 소정의 시간 경과 후 곧바로 와치도크 타이머로서의 기능을 작동하고, 해당 작동에 의해, 엘리베이터 안전 제어 장치(25)는 카(1)를 비상 정지시킨다.

다음에, 엘리베이터 안전 제어 장치(25)의 동작을 도 7에 나타내는 플로우 차트(flow chart)를 이용하여 설명한다.

우선, CPU(34)는, 하나의 소정의 안전 제어 기능의 연산을 행한다(스텝 S1). 이 때에, 독립성 보증부(36)는, 상기 메모리 간섭 감시 기능에 의해, 독립성의 담보가 되어 있는지 여부를 감시한다(스텝 S2). 즉, CPU(34)는 해당 소정의 안전 제어 기능을 실행하고 있고, 해당 소정의 안전 제어 기능이 허가되어 있는 어드레스 이외의 어드레스에, 해당 CPU(34)가 메모리(37)에 액세스하고 있지 않은지 여부(즉, 메모리 간섭의 유무)를 독립성 보증부(36)가 감시한다(스텝 S2).

독립성 보증부(36)가, 메모리 간섭이 있는 것을 검출한 것으로 한다(스텝 S2에서 「예」). 그 경우에는, 엘리베이터 안전 제어 장치(25)는, 상술한 어느 하나의 형태로, 카(1)를 정지시킨다(스텝 S8).

이에 대해서, 독립성 보증부(36)가, 메모리 간섭이 없다고 판단한 것으로 한다(스텝 S2에서 「아니오」). 그 경우에는, 독립성 보증부(36)는, 상기 실행 시간 감시 기능의 동작에 의한 판단을 실시한다(스텝 S3).

즉, 스텝 S3에서는, 독립성 보증부(36)가, 해당 소정의 안전 제어 기능의 연산 처리 시간인 개별 연산 처리 시간이, 규정 시간을 초과했는지 여부를 판단한다. 여기서, 해당 규정 시간은, 해당 소정의 안전 제어 기능에 대응하고 있는 와치도그 타이머 WDTi에 설정되어 있다.

독립성 보증부(36)가, 규정 시간 이내에, 소정의 안전 제어 기능의 연산이 종료하지 않았던 것을 검출한 것으로 한다(스텝 S3에서 「예」). 그 경우에는, 엘리베이터 안전 제어 장치(25)는, 상술한 어느 하나의 형태로, 카(1)를 정지시킨다(스텝 S8).

이에 대해서, 독립성 보증부(36)가, 소정의 안전 제어 기능의 연산이 규정 시간 이내에 종료한 것을 검출한 것으로 한다(스텝 S3에서 「아니오」). 그 경우에는, 독립성 보증부(36)는, 스텝 S4를 실행한다.

스텝 S2 및 스텝 S3에서, 소정의 안전 제어 기능의 독립성이 담보되었을 때(스텝 S2에서 「아니오」 및 스텝 S3에서 「아니오」), 소정의 안전 제어 기능의 연산 결과가 CPU(34)로부터 출력 버퍼(35)를 향해서 출력된다.

그런데, 도 6에 있어서, 권상기(4) 및 브레이크(6)에 전원 P가 공급되고 있는 상태이다. 즉, 독립성 보증부(36)의 각 스위치 SW11,···, SW1n, SW21,···, SW2n이 온 상태이다. 해당 상황에 있어서, 독립성 보증부(36)는, 출력 버퍼(35)에 저장되어 있는 소정의 안전 제어 기능의 연산 결과가, 정상 값인지 여부를 감시한다(스텝 S4).

만약, 해당 연산 결과가 에러(엘리베이터의 안전성의 관점으로부터 이상이라고 판단되는 결과)인 것을, 독립성 보증부(36)가 검출한 것으로 한다(스텝 S4에서 「예」). 이것은, 해당 연산 결과의 출력과 대응하고 있는 독립성 보증부(36)의 스위치가 OFF로 되는 것을 의미한다. 그 경우에는, 엘리베이터 안전 제어 장치(25)는, 상술한 어느 하나의 형태로, 카(1)를 정지시킨다(스텝 S8).

이에 대해서, 해당 연산 결과가 정상(엘리베이터의 안전성의 관점으로부터 정상이라고 판단되는 결과)인 것을, 독립성 보증부(36)가 검출한 것으로 한다(스텝 S4에서 「아니오」). 그 경우에는, 엘리베이터 안전 제어 장치(25)는, 실장되어 있는 모든 안전 제어 기능의 연산 실행이 완료하였는지 여부를 판단한다(스텝 S5).

만약, 모든 안전 제어 기능의 연산이 완료하고 있지 않는 경우에는(스텝 S5에서 「아니오」), 엘리베이터 안전 제어 장치(25)는, 미연산인 안전 제어 기능을 하나 선택하고, 해당 선택한 안전 제어 기능에 대해서, 스텝 S1 이후의 동작을 반복하여 실행한다.

이에 대해서, 모든 안전 제어 기능의 연산이 완료한 경우에는(스텝 S5에서 「예」), 독립성 보증부(36)는, 전체 안전 제어 기능의 토탈 연산 처리 시간이, 규정 시간을 초과했는지 여부를 판단한다(스텝 S6). 여기서, 해당 규정 시간은, 와치도그 타이머 WDTtotal에 설정되어 있다.

독립성 보증부(36)가, 규정 시간 이내에, 모든 안전 제어 기능의 연산이 종료하지 않았던 것을 검출한 것으로 한다(스텝 S6에서 「예」). 그 경우에는, 엘리베이터 안전 제어 장치(25)는, 상술한 어느 하나의 형태로, 카(1)를 정지시킨다(스텝 S8).

이에 대해서, 독립성 보증부(36)가, 모든 안전 제어 기능의 연산이 규정 시간 이내에 종료한 것을 검출한 것으로 한다(스텝 S6에서 「아니오」). 그 경우에는, 구동 제어부(24)에 의한 엘리베이터의 통상 운행이 계속된다(스텝 S7).

여기서, 도 7의 플로우 차트에서는, 각 안전 제어 기능의 연산 종료(스텝 S2, S3) 후, 개별적으로 연산 결과가 에러를 나타낸 것인지 여부를, 독립성 보증부(36)가 판단하고 있다(스텝 S4). 그러나, 모든 안전 제어 기능의 연산 종료 후, 전체 연산 결과 중 어느 하나의 연산 결과가 에러를 나타내는 것인지 여부에 기초하여 독립성 보증부(36)가 판단해도 좋다.

이상과 같이, 본 실시 형태에 따른 엘리베이터 안전 제어 장치(25)는, 메모리 간섭 감시 기능이나 실행 시간 감시 기능 등의 안전 제어 기능의 독립성을 담보하는 독립성 보증부(36)가 배치되어 있다.

따라서, 하나의 안전 제어 기능이 다른 안전 제어 기능에 영향을 미치지 않고, 하나의 엘리베이터 안전 제어 장치(안전 제어 기판)(25)에 복수의 안전 제어 기능을 실장할 수 있다. 따라서, 엘리베이터의 안전 제어에 드는 비용을 저감할 수 있어, 설치나 보수가 간단하게 실시된다.

또한, 본 실시 형태에서는, 전자화된 엘리베이터 안전 제어 장치(25)에 있어서, 필요한 안전 제어 기능이 제공된다. 따라서, 안전 제어 기능 소프트웨어나 센서(31)·스위치(30)를 추가하는 것만으로, 새로운 안전 제어 기능을 엘리베이터 안전 제어 장치(25)에 추가 실장할 수 있다.

또한, 본 실시 형태에 따른 엘리베이터 안전 제어 장치(25)에서는, 독립성 보증부(36)는, 안전 제어 기능의 실행 시에, 해당 안전 제어 기능의 종별을 나타내는 식별 정보와 해당 안전 제어 기능의 실행에 있어서 액세스하려고 하고 있는 메모리(37)의 영역을 나타내는 어드레스 정보를 CPU(34)로부터 취득하고 있다. 그리고, 독립성 보증부(36)는, 해당 취득한 각 정보와 도 4에 나타내는 할당표를 비교하여, 각 안전 제어 기능이 허가된 영역 이외의 메모리(37)에 액세스하고 있는지 여부를 감시한다.

따라서, 엘리베이터 안전 제어 장치(25)는, 독립성 보증부(36)에 의한 메모리 간섭 감시 기능을 간단하게 실현할 수 있다.

또한, 본 실시 형태에 따른 엘리베이터 안전 제어 장치(25)에서는, 독립성 보증부(36)는, 개별 연산 처리 시간이 규정 시간을 초과하였는지 여부를 감시하고 있다. 또한, 독립성 보증부(36)는, 토탈 연산 처리 시간이 규정 시간을 초과하였는지 여부를 감시하고 있다.

따라서, 엘리베이터 안전 제어 장치(25)는, 독립성 보증부(36)에 의한 실행 시간 감시 기능을 간단하게 실현할 수 있다.

또한, 본 실시 형태에 따른 엘리베이터 안전 제어 장치(25)에서는, 독립성 보증부(36)가, 어느 하나의 안전 제어 기능에 있어서, 연산 결과가 에러인 것을 검출했을 때, 엘리베이터 안전 제어 장치(25)는, 카(1)를 정지시킨다.

따라서, 엘리베이터 안전 제어 장치(25)는, 복수 프로그램의 동일 출력에 대해서, 독립성을 담보할 수 있다.

또한, 본 실시 형태에 따른 엘리베이터 안전 제어 장치(25)에서는, 임의의 안전 제어 기능의 연산 결과가 에러를 나타내는 것을 검출했을 때, 또는, 각 안전성 제어 기능 간의 독립성을 담보할 수 없는 것을 검출했을 때, 엘리베이터 안전 제어 장치(25)는, 즉시 카(1)를 정지시킨다.

따라서, 엘리베이터 안전 제어 장치(25)는, 엘리베이터를 즉시 안전 상태로 이행할 수 있다.

또한, 본 실시 형태에 따른 엘리베이터 안전 제어 장치(25)에서는, 임의의 안전 제어 기능의 연산 결과가 에러를 나타내는 것을 검출했을 때, 또는, 각 안전성 제어 기능 간의 독립성을 담보할 수 없는 것을 검출했을 때, 엘리베이터 안전 제어 장치(25)는, 카(1)를 가장 근접한 플로어에 정지시킨다.

따라서, 엘리베이터 안전 제어 장치(25)는, 엘리베이터의 이상 시에 승객을 해당 가장 근접한 플로어로부터 피난시킬 수 있다.

또한, 본 실시 형태에 따른 엘리베이터 안전 제어 장치(25)에서는, 소정의 시간 이내에, 가장 근접한 플로어에 카(1)가 도착하지 않을 때, 해당 가장 근접한 플로어에 도착하지 않는 상태에서 카(1)를 비상 정지시킬 수도 있다.

소정의 시간 이내에 가장 근접한 플로어에 카(1)가 도착하지 않는다고 하는 것은, 엘리베이터 장치에 운행 상태가 지장 있는 것을 의미한다. 따라서, 엘리베이터 안전 제어 장치(25)는, 가장 근접한 플로어를 향하고 있는 카(1)의 안전을 확보할 수 있다.

(실시 형태 2)

본 실시 형태에서는, 실시 형태 1에서 설명한 메모리 간섭 감시 기능의 다른 형태에 대하여 설명한다. 따라서, 해당 메모리 간섭 감시 기능 이외의 구성·동작(엘리베이터 장치(100)나 엘리베이터 안전 제어 장치(25)의 구성·동작)은, 실시 형태 1과 실시 형태 2에서 마찬가지이다.

도 8은, 본 실시 형태에 따른 독립성 보증부(36)의 메모리 간섭 감시 기능을 설명하기 위한 도면이다.

실시 형태 1에서 설명한 바와 같이, 각 안전 제어 기능의 액세스가 허가되어 있는 어드레스 영역마다, 메모리(37)가 구분되어 있다. 예를 들어, 제 1 안전 제어 기능이 액세스가 허가되어 있는 어드레스 영역은, 제 1 안전 제어 기능 사용 허가 영역(37a)이다. 또한, 제 2 안전 제어 기능이 액세스가 허가되어 있는 어드레스 영역은, 제 2 안전 제어 기능 사용 허가 영역(37b)이다. 마찬가지로, 제 n 안전 제어 기능이 액세스가 허가되어 있는 어드레스 영역은, 제 n 안전 제어 기능 사용 허가 영역(37n)이다.

본 실시 형태에 따른 독립성 보증부(36)는, 우선, 각 안전 제어 기능 사용 허가 영역(37a, 37b,···, 37n)마다, 오류 검출 코드 CRC1, CRC2,···, CRCn을 미리 산출한다. 즉, 독립성 보증부(36)는, 각 안전 제어 기능의 연산 실행 전에 있어서, 오류 검출 코드 CRC1, CRC2,···, CRCn을 산출한다. 해당 연산 실행 전에 산출된 오류 검출 코드를 제 1 오류 검출 코드라고 칭한다.

또한, 본 실시 형태에서는, 오류 검출 코드로서 CRC(Cyclic Redundancy Code)를 이용한다(후술하는 제 2 오류 검출 코드도 마찬가지임).

다음에, 소정의 안전 제어 기능의 연산 종료 후, 독립성 보증부(36)는, 재차, 각 안전 제어 기능 사용 허가 영역(37a, 37b,···, 37n)마다, 오류 검출 코드 CRC1＇, CRC2＇,···, CRCn＇를 산출한다. 해당 연산 실행 후에 산출된 오류 검출 코드를 제 2 오류 검출 코드라고 칭한다.

이와 같이, 독립성 보증부(36)는, 각 안전 제어 기능 사용 허가 영역(37a, 37b,···, 37n)에 대응해서, 제 1 오류 검출 코드 CRC1, CRC2,···, CRCn와 제 2 오류 검출 코드 CRC1＇, CRC2＇,···, CRCn＇를 산출한다.

다음에, 각 안전 제어 기능 사용 허가 영역(37a, 37b,···, 37n)마다, 대응하는 제 1 오류 검출 코드 CRC1, CRC2,···, CRCn와 제 2 오류 검출 코드 CRC1＇, CRC2＇,···, CRCn＇를 독립성 보증부(36)가 각각 비교한다. 즉, 독립성 보증부(36)는, 제 1 오류 검출 코드 CRC1와 제 2 오류 검출 코드 CRC1＇를 비교하고, 제 1 오류 검출 코드 CRC2와 제 2 오류 검출 코드 CRC2＇를 비교하며, 제 1 오류 검출 코드 CRCn와 제 2 오류 검출 코드 CRCn＇를 비교한다.

소정의 안전 제어 기능의 연산 실행에 있어서, 해당 소정의 안전 제어 기능이 허가되어 있지 않은 안전 제어 기능 사용 허가 영역(37a, 37b,···, 37n)에 액세스한 것으로 한다. 이 경우에는, 해당 허가되어 있는 영역 이외의 안전 제어 기능 사용 허가 영역(37a, 37b,···, 37n)의 오류 검출 코드가 해당 안전 제어 기능의 연산 실행 전후에서 변화한다.

따라서, 독립성 보증부(36)가, 상기 오류 검출 코드의 비교 처리에 의해, 제 1 오류 검출 코드 CRC1, CRC2,···, CRCn와 상이한 제 2 오류 검출 코드 CRC1＇, CRC2＇,···, CRCn＇를 검출했을 때, 독립성 보증부(36)는 메모리 간섭이 있었다고 판단한다. 이와 같이, 독립성 보증부(36)가 메모리 간섭이 있는 것을 검출했을 때, 엘리베이터 안전 제어 장치(25)는, 상술한 어느 하나의 형태로, 카(1)를 정지시킨다(도 7의 스텝 S2에서 「예」 및 스텝 S8 참조).

상기 동작을, 각 안전 제어 기능의 연산 전후에서, 매회 행한다. 또한, 소정의 안전 제어 기능의 실행 완료는, CPU(34)로부터 통지된 프로세스 ID가 변경된 것을 독립성 보증부(36)가 검출하든가, 혹은, 각 안전 제어 기능에 대응하는 와치도그 타이머 WDT1, WDT2,···, WDTn의 계측 정지의 신호를 독립성 보증부(36)가 검출함으로써 판명된다.

이상과 같이, 본 실시 형태에 따른 엘리베이터 안전 제어 장치(25)에서는, 독립성 보증부(36)는, 각 안전 제어 기능 사용 허가 영역(37a, 37b,···, 37n)마다, 제 1 오류 검출 코드 CRC1, CRC2,···, CRCn와 제 2 오류 검출 코드 CRC1＇, CRC2＇,···, CRCn＇를 각각 비교한다. 즉, 본 실시 형태에 따른 독립성 보증부(36)는, 해당 비교 처리를 통해서, 각 안전 제어 기능이 허가된 영역 이외의 메모리(37)에 액세스하고 있는지 여부를 감시하고 있다(메모리 간섭 감시 기능).

또한, 상기에서는, 오류 검출 코드에 CRC를 이용하고 있지만, 그 외의 오류 검출 코드를 이용해도 마찬가지의 효과를 얻을 수 있음은 말할 필요도 없다.

(실시 형태 3)

실시 형태 1의 메모리 간섭 감시 기능에서는, 각 안전 제어 기능이, 자신의 액세스가 허가되어 있는 어드레스 이외의 메모리(37)의 어드레스에 액세스하고 있는지 여부를 감시하고 있을 뿐이었다. 즉, 실시 형태 1의 메모리 간섭 감시 기능은, 도 4에 나타내는 할당표와, 프로세스 ID 및 어드레스 정보를 이용하여, 실행되고 있었다.

본 실시 형태에서는, 메모리 간섭 감시 기능은, 액세스 권리 정보가 부가된 할당표와, 「프로세스 ID, 어드레스 정보, 액세스 형태 정보」를 이용하여 실행되는 것을 특징으로 한다. 해당 메모리 간섭 감시 기능 이외의 구성·동작(엘리베이터 장치(100)나 엘리베이터 안전 제어 장치(25)의 구성·동작)은, 실시 형태 1과 실시 형태 3에서 마찬가지이다.

도 9는, 본 실시 형태에 따른 독립성 보증부(36)의 메모리 간섭 감시 기능을 설명하기 위한 도면이다. 환언하면, 도 9는, 본 실시 형태에 따른 할당표의 일례를 나타내는 도면이다.

메모리(37)에 대한 실제 어드레스와 논리 어드레스와 사이의 변환이, 도 9에 도시되어 있다. 즉, 도 9의 예에서는, 메모리(37)의 실제 어드레스마다, CPU(34)가 액세스할 때의 논리 어드레스가 대응지어서 기재되어 있다.

또한, 도 9의 예에서는, 실제 어드레스 R1, R2, R3(논리 어드레스 L1, L2, L3)은, 프로세스 ID가 「1」인 안전 제어 기능의 액세스가 허가되어 있고, 실제 어드레스 R4, R5, R6, R7(논리 어드레스 L4, L5, L6, L7)은, 프로세스 ID가 「2」인 안전 제어 기능의 액세스가 허가되어 있으며, 실제 어드레스 R8, R9(논리 어드레스 L8, L9)는, 프로세스 ID가 「3」인 안전 제어 기능의 액세스가 허가되어 있고, 실제 어드레스 Rmm(논리 어드레스 Lmm)는, 프로세스 ID가 「n」인 안전 제어 기능의 액세스가 허가되어 있는 것을 나타내고 있다.

여기서, 도 9의 예에서는, 실제 어드레스 R10(논리 어드레스 L10)은, 임의의 안전 제어 기능의 액세스도 금지되어 있는 것을 나타내고 있다.

또한 본 실시 형태에 따른 할당표에는, 도 4의 할당표와 달리, 「액세스 권리」 정보도 부가되어 있다. 도 9의 예에서는, 프로세스 ID가 「1」의 실제 어드레스 R1(논리 어드레스 L1)로의 액세스는, 「read(판독)」의 액세스 형태만 허가되어 있는 것을 의미한다. 환언하면, 도 9의 예에서는, 프로세스 ID가 「1」의 실제 어드레스 R1(논리 어드레스 L1)로의 「write(기입)」의 액세스 형태는 금지되어 있는 것을 의미한다.

마찬가지로, 도 9의 예에서는, 프로세스 ID가 「2」의 실제 어드레스 R4(논리 어드레스 L4)로의 액세스는, 「write」의 액세스 형태만 허가되어 있는 것을 의미한다. 환언하면, 도 9의 예에서는, 프로세스 ID가 「2」의 실제 어드레스 R4(논리 어드레스 L4)로의 「read」의 액세스 형태는 금지되어 있는 것을 의미한다.

마찬가지로, 도 9의 예에서는, 프로세스 ID가 「n」의 실제 어드레스 Rmm(논리 어드레스 Lmm)로의 액세스는, 「read」 및 「write」의 양쪽 모두의 액세스 형태가 허가되어 있는 것을 의미한다.

본 실시 형태에서는, 엘리베이터 안전 제어 장치(25)는, 도 9에 나타내는 할당표를 유지하고 있다. 그리고, 소정의 안전 제어 기능을 연산 실행 중의 CPU(34)는, 독립성 보증부(36)를 거쳐서 메모리(37)에, 소정의 어드레스, 소정의 액세스 형태로 액세스한다. 이에 의해, 독립성 보증부(36)는, 실시 형태 1에서 설명한 「프로세스 ID 및 어드레스 정보」뿐만이 아니라, 메모리(37)로의 CPU(34)의 「액세스 형태 정보」도 취득할 수 있다.

본 실시 형태에 따른 독립성 보증부(36)에서는, 도 9에 예시한 할당표와, CPU(34)로부터 취득한 「프로세스 ID 및 어드레스 정보 및 어드레스 형태 정보」를 이용하여, 메모리 간섭 감시 기능을 실행한다. 구체적으로는, 해당 독립성 보증부(36)는, 각 안전 제어 기능이 허가된 영역 이외의 메모리(37)에 액세스하고 있는지 여부를 감시하고 있을 뿐만 아니라, 해당 안전 제어 기능이 허가된 액세스 권리 이외의 액세스 형태로 메모리(37)에 액세스하고 있는지 여부를 감시하고 있다.

그리고, 독립성 보증부(36)가, 소정의 안전 제어 기능이 허가되어 있는 메모리(37)의 어드레스에 액세스할 때에, 허가되어 있는 액세스 권리 정보와 상이한 액세스 형태에서의 액세스를 검출한 것으로 한다. 그 경우는, 독립성 보증부(36)가 메모리 간섭이 있는 것을 검출한 경우이다. 그 경우에는, 엘리베이터 안전 제어 장치(25)는, 상술한 어느 하나의 형태로, 카(1)를 정지시킨다(도 7의 스텝 S2에서 「예」 및 스텝 S8 참조).

여기서, 독립성 보증부(36)가, 소정의 안전 제어 기능이 허가되어 있는 어드레스 이외의 메모리(37)의 어드레스로의 액세스를 검출했을 때, 실시 형태 1에서 설명한 바와 같다.

이상과 같이, 본 실시 형태에 따른 엘리베이터 안전 제어 장치(25)에서는, 독립성 보증부(36)가 소정의 안전 제어 기능의 연산 실행 시에, 액세스 권리 정보와 상이한 메모리(37)에 대한 액세스 형태를 검출했을 때에 있어서도, 해당 엘리베이터 안전 제어 장치(25)는 카(1)를 정지시킨다.

따라서, 본 실시 형태에 따른 엘리베이터 안전 제어 장치(25)는, 실시 형태 1에 따른 엘리베이터 안전 제어 장치(25)보다 정밀도가 높은 메모리 간섭 감시 기능을 제공할 수 있다.

(실시 형태 4)

본 실시 형태에 따른 엘리베이터 안전 제어 장치(안전 제어 기판)는, 실시 형태 1에 따른 엘리베이터 안전 제어 장치(25)와 상이하다. 엘리베이터 장치 전체(100)의 구성은, 실시 형태 1과 실시 형태 4에서 동일하다(도 1 참조).

실시 형태 1에서는, 안전 제어 기판(25)에는, CPU(34), 독립성 보증부(36) 및 메모리(37)가 각각 1개 배치되어 있었다. 이에 대해서, 본 실시 형태에서는, 안전 제어 기판에는, CPU와 독립성 보증부와 메모리로 이루어지는 구성군이 2개 배치되어 있다. 즉, 해당 안전 제어 기판에는, 상기 구성군이 이중화되어 있다.

도 10은, 본 실시 형태에 따른 안전 제어 장치(25A)의 구성을 나타내는 블럭도이다.

도 10에 나타내는 바와 같이, 엘리베이터 안전 제어 장치(안전 제어 기판)(25A)에는, CPU(34g1)와 독립성 보증부(36g1)와 메모리(37g1)로 이루어지는 제 1 구성군(제 1 계통이라고 칭함)과 CPU(34g2)와 독립성 보증부(36g2)와 메모리(37g2)로 이루어지는 제 2 구성군(제 2 계통이라고 칭함)이 배치되어 있다.

각 CPU(34g1, 34g2), 각 독립성 보증부(36g1, 36g2) 및 각 메모리(37g1, 37g2)의 동작은, 실시 형태 1 내지 3에서 설명한 CPU(34), 독립성 보증부(36) 및 메모리(37)와 동일하다. 즉, 독립성 보증부(36g1, 36g2)에 대해서도, CPU(34g1, 34g2) 및 메모리(37g1, 37g2)와 관련해서, 실시 형태 1 내지 3에서 설명한 메모리 간섭 감시 기능이나 실행 시간 감시 기능, 연산 결과 에러의 검출 동작 등이 더 실행된다.

또한, 본 실시 형태에서는, 각 독립성 보증부(36g1, 36g2)는, 후술하는 양 계통 간에 실행되고 있는 프로그램의 일치·불일치를 판단한다(실행 프로그램 감시 기능). 그리고, 각 독립성 보증부(36g1, 36g2)는 해당 실행 프로그램 감시 기능의 결과 통지를 각 CPU(34g1, 34g2)에 대해서 행한다.

또한, 도 10에 나타내는 바와 같이, 본 실시 형태에 따른 안전 제어 기판(25A)에는, 상호 비교부(40)가 배치되어 있다. 해당 상호 비교부(40)는, CPU(34g1)의 연산 결과와 CPU(34g2)의 연산 결과를 상호 비교한다.

다른 블록(32, 33, 35, 38)의 구성 및 동작은, 실시 형태 1의 도 2에 있어서 동일한 부호로 도시한 블록의 구성·동작과 동일하다.

도 10에 있어서, 입력부(32)는, 입력 버퍼(33)에 접속되고, 입력 버퍼(33)는, CPU(34g1, 34g2)의 각각에 접속된다. CPU(34g1)와 CPU(34g2)의 사이에는, 상호 비교부(40)가 배치되어 있다. CPU(34g1, 34g2)는 모두 출력 버퍼(35)에 접속되어 있다. CPU(34g1)는, 독립성 보증부(36g1)에 접속되고, CPU(34g2)는, 독립성 보증부(36g2)에 접속된다. 독립성 보증부(36g1)는, 출력 버퍼(35) 및 메모리(37g1) 및 출력부(38)에 각각 접속된다. 독립성 보증부(36g2)는, 출력 버퍼(35) 및 메모리(37g2) 및 출력부(38)에 각각 접속된다. 또한, 입력부(32)는, 안전 제어 기판(25A)의 외부 구성요소(스위치(30) 및 센서(31))와 각각 접속되고, 출력부(38)는, 안전 제어 기판(25A)의 외부 구성요소(권상기(4) 및 브레이크(6))와 각각 접속된다.

도 11은, 독립성 보증부(36g1, 36g2)와, CPU(34g1, 34g2)와, 메모리(37g1, 37g2)의 접속 관계를 나타내는 블럭도이다.

도 11에 나타내는 바와 같이, CPU(34g1)와 메모리(37g1)는, 버스(39g1)에 의해 접속되어 있고, 해당 버스(39g1)에 있어서, 독립성 보증부(36g1) 및 독립성 보증부(36g2)가 개재되어 있다. 또한, CPU(34g2)와 메모리(37g2)는, 버스(39g2)에 의해 접속되어 있고, 해당 버스(39g2)에 있어서, 독립성 보증부(36g1) 및 독립성 보증부(36g2)가 개재되어 있다. 또한, 독립성 보증부(36g1)와 CPU(34g1)와 CPU(34g2)는, 통신선(39gm)에 의해 상호 접속되어 있다. 또한 독립성 보증부(36g2)와 CPU(34g1)와 CPU(34g2)는, 통신선(39gn)에 의해 상호 접속되어 있다.

도 11에 나타내는 바와 같이, 제 1 계통 및 제 2 계통 사이에 있어서, 버스(39g1, 39g2) 및 신호선(39gm, 39gn)의 배치에 의해, 각종 신호·정보 등의 데이터 공유가 가능하게 되어 있다. 즉, 제 1 계통에 있어서의 CPU(34g1) 및 독립성 보증부(36g1)는, 제 1 계통에서 송수신되는 데이터 뿐만 아니라, 제 2 계통에서 송수신되는 데이터도 취득할 수 있다. 마찬가지로, 제 2 계통에 있어서의 CPU(34g2) 및 독립성 보증부(36g2)는, 제 2 계통에서 송수신되는 데이터 뿐만 아니라, 제 1 계통에서 송수신되는 데이터도 취득할 수 있다.

예를 들어, CPU(34g1)는, 해당 CPU(34g1)에 있어서 현재 연산을 실행하고 있는 안전 제어 기능의 프로세스 ID를, 통신선(39gm)을 거쳐서, 독립성 보증부(36g1) 및 CPU(34g2)에 통지한다. 또한, CPU(34g2)는, 해당 CPU(34g2)에 있어서 현재 연산을 실행하고 있는 안전 제어 기능의 프로세스 ID를, 통신선(39gn)을 거쳐서, 독립성 보증부(36g2) 및 CPU(34g1)에 통지한다.

또한, 독립성 보증부(36g1)는, 독립성 보증부(36g1)의 판단 결과(일례로서 메모리 간섭 감시 결과·실행 시간 감시 결과·실행 프로그램 감시 결과) 및 각종 명령(예를 들어, 리셋 처리 명령) 등을, 신호선(39gm)을 개재하여 CPU(34g1, 34g2)에 통지한다. 또한, 독립성 보증부(36g2)는, 독립성 보증부(36g2)의 판단 결과(일례로서 메모리 간섭 감시 결과·실행 시간 감시 결과·실행 프로그램 감시 결과) 및 각종 명령(예를 들어, 리셋 처리 명령) 등을, 신호선(39gn)을 거쳐서 CPU(34g1, 34g2)에 통지한다.

또한, CPU(34g1)는, 안전 제어 기능의 연산 처리 시에 메모리(37g1)의 소정의 어드레스에 액세스를 행한다. 그리고, CPU(34g1)의 연산 처리 결과 등의 데이터는, 메모리(37g1)의 소정의 어드레스에 기입된다. 마찬가지로, CPU(34g2)는, 안전 제어 기능의 연산 처리 시에 메모리(37g2)의 소정의 어드레스에 액세스를 실시한다. 그리고, CPU(34g2)의 연산 처리 결과 등의 데이터는, 메모리(37g2)의 소정의 어드레스에 기입된다.

이에 따라, 독립성 보증부(36g1, 36g2)는, CPU(34g1)에 있어서 연산되고 있는 프로그램의 어드레스 정보 및 데이터를, 버스(39g1)를 거쳐서 입수한다. 또한, 독립성 보증부(36g1, 36g2)는, CPU(34g2)에 있어서 연산되고 있는 프로그램의 어드레스 정보 및 데이터를, 버스(39g2)를 거쳐서 입수한다.

독립성 보증부(36g1, 36g2)는, 취득한 상기 어드레스 정보나 데이터를 이용하여, 자신의 시스템에서 현재 실행되고 있는 프로그램의 어드레스 및 데이터와 다른 시스템에서 실행되고 있는 프로그램의 어드레스 및 데이터를 비교한다. 즉, 독립성 보증부(36g1, 36g2)는, 자신의 시스템에서 실행하고 있는 프로그램과 다른 시스템에서 실행하고 있는 프로그램이 일치하고 있는지 여부의 판단을 행한다(실행 프로그램 감시 기능).

해당 실행 프로그램 감시 기능에 의해, 독립성 보증부(36g1, 36g2)가, 양쪽 시스템의 CPU(34g1, 34g2) 사이에 있어서 실행하고 있는 프로그램의 불일치를 검출한 것으로 한다. 그 경우에는, 독립성 보증부(36g1, 36g2)는, 자신의 시스템에 속하는 CPU(34g1, 34g2)에 대해서, 다른 시스템에서 실행되고 있는 프로그램이 자신의 시스템에서 실행하고 있는 프로그램과 상위한 취지를 통지한다. 그리고, 독립성 보증부(36g1, 36g2)가 상기 프로그램의 불일치를 검출했을 때, 엘리베이터 안전 제어 장치(25A)는, 카(1)를 실시 형태 1에서 설명한 어느 하나의 형태로 정지시킨다.

그런데, CPU(34g1) 및 CPU(34g2)에서는, 기본적으로, 동일한 프로그램에 따른 연산 처리가 동시에 실행된다. 그리고, CPU(34g1) 및 CPU(34g2)는 각각, 해당 연산 처리의 결과인 연산 결과를 상호 비교부(40)에 대해서 출력한다.

상호 비교부(40)에서는, 수신한 양 연산 결과끼리를 비교한다. 상기한 바와 같이, 기본적으로, CPU(34g1)와 CPU(34g2)는, 동일한 연산 처리가 실행되므로, 상호 비교부(40)가 수신하는 연산 결과도 동일하다. 그러나, 어떠한 이유에 의해, 상호 비교부(40)가, 상기 비교의 결과, 연산 결과의 불일치를 검출한 것으로 한다. 그 경우에는, 엘리베이터 안전 제어 장치(25A)는, 카(1)를, 실시 형태 1에서 설명한 어느 하나의 형태로 정지시킨다.

또한, 메모리 간섭 감시 기능 및 실행 시간 감시 기능에 근거하는 카(1)의 정지에 이르는 각 동작은, 상기 실시 형태 1 내지 3에서 서술한 바와 같다.

도 12는, 본 실시 형태에 따른 엘리베이터 안전 제어 장치(25A)의 동작을 나타내는 플로우 차트이다. 해당 도 12를 이용하여, 이하, 본 실시 형태에 따른 엘리베이터 안전 제어 장치(25A)의 동작에 대하여 설명한다.

우선, CPU(34g1) 및 CPU(34g2)는 각각, 하나의 동일한 소정의 안전 제어 기능의 연산을 행한다(스텝 S11). 해당 연산 시에, 독립성 보증부(36g1, 36g2)는, 상기 실행 프로그램 감시 기능에 의해, 자신의 시스템에서 실행하고 있는 프로그램과 다른 시스템에서 실행하고 있는 프로그램과의 일치·불일치를 감시한다(스텝 S12).

독립성 보증부(36g1, 36g2)의 어느 하나가, 실행하고 있는 프로그램의 불일치를 검출한 것으로 한다(스텝 S12에서 「예」). 그 경우에는, 엘리베이터 안전 제어 장치(25A)는, 상술한 어느 하나의 형태로, 카(1)를 정지시킨다(스텝 S20).

이에 대해서, 독립성 보증부(36g1, 36g2)의 양쪽 모두가, 실행하고 있는 프로그램이 일치하고 있다고 판단한 것으로 한다(스텝 S12에서 「아니오」). 그 경우에는, 엘리베이터 안전 제어 장치(25A)의 동작은, 스텝 S13으로 이행한다.

스텝 S13에서는, 상호 비교부(40)가, 양 CPU(34g1, 34g2)로부터 출력된 연산 결과끼리를 비교한다. 상호 비교부(40)가 수신한 연산 결과의 불일치를 검출한 것으로 한다(스텝 S13에서 「예」). 그 경우에는, 엘리베이터 안전 제어 장치(25A)는, 상술한 어느 하나의 형태로, 카(1)를 정지시킨다(스텝 S20).

이에 대해서, 상호 비교부(40)가 수신한 연산 결과의 일치를 검출한 것으로 한다(스텝 S13에서 「아니오」). 그 경우에는, 엘리베이터 안전 제어 장치(25A)는, 메모리 간섭 감시 기능의 동작으로 이행한다.

독립성 보증부(36g1, 36g2)는, 상기 메모리 간섭 감시 기능에 의해, 안전 제어 기능의 독립성이 담보되고 있는지 여부를 감시한다(스텝 S14). 각 독립성 보증부(36g1, 36g2)에서 실행되는 해당 스텝 S14의 동작은, 도 7의 스텝 S2의 동작과 동일하다.

독립성 보증부(36g1, 36g2)의 어느 하나가, 메모리 간섭이 있는 것을 검출한 것으로 한다(스텝 S14에서 「예」). 그 경우에는, 엘리베이터 안전 제어 장치(25A)는, 상술한 어느 하나의 형태로, 카(1)를 정지시킨다(스텝 S20).

이에 대해서, 독립성 보증부(36g1, 36g2)가 모두, 메모리 간섭이 없다고 판단한 것으로 한다(스텝 S14에서 「아니오」). 그 경우에는, 각 독립성 보증부(36g1, 36g2)는, 상기 실행 시간 감시 기능의 동작에 의한 판단을 행한다(스텝 S15).

스텝 S15에서는, 독립성 보증부(36g1, 36g2)는 각각에 있어서, 개별 연산 처리 시간이 규정 시간을 초과했는지 여부를 판단한다. 각 독립성 보증부(36g1, 36g2)에서 실행되는 해당 스텝 S15의 동작은, 도 7의 스텝 S3의 동작과 동일하다.

독립성 보증부(36g1, 36g2)의 어느 하나가, 규정 시간 이내에, 소정의 안전 제어 기능의 연산이 종료하지 않았던 것을 검출한 것으로 한다(스텝 S15에서 「예」). 그 경우에는, 엘리베이터 안전 제어 장치(25A)는, 상술한 어느 하나의 형태로, 카(1)를 정지시킨다(스텝 S20).

이에 대해서, 독립성 보증부(36g1, 36g2)가 모두, 소정의 안전 제어 기능의 연산이 규정 시간 이내에 종료한 것을 검출한 것으로 한다(스텝 S15에서 「아니오」). 그 경우에는, 엘리베이터 안전 제어 장치(25A)의 동작은, 스텝 S16으로 이행한다.

스텝 S16에서는, 독립성 보증부(36g1, 36g2)에서는, 출력 버퍼(35)에 저장하고 있는 소정의 안전 제어 기능의 연산 결과가, 정상 값인지 여부를 감시한다. 각 독립성 보증부(36g1, 36g2)에서 실행되는 해당 스텝 S16의 동작은, 도 7의 스텝 S4의 동작과 동일하다.

연산 결과가 에러(엘리베이터의 안전성의 관점으로부터 이상이라고 판단되는 결과)인 것을, 독립성 보증부(36g1, 36g2)의 어느 하나에서 검출한 것으로 한다(스텝 S16에서 「예」). 그 경우에는, 엘리베이터 안전 제어 장치(25A)는, 상술한 어느 하나의 형태로, 카(1)를 정지시킨다(스텝 S20).

이에 대해서, 해당 연산 결과가 정상(엘리베이터의 안전성의 관점으로부터 정상이라고 판단되는 결과)인 것을 각 독립성 보증부(36g1, 36g2)가 검출한 것으로 한다(스텝 S16에서 「아니오」). 그 경우에는, 엘리베이터 안전 제어 장치(25A)는, 실장되어 있는 모든 안전 제어 기능의 연산 실행이 완료하였는지 여부를 판단한다(스텝 S17).

모든 안전 제어 기능의 연산이 완료하고 있지 않는 경우에는(스텝 S17에서 「아니오」), 엘리베이터 안전 제어 장치(25A)는, 미연산인 안전 제어 기능을 하나 선택하고, 해당 선택한 안전 제어 기능에 대해서, 스텝 S11 이후의 동작을 반복하여 실행한다.

이에 대해서, 모든 안전 제어 기능의 연산이 완료한 경우에는(스텝 S17에서 「예」), 독립성 보증부(36g1, 36g2)는, 토탈 연산 처리 시간이 규정 시간을 초과했는지 여부를 판단한다(스텝 S18). 각 독립성 보증부(36g1, 36g2)에서 실행되는 해당 스텝 S18의 동작은, 도 7의 스텝 S6의 동작과 동일하다.

독립성 보증부(36g1, 36g2)의 어느 하나에서, 규정 시간 이내에, 전체 안전 제어 기능의 연산이 종료하지 않았던 것을 검출한 것으로 한다(스텝 S18에서 「예」). 그 경우에는, 엘리베이터 안전 제어 장치(25A)는, 상술한 어느 하나의 형태로, 카(1)를 정지시킨다(스텝 S20).

이에 대해서, 독립성 보증부(36g1, 36g2)가 모두, 전체 안전 제어 기능의 연산이 규정 시간 이내에 종료한 것을 검출한 것으로 한다(스텝 S18에서 「아니오」). 그 경우에는, 구동 제어부(24)에 의한 엘리베이터의 통상 운행이 계속된다(스텝 S19).

여기서, 도 12의 플로우 차트에서는, 각 안전 제어 기능의 연산 종료(스텝 S11~S15) 후, 개별적으로 연산 결과가 에러를 나타낸 것인지 여부를 판단하고 있다(스텝 S16). 그러나, 모든 안전 제어 기능의 연산 종료 후, 전체 연산 결과 중 몇 개의 연산 결과가 에러를 나타내는 것인지 여부에 기초하여 판단해도 좋다.

이상과 같이, 본 실시 형태에 따른 엘리베이터 안전 제어 장치(25A)는, 도 7의 일련의 동작에 부가하여, 독립성 보증부(36g1, 36g2)에 있어서의 실행 프로그램 감시 기능 처리와 상호 비교부(40)에 있어서의 연산 결과 일치/불일치 판단 처리가 추가되어 있다.

따라서, 실시 형태 1보다도, 본 실시 형태가 엘리베이터 안전 제어 시스템의 신뢰성을 높일 수 있다.

또한, 도 11에 나타내는 접속 관계에서는, 독립성 보증부(36g1, 36g2)는, 서로의 신호선(39gm, 39gn) 및 버스(39g1, 39g2)를 서로 접속하고 있다. 그러나, 해당 구성 대신에, 독립성 보증부(36g1, 36g2) 사이에 신호선을 접속하고, 양 독립성 보증부(36g1, 36g2) 사이에 있어서, 각종 데이터·신호의 송수신을 행할 수 있는 구성을 채용할 수도 있다.

또한, 본 실시 형태에서는, CPU, 메모리 및 독립성 보증부로 이루어지는 구성군이 이중화되어 있는 경우에 대하여 설명했다(상기 제 1 계통 및 제 2 계통). 그러나, 삼중화 이상의 구성을 채용해도 좋다(3개 이상의 계통을 가지는 구성도 가능). 해당 경우에 대해서도, 각 계통 사이에 있어서, 데이터·신호를 서로 공유할 수 있는 배선 접속이 필요하고, 상호 비교부(40)는, 각 CPU와 각각 접속된다. 이러한 구성의 경우에 대해서도, 본 실시 형태에서 설명한 엘리베이터 안전 제어 시스템의 신뢰성 향상의 효과를 얻을 수 있음은 말할 필요도 없다.

1 : 카
4 : 권상기
6 : 브레이크
23 : 제어반
24 : 구동 제어부
25, 25A : 엘리베이터 안전 제어 장치(안전 제어 기판)
30 : 스위치
31 : 센서
32 : 입력부
33 : 입력 버퍼
34, 34g1, 34g2 : CPU
35 : 출력 버퍼
36, 36g1, 36g2 : 독립성 보증부
37, 37g1, 37g2 : 메모리
38 : 출력부
40 : 상호 비교부

Claims

카(car)(1)의 정지를 제어하는 엘리베이터 안전 제어 장치로서,
엘리베이터 상태에 관한 신호를 입력 값으로서 입력하는 입력부와,
상기 입력 값을 이용하여, 복수의 안전 제어 기능에 관한 연산을 각각 독립된 프로그램으로 실행함으로써, 상기 엘리베이터의 안전 제어에 관한 연산을 행하는 CPU(Central Processing Unit)와 메모리를 포함하는 논리부와,
상기 안전 제어 기능 사이에서 영향을 서로 미치지 않는 상기 안전 제어 기능의 독립성을 보증하는 독립성 보증부를 구비하고 있으며,
상기 독립성 보증부는,
각 상기 안전 제어 기능이 허가된 영역 이외의 상기 메모리에 액세스하고 있는지 여부를 감시함으로써, 상기 안전 제어 기능의 독립성을 보증하고 있고,
소정의 상기 안전 제어 기능에 의한, 허가된 영역 이외의 상기 메모리로의 액세스를, 상기 독립성 보증부가 검출했을 때, 상기 엘리베이터 안전 제어 장치는 상기 카를 정지시키는
것을 특징으로 하는 엘리베이터 안전 제어 장치.
제 1 항에 있어서,
상기 독립성 보증부는, 상기 안전 제어 기능에 의한 연산 처리 시간이, 미리 설정된 규정 시간을 초과하였는지 여부를 감시함으로써, 상기 안전 제어 기능의 독립성을 보증하고 있고,
상기 독립성 보증부가, 상기 연산 처리 시간이 상기 규정 시간을 초과한 것을 검출했을 때, 상기 엘리베이터 안전 제어 장치는 상기 카를 정지시키는 것을 특징으로 하는 엘리베이터 안전 제어 장치.
카(1)의 정지를 제어하는 엘리베이터 안전 제어 장치로서,
엘리베이터 상태에 관한 신호를 입력 값으로서 입력하는 입력부와,
상기 입력 값을 이용하여, 복수의 안전 제어 기능에 관한 연산을 각각 독립된 프로그램으로 실행함으로써, 상기 엘리베이터의 안전 제어에 관한 연산을 행하는 CPU(Central Processing Unit)를 포함하는 논리부와,
상기 안전 제어 기능간에 영향을 서로 미치지 않는 상기 안전 제어 기능의 독립성을 보증하는 독립성 보증부를 구비하고 있고,
상기 독립성 보증부는, 상기 안전 제어 기능마다, 개별 연산 처리 시간이 미리 설정된 규정 시간을 초과하였는지 여부를 감시함으로써, 상기 안전 제어 기능의 독립성을 보증하고 있으며,
상기 독립성 보증부가, 어느 하나의 상기 안전 제어 기능에서, 상기 개별 연산 처리 시간이 상기 규정 시간을 초과한 것을 검출했을 때, 상기 엘리베이터 안전 제어 장치는 상기 카를 정지시키는
것을 특징으로 하는 엘리베이터 안전 제어 장치.
제 1 항, 제 2 항, 제 3 항 중 어느 한 항에 있어서,
상기 논리부는 복수이며,
각 상기 논리부는, 동일한 연산 처리를 실시하여, 해당 연산 처리의 결과인 연산 결과를 출력하고,
상기 엘리베이터 안전 제어 장치는, 상기 논리부로부터 출력된 상기 연산 결과끼리를 비교하는 상호 비교부(40)를 더 구비하고 있고,
상기 상호 비교부가, 상기 연산 결과의 불일치를 검출했을 때, 상기 엘리베이터 안전 제어 장치는 상기 카를 정지시키는 것을 특징으로 하는 엘리베이터 안전 제어 장치.
제 4 항에 있어서
하나의 상기 논리부에서의 프로그램의 실행과 다른 상기 논리부에서의 프로그램의 실행이 일치하고 있지 않는 것을, 상기 독립성 보증부가 검출했을 때, 상기 엘리베이터 안전 제어 장치는 상기 카를 정지시키는 것을 특징으로 하는 엘리베이터 안전 제어 장치.
제 1 항에 있어서,
상기 엘리베이터 안전 제어 장치는,
상기 각 안전 제어 기능마다, 해당 각 안전 제어 기능이 액세스가 허가되어 있는 상기 메모리의 어드레스를 나타내는 데이터를 유지하고 있고,
상기 독립성 보증부는,
(A－1) 상기 안전 제어 기능의 실행 시에, 해당 안전 제어 기능의 종별을 나타내는 식별 정보와 해당 안전 제어 기능의 실행에서 액세스하려고 하고 있는 상기 메모리의 영역을 나타내는 어드레스 정보를 상기 CPU로부터 취득하고,
(A－2) 상기 (A－1)에서 취득한 각 정보와 상기 데이터를 비교함으로써, 각 상기 안전 제어 기능이 허가된 영역 이외의 상기 메모리에 액세스하고 있는지 여부를 감시하는 것을 특징으로 하는 엘리베이터 안전 제어 장치.
제 6 항에 있어서,
상기 데이터에는, 소정의 상기 안전 제어 기능이 상기 메모리에 대해서 허가되어 있는 액세스 형태를 나타내는 액세스 권리 정보도 포함되어 있고,
상기 독립성 보증부가, 상기 소정의 안전 제어 기능의 실행 시에, 상기 소정의 안전 제어 기능이 허가되어 있는 상기 액세스 권리 정보와 상이한 상기 메모리에 대한 액세스 형태를 검출했을 때, 상기 엘리베이터 안전 제어 장치는 상기 카를 정지시키는 것을 특징으로 하는 엘리베이터 안전 제어 장치.
제 1 항에 있어서,
상기 메모리는, 상기 안전 제어 기능에 대응하여, 사용이 허가되어 있는 영역이 구분되어 있고,
상기 독립성 보증부는,
(A－1) 상기 안전 제어 기능의 실행 전에 있어서, 상기 각 영역마다 제 1 오류 검출 코드를 산출하고,
(A－2) 상기 안전 제어 기능의 실행 후에 있어서, 상기 각 영역마다 제 2 오류 검출 코드를 산출하며,
(A－3) 상기 각 영역마다 상기 제 1 오류 검출 코드와 상기 제 2 오류 검출 코드를 비교함으로써, 각 상기 안전 제어 기능이 허가된 영역 이외의 상기 메모리에 액세스하고 있는지 여부를 감시하는 것을 특징으로 하는 엘리베이터 안전 제어 장치.
제 8 항에 있어서,
상기 제 1 오류 검출 코드 및 상기 제 2 오류 검출 코드는, CRC(Cyclic Redundancy Code)인 것을 특징으로 하는 엘리베이터 안전 제어 장치.
삭제
제 2 항 또는 제 3 항에 있어서,
상기 독립성 보증부는, 전체 상기 안전 제어 기능의 토탈(total) 연산 처리 시간이 상기 규정 시간을 초과하였는지 여부를 감시하고 있고,
상기 독립성 보증부가, 상기 토탈 연산 처리 시간이 상기 규정 시간을 초과한 것을 검출했을 때, 상기 엘리베이터 안전 제어 장치는 상기 카를 정지시키는 것을 특징으로 하는 엘리베이터 안전 제어 장치.
제 1 항, 제 2 항, 제 3 항 중 어느 한 항에 있어서,
상기 독립성 보증부가, 어느 하나의 상기 안전 제어 기능에서, 상기 안전 제어 기능의 연산 결과가 에러인 것을 검출했을 때, 상기 엘리베이터 안전 제어 장치는 상기 카를 정지시키는 것을 특징으로 하는 엘리베이터 안전 제어 장치.
제 1 항, 제 2 항, 제 3 항 중 어느 한 항에 있어서,
상기 엘리베이터 안전 제어 장치는, 상기 카를 즉시 정지시키는 것을 특징으로 하는 엘리베이터 안전 제어 장치.
제 1 항, 제 2 항, 제 3 항 중 어느 한 항에 있어서,
상기 엘리베이터 안전 제어 장치는, 상기 카를 가장 근접한 플로어에 정지시키는 것을 특징으로 하는 엘리베이터 안전 제어 장치.
제 14 항에 있어서,
엘리베이터 안전 제어 장치는, 소정의 시간 이내에, 상기 가장 근접한 플로어에 상기 카가 도착하지 않을 때, 상기 가장 근접한 플로어에 도착하지 않는 상태에서 상기 카를 비상 정지시키는 것을 특징으로 하는 엘리베이터 안전 제어 장치.
제 15 항에 있어서,
엘리베이터 안전 제어 장치는, 변경 가능하게 상기 소정의 시간 설정이 가능한 타이머를 더 구비하고 있고,
상기 타이머는, 상기 독립성 보증부의 상기 검출 동작에 기인하여 측정을 개시하고,
엘리베이터 안전 제어 장치는, 상기 타이머의 상기 측정의 개시 시로부터 소정의 시간 경과 후에, 상기 카를 비상 정지시키는 것을 특징으로 하는 엘리베이터 안전 제어 장치.
제 1 항, 제 2 항, 제 3 항 중 어느 한 항에 있어서,
상기 입력부, 상기 논리부 및 상기 독립성 보증부는, 하나의 기판상에 실장되어 있는 것을 특징으로 하는 엘리베이터 안전 제어 장치.