(57)【要約】【課題】配線の低減を実現しつつ、信頼性を確保したエレベータ安全システムを得ることを目的とする。【解決手段】本発明のエレベータ安全システムは、少なくとも一つのセンサ５またはスイッチ４と接続され、誤り検出符号を用いてセンサ５またはスイッチ４の状態から符号冗長化したメッセージ１０を生成する少なくとも一つの入出力ノード２と、入出力ノード２と接続され、メッセージ１０を送受信する単一の伝送路３と、伝送路３、エレベータの巻上機６およびブレーキ７と接続され、入出力ノード２から送信されたメッセージ１０を処理し、危険な状態があることを判断すると、巻上機６およびブレーキ７を制動する安全制動ユニット１と、を備える。【選択図】図１
2010095342.tif 000002
【特許請求の範囲】
【請求項１】
少なくとも一つのセンサまたはスイッチと接続され、誤り検出符号を用いて前記センサまたはスイッチの状態から符号冗長化したメッセージを生成する少なくとも一つの入出力ノードと、
前記入出力ノードと接続され、前記メッセージを伝送する単一の伝送路と、
前記伝送路、エレベータの巻上機およびブレーキと接続される安全制動ユニットと、を備え、
前記入出力ノードおよび前記安全制動ユニットは、
前記伝送路を介して前記メッセージを通信する下位層通信手段と、
符号冗長化した前記メッセージを生成して前記下位層通信手段に転送し、前記下位層通信手段から受け取った前記メッセージから通信誤りを検出する上位層通信手段と、を有し、
前記安全制動ユニットは、前記入出力ノードから送信された前記メッセージを処理し、危険な状態があることを判断すると、前記巻上機およびブレーキを制動することを特徴とするエレベータ安全システム。
【請求項２】
前記上位層通信手段は、多重化された演算回路を有する、請求項１に記載のエレベータ安全システム。
【請求項３】
前記入出力ノードおよび前記安全制動ユニットは、入出力および自身の回路の健全性を検査する診断手段を有する、請求項１または２に記載のエレベータ安全システム。
【請求項４】
前記診断手段は、多重化された演算回路を有する、請求項３に記載のエレベータ安全システム。
【請求項５】
前記入出力ノードは、
複数回同じメッセージを送信する送信手段を備え、
前記安全制動ユニットは、
前記入出力ノードが送信した送信回数と同じ回数のメッセージを受信し、かつ全て同一のメッセージを受信した場合に、当該メッセージが有効であると判断する受信手段を備える、請求項１から４のいずれかに記載のエレベータ安全システム。
【請求項６】
前記入出力ノードに接続された位置センサおよび速度センサをさらに備え、
前記安全制動ユニットは、前記位置センサおよび速度センサの情報をもとに、エレベータのかごが過速度状態にあることを検出した場合、電源を遮断するように前記巻上機およびブレーキを制動する、請求項１から５のいずれかに記載のエレベータ安全システム。
【請求項７】
前記安全制動ユニットは、前記位置センサおよび速度センサの情報をもとに、エレベータのかごが過大減速度状態にあることを検出した場合、非常制動による急停止を緩和するように前記巻上機およびブレーキを制動する、請求項６に記載のエレベータ安全システム。
【請求項８】
前記安全制動ユニットは、誤り検出符号を用いて前記センサおよびスイッチを操作する情報を符号冗長化したメッセージを生成し、当該メッセージを送信する送信手段を備え、
前記入出力ノードは、前記安全制動ユニットから送信された前記メッセージを受信する受信手段を備え、当該メッセージに基づいて前記センサおよびスイッチを制御する、請求項１から７のいずれかに記載のエレベータ安全システム。
【請求項９】
前記安全制動ユニットの前記送信手段は、複数回同じメッセージを送信し、
前記入出力ノードの前記受信手段は、前記安全制動ユニットが送信した送信回数と同じ回数のメッセージを受信し、かつ全て同一のメッセージを受信した場合に、当該メッセージが有効であると判断する、請求項８に記載のエレベータ安全システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、エレベータ装置で使用されるエレベータ安全システムに関し、特に電子部品を使用するエレベータ安全システムに関するものである。
【背景技術】
【０００２】
従来のエレベータ安全システムは、スイッチおよびセンサを直接接続する安全回路を構成することによって実現していた。しかし、これら安全回路を構成するスイッチおよびセンサは、個々に制御板に接続されるため、その配線が膨大なものになっていた。
【０００３】
下記特許文献１には、スイッチやセンサはバスノードに接続され、バスノードは安全バスを介して安全コントローラに接続されることで、配線を低減する技術が開示されている。
【０００４】
【特許文献１】特表２００２−５３８０６１号公報（８頁１２〜２０行、図１）
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、特許文献１に記載のエレベータ安全システムにおいては、安全バスを冗長化しているため、配線の低減が不十分であるという問題があった。また、安全バスを介したデータの伝送方法やバスノードおよび安全コントローラについても、信頼性を確保するための方策が不十分であり、安全装置に関係する信号を伝送するためのシステムとしては、信頼性に欠けるという問題もあった。
【０００６】
そこで本発明はかかる問題を解決するためになされたものであり、配線の低減を実現しつつ、信頼性を確保したエレベータ安全システムを得ることを目的とする。
【課題を解決するための手段】
【０００７】
本発明のエレベータ安全システムは、少なくとも一つのセンサまたはスイッチと接続され、誤り検出符号を用いて前記センサまたはスイッチの状態から符号冗長化したメッセージを生成する少なくとも一つの入出力ノードと、前記入出力ノードと接続され、前記メッセージを伝送する単一の伝送路と、前記伝送路、エレベータの巻上機およびブレーキと接続される安全制動ユニットと、を備え、前記入出力ノードおよび前記安全制動ユニットは、前記伝送路を介して前記メッセージを通信する下位層通信手段と、符号冗長化した前記メッセージを生成して前記下位層通信手段に転送し、前記下位層通信手段から受け取った前記メッセージから通信誤りを検出する上位層通信手段と、を有し、前記安全制動ユニットは、前記入出力ノードから送信された前記メッセージを処理し、危険な状態があることを判断すると、前記巻上機およびブレーキを制動する。
【発明の効果】
【０００８】
本発明のエレベータ安全システムによれば、符号冗長化したメッセージを単一の伝送路で伝送することで、信頼性を確保しつつ、配線の低減を実現することができる。
【発明を実施するための最良の形態】
【０００９】
＜実施の形態１＞
図１は、本発明の実施の形態１におけるエレベータ安全システムの構成を示した図である。エレベータ安全システムは、安全制動ユニット１、複数の入出力ノード２、安全ネットワーク３、エレベータの非常制動に関連する種々のセンサ５、スイッチ４またはその他入出力装置（図示せず）、巻上機６、ブレーキ７、を備える。
【００１０】
はじめに、上述した各構成の接続関係について説明する。安全制動ユニット１は、一方は安全ネットワーク３（伝送路）を介して入出力ノード２に接続され、他方はエレベータかごの巻上機６およびブレーキ７に接続される。入出力ノード２は、一方はインターフェースを介してエレベータの非常制動に関連する種々のセンサ５、スイッチ４またはその他の入力装置と接続され、他方は安全ネットワーク３を介して安全制動ユニット１に接続される。
【００１１】
例えば、エレベータかごに設置される入出力ノード２には、非常止めスイッチ４−１、ゲートスイッチ４−２、ドアゾーンセンサ５−１、リレベル（床合わせ）ゾーンセンサ５−２、終点スイッチ４−３などが接続される。また、昇降路上部に設置される入出力ノード２には、ファイナルリミットスイッチ４−４などが接続され、昇降路下部に設置される入出力ノード２にも、同様にファイナルリミットスイッチ４−４などが接続される。また、乗り場に設置される入出力ノード２には、ドアスイッチ４−５や保守用の手動運転スイッチ４−６などが接続される。ただし、これらの接続方法は、エレベータシステムによって変更されうる。
【００１２】
次に、各構成の動作について説明する。入出力ノード２は、センサ５やスイッチ４の入力信号の状態から図２に示すような冗長符号化したメッセージ１０（後述）を生成し、安全ネットワーク３を介して安全制動ユニット１へ送信する。安全制動ユニット１は、受信したメッセージ１０に基づいて、エレベータが特定の危機状態にあると判断した場合に、巻上機６および／またはブレーキ７の電源供給を遮断することで、エレベータを非常制動させる。
【００１３】
例えば、安全制動ユニット１は、ファイナルリミットスイッチ４−４など従来の安全回路に接続されていたスイッチ４やセンサ５の情報を入出力ノード２から受信し、一つでもそれらスイッチ４が切れているなら危険状態であると判断し、即座に巻上機６および／またはブレーキ７の電源供給を遮断してエレベータを非常制動させる。
【００１４】
また、安全制動ユニット１は、ドアゾーンセンサ５−１、リレベルゾーンセンサ５−２、ゲートスイッチ４−２およびドアスイッチ４−５の情報を入出力ノード２から受信し、かごが床合わせ動作中にドアが開いたまま所定のゾーンを外れたことを検出すると、そのままでは乗員を挟み込むおそれがあるため危険状態にあると判断し、即座に巻上機６および／またはブレーキ７の電源供給を遮断してエレベータを非常制動させる。
【００１５】
次に、安全ネットワーク３上を伝送されるメッセージ１０について説明する。図１に示すように、本発明の安全ネットワーク３は、単一の伝送路によって構成される。図１の例では、バス状にネットワークを構成した場合を示している。安全ネットワーク３上を伝送されるメッセージ１０は誤り検出符号によって符号化される。本実施の形態では、誤り検出符号として例えばＣＲＣ（Cyclic Redundancy Code：巡回冗長符号）を用いる。
【００１６】
図２は、安全ネットワーク３上を伝送されるメッセージ１０の構成例を示した図である。入出力ノード２は、接続されているセンサ５やスイッチ４の入力信号の状態をビット列でデータ化する。このデータ１３に送信者アドレス１１および受信者アドレス１２を含むヘッダ１６、メッセージ１０の更新を示すランニング番号１４を付加し、これらをＣＲＣ１５で符号化してメッセージ１０を作成し、安全制動ユニット１に送信する。
【００１７】
図３は、安全制動ユニット１がメッセージ１０を受信するときの処理を示したフローチャートである。はじめに安全制動ユニット１は、入出力ノード２からメッセージ１０を受信したか確認する（ステップＳ１）。メッセージ１０を受信した場合、メッセージ１０に対してＣＲＣ１５の検査によって誤りを検出する（ステップＳ２）。また、ヘッダ１６から送信者アドレス１１および受信者アドレス１２が正しいか確認する（ステップＳ３）。さらに、ランニング番号１４によって、正しく更新されたメッセージ１０であることを確認する（ステップＳ４）。
【００１８】
ステップＳ１〜Ｓ４までのチェックにおいて、有効なメッセージ１０を受信していないと判断した場合、誤りが検出されたメッセージ１０は無効と判断して破棄する（ステップＳ８）。また、メッセージ１０の受信間隔を監視し（ステップＳ９）、一定時間内に有効なメッセージ１０を受信できない場合（ステップＳ１、Ｓ８）は、通信が確立されていないものとみなし、安全状態が確認できないため、安全制動ユニット１は巻上機６および／またはブレーキ７の電源供給を遮断することで、エレベータを非常制動させる（ステップＳ１０）。
【００１９】
一方、ステップＳ１〜Ｓ４のチェックにおいて有効なメッセージ１０を受信したと判断した場合、受信間隔を監視するタイマをリセットし（ステップＳ５）、メッセージ１０を有効としてデータ処理を行う（ステップＳ６）。次に、安全制動ユニット１は、入出力ノード２に接続された種々のセンサ５やスイッチ４の状態から、エレベータが危険状態にあるか判断し（ステップＳ７）、かごが危険状態にある（安全な状態ではない）と安全制動ユニット１が判断した場合、安全制動ユニット１は巻上機６および／またはブレーキ７の電源供給を遮断することで、エレベータを非常制動させる（ステップＳ１０）。一方、かごが危険状態にない（安全な状態である）と安全制動ユニット１が判断した場合、ステップＳ１に戻り同様の処理を行う。
【００２０】
例えば、昇降路の上部または下部に設置されているファイナルリミットスイッチ４−４が切れている場合、かごが昇降路の規定の長さを行き過ぎたことになり、安全制動ユニット１は、エレベータが危険状態にあると判断し（ステップＳ７）、巻上機６および／またはブレーキ７の電源供給を遮断することで、エレベータを非常制動させる（ステップＳ１０）。
【００２１】
以上より、本発明の実施の形態１におけるエレベータ安全システムによれば、符号冗長化したメッセージ１０を単一の安全ネットワーク３で伝送することで、信頼性を確保しつつ、配線の低減を実現することができる。
【００２２】
また、上述した効果に伴い、エネルギー消費量の削減、製品のライフサイクルにおける各段階での環境負荷の低減等の効果がある。また、配線の低減により、廃棄時の回収、運搬の容易性、製品の分解、分離の容易性等の効果がある。
【００２３】
次に、安全制動ユニット１および入出力ノード２の構成について説明する。図４は、安全制動ユニット１の構成を示した図である。なお、入出力ノード２の構成は安全制動ユニット１と同じ構成で実現可能である。安全制動ユニット１および入出力ノード２は、ＣＰＵ３２、ＲＯＭ３３、ＲＡＭ３４といった主たる演算回路が多重化して構成されている（図４では二重化している）。さらにＤＰＲＡＭ３５を介して、各々のＣＰＵ３２間の通信を行ったり、演算結果を照合する。また、メモリ（ＲＯＭ３３およびＲＡＭ３４、ＤＰＲＡＭ３５）や内部通信ライン３８の検査といった診断機能（診断手段）を有する。
【００２４】
安全制動ユニット１および入出力ノード２は、上述した診断機能を用いて入出力および自身の回路の健全性の診断を行う。例えば、一定時間入力信号がＯＮ状態の入力に対して、出力回路３７を経由して意図的に極短いＯＦＦパルスを挿入する。このＯＦＦパルスが検出できない場合、入力がＯＮに固着していることを検出する。また、出力信号に関しては、入力回路３６を経由して出力信号を自身に入力し（リードバック）、出力の指令と値が一致していることを確認する。不一致であれば出力故障を検出する。
【００２５】
以上より、本発明の実施の形態１におけるエレベータ安全システムによれば、診断機能を有し、自身の健全性を検査することが可能なため、上述した効果に加えさらに信頼性を確保することができる。
【００２６】
次に、安全制動ユニット１および入出力ノード２の通信機能について説明する。図５は、安全制動ユニット１および入出力ノード２の通信機能の階層を示した図である。安全制動ユニット１および入出力ノード２は、通信機能の上位層（上位層通信手段、以下、安全層２１という）によって、センサ５またはスイッチ４の状態から冗長符号化したメッセージ１０の生成を行い、通信機能の下位層２２にメッセージ１０を渡す。安全制動ユニット１および入出力ノード２は、下位層２２（下位層通信手段）によってメッセージ１０の送受信を行う。安全制動ユニット１および入出力ノード２は、前述の受信時の処理に示したように、メッセージ１０から符号誤りの検出、送受信者の検査、および受信時間の監視を安全層２１によって行う。このように、通信の高信頼化に関わる処理はすべて安全層２１によって行われ、安全層２１によって、通信に起因する全ての誤りが検査されるため、下位層２２は通信誤り検出処理を行う必要がない。なお、安全層２１は、前述の診断機能を有するハードウェア上で実行され、下位層２２は任意の通信手段で実現可能である。
【００２７】
以上より、本発明の実施の形態１におけるエレベータ安全システムによれば、安全層２１により通信に起因する全ての誤りを検査するため、上述した効果に加えさらに信頼性を確保することができる。また、安全層２１および下位層２２の負担を分散できると同時に、下位層２２を実現するために汎用品の通信チップ３１の流用も可能となるため、通信チップ３１を伝送路媒体に対応するものにすることで、無線を含む任意の伝送路（安全ネットワーク３）において高信頼の通信が可能となる。
【００２８】
＜実施の形態２＞
本実施の形態におけるエレベータ安全システムは、実施の形態１に示した構成に、入出力ノード２に接続された位置センサおよび／または速度センサをさらに備えた構成である。位置センサおよび／または速度センサを備えることにより、安全制動ユニット１は、エレベータのかごの現在位置および速度を得ることができる。かごの現在位置および速度によってかごが過速度状態にあると安全制動ユニット１が判断すると、安全制動ユニット１は巻上機６および／またはブレーキ７の電源供給を遮断することで、エレベータを非常制動させる。
【００２９】
以上より本実施の形態のエレベータ安全システムによれば、かごが過速度状態に陥ることを防ぎ、かごが昇降路終端に衝突するのを防ぐことができ、また万が一、昇降路終端に衝突してもその衝撃を和らげることができる。
【００３０】
＜実施の形態３＞
本実施の形態におけるエレベータ安全システムは、実施の形態２と同様に入出力ノード２に接続された位置センサおよび／または速度センサをさらに備えた構成である。位置センサおよび／または速度センサを備えることにより、安全制動ユニット１は、エレベータのかごの現在位置および速度を得ることができる。かごの現在位置および速度によってかごが過大な減速度状態にあると安全制動ユニット１が判断すると、安全制動ユニット１は巻上機６および／またはブレーキ７の電源供給を操作することで、エレベータの非常制動による急停止を緩和させる。
【００３１】
以上より本実施の形態のエレベータ安全システムによれば、かごが過大な減速度状態に陥ることを防ぎ、エレベータの乗客や保守員に対するショックを和らげることができる。
【００３２】
＜実施の形態４＞
本実施の形態におけるエレベータ安全システムは、安全制動ユニット１に各入出力ノード２へメッセージ１０を送信することができる送信手段（図示せず）を備え、入出力ノード２に当該メッセージ１０を受信することができる受信手段（図示せず）を備えた構成である。安全制動ユニット１は、入出力ノード２にメッセージ１０を送信することで、入出力ノード２に接続されたスイッチ４に対して出力を指示することができる。その他の構成は実施の形態１から３のいずれかの構成と同様のため、説明を省略する。
【００３３】
メッセージ１０の送受信方法は、前述の入出力ノード２から安全制動ユニット１へのメッセージ１０の流れと同様である。安全制動ユニット１は、センサ５およびスイッチ４を操作する情報を符号冗長化した出力データを含むメッセージ１０を生成し、メッセージ１０を入出力ノード２へ送信する。入出力ノード２は、安全制動ユニット１から受信したメッセージ１０から、各スイッチ４への出力データを得て、出力データに基づいてセンサ５およびスイッチ４を制御する。例えば、ドア開閉許可信号を受信し、ドア開が許可されている場合のみ入出力ノード２に接続されたドアスイッチ４−５を操作してドアのロックを解除する。
【００３４】
以上より、本実施の形態によれば、安全状態を確保できるように安全制御の出力をネットワーク経由で行え、安全制動ユニット１がエレベータ安全システムに関するスイッチ４の操作ができるようになる。
【００３５】
＜実施の形態５＞
本実施の形態における安全制動ユニット１および入出力ノード２の送信手段（図示せず）は、複数回同じメッセージ１０を送信する構成とする。また、本実施の形態における安全制動ユニット１および入出力ノード２の受信手段（図示せず）は、送信した送信回数と同じ回数のメッセージ１０を受信し、かつ全て同一のメッセージ１０を受信した場合に、メッセージ１０が有効であると判断する構成とする。その他の構成は、実施の形態１から４のいずれかの構成と同様のため、説明を省略する。
【００３６】
メッセージ１０の送信者は、信号の種別に応じてＣＲＣ１５の強度を上げる代わりに、複数回同じメッセージ１０を送信する。受信者は送信回数と同じだけメッセージ１０を受信し、全てのメッセージ１０が同一の場合のみ、メッセージ１０を受信できたとみなす。例えば、緊急性を要しないようなスイッチ４のデータ１３を含むメッセージ１０は、ビット数の少ないＣＲＣ１５を付加して２回伝送する。
【００３７】
以上より、本実施の形態におけるエレベータ安全システムによれば、ＣＲＣ１５の検査に要する処理負荷を軽減することができる。
【００３８】
＜実施の形態６＞
本実施の形態における安全制動ユニット１または入出力ノード２は、実施の形態１に示したような診断機能を実行し、その結果、異常が検出された場合、その異常の内容（異常情報）をメッセージ１０として伝送する。そうして伝送された異常情報は安全制動ユニット１または入出力ノード２に一元管理される。その他の構成は実施の形態１から５のいずれかの構成と同様のため、説明を省略する。
【００３９】
以上より、本実施の形態におけるエレベータ安全システムによれば、エレベータ安全ネットワークシステムの異常時に、異常情報を集約して閲覧することが可能となり、エレベータの復旧を迅速に行えるようになる。
【００４０】
＜実施の形態７＞
前述したいずれかの実施の形態において、メッセージ１０に付加する誤り検出符号としてＣＲＣ１５以外の符号、例えばバリティビット、ＢＣＨ符号、リードソロモン符号、誤り訂正符号などを用いても同様の効果を得ることができる。
【００４１】
＜実施の形態８＞
安全ネットワーク３の構成としては、実施の形態１にあげたバス形状以外にも、スター型やディジーチェーン型の配線方法をとっても、同様の効果を得ることができる。
【図面の簡単な説明】
【００４２】
【図１】本発明の実施の形態１におけるエレベータ安全システムの構成を示した図である。
【図２】本発明の実施の形態１におけるエレベータ安全システムの安全ネットワーク上で送受信されるメッセージの構成を示した図である。
【図３】本発明の実施の形態１におけるエレベータ安全システムの安全制動ユニットの処理を示したフローチャートである。
【図４】本発明の実施の形態１におけるエレベータ安全システムの安全制動ユニットの構成を示した図である。
【図５】本発明の実施の形態１におけるエレベータ安全システムの安全制動ユニットおよび入出力ノードの通信機能の階層を示した図である。
【符号の説明】
【００４３】
１  安全制動ユニット、２  入出力ノード、３  安全ネットワーク、４  スイッチ、５  センサ、６  巻上機、７  ブレーキ、１０  メッセージ、１１  送信者アドレス、１２  受信者アドレス、１３  データ、１４  ランニング番号、１５  ＣＲＣ、１６  ヘッダ、２１  安全層、２２  下位層、３１  通信チップ、３２  ＣＰＵ、３３  ＲＯＭ、３４  ＲＡＭ、３５  ＤＰＲＡＭ、３６  入力回路、３７  出力回路、３８  内部通信ライン。
【図１】
2010095342.tif 000003
【図２】
2010095342.tif 000004
【図３】
2010095342.tif 000005
【図４】
2010095342.tif 000006
【図５】
2010095342.tif 000007