(57)【特許請求の範囲】
【請求項１】
かごの停止を制御するエレベータ安全制御装置であって、
エレベータの状態に関する信号を、入力値として入力する入力部と、
前記入力値を用いて、複数の安全制御機能に関する演算を各々独立したプログラムで実行することにより、前記エレベータの安全制御に関する演算を行うＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）と、メモリとを含む論理部と、
前記安全制御機能間で影響を及ぼしあわない、前記安全制御機能の独立性を保証する独立性保証部とを、備えており、
前記独立性保証部は、
各前記安全制御機能が許可された領域以外の前記メモリにアクセスしているか否かを監視することにより、前記安全制御機能の独立性を保証しており、
所定の前記安全制御機能による、許可された領域以外の前記メモリへのアクセスを、前記独立性保証部が検出したとき、前記エレベータ安全制御装置は、
前記かごを停止させ、
前記独立性保証部は、
前記安全制御機能による演算処理時間が、予め設定された規定時間を超過したか否かを監視することにより、前記安全制御機能の独立性を保証しており、
前記独立性保証部が、前記演算処理時間が前記規定時間を越えたことを検出したとき、前記エレベータ安全制御装置は、
前記かごを停止させ、
前記独立性保証部は、
前記安全制御機能毎に、個別演算処理時間が前記規定時間を超過したか否かを、監視しており、
前記独立性保証部が、何れか一の前記安全制御機能において、前記個別演算処理時間が前記規定時間を越えたことを検出したとき、前記エレベータ安全制御装置は、
前記かごを停止させる、
ことを特徴とするエレベータ安全制御装置。
【請求項２】
かごの停止を制御するエレベータ安全制御装置であって、
エレベータの状態に関する信号を、入力値として入力する入力部と、
前記入力値を用いて、複数の安全制御機能に関する演算を各々独立したプログラムで実行することより、前記エレベータの安全制御に関する演算を行うＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）を、含む論理部と、
前記安全制御機能間で影響を及ぼしあわない、前記安全制御機能の独立性を保証する独立性保証部とを、備えており、
前記独立性保証部は、
前記安全制御機能による演算処理時間が、予め設定された規定時間を超過したか否かを監視することにより、前記安全制御機能の独立性を保証しており、
前記独立性保証部が、前記演算処理時間が前記規定時間を越えたことを検出したとき、前記エレベータ安全制御装置は、
前記かごを停止させ、
前記独立性保証部は、
前記安全制御機能毎に、個別演算処理時間が前記規定時間を超過したか否かを、監視しており、
前記独立性保証部が、何れか一の前記安全制御機能において、前記個別演算処理時間が前記規定時間を越えたことを検出したとき、前記エレベータ安全制御装置は、
前記かごを停止させる、
ことを特徴とするエレベータ安全制御装置。
【請求項３】
かごの停止を制御するエレベータ安全制御装置であって、
エレベータの状態に関する信号を、入力値として入力する入力部と、
前記入力値を用いて、複数の安全制御機能に関する演算を各々独立したプログラムで実行することにより、前記エレベータの安全制御に関する演算を行うＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）と、メモリとを含む論理部と、
前記安全制御機能間で影響を及ぼしあわない、前記安全制御機能の独立性を保証する独立性保証部とを、備えており、
前記独立性保証部は、
各前記安全制御機能が許可された領域以外の前記メモリにアクセスしているか否かを監視することにより、前記安全制御機能の独立性を保証しており、
所定の前記安全制御機能による、許可された領域以外の前記メモリへのアクセスを、前記独立性保証部が検出したとき、前記エレベータ安全制御装置は、
前記かごを停止させ、
前記メモリは、
前記安全制御機能に対応して、使用が許可されている領域が区分されており、
前記独立性保証部は、
（Ａ−１）前記安全制御機能の実行前において、前記各領域毎に、第一の誤り検出符号を算出し、
（Ａ−２）前記安全制御機能の実行後において、前記各領域毎に、第二の誤り検出符号を算出し、
（Ａ−３）前記各領域毎に、前記第一の誤り検出符号と前記第二の誤り検出符号を比較することにより、各前記安全制御機能が許可された領域以外の前記メモリにアクセスしているか否かを監視する、
ことを特徴とするエレベータ安全制御装置。
【請求項４】
前記論理部は、
複数であり、
各前記論理部は、
同じ演算処理を実施し、当該演算処理の結果である演算結果を出力し、
前記エレベータ安全制御装置は、
前記論理部から出力された前記演算結果同士を比較する相互比較部を、さらに備えており、
前記相互比較部が、前記演算結果の不一致を検出したとき、前記エレベータ安全制御装置は、
前記かごを停止させる、
ことを特徴とする請求項１、請求項２または請求項３に記載のエレベータ安全制御装置。
【請求項５】
一の前記論理部でのプログラムの実行と、他の前記論理部でのプログラムの実行とが、一致していないことを、前記独立性保証部が検出したとき、前記エレベータ安全制御装置は、
前記かごを停止させる、
ことを特徴とする請求項４に記載のエレベータ安全制御装置。
【請求項６】
前記エレベータ安全制御装置は、
前記各安全制御機能毎に、当該各安全制御機能がアクセスが許可されている前記メモリのアドレスを示すデータを、保持しており、
前記独立性保証部は、
（Ａ−１）前記安全制御機能の実行の際に、当該安全制御機能の種別を示す識別情報と、当該安全制御機能の実行においてアクセスしようとしている前記メモリの領域を示すアドレス情報とを、前記ＣＰＵから取得し、
（Ａ−２）前記（Ａ−１）で取得した各情報と前記データとを比較することにより、各前記安全制御機能が許可された領域以外の前記メモリにアクセスしているか否かを監視する、
ことを特徴とする請求項１または請求項３に記載のエレベータ安全制御装置。
【請求項７】
前記データには、
所定の前記安全制御機能が前記メモリに対して許可されているアクセス態様を示す、アクセス権情報も含まれており、
前記独立性保証部が、前記所定の安全制御機能の実行の際に、前記所定の安全制御機能が許可されている前記アクセス権情報と異なる、前記メモリに対するアクセス態様を検出したとき、前記エレベータ安全制御装置は、
前記かごを停止させる、
ことを特徴とする請求項６に記載のエレベータ安全制御装置。
【請求項８】
前記第一の誤り検出符号および前記第二の誤り検出符号は、
ＣＲＣ（Ｃｙｃｌｉｃ  Ｒｅｄｕｎｄａｎｃｙ  Ｃｏｄｅ）である、
ことを特徴とする請求項３に記載のエレベータ安全制御装置。
【請求項９】
前記独立性保証部は、
全前記安全制御機能のトータル演算処理時間が前記規定時間を超過したか否かを、監視しており、
前記独立性保証部が、前記トータル演算処理時間が前記規定時間を越えたことを検出したとき、前記エレベータ安全制御装置は、
前記かごを停止させる、
ことを特徴とする請求項１または請求項２に記載のエレベータ安全制御装置。
【請求項１０】
前記独立性保証部が、何れか一の前記安全制御機能において、前記安全制御機能の演算の結果がエラーであることを検出したとき、前記エレベータ安全制御装置は、
前記かごを停止させる、
ことを特徴とする請求項１、請求項２または請求項３に記載のエレベータ安全制御装置。
【請求項１１】
前記エレベータ安全制御装置は、
前記かごを即時停止させる、
ことを特徴とする請求項１、請求項２または請求項３に記載のエレベータ安全制御装置。
【請求項１２】
前記エレベータ安全制御装置は、
前記かごを最寄階に停止させる、
ことを特徴とする請求項１、請求項２または請求項３に記載のエレベータ安全制御装置。
【請求項１３】
エレベータ安全制御装置は、
所定の時間以内に、前記最寄階に前記かごが到着しないとき、前記最寄階に到着しない状態で前記かごを非常停止させる、
ことを特徴とする請求項１２に記載のエレベータ安全制御装置。
【請求項１４】
エレベータ安全制御装置は、
変更可能に前記所定の時間の設定ができるタイマを、さらに備えており、
前記タイマは、
前記独立性保証部の前記検出の動作に起因して測定を開始し、
エレベータ安全制御装置は、
前記タイマの前記測定の開始時から所定の時間経過後に、前記かごを非常停止させる、
ことを特徴とする請求項１３に記載のエレベータ安全制御装置。
【請求項１５】
前記入力部、前記論理部および前記独立性保証部は、
一つの基板上に実装されている、
ことを特徴とする請求項１、請求項２または請求項３に記載のエレベータ安全制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、センサからのセンサ信号に基づいて、安全性の観点からエレベータの運転を制御するエレベータ安全制御装置に関するものである。
【背景技術】
【０００２】
従来のエレベータ安全制御装置では、複数の安全制御機能を提供する場合、基板あるいは装置を、前記安全制御機能の数だけ用意する必要があった（たとえば、特許文献１参照）。ここで、一の基板あるいは一の装置には、プロセッサ（ＣＰＵ）とメモリとを含む論理部が形成されている。【０００３】
特許文献１に係る技術では、かごの位置及び速度を監視する監視基板(監視部)と、第２制動動作を行う時にブレーキ装置を制御するブレーキ制御基板(ブレーキ制御部)とを有している。つまり、特許文献１に係る技術では、２つの安全制御機能を有しており、当該安全制御機能数だけの上記論理部が形成された基板（装置）が配設されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】国際公開第２００７／０５７９７３号
【発明の概要】
【発明が解決しようとする課題】
【０００５】
上記のように、特許文献１に係るエレベータ安全制御装置では、安全制御機能ごとに、基板あるいは装置を複数用意しなければならない。したがって、特許文献１に係るエレベータ安全制御装置において複数の安全制御機能を実現させると、当該エレベータ安全制御装置はコスト高となり、また当該エレベータ安全制御装置の据付や保守の手間が増大していた。【０００６】
上記問題を克服する方法として、一の基板あるいは装置に、複数の安全制御機能を実装させる方法がある。しかしながら、単に、一の基板あるいは装置に複数の安全制御機能を実装させただけでは、ある安全制御機能が故障した場合に、他の安全制御機能に影響を及ぼし、正常な安全制御機能の安全性を損なう恐れがあった。【０００７】
そこで、本発明は、たとえ複数の安全制御機能を搭載したとしても、コスト高および据付や保守の手間の増大を抑制することができ、正常な安全制御機能の安全性を損なうことの無いエレベータ安全制御装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記の目的を達成するために、本発明に係る請求項１に記載のエレベータ安全制御装置は、かごの停止を制御するエレベータ安全制御装置であって、エレベータの状態に関する信号を、入力値として入力する入力部と、前記入力値を用いて、複数の安全制御機能に関する演算を各々独立したプログラムで実行することより、前記エレベータの安全制御に関する演算を行うＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）と、メモリとを含む論理部と、前記安全制御機能間で影響を及ぼしあわない、前記安全制御機能の独立性を保証する独立性保証部とを、備えており、前記独立性保証部は、各前記安全制御機能が許可された領域以外の前記メモリにアクセスしているか否かを監視することにより、前記安全制御機能の独立性を保証しており、所定の前記安全制御機能による、許可された領域以外の前記メモリへのアクセスを、前記独立性保証部が検出したとき、前記エレベータ安全制御装置は、前記かごを停止させる。
さらに、前記独立性保証部は、前記安全制御機能による演算処理時間が、予め設定された規定時間を超過したか否かを監視することにより、前記安全制御機能の独立性を保証しており、前記独立性保証部が、前記演算処理時間が前記規定時間を越えたことを検出したとき、前記エレベータ安全制御装置は、前記かごを停止させ、前記独立性保証部は、前記安全制御機能毎に、個別演算処理時間が前記規定時間を超過したか否かを、監視しており、前記独立性保証部が、何れか一の前記安全制御機能において、前記個別演算処理時間が前記規定時間を越えたことを検出したとき、前記エレベータ安全制御装置は、前記かごを停止させる。
また、本発明に係る請求項２に記載のエレベータ安全制御装置は、かごの停止を制御するエレベータ安全制御装置であって、エレベータの状態に関する信号を、入力値として入力する入力部と、前記入力値を用いて、複数の安全制御機能に関する演算を各々独立したプログラムで実行することより、前記エレベータの安全制御に関する演算を行うＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）を、含む論理部と、前記安全制御機能間で影響を及ぼしあわない、前記安全制御機能の独立性を保証する独立性保証部とを、備えており、前記独立性保証部は、前記安全制御機能による演算処理時間が、予め設定された規定時間を超過したか否かを監視することにより、前記安全制御機能の独立性を保証しており、前記独立性保証部が、前記演算処理時間が前記規定時間を越えたことを検出したとき、前記エレベータ安全制御装置は、前記かごを停止させ、前記独立性保証部は、前記安全制御機能毎に、個別演算処理時間が前記規定時間を超過したか否かを、監視しており、前記独立性保証部が、何れか一の前記安全制御機能において、前記個別演算処理時間が前記規定時間を越えたことを検出したとき、前記エレベータ安全制御装置は、前記かごを停止させる。
【０００９】
また、本発明に係る請求項３に記載のエレベータ安全制御装置は、かごの停止を制御するエレベータ安全制御装置であって、エレベータの状態に関する信号を、入力値として入力する入力部と、前記入力値を用いて、複数の安全制御機能に関する演算を各々独立したプログラムで実行することより、前記エレベータの安全制御に関する演算を行うＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）と、メモリとを含む論理部と、前記安全制御機能間で影響を及ぼしあわない、前記安全制御機能の独立性を保証する独立性保証部とを、備えており、前記独立性保証部は、各前記安全制御機能が許可された領域以外の前記メモリにアクセスしているか否かを監視することにより、前記安全制御機能の独立性を保証しており、所定の前記安全制御機能による、許可された領域以外の前記メモリへのアクセスを、前記独立性保証部が検出したとき、前記エレベータ安全制御装置は、前記かごを停止させ、前記メモリは、前記安全制御機能に対応して、使用が許可されている領域が区分されており、前記独立性保証部は、（Ａ−１）前記安全制御機能の実行前において、前記各領域毎に、第一の誤り検出符号を算出し、（Ａ−２）前記安全制御機能の実行後において、前記各領域毎に、第二の誤り検出符号を算出し、（Ａ−３）前記各領域毎に、前記第一の誤り検出符号と前記第二の誤り検出符号を比較することにより、各前記安全制御機能が許可された領域以外の前記メモリにアクセスしているか否かを監視する。
【発明の効果】
【００１０】
本発明の請求項１，３に記載のエレベータ安全制御装置では、独立性保証部は、各安全制御機能が許可された領域以外のメモリにアクセスしているか否かを監視することにより、安全制御機能の独立性を保証している。そして、所定の安全制御機能による、許可された領域以外のメモリへのアクセスを、独立性保証部が検出したとき、エレベータ安全制御装置は、かごを停止させる。
【００１１】
また、本発明の請求項２に記載のエレベータ安全制御装置では、独立性保証部は、安全制御機能による演算処理時間が、予め設定された規定時間を超過したか否かを監視することにより、安全制御機能の独立性を保証している。そして、独立性保証部が、演算処理時間が規定時間を越えたことを検出したとき、エレベータ安全制御装置は、かごを停止させる。
【００１２】
したがって、一の安全制御機能が他の安全制御機能に影響を及ぼすことなく、一のエレベータ安全制御装置（安全制御基板）に、複数の安全制御機能を実装することができる。したがって、エレベータの安全制御にかかるコストが低減でき、据付や保守が簡単に実施される。
【図面の簡単な説明】
【００１３】
【図１】本発明に係るエレベータ装置１００の構成を示す図である。
【図２】実施の形態１に係るエレベータ安全制御装置２５の構成を示すブロック図である。
【図３】実施の形態１における、ＣＰＵ３４、独立性保証部３６およびメモリ３７の接続関係を示す図である。
【図４】実施の形態１に係る独立性保証部３６のメモリ干渉監視機能を説明するための図である。
【図５】実施の形態１に係る独立性保証部３６の実行時間監視機能を説明するための図である。
【図６】実施の形態１の独立性保証部３６、出力バッファ３５および出力部３８の内部構成、およびこれらの接続関係を示す図である。
【図７】実施の形態１に係るエレベータ安全制御装置２５の動作を説明するためのフローチャートである。
【図８】実施の形態２に係る独立性保証部３６のメモリ干渉監視機能を説明するための図である。
【図９】実施の形態３に係る独立性保証部３６のメモリ干渉監視機能で使用される割り当て表を例示した図である。
【図１０】実施の形態４に係るエレベータ安全制御装置２５Ａの構成を示すブロック図である。
【図１１】実施の形態４における、ＣＰＵ３４ｇ１，３４ｇ２、独立性保証部３６ｇ１，３６ｇ２およびメモリ３７ｇ１，３６ｇ２の接続関係を示す図である。
【図１２】実施の形態４に係るエレベータ安全制御装置２５Ａの動作を説明するためのフローチャートである。
【発明を実施するための形態】
【００１４】
以下、この発明をその実施の形態を示す図面に基づいて具体的に説明する。
【００１５】
＜実施の形態１＞
図１は、本発明の実施の形態１に係るエレベータ装置１００の構成を示す図である。図１において、かご１及び釣合おもり２は、懸架手段３により昇降路内に吊り下げられている。懸架手段３は、複数本のロープ又はベルトを含んでいる。
【００１６】
昇降路内の下部には、かご１及び釣合おもり２を昇降させる巻上機４が設置されている。巻上機４は、懸架手段３が巻き掛けられた駆動シーブ５と、駆動トルクを発生し駆動シーブ５を回転させる巻上機モータと、制動トルクを発生し駆動シーブ５の回転を制動する制動手段としての巻上機ブレーキ６と、駆動シーブ５の回転に応じた信号を発生する巻上機エンコーダ７とを有している。
【００１７】
巻上機ブレーキ６としては、例えば電磁ブレーキ装置が用いられている。電磁ブレーキ装置においては、制動ばねのばね力によりブレーキシューが制動面に押し付けられて駆動シーブ５の回転が制動され、かご１が制動される。また、電磁マグネットを励磁することによりブレーキシューが制動面から引き離され、制動力が解除される。さらに、巻上機ブレーキ６により印加される制動力は、電磁マグネットのブレーキコイルに流される電流値に応じて変化される。
【００１８】
かご１には、一対のかご吊り車８ａ，８ｂが設けられている。釣合おもり２には、釣合おもり吊り車９が設けられている。昇降路の上部には、かご返し車１０ａ，１０ｂ及び釣合おもり返し車１１が設けられている。懸架手段３の一端部は、昇降路の上部に設けられた第１の綱止め１２ａに接続されている。懸架手段３の他端部は、昇降路の上部に設けられた第２の綱止め１２ｂに接続されている。
【００１９】
懸架手段３は、一端部側から順に、かご吊り車８ａ，８ｂ、かご返し車１０ａ，１０ｂ、駆動シーブ５、釣合おもり返し車１１及び釣合おもり吊り車９に巻き掛けられている。即ち、かご１及び釣合おもり２は、「２：１ローピング方式」により昇降路内に吊り下げられている。
【００２０】
昇降路の上部には、調速機１４が設置されている。調速機１４は、調速機シーブ１５と、調速機シーブ１５の回転に応じた信号を発生する調速機エンコーダ１６とを有している。調速機シーブ１５には、調速機ロープ１７が巻き掛けられている。調速機ロープ１７の両端部は、かご１に搭載された非常止め装置の操作レバーに接続されている。調速機ロープ１７の下端部は、昇降路の下部に配置された張り車１８に巻き掛けられている。かご１が昇降されると、調速機ロープ１７が循環され、かご１の走行速度に応じた回転速度で調速機シーブ１５が回転される。
【００２１】
昇降路内の上部には、かご１の位置を検出するための上部基準位置スイッチ１９ａが設けられている。昇降路内の下部には、かご１の位置を検出するための下部基準位置スイッチ１９ｂが設けられている。かご１には、基準位置スイッチ１９ａ，１９ｂを操作するスイッチ操作部材（カム）が設けられている。
【００２２】
かご１上には、かごのドア開閉を検出するかごドアスイッチ２０が設けられている。各階の乗場には、乗場ドアの開閉を検出する乗場ドアスイッチが設けられている。また、昇降路には、乗客がかご１に安全に出入りできる位置（ドアゾーン）にかご１が位置していることを検出するための複数の床合わせプレート２１ａ〜２１ｃが設けられている。かご１には、床合わせプレート２１ａ〜２１ｃを検出する床合わせセンサ２２が設けられている。
【００２３】
巻上機エンコーダ７、調速機エンコーダ１６、基準位置スイッチ１９ａ，１９ｂ、かごドアスイッチ２０、乗場ドアスイッチ、床合わせセンサ２２は、それぞれかご１の状態に応じた信号を発生するセンサである。
【００２４】
昇降路内には、制御盤２３が設置されている。制御盤２３内には、運行制御部である駆動制御部（駆動制御基板）２４と、エレベータ安全制御装置（安全制御基板）２５が設けられている。エレベータ安全制御装置（安全制御基板）２５は、かご１の停止を制御することができる。
【００２５】
エレベータ装置では、安全性を担保するために、複数の観点からシステムに対する監視・制御が実施されている。そこで、各当該監視・制御を実施ために、安全制御基板２５には、複数の安全制御機能が実装されている。つまり、安全制御基板２５が、当該安全制御機能に関する演算を別個独立のプログラム（ソフトウェア）で各々実行することにより、エレベータ装置の複数の観点からの安全制御が実現される。ここで、安全制御機能として、たとえばブレーキ制御機能や過速度監視機能などがある。
【００２６】
駆動制御部２４は、巻上機４の運転、即ちかご１の運行を制御する。また、駆動制御部２４は、巻上機エンコーダ７からの信号に基づいて、かご１の走行速度を制御する。さらに、駆動制御部２４は、かご１を乗場に停止させておくためのブレーキ動作指令と、かご１の走行を許可するためのブレーキ解除指令とをブレーキ制御機能に出力する。
【００２７】
安全制御機能の一つであるブレーキ制御機能は、駆動制御部２４からブレーキの動作指令を取得し、その動作指令に従って巻上機ブレーキ６に対してブレーキ操作信号を出力する。また、ブレーキ制御機能は、巻上機ブレーキ６のブレーキコイルに流す電流を制御することにより、巻上機ブレーキ６が発生する制動力（制動トルク）を制御可能となっている。巻上機ブレーキ６が発生する制動力は、ブレーキコイルの電流値を大きくすることにより小さくなり、電流値が所定値を超えると０になる。また、ブレーキコイルの電流値を小さくすると、制動力は大きくなり、電流値が０になると制動力が最大となる。
【００２８】
また、ブレーキ制御機能は、床合わせセンサ２２からの信号を用いて、かご１が着床位置にいるか否かを判断する。さらに、ブレーキ制御機能は、かごドアスイッチ２０及び乗場ドアスイッチからの信号を用いて、かごドア及び乗場ドアの開閉状態を判断する。さらにまた、ブレーキ制御機能は、巻上機エンコーダ７からの信号を用いて、かご１が走行しているか否かを判断する。
【００２９】
また、ブレーキ制御機能は、かご１が着床位置に来ていないにも拘わらず、かごドア又は乗場ドアの少なくともいずれか一方が開いている状態、及びかご１が走行中であるにも拘わらず、かごドア又は乗場ドアの少なくともいずれか一方が開いている状態を検出し、ブレーキ動作指令を出力する。即ち、ブレーキ制御機能は、戸開走行状態を検出すると、巻上機ブレーキ６により駆動シーブ５を制動するとともに、巻上機モータを停止させ、かご１を強制停止させる。
【００３０】
調速機エンコーダ１６及び基準位置スイッチ１９ａ，１９ｂからの信号は、安全制御機能の一つである過速度監視機能に入力される。過速度監視機能は、調速機エンコーダ１６及び基準位置スイッチ１９ａ，１９ｂからの信号を用いて、駆動制御部２４とは独立して、かご１の位置及び速度を求め、かご１の速度が所定の過速度レベルに達するかどうかを監視する。過速度レベルは、かご１の位置に応じて変化する過速度監視パターンとして設定されている。
【００３１】
かご１の速度が過速度レベルに達すると、過速度監視機能は、ブレーキ制御機能に対して強制停止信号を送信する。ブレーキ制御機能は、強制停止信号を受信すると、巻上機ブレーキ６により駆動シーブ５を制動するとともに、巻上機モータを停止させ、かご１を強制停止させる。
【００３２】
駆動制御部２４およびエレベータ安全制御装置２５は、各々独立したマイクロコンピュータを有している。駆動制御部２４における機能およびエレベータ安全制御装置２５における機能は、これらのマイクロコンピュータにより実現される。なお、安全制御装置２５に実装される各安全制御機能（ブレーキ制御機能や過速度監視機能など）の演算は、独立したプログラム（ソフトウェア）で実行される。
【００３３】
本願では、エレベータ安全制御装置２５に対して、「エレベータ安全制御装置」と「安全制御基板」と異なる名称を使用するが、共に同じ、エレベータ安全制御装置２５を示す。
【００３４】
本願発明では、一つのエレベータ安全制御装置（安全制御基板）２５には、複数の各種安全制御機能が実装されている。しかしながら、単に一の基板（装置）２５に複数の安全制御機能を実装させた場合には、一方の安全制御機能が故障した場合に、他方の安全制御機能が損なわれてしまい、エレベータの安全制御に不具合が生じる可能性がある（つまり、各安全制御機能の独立性が保証できない）。そのため、各々の安全制御機能が他の安全制御機能に影響を及ぼさないよう、各安全制御機能の独立性を保証する必要がある。
【００３５】
そこで、本実施の形態では、図２に示す構成を有するエレベータ安全制御装置（安全制御基板）２５を有する。図２は、図１に示すエレベータ安全制御装置（安全制御基板）２５の構成を示す、ブロック図である。図２に示すエレベータ安全制御装置２５には、複数の安全制御機能の独立性を保証する独立性保証部３６が含まれている。
【００３６】
図２に示すように、エレベータ安全制御装置２５は、入力部３２、入力バッファ３３、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）３４、出力バッファ３５、独立性保証部３６、メモリ３７および出力部３８を、備えている。換言すれば、一の安全制御基板２５上には、入力部３２、入力バッファ３３、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）３４、出力バッファ３５、独立性保証部３６、メモリ３７および出力部３８が、実装されている。
【００３７】
図２において、入力部３２は、入力バッファ３３に接続され、入力バッファ３３は、ＣＰＵ３４に接続される。ＣＰＵ３４は、出力バッファ３５および独立性保証部３６に各々接続される。独立性保証部３６は、出力バッファ３５およびメモリ３７および出力部３８に各々接続される。なお、入力部３２は、安全制御基板２５の外部構成要素３０，３１と各々接続され、出力部３８は、安全制御基板２５の外部構成要素４，６と各々接続される。
【００３８】
入力部３２には、かご１を含むエレベータシステム全体の状態（以下、エレベータの状態と称する）に関する信号を、入力値として入力する。ここで、上記の通り、エレベータの状態を監視・検出するために、各種スイッチ１９ａ，１９ｂなどや各種センサ１６などが存在する。図２では、各種スイッチをまとめて、スイッチ３０として図示しており、各種センサをまとめて、センサ３１として図示している。入力部３２は、当該スイッチ３０からの出力信号およびセンサ３１からの出力信号（エレベータの状態に関する信号）を、入力値として入力する。
【００３９】
また、入力部３２では、エンコーダ信号などのパルス信号をカウントして数値化する。さらに入力部３２では、二重化された入力値同士の比較、入力値と基準センサ（図示せず）からの信号との比較などを行なう。入力部３２における比較の結果、不一致と検出された場合は、その旨が論理部を構成するＣＰＵ３４へ通達される。また、入力部３２に入力された入力値は、入力バッファ３３に取り込まれる。
【００４０】
ＣＰＵ３４は、入力バッファ３３から、センサ３１やスイッチ３０の入力値を読み込む。そして、ＣＰＵ３４は、エレベータに関する複数の安全制御に必要な演算を行なう。すなわち、ＣＰＵ３４は、前記入力値を用いて、複数の安全制御機能に関する演算を、各々独立したプログラム（ソフトウェア）で実行する。これにより、エレベータの安全制御が実現される。
【００４１】
独立性保証部３６は、複数の安全制御機能の独立性を保証する保証機能を提供する。当該保証機能の一つにメモリ干渉監視機能がある。各安全制御機能は、論理部を構成するメモリ３７内の決められた領域にのみアクセス可能である。メモリ干渉監視機能は、各安全制御機能がアクセス可能な領域以外へのメモリ３７に対するアクセスをしないかを監視する機能である。当該メモリ干渉監視機能の具体的説明を、図３を用いて後述する。
【００４２】
図３は、ＣＰＵ３４、メモリ３７および独立性保証部３６の接続関係を示すブロック図である。
【００４３】
図３に示すように、ＣＰＵ３４とメモリ３７とは、バス３９により接続されており、当該バス３９において、独立性保証部３６が介在している。また、ＣＰＵ３４と独立性保証部３６は、通信線３９ａにより接続されている。
【００４４】
たとえば、ＣＰＵ３４は、ＣＰＵ３４において現在演算を実行している安全制御機能のプロセスＩＤを、通信線３９ａを介して独立性保証部３６に通知する。ここで、プロセスＩＤとは、安全制御機能を識別するための情報である。他方、独立性保証部３６は、独立性保証部３６の判断結果（一例として、メモリ干渉監視結果や実行時間監視結果など）や諸命令（一例としてリセット処理命令）などを、信号線３９ａを介してＣＰＵ３４に通知する。
【００４５】
また、ＣＰＵ３４は、安全制御機能の演算処理の際にメモリ３７の所定のアドレスに、アクセスを行う。そこで、独立性保証部３６は、当該安全制御機能がアクセスしようとしているメモリ３７の領域に関する情報（すなわちアドレス情報）を、バス３９を介して入手する。
【００４６】
独立性保証部３６におけるメモリ干渉監視機能では、当該入手したアドレス情報が、メモリ３７における予め割り当てられた範囲にあるかどうかチェックを行なう。
【００４７】
具体的に、独立性保証部３６には、図４に示すような割り当て表が予め設定されている。当該割り当て表は、プロセスＩＤと、当該プロセスＩＤの安全制御機能の演算処理の際に、当該安全制御機能がアクセスを許可されているメモリ３７のアドレス可能領域とから、構成されている。
【００４８】
メモリ干渉監視機能を有する独立性保証部３６は、ＣＰＵ３４から取得した情報（プロセスＩＤおよびアドレス情報）と、当該割り当て表とを用いて、当該安全制御機能が許可された領域以外のメモリ３７にアクセスしているか否かを監視する。つまり、独立性保証部３６は、当該監視を通じて、前記安全制御機能の独立性を保証している。
【００４９】
上記の通り、独立性保証部３６は、ＣＰＵ３４から取得した各情報と割り当て表とを比較することにより、各安全制御機能が許可された領域以外のメモリ３７にアクセスしているか否かを監視している。
【００５０】
ここで、独立性保証部３６が、現在演算実行中の安全制御機能において、ＣＰＵ３４が、当該安全制御機能のアクセスが許可されているアドレス以外の前記メモリ３７に、アクセスしていることを検出したとする（つまり、メモリ干渉の存在を検出したときであり、換言すれば、安全制御機能の独立性の担保ができないときである）。当該場合には、独立性保証部３６は、通信線３９ａを介して、当該メモリ干渉の検出をＣＰＵ３４に通知する。そして、エレベータ安全制御装置２５は、自身をリセット状態にする（つまり、エレベータ安全制御装置２５の電源がリセットされる）。
【００５１】
なお、エレベータ安全制御装置２５の電源がリセットされると、エレベータ安全制御装置２５からの出力が「ＬＯＷ（またはゼロ）」となり、巻上機４およびブレーキ６への電源供給が絶たれる。これにより、かご１は停止状態となる。
【００５２】
本実施の形態に係る独立性保証部３６は、上記メモリ干渉監視機能の他に、実行時間監視機能も有している。当該実行時間監視機能は、各安全制御機能が実行される個別演算処理時間および／または全安全制御機能が実行されるトータル演算処理時間を、監視する機能である。
【００５３】
なお、独立性保証部３６は、メモリ干渉監視機能と実行時間監視機能とのいずれかのみを有していても良いが、以下の説明では、独立性保証部３６は、メモリ干渉監視機能と実行時間監視機能との両方を有している。また、以下の説明する実行時間監視機能では、個別演算処理時間およびトータル演算処理時間の両方を、監視する。
【００５４】
独立性保証部３６は、安全制御機能による演算処理時間が、予め設定された規定時間を超過したか否かを監視することにより、安全制御機能の独立性を保証している。独立性保証部３６が、安全制御機能の演算処理時間が規定時間を越えたことを検出したとき（安全制御機能の独立性の担保ができないとき）、エレベータ安全制御装置２５は、かご１を停止させる。
【００５５】
当該実行時間監視機能の詳細を、図５を用いて説明する。
【００５６】
独立性保証部３６は、複数のウォッチドッグタイマＷＤＴ１，ＷＤＴ２，・・・，ＷＤＴｎ，ＷＤＴｔｏｔａｌを有している。各ウォッチドッグタイマＷＤＴ１，ＷＤＴ２，・・・，ＷＤＴｎ，ＷＤＴｔｏｔａｌには各々、規定時間（時限）が予め別個独立に設定されている。
【００５７】
ここで、ウォッチドッグタイマＷＤＴ１，ＷＤＴ２，・・・，ＷＤＴｎは、各安全制御機能毎に用意されている（当該説明では、安全制御機能はｎ個存在するので、ウォッチドッグタイマもｎ個存在する）。したがって、各規定時間は、各安全制御機能に対応して決定される。
【００５８】
独立性保証部３６は、各安全制御機能の演算開始と同時に、各安全制御機能に対応したウォッチドッグタイマＷＤＴ１，ＷＤＴ２，・・・，ＷＤＴｎを起動する。さらに、独立性保証部３６は、複数の安全制御機能において、最も最先に演算処理が開始された安全制御機能における演算の開始のときに、ウォッチドッグタイマＷＤＴｔｏｔａｌを起動する。
【００５９】
そして、独立性保証部３６は、各安全制御機能の演算終了時に、各安全制御機能に対応したウォッチドッグタイマＷＤＴ１，ＷＤＴ２，・・・，ＷＤＴｎを停止する。また、独立性保証部３６は、全部の安全制御機能の演算終了後（本説明では、ｎ個の安全制御機能が完結した後）、すなわち最後の安全制御機能の演算完了後、ウォッチドッグタイマＷＤＴｔｏｔａｌを停止する。
【００６０】
上記のように、各ウォッチドッグタイマＷＤＴ１，ＷＤＴ２，・・・，ＷＤＴｎ，ＷＤＴｔｏｔａｌには各々、規定時間が設定されている。いずれか１つでも規定時間以内に停止されなかったウォッチドッグタイマＷＤＴ１，ＷＤＴ２，・・・，ＷＤＴｎ，ＷＤＴｔｏｔａｌがあるとき、独立性保証部３６は、安全制御機能の演算処理時間が規定時間を越えたことを検出する。当該検出により、独立性保証部３６は、当該検出の旨をＣＰＵ３４に通知し、エレベータ安全制御装置２５は自身のリセットを行なう（つまり、かご１の停止が実行される）。
【００６１】
たとえば、独立性保証部３６は、安全制御機能毎に、個別演算処理時間が、当該安全制御機能に対応するウォッチドッグタイマＷＤＴ１，ＷＤＴ２，・・・，ＷＤＴｎに設定されている規定時間を超過したか否かを、監視している。ここで、個別演算処理時間とは、安全制御機能個別の演算所要時間である。そして、記独立性保証部３６が、何れか一の安全制御機能において、当該個別演算処理時間が規定時間を越えたことを検出したとき（つまり、いずれか一のウォッチドッグタイマＷＤＴ１，ＷＤＴ２，・・・，ＷＤＴｎにおいて、規定時間以内に停止されなかったとき）、エレベータ安全制御装置２５は、かご１を停止させる。
【００６２】
また、独立性保証部３６は、全安全制御機能のトータル演算処理時間が、ウォッチドッグタイマＷＤＴｔｏｔａｌに設定されている規定時間を超過したか否かを、監視している。そして、独立性保証部３６が、トータル演算処理時間が当該規定時間を越えたことを検出したとき（つまり、ウォッチドッグタイマＷＤＴｔｏｔａｌにおいて、規定時間以内に停止されなかったとき）、エレベータ安全制御装置２５は、かご１を停止させる。
【００６３】
独立性保証部３６は、メモリ干渉監視機能と実行時間監視機能とにより、ある安全制御機能の故障が、他の安全制御機能に影響を与えないか監視し、影響を与えそうになった場合に、安全制御装置２５を確実に停止する（つまり、かご１を停止させる）。
【００６４】
図２において、出力バッファ３５は、ＣＰＵ３４による各安全制御機能の演算結果を、出力値として取り込む。図６は、出力バッファ３６と独立保証部３６と出力部３８との関係を示す図である。
【００６５】
図６において、ｎ個の安全制御機能の演算結果が、出力バッファ３５において取り込まれる。また、独立性保証部３６内には、複数のスイッチが直列に接続された系統が、制御対象の数だけ存在する。ここで、図６に例示する構成では、制御対象は、巻上機４とブレーキ６との２つである。したがって、独立性保証部３６内には、当該系統が２つ設けられる。
【００６６】
一方の系統には、スイッチＳＷ１１，ＳＷ１２，・・・，ＳＷ１ｎが直列に接続されている。また、他方の系統には、スイッチＳＷ２１，ＳＷ２２，・・・，ＳＷ２ｎが直列に接続されている。なお、一方の系統の一方端と他方の系統の一方端には、各々電源Ｐｗが接続されている。
【００６７】
スイッチＳＷ１１，ＳＷ２１には、第一の安全制御機能の演算結果が、出力バッファ３５から入力される。また、スイッチＳＷ１２，ＳＷ２２には、第二の安全制御機能の演算結果が、出力バッファ３５から入力される。さらに、スイッチＳＷ１ｎ，ＳＷ２ｎには、第ｎの安全制御機能の演算結果が、出力バッファ３５から入力される。なお、一方の系統の出力は、出力部３８を介して、巻上機４に接続され、他方の系統の出力は、出力部３８を介して、ブレーキ６に接続される。
【００６８】
図６において、いずれかのスイッチＳＷ１１，・・・，ＳＷ１ｎがＯＦＦ状態となったときには、出力部３８は、巻上機４への電源Ｐの供給を停止する。また、いずれかのスイッチＳＷ２１，・・・，ＳＷ２ｎがＯＦＦ状態となったときには、出力部３８は、ブレーキ６への電源Ｐの供給を停止する。
【００６９】
ここで、安全制御機能の演算結果が、エレベータの運行上、正常と判断されるものであるとき（エレベータの安全を示すものであるとき）、当該演算結果が各スイッチＳＷ１１，・・・，ＳＷ１ｎ，ＳＷ２１，・・・，ＳＷ２ｎに入力されると、当該スイッチＳＷ１１，・・・，ＳＷ１ｎ，ＳＷ２１，・・・，ＳＷ２ｎは、オン状態となる。
【００７０】
他方、安全制御機能の演算結果が、エレベータの運行上、異常と判断されるものであるとき（エレベータの安全を示すものでないとき）、当該演算結果が各スイッチＳＷ１１，・・・，ＳＷ１ｎ，ＳＷ２１，・・・，ＳＷ２ｎに入力されると、当該スイッチＳＷ１１，・・・，ＳＷ１ｎ，ＳＷ２１，・・・，ＳＷ２ｎは、オフ状態となる。以後の説明において、エレベータの運行上、異常と判断される演算結果を、「エラー」の演算結果と称する。
【００７１】
なお、巻上機４およびブレーキ６への電源Ｐの供給が停止されることは、かご１の停止を意味する。
【００７２】
上記図６を用いた説明から分かるように、独立性保証部３６が、何れか一の安全制御機能において、当該安全制御機能の演算結果がエラーであることを検出したとき、エレベータ安全制御装置２５は、かご１を停止させる。
【００７３】
上記スイッチＳＷ１１，・・・，ＳＷ１ｎ，ＳＷ２１，・・・，ＳＷ２ｎとして、トランジスタやＭＯＳ−ＦＥＴのような半導体スイッチを採用しても良く、また論理積回路（ＩＣ）によって実現しても良く、ソフトウェアによって実現しても良い。
【００７４】
なお、出力部３８における巻上機４やブレーキ６への電源Ｐの供給・遮断は、電源Ｐに接続されたリレーまたはコンタクタを当該出力部３８に形成することにより実現される（図６参照）。
【００７５】
また、かご１の停止の態様としては、以下のものが考えられる。
【００７６】
独立性保証部３５が、何れかの安全制御機能の演算結果がエラーを示すものであることを検出したとき、または、各安全性制御機能間の独立性が担保できないことを検出したとき、エレベータ安全制御装置２５は、即時にかご１を停止させる。具体的に、安全制御装置２５は、即時停止の指示を駆動制御部２４に通達して、当該駆動制御部２４による制御により、かご１は即時停止する。なお、図６の構成は、当該即時停止の態様に適した構成である。
【００７７】
または、独立性保証部３５が、何れかの安全制御機能の演算結果がエラーを示すものであることを検出したとき、または、各安全性制御機能間の独立性が担保できないことを検出したとき、エレベータ安全制御装置２５は、当該検出時のかご１の位置から最も近い最寄階まで、当該かご１を移動させ、当該最寄階でかご１を停止させる。具体的に、安全制御装置２５は、かご１を前記最寄階に停止させる最寄階停止指示を駆動制御部２４に通達して、当該駆動制御部２４による制御により、かご１は前記最寄階に停止する。
【００７８】
ここで、エレベータ安全制御装置２５は、上記最寄階へのかご１の停止を指示（最寄階停止指示）してから所定の時間以内に、前記最寄階にかご１が到着したか否かを判断する。エレベータ安全制御装置２５が、かご１が所定時間以内に前記最寄階に到着しないことを検出したとき、エレベータ安全制御装置２５は、当該所定時間経過後、直ぐにかご１を非常停止させる。つまり、エレベータ安全制御装置２５は、前記最寄階に到着しない状態で、かご１を非常停止させる。具体的に、安全制御装置２５は、当該所定時間経過後直ぐに、即時停止の指示を駆動制御部２４に通達して、当該駆動制御部２４による制御により、かご１は即時停止する。
【００７９】
たとえば、エレベータ安全制御装置２５は、前記所定の時間（時限）の設定ができるウォッチドッグタイマ（図示せず）を備えている。当該所定の時間として、タイマにおいて色々の値が設定できる。エレベータ安全制御装置２５は、前記最寄階にかご１が到着する所定の時間を推測し、当該推測した所定の時間を当該ウォッチドッグタイマにて設定する。
【００８０】
そして、エレベータ安全制御装置２５は、上記最寄階停止指示と同時に、ウォッチドックタイマを起動させる。そして、当該タイマの起動後、所定の時間以内に、かご１が最寄階に停止した旨の通知が当該ウォッチドックタイマに通達されないとする。当該場合には、当該ウォッチドックタイマは、所定の時間経過後直ぐにウォッチドックタイマとしての機能を作動させ、当該作動により、エレベータ安全制御装置２５は、かご１を非常停止させる。
【００８１】
次に、エレベータ安全制御装置２５の動作を、図７に示すフローチャートを用いて説明する。
【００８２】
まず、ＣＰＵ３４は、一の所定の安全制御機能の演算を行なう（ステップＳ１）。この時に、独立性保証部３６は、上記メモリ干渉監視機能により、独立性の担保がされているか否かを監視する（ステップＳ２）。つまり、ＣＰＵ３４は当該所定の安全制御機能を実行しており、当該所定の安全制御機能が許可されているアドレス以外のアドレスへ、当該ＣＰＵ３４がメモリ３７にアクセスしていないか無いか（つまり、メモリ干渉の有無）を、独立性保証部３６が監視する（ステップＳ２）。
【００８３】
独立性保証部３６が、メモリ干渉があることを検出したとする（ステップＳ２で「はい」）。当該場合には、エレベータ安全制御装置２５は、上述したいずれかの態様で、かご１を停止させる（ステップＳ８）。
【００８４】
これに対して、独立性保証部３６が、メモリ干渉がないと判断したとする（ステップＳ２で「いいえ」）。当該場合には、独立性保証部３６は、上記実行時間監視機能の動作による判断を行う（ステップＳ３）。
【００８５】
つまりステップＳ３では、独立性保証部３６が、当該所定の安全制御機能の演算処理時間である個別演算処理時間が、規定時間を超過したか否を判断する。ここで、当該規定時間は、当該所定の安全制御機能に対応しているウォッチドッグタイマＷＤＴｉに設定されている。
【００８６】
独立性保証部３６が、規定時間以内に、所定の安全制御機能の演算が終了しなかったことを検出したとする（ステップＳ３で「はい」）。当該場合には、エレベータ安全制御装置２５は、上述したいずれかの態様で、かご１を停止させる（ステップＳ８）。
【００８７】
これに対して、独立性保証部３６が、所定の安全制御機能の演算が規定時間以内に終了したことを検出したとする（ステップＳ３で「いいえ」）。当該場合には、独立性保証部３６は、ステップＳ４を実行する。
【００８８】
ステップＳ２およびステップＳ３で、所定の安全制御機能の独立性が担保されたとき（ステップＳ２で「いいえ」およびステップＳ３で「いいえ」）、所定の安全制御機能の演算結果が、ＣＰＵ３４から出力バッファ３５に向けて出力される。
【００８９】
ところで、図６において、巻上機４およびブレーキ６に電源Ｐが供給されている状態である。つまり、独立性保証部３６の各スイッチスイッチＳＷ１１，・・・，ＳＷ１ｎ，ＳＷ２１，・・・，ＳＷ２ｎがオン状態である。当該状況において、独立性保証部３６は、出力バッファ３５に取り込まれている所定の安全制御機能の演算結果が、正常値であるか否かを監視する（ステップＳ４）。
【００９０】
もし、当該演算結果がエラー（エレベータの安全性の観点から異常と判断される結果）であることを、独立性保証部３６が検出したとする（ステップＳ４で「はい」）。これは、当該演算結果の出力と対応している独立性保証部３６のスイッチがＯＦＦになることを意味する。当該場合には、エレベータ安全制御装置２５は、上述したいずれかの態様で、かご１を停止させる（ステップＳ８）。
【００９１】
これに対して、当該演算結果が正常（エレベータの安全性の観点から正常と判断される結果）であることを、独立性保証部３６が検出したとする（ステップＳ４で「いいえ」）。当該場合には、エレベータ安全制御装置２５は、実装されている全ての安全制御機能の演算実行が完了した否かを判断する（ステップＳ５）。
【００９２】
もし、全ての安全制御機能の演算が完了していない場合には（ステップＳ５で「いいえ」）、エレベータ安全制御装置２５は、未演算である安全制御機能を一つ選択し、当該選択した安全制御機能について、ステップＳ１以降の動作を繰り返し実行する。
【００９３】
これに対して、全ての安全制御機能の演算が完了した場合には（ステップＳ５で「はい」）、独立性保証部３６は、全安全制御機能のトータル演算処理時間が、規定時間を超過したか否を判断する（ステップＳ６）。ここで、当該規定時間は、ウォッチドッグタイマＷＤＴｔｏｔａｌに設定されている。
【００９４】
独立性保証部３６が、規定時間以内に、全部の安全制御機能の演算が終了しなかったことを検出したとする（ステップＳ６で「はい」）。当該場合には、エレベータ安全制御装置２５は、上述したいずれかの態様で、かご１を停止させる（ステップＳ８）。
【００９５】
これに対して、独立性保証部３６が、全部の安全制御機能の演算が規定時間以内に終了したことを検出したとする（ステップＳ６で「いいえ」）。当該場合には、制御駆動部２４によるエレベータの通常運行が継続される（ステップＳ７）。
【００９６】
ここで、図７のフローチャートでは、各安全制御機能の演算終了（ステップＳ２，Ｓ３）後、個別に演算結果がエラーを示すものか否かを、独立性保証部３６は判断している（ステップＳ４）。しかしながら、全ての安全制御機能の演算終了後、全演算結果のうちいずれかの演算結果がエラーを示すものであるか否かを、もとめて独立性保証部３６は判断しても良い。
【００９７】
以上のように、本実施の形態に係るエレベータ安全制御装置２５は、メモリ干渉監視機能や実行時間監視機能などの安全制御機能の独立性を担保する独立性保証部３６が配設されている。
【００９８】
したがって、一の安全制御機能が他の安全制御機能に影響を及ぼすことなく、一のエレベータ安全制御装置（安全制御基板）２５に、複数の安全制御機能を実装することができる。したがって、エレベータの安全制御にかかるコストが低減でき、据付や保守が簡単に実施される。
【００９９】
また、本実施の形態では、電子化されたエレベータ安全制御装置２５において、必要な安全制御機能が提供される。したがって、安全制御機能ソフトウェアやセンサ３１・スイッチ３０を追加するだけで、新たな安全制御機能をエレベータ安全制御装置２５に追加実装することができる。
【０１００】
また、本実施の形態に係るエレベータ安全制御装置２５では、独立性保証部３６は、安全制御機能の実行の際に、当該安全制御機能の種別を示す識別情報と、当該安全制御機能の実行においてアクセスしようとしているメモリ３７の領域を示すアドレス情報とを、ＣＰＵ３４から取得している。そして、独立性保証部３６は、当該取得した各情報と図４に示す割り当て表とを比較し、各安全制御機能が許可された領域以外のメモリ３７にアクセスしているか否かを監視する。
【０１０１】
したがって、エレベータ安全制御装置２５は、独立性保証部３６によるメモリ干渉監視機能を、簡単に実現することができる。
【０１０２】
また、本実施の形態に係るエレベータ安全制御装置２５では、独立性保証部３６は、個別演算処理時間が規定時間を超過したか否かを、監視している。また、独立性保証部３６は、トータル演算処理時間が規定時間を超過したか否かを、監視している。
【０１０３】
したがって、エレベータ安全制御装置２５は、独立性保証部３６による実行時間監視機能を、簡単に実現することができる。
【０１０４】
また、本実施の形態に係るエレベータ安全制御装置２５では、独立性保証部３６が、何れか一の安全制御機能において、演算結果がエラーであることを検出したとき、エレベータ安全制御装置２５は、かご１を停止させる。
【０１０５】
したがって、エレベータ安全制御装置２５は、複数プログラムの同一出力について、独立性を担保することができる。
【０１０６】
また、本実施の形態に係るエレベータ安全制御装置２５では、何れかの安全制御機能の演算結果がエラーを示すものであることを検出したとき、または、各安全性制御機能間の独立性が担保できないことを検出したとき、エレベータ安全制御装置２５は、即時にかご１を停止させる。
【０１０７】
したがって、エレベータ安全制御装置２５は、エレベータを即時に安全状態に移行することができる。
【０１０８】
また、本実施の形態に係るエレベータ安全制御装置２５では、何れかの安全制御機能の演算結果がエラーを示すものであることを検出したとき、または、各安全性制御機能間の独立性が担保できないことを検出したとき、エレベータ安全制御装置２５は、かご１を最寄階に停止させる。
【０１０９】
したがって、エレベータ安全制御装置２５は、エレベータの異常時に乗客を当該最寄階より非難させることができる。
【０１１０】
また、本実施の形態に係るエレベータ安全制御装置２５では、所定の時間以内に、最寄階にかご１が到着しないとき、当該最寄階に到着しない状態でかご１を非常停止させることもできる。
【０１１１】
所定の時間以内に最寄階にかご１が到着しないということは、エレベータ装置に運行状の支障あることを意味する。したがって、エレベータ安全制御装置２５は、運最寄階に向かっているかご１の安全を確保することができる。
【０１１２】
＜実施の形態２＞
本実施の形態では、実施の形態１で説明したメモリ干渉監視機能の別の態様について説明する。したがって、当該メモリ干渉監視機能以外の構成・動作（エレベータ装置１００やエレベータ安全制御装置２５の構成・動作）は、実施の形態１と実施の形態２とで同様である。
【０１１３】
図８は、本実施の形態に係る独立性保証部３６のメモリ干渉監視機能を説明するための図である。
【０１１４】
実施の形態１で説明したように、各安全制御機能のアクセスが許可されているアドレス領域毎に、メモリ３７は区分されている。たとえば、第一の安全制御機能がアクセスを許可されているアドレス領域は、第一の安全制御機能使用許可領域３７ａである。また、第二の安全制御機能がアクセスを許可されているアドレス領域は、第二の安全制御機能使用許可領域３７ｂである。同様に、第ｎの安全制御機能がアクセスを許可されているアドレス領域は、第ｎの安全制御機能使用許可領域３７ｎである。
【０１１５】
本実施の形態に係る独立性保証部３６は、まず、各安全制御機能使用許可領域３７ａ，３７ｂ，・・・，３７ｎ毎に、誤り検出符号ＣＲＣ１，ＣＲＣ２，・・・，ＣＲＣｎを予め算出する。つまり、独立性保証部３６は、各安全制御機能の演算実行前において、誤り検出符号ＣＲＣ１，ＣＲＣ２，・・・，ＣＲＣｎを算出する。当該演算実行前に算出された誤り検出符号を、第一の誤り検出符号と称する。
【０１１６】
なお、本実施の形態では、誤り検出符号としてＣＲＣ（Ｃｙｃｌｉｃ  Ｒｅｄｕｎｄａｎｃｙ  Ｃｏｄｅ）を用いる（後述する第二の誤り検出符号も同様）。
【０１１７】
次に、所定の安全制御機能の演算終了後、独立性保証部３６は、再び、各安全制御機能使用許可領域３７ａ，３７ｂ，・・・，３７ｎ毎に、誤り検出符号ＣＲＣ１’，ＣＲＣ２’，・・・，ＣＲＣｎ’を算出する。当該演算実行後に算出された誤り検出符号を、第二の誤り検出符号と称する。
【０１１８】
このように、独立性保証部３６は、各安全制御機能使用許可領域３７ａ，３７ｂ，・・・，３７ｎに対応して、第一の誤り検出符号ＣＲＣ１，ＣＲＣ２，・・・，ＣＲＣｎと第二の誤り検出符号ＣＲＣ１’，ＣＲＣ２’，・・・，ＣＲＣｎ’と算出する。
【０１１９】
次に、各安全制御機能使用許可領域３７ａ，３７ｂ，・・・，３７ｎ毎に、対応する第一の誤り検出符号ＣＲＣ１，ＣＲＣ２，・・・，ＣＲＣｎと第二の誤り検出符号ＣＲＣ１’，ＣＲＣ２’，・・・，ＣＲＣｎ’とを、独立性保証部３６は各々比較する。つまり、独立性保証部３６は、第一の誤り検出符号ＣＲＣ１と第二の誤り検出符号ＣＲＣ１’と比較し、第二の誤り検出符号ＣＲＣ２と第二の誤り検出符号ＣＲＣ２’と比較し、第一の誤り検出符号ＣＲＣｎと第二の誤り検出符号ＣＲＣｎ’と比較する。
【０１２０】
所定の安全制御機能の演算実行において、当該所定の安全制御機能が許可されていない安全制御機能使用許可領域３７ａ，３７ｂ，・・・，３７ｎにアクセスしたとする。この場合には、当該許可されている領域以外の安全制御機能使用許可領域３７ａ，３７ｂ，・・・，３７ｎの誤り検出符号が、当該安全制御機能の演算実行前後で変化する。
【０１２１】
したがって、独立性保証部３６が、上記誤り検出符号の比較処理により、第一の誤り検出符号ＣＲＣ１，ＣＲＣ２，・・・，ＣＲＣｎと異なる、第二の誤り検出符号ＣＲＣ１’，ＣＲＣ２’，・・・，ＣＲＣｎ’を検出したとき、独立性保証部３６はメモリ干渉があったと判断する。このように、独立性保証部３６がメモリ干渉があることを検出したとき、エレベータ安全制御装置２５は、上述したいずれかの態様で、かご１を停止させる（図７のステップＳ２で「はい」およびステップＳ８参照）。
【０１２２】
上記動作を、各安全制御機能の演算前後において、毎回実施される。なお、所定の安全制御機能の実行完了は、ＣＰＵ３４から通知されたプロセスＩＤが変更されたことを独立性保証部３６が検出するか、あるいは、各安全制御機能に対応するウォッチドッグタイマＷＤＴ１，ＷＤＴ２，・・・，ＷＤＴｎの計測停止の信号を独立性保証部３６が検出することにより、判明される。
【０１２３】
以上のように、本実施の形態に係るエレベータ安全制御装置２５では、独立性保証部３６は、各安全制御機能使用許可領域３７ａ，３７ｂ，・・・，３７ｎ毎に、第一の誤り検出符号ＣＲＣ１，ＣＲＣ２，・・・，ＣＲＣｎと第二の誤り検出符号ＣＲＣ１’，ＣＲＣ２’，・・・，ＣＲＣｎ’とを、各々比較する。つまり、本実施の形態に係る独立性保証部３６は、当該比較処理を通じて、各安全制御機能が許可された領域以外のメモリ３７にアクセスしているか否かを監視している（メモリ干渉監視機能）。
【０１２４】
したがって、エレベータ安全制御装置２５は、独立性保証部３６によるメモリ干渉監視機能を、簡単に実現することができる。
【０１２５】
また、上記では、誤り検出符号にＣＲＣを用いているが、その他の誤り検出符号を用いても同様の効果が得られるのは言うまでもない。
【０１２６】
＜実施の形態３＞
実施の形態１のメモリ干渉監視機能では、各安全制御機能が、自身のアクセスが許可されているアドレス以外のメモリ３７のアドレスへ、アクセスしているか否かを監視しているのみであった。つまり、実施の形態１のメモリ干渉監視機能は、図４に示す割り当て表と、プロセスＩＤおよびアドレス情報とを用いて、実行されていた。
【０１２７】
本実施の形態では、メモリ干渉監視機能は、アクセス権情報が付加された割り当て表と、「プロセスＩＤ、アドレス情報、アクセス態様情報」とを用いて、実行されることを特徴とする。当該メモリ干渉監視機能以外の構成・動作（エレベータ装置１００やエレベータ安全制御装置２５の構成・動作）は、実施の形態１と実施の形態３とで同様である。
【０１２８】
図９は、本実施の形態に係る独立性保証部３６のメモリ干渉監視機能を、説明するための図である。換言すれば、図９は、本実施の形態に係る割り当て表の一例を示す図である。
【０１２９】
メモリ３７に対する、実アドレスと論理アドレスとの間の変換が、図９に図示されている。つまり、図９の例では、メモリ３７の実アドレス毎に、ＣＰＵ３４がアクセスするときの論理アドレスが対応付けて記載されている。
【０１３０】
また、図９の例では、実アドレスＲ１，Ｒ２，Ｒ３（論理アドレスＬ１，Ｌ２，Ｌ３）は、プロセスＩＤが「１」である安全制御機能のアクセスが許可されており、実アドレスＲ４，Ｒ５，Ｒ６，Ｒ７（論理アドレスＬ４，Ｌ５，Ｌ６，Ｌ７）は、プロセスＩＤが「２」である安全制御機能のアクセスが許可されており、実アドレスＲ８，Ｒ９（論理アドレスＬ８，Ｌ９）は、プロセスＩＤが「３」である安全制御機能のアクセスが許可されており、実アドレスＲｍｍ（論理アドレスＬｍｍ）は、プロセスＩＤが「ｎ」である安全制御機能のアクセスが許可されている、ことを示している。
【０１３１】
ここで、図９の例では、実アドレスＲ１０（論理アドレスＬ１０）は、如何なる安全制御機能のアクセスも禁止されていることを、示している。
【０１３２】
さらに、本実施の形態に係る割り当て表には、図４の割り当て表と異なり、「アクセス権」情報も付加されている。図９の例では、プロセスＩＤが「１」の実アドレスＲ１（論理アドレスＬ１）へのアクセスは、「ｒｅａｄ（読み込み）」のアクセス態様のみ許可されていることを意味する。換言すれば、図９の例では、プロセスＩＤが「１」の実アドレスＲ１（論理アドレスＬ１）への、「ｗｒｉｔｅ（書き込み）」のアクセス態様は禁止されていることを意味する。
【０１３３】
同様に、図９の例では、プロセスＩＤが「２」の実アドレスＲ４（論理アドレスＬ４）へのアクセスは、「ｗｒｉｔｅ」のアクセス態様のみ許可されていることを意味する。換言すれば、図９の例では、プロセスＩＤが「２」の実アドレスＲ４（論理アドレスＬ４）への、「ｒｅａｄ」のアクセス態様は禁止されていることを意味する。
【０１３４】
同様に、図９の例では、プロセスＩＤが「ｎ」の実アドレスＲｍｍ（論理アドレスＬｍｍ）へのアクセスは、「ｒｅａ」および「ｗｒｉｔｅ」の両方のアクセス態様が許可されていることを意味する。
【０１３５】
本実施の形態では、エレベータ安全制御装置２５は、図９に示す割り当て表を保持している。そして、所定の安全制御機能を演算実行中のＣＰＵ３４は、独立性保証部３６を介してメモリ３７に、所定のアドレス、所定のアクセス態様にてアクセスする。これにより、独立性保証部３６は、実施の形態１で説明した「プロセスＩＤおよびアドレス情報」だけでなく、メモリ３７へのＣＵＰ３４の「アクセス態様情報」をも取得することができる。
【０１３６】
本実施の形態に係る独立性保証部３６では、図９に例示した割り当て表と、ＣＰＵ３４から取得した「プロセスＩＤおよびアドレス情報およびアドレス態様情報」とを、用いて、メモリ干渉監視機能を実行する。具体的には、当該独立性保証部３６は、各安全制御機能が許可された領域以外のメモリ３７にアクセスしているか否かを監視しているだけでなく、当該安全制御機能が許可されたアクセス権以外のアクセス態様でメモリ３７にアクセスしているか否かを監視している。
【０１３７】
そして、独立性保証部３６が、所定の安全制御機能が許可されているメモリ３７のアドレスにアクセスする際に、許可されているアクセス権情報と異なるアクセス態様でのアクセスを検出したとする。当該場合は、独立性保証部３６がメモリ干渉があることを検出した場合である。当該場合には、エレベータ安全制御装置２５は、上述したいずれかの態様で、かご１を停止させる（図７のステップＳ２で「はい」およびステップＳ８参照）。
【０１３８】
ここで、独立性保証部３６が、所定の安全制御機能が、許可されているアドレス以外のメモリ３７のアドレスへのアクセスを検出したとき、実施の形態１で説明した通りである。
【０１３９】
以上のように、本実施の形態に係るエレベータ安全制御装置２５では、独立性保証部３６が、所定の安全制御機能の演算実行の際に、アクセス権情報と異なるメモリ３７に対するアクセス態様を検出したときにおいても、当該エレベータ安全制御装置２５は、かご１を停止させる。
【０１４０】
したがって、本実施の形態に係るエレベータ安全制御装置２５は、実施の形態１に係るエレベータ安全制御装置２５よりも、精度の高いメモリ干渉監視機能を提供することができる。
【０１４１】
＜実施の形態４＞
本実施の形態に係るエレベータ安全制御装置（安全制御基板）は、実施の形態１に係るエレベータ安全制御装置２５と異なる。エレベータ装置全体１００の構成は、実施の形態１と実施の形態４とで同じである（図１参照）。
【０１４２】
実施の形態１では、安全制御基板２５には、ＣＰＵ３４、独立性保証部３６およびメモリ３７が、各々１つ配設されていた。これに対して、本実施の形態では、安全制御基板には、ＣＰＵと独立性保証部とメモリとからなる構成群が、２つ配設されている。つまり、当該安全制御基板には、上記構成群が二重化されている。
【０１４３】
図１０は、本実施の形態に係る安全制御装置２５Ａの構成を示すブロック図である。
【０１４４】
図１０に示すように、エレベータ安全制御装置（安全制御基板）２５Ａには、ＣＰＵ３４ｇ１と独立性保証部３６ｇ１とメモリ３７ｇ１とからなる第一の構成群（第一の系統と称する）と、ＣＰＵ３４ｇ２と独立性保証部３６ｇ２とメモリ３７ｇ２とからなる第二の構成群（第二の系統と称する）とが、配設されている。
【０１４５】
各ＣＰＵ３４ｇ１，３４ｇ２、各独立性保証部３６ｇ１，３６ｇ２および各メモリ３７ｇ１，３７ｇ２の動作は、実施の形態１乃至３で説明したＣＰＵ３４、独立性保証部３６およびメモリ３７と同じである。つまり、独立性保証部３６ｇ１，３６ｇ２においても、ＣＰＵ３４ｇ１，３４ｇ２およびメモリ３７ｇ１，３７ｇ２と関連して、実施の形態１乃至３で説明した、メモリ干渉監視機能や実行時間監視機能、さらには演算結果のエラーの検出動作等が実行される。
【０１４６】
また、本実施の形態では、各独立性保証部３６ｇ１，３６ｇ２は、後述する、両系統間で実行されているプログラムの一致・不一致を判断する（実行プログラム監視機能）。そして、各独立性保証部３６ｇ１，３６ｇ２は当該実行プログラム監視機能の結果通知を、各ＣＰＵ３４ｇ１，３４ｇ２に対して行う。
【０１４７】
さらに、図１０に示すように、本実施の形態に係る安全制御基板２５Ａには、相互比較部４０が配設されている。当該相互比較部４０は、ＣＰＵ３４ｇ１の演算結果とＣＰＵ３４ｇ２の演算結果とを相互比較する。
【０１４８】
他のブロック３２，３３，３５，３８の構成および動作は、実施の形態１の図２において同じ符号で示したブロックの構成・動作と同じである。
【０１４９】
図１０において、入力部３２は、入力バッファ３３に接続され、入力バッファ３３は、ＣＰＵ３４ｇ１，３４ｇ２の各々に接続される。ＣＰＵ３４ｇ１とＣＰＵ３４ｇ２との間には、相互比較部４０が配設されている。ＣＰＵ３４ｇ１，３４ｇ２は共に、出力バッファ３５に接続されている。ＣＰＵ３４ｇ１は、独立性保証部３６ｇ１に接続され、ＣＰＵ３４ｇ２は、独立性保証部３６ｇ２に接続される。独立性保証部３６ｇ１は、出力バッファ３５およびメモリ３７ｇ１および出力部３８に各々接続される。独立性保証部３６ｇ２は、出力バッファ３５およびメモリ３７ｇ２および出力部３８に各々接続される。なお、入力部３２は、安全制御基板２５Ａの外部構成要素（スイッチ３０およびセンサ３１）と各々接続され、出力部３８は、安全制御基板２５Ａの外部構成要素（巻上機４およびブレーキ６）と各々接続される。
【０１５０】
図１１は、独立性保証部３６ｇ１，３６ｇ２と、ＣＰＵ３４ｇ１，３４ｇ２と、メモリ３７ｇ１，３７ｇ２との接続関係を示すブロック図である。
【０１５１】
図１１に示すように、ＣＰＵ３４ｇ１とメモリ３７ｇ１とは、バス３９ｇ１により接続されており、当該バス３９ｇ１において、独立性保証部３６ｇ１および独立性保証部３６ｇ２が介在している。また、ＣＰＵ３４ｇ２とメモリ３７ｇ２とは、バス３９ｇ２により接続されており、当該バス３９ｇ２において、独立性保証部３６ｇ１および独立性保証部３６ｇ２が介在している。また、独立性保証部３６ｇ１とＣＰＵ３４ｇ１とＣＰＵ３４ｇ２とは、通信線３９ｇｍにより相互接続されている。さらに、独立性保証部３６ｇ２とＣＰＵ３４ｇ１とＣＰＵ３４ｇ２とは、通信線３９ｇｎにより相互接続されている。
【０１５２】
図１１に示すように、第一の系統および第二の系統間において、バス３９ｇ１，３９ｇ２および信号線３９ｇｍ，３９ｇｎの配設により、各種信号・情報などのデータ共有が可能となっている。つまり、第一の系統におけるＣＰＵ３４ｇ１および独立性保証部３６ｇ１は、第一の系統で送受信されるデータのみならず、第二の系統で送受信されるデータをも、取得することができる。同様に、第二の系統におけるＣＰＵ３４ｇ２および独立性保証部３６ｇ２は、第二の系統で送受信されるデータのみならず、第一の系統で送受信されるデータをも、取得することができる。
【０１５３】
たとえば、ＣＰＵ３４ｇ１は、当該ＣＰＵ３４ｇ１において現在演算を実行している安全制御機能のプロセスＩＤを、通信線３９ｇｍを介して、独立性保証部３６ｇ１およびＣＰＵ３４ｇ２に通知する。また、ＣＰＵ３４ｇ２は、当該ＣＰＵ３４ｇ２において現在演算を実行している安全制御機能のプロセスＩＤを、通信線３９ｇｎを介して、独立性保証部３６ｇ２およびＣＰＵ３４ｇ１に通知する。
【０１５４】
また、独立性保証部３６ｇ１は、独立性保証部３６ｇ１の判断結果（一例として、メモリ干渉監視結果・実行時間監視結果・実行プログラム監視結果）および諸命令（たとえばリセット処理命令）などを、信号線３９ｇｍを介してＣＰＵ３４ｇ１，３４ｇ２に通知する。また、独立性保証部３６ｇ２は、独立性保証部３６ｇ２の判断結果（一例として、メモリ干渉監視結果・実行時間監視結果・実行プログラム監視結果）および諸命令（たとえばリセット処理命令）などを、信号線３９ｇｎを介してＣＰＵ３４ｇ１，３４ｇ２に通知する。
【０１５５】
また、ＣＰＵ３４ｇ１は、安全制御機能の演算処理の際にメモリ３７ｇ１の所定のアドレスにアクセスを行う。そして、ＣＰＵ３４ｇ１の演算処理結果などのデータは、メモリ３７ｇ１の所定のアドレスに書き込みしたりする。同様に、ＣＰＵ３４ｇ２は、安全制御機能の演算処理の際にメモリ３７ｇ２の所定のアドレスにアクセスを行う。そして、ＣＰＵ３４ｇ２の演算処理結果などのデータは、メモリ３７ｇ２の所定のアドレスに書き込みしたりする。
【０１５６】
これに伴い、独立性保証部３６ｇ１，３６ｇ２は、ＣＰＵ３４ｇ１において演算されているプログラムのアドレス情報およびデータを、バス３９ｇ１を介して入手する。また、独立性保証部３６ｇ１，３６ｇ２は、ＣＰＵ３４ｇ２において演算されているプログラムのアドレス情報およびデータを、バス３９ｇ２を介して入手する。
【０１５７】
独立性保証部３６ｇ１，３６ｇ２は、取得した上記アドレス情報やデータを用いて、自系で現在実行されているプログラムのアドレスおよびデータと、他系で実行されているプログラムのアドレスおよびデータを比較する。つまり、独立性保証部３６ｇ１，３６ｇ２は、自系で実行しているプログラムと他系で実行しているプログラムとが、一致しているか否かの判断を行う（実行プログラム監視機能）。
【０１５８】
当該実行プログラム監視機能により、独立性保証部３６ｇ１，３６ｇ２が、両系のＣＰＵ３４ｇ１，３４ｇ２間において実行しているプログラムの不一致を検出したとする。当該場合には、独立性保証部３６ｇ１，３６ｇ２は、自系に属するＣＰＵ３４ｇ１，３４ｇ２に対して、他系で実行されているプログラムが自系で実行しているプログラムと相違する旨を、通知する。そして、独立性保証部３６ｇ１，３６ｇ２が上記プログラムの不一致を検出したとき、エレベータ安全制御装置２５Ａは、かご１を、実施の形態１で説明した何れかの態様にて停止させる。
【０１５９】
ところで、ＣＰＵ３４ｇ１およびＣＰＵ３４ｇ２では、基本的に、同じプログラムに従った演算処理が同時に実行される。そして、ＣＰＵ３４ｇ１およびＣＰＵ３４ｇ２は各々、当該演算処理の結果である演算結果を、相互比較部４０に対して出力する。
【０１６０】
相互比較部４０では、受信した両演算結果同士を比較する。上記のとおり、基本的に、ＣＰＵ３４ｇ１とＣＰＵ３４ｇ２とでは、同じ演算処理が実行されるので、相互比較部４０が受信する演算結果も同じである。しかしながら、何らかの理由により、相互比較部４０が、上記比較の結果、演算結果の不一致を検出したとする。当該場合には、エレベータ安全制御装置２５Ａは、かご１を、実施の形態１で説明した何れかの態様にて停止させる。
【０１６１】
なお、メモリ干渉監視機能および実行時間監視機能に基づく、かご１の停止に至る各動作は、上記実施の形態１乃至３で述べた通りである。
【０１６２】
図１２は、本実施の形態に係るエレベータ安全制御装置２５Ａの動作を示すフローチャートである。当該１２を用いて、以下、本実施の形態に係るエレベータ安全制御装置２５Ａの動作について説明する。
【０１６３】
まず、ＣＰＵ３４ｇ１およびＣＰＵ３４ｇ２は各々、一の同じ所定の安全制御機能の演算を行なう（ステップＳ１１）。当該演算の際に、独立性保証部３６ｇ１，３６ｇ２は、上記実行プログラム監視機能により、自系で実行しているプログラムと他系で実行しているプログラムとの一致・不一致を監視する（ステップＳ１２）。
【０１６４】
独立性保証部３６ｇ１，ｇ２の何れかが、実行しているプログラムの不一致を検出したとする（ステップＳ１２で「はい」）。当該場合には、エレベータ安全制御装置２５Ａは、上述したいずれかの態様で、かご１を停止させる（ステップＳ２０）。
【０１６５】
これに対して、独立性保証部３６ｇ１，３６ｇ２の両方が、実行しているプログラムが一致していると判断したとする（ステップＳ１２で「いいえ」）。当該場合には、エレベータ安全制御装置２５Ａの動作は、ステップＳ１３に移行する。
【０１６６】
ステップＳ１３では、相互比較部４０が、両ＣＰＵ３４ｇ１，３４ｇ２から出力された演算結果同士を比較する。相互比較部４０が、受信した演算結果の不一致を検出したとする（ステップＳ１３で「はい」）。当該場合には、エレベータ安全制御装置２５Ａは、上述したいずれかの態様で、かご１を停止させる（ステップＳ２０）。
【０１６７】
これに対して、相互比較部４０が、受信した演算結果の一致を検出したとする（ステップＳ１３で「いいえ」）。当該場合には、エレベータ安全制御装置２５Ａは、メモリ干渉監視機能の動作に移行する。
【０１６８】
独立性保証部３６ｇ１，３６ｇ２は、上記メモリ干渉監視機能により、安全制御機能の独立性が担保されているか否かを監視する（ステップＳ１４）。各独立性保証部３６ｇ１，３６ｇ２で実行される当該ステップＳ１４の動作は、図７のステップＳ２の動作と同じである。
【０１６９】
独立性保証部３６ｇ１，３６ｇ２の何れかが、メモリ干渉があることを検出したとする（ステップＳ１４で「はい」）。当該場合には、エレベータ安全制御装置２５Ａは、上述したいずれかの態様で、かご１を停止させる（ステップＳ２０）。
【０１７０】
これに対して、独立性保証部３６ｇ１，３６ｇ２が共に、メモリ干渉がないと判断したとする（ステップＳ１４で「いいえ」）。当該場合には、各独立性保証部３６ｇ１，３６ｇ２は、上記実行時間監視機能の動作による判断を行う（ステップＳ１５）。
【０１７１】
ステップＳ１５では、独立性保証部３６ｇ１，３６ｇ２は各々において、個別演算処理時間が規定時間を超過したか否を判断する。各独立性保証部３６ｇ１，３６ｇ２で実行される当該ステップＳ１５の動作は、図７のステップＳ３の動作と同じである。
【０１７２】
独立性保証部３６ｇ１，３６ｇ２の何れかが、規定時間以内に、所定の安全制御機能の演算が終了しなかったことを検出したとする（ステップＳ１５で「はい」）。当該場合には、エレベータ安全制御装置２５Ａは、上述したいずれかの態様で、かご１を停止させる（ステップＳ２０）。
【０１７３】
これに対して、独立性保証部３６ｇ１，３６ｇ２が共に、所定の安全制御機能の演算が規定時間以内に終了したことを検出したとする（ステップＳ１５で「いいえ」）。当該場合には、エレベータ安全制御装置２５Ａの動作は、ステップＳ１６に移行する。
【０１７４】
ステップＳ１６では、独立性保証部３６ｇ１，３６ｇ２では、出力バッファ３５に取り込まれている所定の安全制御機能の演算結果が、正常値であるか否かを監視する。各独立性保証部３６ｇ１，３６ｇ２で実行される当該ステップＳ１６の動作は、図７のステップＳ４の動作と同じである。
【０１７５】
演算結果がエラー（エレベータの安全性の観点から異常と判断される結果）であることを、独立性保証部３６ｇ１，３６ｇ２の何れかにおいて検出したとする（ステップＳ１６で「はい」）。当該場合には、エレベータ安全制御装置２５Ａは、上述したいずれかの態様で、かご１を停止させる（ステップＳ２０）。
【０１７６】
これに対して、当該演算結果が正常（エレベータの安全性の観点から正常と判断される結果）であることを、各独立性保証部３６ｇ１，３６ｇ２が検出したとする（ステップＳ１６で「いいえ」）。当該場合には、エレベータ安全制御装置２５Ａは、実装されている全ての安全制御機能の演算実行が完了した否かを判断する（ステップＳ１７）。
【０１７７】
全ての安全制御機能の演算が完了していない場合には（ステップＳ１７で「いいえ」）、エレベータ安全制御装置２５Ａは、未演算である安全制御機能を一つ選択し、当該選択した安全制御機能について、ステップＳ１１以降の動作を繰り返し実行する。
【０１７８】
これに対して、全ての安全制御機能の演算が完了した場合には（ステップＳ１７で「はい」）、独立性保証部３６ｇ１，３６ｇ２は、トータル演算処理時間が規定時間を超過したか否を判断する（ステップＳ１８）。各独立性保証部３６ｇ１，３６ｇ２で実行される当該ステップＳ１８の動作は、図７のステップＳ６の動作と同じである。
【０１７９】
独立性保証部３６ｇ１，３６ｇの何れにおいて、規定時間以内に、全安全制御機能の演算が終了しなかったことを検出したとする（ステップＳ１８で「はい」）。当該場合には、エレベータ安全制御装置２５Ａは、上述したいずれかの態様で、かご１を停止させる（ステップＳ２０）。
【０１８０】
これに対して、独立性保証部３６ｇ１，３６ｇ２が共に、全安全制御機能の演算が規定時間以内に終了したことを検出したとする（ステップＳ１８で「いいえ」）。当該場合には、制御駆動部２４によるエレベータの通常運行が継続される（ステップＳ１９）。
【０１８１】
ここで、図１２のフローチャートでは、各安全制御機能の演算終了（ステップＳ１１〜Ｓ１５）後、個別に演算結果がエラーを示すものか否かを判断している（ステップＳ１６）。しかしながら、全ての安全制御機能の演算終了後、全演算結果のうちいずれかの演算結果がエラーを示すものであるか否かを、もとめて判断しても良い。
【０１８２】
以上のように、本実施の形態に係るエレベータ安全制御装置２５Ａは、図７の一連の動作に加えて、独立性保証部３６ｇ１，３６ｇ２における実行プログラム監視機能処理と、相互比較部４０における演算結果一致／不一致判断処理とが追加されている。
【０１８３】
したがって、実施の形態１よりも、本実施の形態の方が、エレベータ安全制御システムの信頼性を高めることができる。
【０１８４】
なお、図１１に示す接続関係では、独立性保証部３６ｇ１，３６ｇ２は、互いの信号線３９ｇｍ，３９ｇｎおよびバス３９ｇ１，３９ｇ２を相互に接続している。しかしながら、当該構成の代わりに、独立性保証部３６ｇ１，３９ｇ２間に信号線を接続し、両独立性保証部３６ｇ１，３９ｇ２間において、各種データ・信号の送受信を行えるような構成を採用することもできる。
【０１８５】
また、本実施の形態では、ＣＰＵ、メモリおよび独立性保証部からなる構成群は、二重化されている場合について説明した（上記第一の系統および第二の系統）。しかしながら、三重化以上の構成を採用しても良い（三つ以上の系統を有する構成も可）。当該場合においても、各系統間において、データ・信号を相互に共有できる配線接続が必要であり、相互比較部４０は、各ＣＰＵと夫々接続される。このような構成の場合においても、本実施の形態で説明したエレベータ安全制御システムの信頼性向上の効果が得られることは、言うまでもない。
【符号の説明】
【０１８６】
１  かご、４  巻上機、６  ブレーキ、２３  制御盤、２４  駆動制御部、２５，２５Ａ  エレベータ安全制御装置（安全制御基板）、３０  スイッチ、３１  センサ、３２  入力部、３３  入力バッファ、３４，３４ｇ１，３４ｇ２  ＣＰＵ、３５  出力バッファ、３６，３６ｇ１，３６ｇ２  独立性保証部、３７，３７ｇ１，３７ｇ２  メモリ、３８  出力部、４０  相互比較部。
【図１】
0005550718.tif 000002
【図２】
0005550718.tif 000003
【図３】
0005550718.tif 000004
【図４】
0005550718.tif 000005
【図５】
0005550718.tif 000006
【図６】
0005550718.tif 000007
【図７】
0005550718.tif 000008
【図８】
0005550718.tif 000009
【図９】
0005550718.tif 000010
【図１０】
0005550718.tif 000011
【図１１】
0005550718.tif 000012
【図１２】
0005550718.tif 000013