(57)【要約】  エレベータ安全制御装置は、複数の機能をマルチタスクで実行可能であり、安全制御機能または自己診断機能によって異常が検出された場合には、自己診断機能のタスクの実行を中断し、当該中断されたタスクの実行時間枠で検出された異常に対応する安全移行処理を実行する。また、前記安全移行処理の実行中に新たに異常が検出されて、新たに検出された異常に対応する安全移行処理の優先度が前記安全移行処理の優先度よりも高い場合には、前記安全移行処理の実行を中断して、新たに検出された異常に対応する安全移行処理を実行する。
2019163133.tif 000002
【特許請求の範囲】
【請求項１】
複数の機能をマルチタスクで実行可能なエレベータ安全制御装置であって、
一定周期で繰り返し処理を実行する演算処理部と、
各周期における前記演算処理部へのタスク実行時間の割り当てを行うスケジューラと
を備え、
前記演算処理部によって実行される前記複数の機能は、安全制御機能を含む第１のグループ、自己診断機能を含む第２のグループおよび非安全制御機能を含む第３のグループに分類され、
前記スケジューラは、各周期において、前記第１、第２のグループから各々少なくとも１つの機能のタスクに実行時間を割り当てるとともに、前記第３のグループに含まれる機能のタスクに残りの実行時間を割り当て、
前記演算処理部は、前記安全制御機能または前記自己診断機能によって異常が検出された場合には、前記第２のグループに含まれる機能のタスクの実行を中断し、該中断されたタスクの実行時間枠で前記検出された異常に対応する安全移行処理を実行する、エレベータ安全制御装置。
【請求項２】
前記安全移行処理の実行中に新たに異常が検出されて、該新たに検出された異常に対応する安全移行処理の優先度が前記安全移行処理の優先度よりも高い場合には、前記安全移行処理の実行を中断して、該新たに検出された異常に対応する安全移行処理を実行する、請求項１に記載のエレベータ安全制御装置。
【請求項３】
前記演算処理部は、前記安全制御機能それ自体の異常が検出された場合には、該安全制御機能のタスクの実行時間割り当てを解除し、該解除された実行時間枠において、前記安全制御機能それ自体の異常に対応する安全移行処理を実行する、請求項１または２に記載のエレベータ安全制御装置。
【請求項４】
前記複数の機能のメモリアクセス違反を検出するメモリ保護ユニットをさらに備え、
前記演算処理部は、前記メモリアクセス違反が検出された場合には、該メモリアクセス違反に対応する安全移行処理を実行する、請求項１〜３のいずれか一項に記載のエレベータ安全制御装置。
【請求項５】
前記第１、第２のグループに含まれる機能のタスクの規定時間超過を検出する第１のタイマをさらに備え、
前記演算処理部は、前記規定時間超過が所定回数検出された場合には、対応する安全移行処理を実行する、請求項１〜４のいずれか一項に記載のエレベータ安全制御装置。
【請求項６】
全体周期時間超過を検出する第２のタイマをさらに備え、
前記演算処理部は、前記第１、第２のグループに含まれる機能のタスクによる前記周期時間超過が検出された場合には、対応する安全移行処理を実行する、請求項１〜５のいずれか一項に記載のエレベータ安全制御装置。
【請求項７】
前記第３のグループに含まれる機能のタスクによる前記周期時間超過が検出された場合には、当該タスクの実行を中断する、請求項６に記載のエレベータ安全制御装置。
【請求項８】
前記安全移行処理は、前記優先度の高い順に、緊急停止、最寄り階停止運転、速度制限を含む、請求項１〜７のいずれか一項に記載のエレベータ安全制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、エレベータ安全制御装置に係り、特に複数の安全制御機能を提供するエレベータ安全制御装置に関するものである。
【背景技術】
【０００２】
従来のエレベータ安全制御装置では、複数の安全制御機能を提供する際には、装置または基板を安全制御機能の数だけ用意する必要があった。例えば、特許文献１では、各装置には、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）とメモリとを含む論理部が形成されている。【０００３】
特許文献１に係る技術では、エレベータのかごの位置および速度を監視する監視部としての監視基板と、第２制動動作を行う時にブレーキ装置を制御するブレーキ制御部としてのブレーキ制御基板とが設けられている。すなわち、特許文献１に係る技術は、２つの安全制御機能を有しており、安全制御機能の数だけ、上記の論理部が形成された装置または基板が設けられている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】国際公開第２００７／０５７９７３号
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１に係る技術では、安全制御機能の数だけ装置または基板が必要となるため、コスト高となる。しかしながら、単に１つの装置または基板に複数の安全制御機能を実装しただけでは、ある安全制御機能によって異常が検出されて安全移行処理が実行される際には、他の安全制御機能の実行が中断されてしまい、エレベータ全体の安全制御に不都合が生じる可能性がある。換言すれば、複数の安全制御機能の独立性を保証することができない。【０００６】
本発明は、上記の課題を解決するためのものであり、複数の安全制御機能の独立性を保証することができる、エレベータ安全制御装置を提供することを目的とする、
【課題を解決するための手段】
【０００７】
上記の目的を達成するために、本発明に係るエレベータ安全制御装置は、複数の機能をマルチタスクで実行可能なエレベータ安全制御装置であって、一定周期で繰り返し処理を実行する演算処理部と、各周期における演算処理部へのタスク実行時間の割り当てを行うスケジューラとを備え、演算処理部によって実行される複数の機能は、安全制御機能を含む第１のグループ、自己診断機能を含む第２のグループおよび非安全制御機能を含む第３のグループに分類され、スケジューラは、各周期において、第１、第２のグループから各々少なくとも１つの機能のタスクに実行時間を割り当てるとともに、第３のグループに含まれる機能のタスクに残りの実行時間を割り当て、演算処理部は、安全制御機能または自己診断機能によって異常が検出された場合には、第２のグループに含まれる機能のタスクの実行を中断し、当該中断されたタスクの実行時間枠で検出された異常に対応する安全移行処理を実行する。
【発明の効果】
【０００８】
本発明に係るエレベータ安全制御装置では、複数の機能をマルチタスクで実行可能であり、複数の機能は、安全制御機能を含む第１のグループ、自己診断機能を含む第２のグループおよび非安全制御機能を含む第３のグループに分類され、安全制御機能または自己診断機能によって異常が検出された場合には、第２のグループに含まれる機能のタスクの実行を中断し、当該中断されたタスクの実行時間枠で前記検出された異常に対応する安全移行処理を実行することにより、複数の安全制御機能の独立性を保証することができる。
【図面の簡単な説明】
【０００９】
【図１】本発明の実施の形態１に係るエレベータの構成を示す図である。
【図２】本発明の実施の形態１に係るエレベータ安全制御装置のハードウェア構成を示す図である。
【図３】本発明の実施の形態１に係るエレベータ安全制御装置の機能構成を示す図である。
【図４】本発明の実施の形態１に係る安全移行処理を説明するフローチャートである。
【図５】本発明の実施の形態１に係るスケジューリングの第１の例を示す図である。
【図６】本発明の実施の形態１に係るスケジューリングの第２の例を示す図である。
【発明を実施するための形態】
【００１０】
以下、添付の図面を参照して、本発明の実施の形態を詳細に説明する。ただし、以下に示す実施の形態は一例であり、これらの実施の形態によって本発明が限定されるものではない。
【００１１】
実施の形態１．
図１は、本発明の実施の形態１に係るエレベータ装置１００の構成を示す図である。図１において、かご１および釣合おもり２は、懸架手段３によって昇降路内に吊り下げられている。懸架手段３は、複数本のロープまたはベルトを含んでいる。
【００１２】
昇降路内の下部には、かご１および釣合おもり２を昇降させる巻上機４が設置されている。巻上機４は、懸架手段３が巻き掛けられた駆動シーブ５と、駆動トルクを発生して駆動シーブ５を回転させる巻上機モータ（図示せず）と、制動トルクを発生して駆動シーブ５の回転を制動する制動手段としての巻上機ブレーキ６と、駆動シーブ５の回転に応じた信号を発生する巻上機エンコーダ７とを備えている。
【００１３】
巻上機ブレーキ６としては、例えば電磁ブレーキ装置が用いられる。電磁ブレーキ装置による制動時には、制動ばねのばね力によってブレーキシューが制動面に押し付けられて駆動シーブ５の回転が制動され、かご１が制動される。また、電磁ブレーキ装置による制動解除時には、電磁マグネットを励磁することによってブレーキシューが制動面から引き離され、制動力が解除される。なお、巻上機ブレーキ６によって印加される制動力は、電磁マグネットのブレーキコイルに流される電流値に応じて変化する。
【００１４】
かご１には、一対のかご吊り車８ａ，８ｂが設けられている。釣合おもり２には、釣合おもり吊り車９が設けられている。昇降路の上部には、かご返し車１０ａ，１０ｂおよび釣合おもり返し車１１が設けられている。懸架手段３の一端部は、昇降路の上部に設けられた第１の綱止め１２ａに接続されている。懸架手段３の他端部は、昇降路の上部に設けられた第２の綱止め１２ｂに接続されている。
【００１５】
懸架手段３は、一端部側から順に、かご吊り車８ａ，８ｂ、かご返し車１０ａ，１０ｂ、駆動シーブ５、釣合おもり返し車１１、釣合おもり吊り車９に巻き掛けられている。すなわち、かご１および釣合おもり２は、「２：１ローピング方式」によって昇降路内に吊り下げられている。
【００１６】
昇降路の上部には、調速機１４が設置されている。調速機１４は、調速機シーブ１５と、調速機シーブ１５の回転に応じた信号を発生する調速機エンコーダ１６とを備えている。調速機シーブ１５には、調速機ロープ１７が巻き掛けられている。調速機ロープ１７の両端部は、かご１に搭載された非常止め装置の操作レバー（図示せず）に接続されている。調速機ロープ１７の下端部は、昇降路の下部に配置された張り車１８に巻き掛けられている。かご１が昇降されると、調速機ロープ１７が循環され、かご１の走行速度に応じた回転速度で調速機シーブ１５が回転される。
【００１７】
昇降路内の上部には、かご１の位置を検出するための上部基準位置スイッチ１９ａが設けられている。昇降路内の下部には、かご１の位置を検出するための下部基準位置スイッチ１９ｂが設けられている。かご１には、基準位置スイッチ１９ａ，１９ｂを操作するスイッチ操作部材、例えばカムが設けられている。
【００１８】
かご１上には、かごのドア開閉を検出するかごドアスイッチ２０が設けられている。各階の乗場には、乗場ドアの開閉を検出する乗場ドアスイッチ（図示せず）が設けられている。また、昇降路には、乗客がかご１に安全に出入りできる位置、すなわちドアゾーンにかご１が位置していることを検出するための複数の床合わせプレート２１ａ〜２１ｃが設けられている。かご１には、床合わせプレート２１ａ〜２１ｃを検出する床合わせセンサ２２が設けられている。
【００１９】
巻上機エンコーダ７、調速機エンコーダ１６、基準位置スイッチ１９ａ，１９ｂ、かごドアスイッチ２０、乗場ドアスイッチ（図示せず）、床合わせセンサ２２は、それぞれかご１の状態に応じた信号を発生するセンサである。
【００２０】
昇降路内には、制御盤２３が設置されている。制御盤２３内には、運行制御部である駆動制御部２４と、エレベータ安全制御装置２５とが設けられている。エレベータ安全制御装置２５は、かご１の停止を制御することができる。
【００２１】
エレベータ装置では、安全性を担保するために、複数の観点からシステムに対する監視・制御が実施されている。そのため、各々の監視・制御を実施するために、エレベータ安全制御装置２５には、複数の安全制御機能が実装されている。すなわち、エレベータ安全制御装置２５が、複数の安全制御機能に関する演算を別個独立のプログラムで各々実行することにより、エレベータ装置の複数の観点からの安全制御が実現される。なお、安全制御機能の具体例としては、例えば、戸開走行保護機能、過速度監視機能、保守切替機能、安全通信機能などがある。
【００２２】
駆動制御部２４は、巻上機４の運転、すなわちかご１の運行を制御する。また、駆動制御部２４は、巻上機エンコーダ７からの信号に基づいて、かご１の走行速度を制御する。
【００２３】
戸開走行保護機能は、床合わせセンサ２２からの信号に基いて、かご１が着床位置にいるか否かを判断する。また、戸開走行保護機能は、かごドアスイッチ２０および乗場ドアスイッチ（図示せず）からの信号に基いて、かごドアおよび乗場ドアの開閉状態を判断する。また、戸開走行保護機能は、巻上機エンコーダ７からの信号に基いて、かご１が走行しているか否かを判断する。
【００２４】
また、戸開走行保護機能は、かご１が着床位置に来ていないにもかかわらず、かごドアまたは乗場ドアの少なくともいずれか一方が開いている状態、並びに、かご１が走行中であるにもかかわらず、かごドアまたは乗場ドアの少なくともいずれか一方が開いている状態を検出し、ブレーキ動作指令を出力する。すなわち戸開走行保護機能は、戸開走行状態を検出すると、巻上機ブレーキ６によって駆動シーブ５を制動するとともに巻上機モータを停止させ、かご１を強制停止させる。
【００２５】
調速機エンコーダ１６および基準位置スイッチ１９ａ，１９ｂからの信号は、安全制御機能の１つである過速度監視機能に入力される。過速度監視機能は、調速機エンコーダ１６および基準位置スイッチ１９ａ，１９ｂからの信号に基いて、駆動制御部２４とは独立して、かご１の位置および速度を求め、かご１の速度が所定の過速度レベルに達しているか否かを監視する。
【００２６】
なお、過速度レベルは、かご１の位置に応じて変化する過速度監視パターンとして設定されている。かご１の速度が過速度レベルに達すると、過速度監視機能は、巻上機ブレーキ６によって駆動シーブ５を制動するとともに巻上機モータを停止させ、かご１を強制停止させる。
【００２７】
保守切替機能は、点検用ドアの開放あるいはかご上手すりの組み立てを検出するスイッチの動作を検出することによって、保守員が点検のために昇降路内に立ち入ったことを検知すると、自動運転を無効化する。また、昇降路内制限位置に設けられた位置スイッチによって行き過ぎを検知するとかご１を停止させることによって、点検運転時の昇降行程の制限を実施する。自動運転への復帰は、昇降路外に設けられたリセットスイッチによって行われる。
【００２８】
駆動制御部２４およびエレベータ安全制御装置２５は、各々独立したマイクロコンピュータを有している。駆動制御部２４における機能およびエレベータ安全制御装置２５における機能は、これらのマイクロコンピュータによって実現される。なお、エレベータ安全制御装置２５に実装される各種の安全制御機能、すなわち、戸開走行保護機能、過速度監視機能などの演算は、独立したプログラムによって実行される。また、ログ収集といった保守機能、呼びに対する割り当て応答といった運行制御などの非安全機能も実行される。
【００２９】
なお、本願では、エレベータ安全制御装置２５に対して、「エレベータ安全制御装置」または「安全制御基板」と異なる名称を使用するが、ともに同じものを示している。
【００３０】
上記の構成において、１つのエレベータ安全制御装置２５には、複数の安全制御機能が実装されている。しかしながら、前述したように、単に１つのエレベータ安全制御装置２５に複数の安全制御機能を実装しただけでは、ある安全制御機能によって異常が検出されて安全移行処理が実行される際には、他の安全制御機能の実行が中断されてしまい、エレベータ全体の安全制御に不都合が生じる可能性がある。換言すれば、各々の安全制御機能の独立性を保証することができない。そのため、各々の安全制御機能が他の安全制御機能に影響を及ぼさないように、複数の安全制御機能の独立性を保証する必要がある。
【００３１】
本願発明では、タイムパーティショニングを用いたタスクスケジューリング機能によって、複数の安全制御機能のタスクに実行時間をそれぞれ割り当て、複数の安全制御機能をマルチタスクで実行することによって、複数の安全制御機能の独立性を保証する。
【００３２】
図２には、エレベータ安全制御装置２５のハードウェア構成が示されている。エレベータ安全制御装置２５は、Ｉ／Ｏ、すなわち入出力部３０と、ＣＰＵ３１と、不揮発性メモリのＲＯＭ３２と、揮発性メモリのＲＡＭ３３と、第１のタイマ３４および第２のタイマ３５と、メモリ保護ユニット３６とを備えている。換言すれば、１つの安全制御基板２５上には、入出力部３０と、ＣＰＵ３１と、ＲＯＭ３２と、ＲＡＭ３３と、第１のタイマ３４および第２のタイマ３５と、メモリ保護ユニット３６とが実装されている。
【００３３】
ＲＯＭ３２には、安全制御機能および非安全制御機能をそれぞれ実行する複数のプログラムが格納されている。ＣＰＵ３１は、ＲＯＭ３２からプログラムを読み出してＲＡＭ３３上に展開し、ＲＡＭ３３に一時データを保存しながらプログラムを実行する。
【００３４】
図２において、入出力部３０は、安全制御基板２５の外部構成要素（図示せず）に各々接続されている。
【００３５】
入出力部３０には、エレベータの状態に関する信号が入力される。上述したように、エレベータの状態を監視・検出するために、各種のスイッチ１９ａ，１９ｂが存在する。また、同じくエレベータの状態を監視・検出するために、調速機エンコーダ１６を含む各種のセンサが存在する。入出力部３０には、これらのスイッチおよびセンサからの信号、すなわち、かご１の状態に関する信号が入力される。
【００３６】
また、入出力部３０は、エンコーダ信号をはじめとするパルス信号をカウントして数値化する。また、入出力部３０は、二重化された入力信号同士の比較、および入力信号と基準センサ（図示せず）からの信号との比較も行う。入出力部３０における比較の結果、不一致が検出された場合には、その旨が論理部を構成するＣＰＵ３１へ通達される。
【００３７】
ＣＰＵ３１は、入出力部３０を介してセンサおよびスイッチからの信号を入力値として読み込み、エレベータに関する複数の安全制御に必要な演算を行なう。すなわち、ＣＰＵ３１は、センサおよびスイッチからの入力値に基いて、複数の安全制御機能に関する演算を各々独立したプログラムによって実行する。これにより、エレベータの安全制御が実現される。
【００３８】
なお、これらの構成は多重化することができ、各系統を比較することによって故障を検出することができる。
【００３９】
また、入力信号をネットワーク経由で取得することもできる。この場合、ネットワークの異常を検出するために、送受信アドレス、シーケンス番号、誤り検出符号、受信監視タイマ（図示せず）などによるチェックをプログラムにおいて実施する。本願発明では、これらの処理は安全通信機能に分類される。
【００４０】
エレベータ安全制御装置２５において、ＣＰＵ３１は、一定周期で繰り返し処理を実行する。各周期におけるＣＰＵ３１へのタスク実行時間の割り当ては、スケジューラ３７によって行われる（図３参照）。この実施の形態に係るスケジューラ３７は、ソフトウェアによって実装されている。
【００４１】
スケジューラ３７は、ＣＰＵ３１によって実行される機能を３つのグループに分けて管理する。第１のグループには、上述した安全通信機能を含む各種の安全制御機能が含まれる。第２のグループには、自己診断機能および安全移行処理が含まれる。第３のグループには、その他の非安全制御機能が含まれる。図３においては、安全制御機能、自己診断機能、安全移行処理、非安全制御機能は、それぞれ安全制御プログラム４１、自己診断プログラム４２、安全移行プログラム４３、非安全制御プログラム４４として示されている。
【００４２】
スケジューラ３７は、各周期において、第１、第２のグループに含まれる機能のタスクに優先してＣＰＵ３１の実行時間を割り当て、第３のグループに含まれる機能のタスクには残りの実行時間を割り当てる。そのため、状況によっては、第３のグループに含まれる機能のタスクに実行時間を割り当てられない場合もある。
【００４３】
安全スケジューリング情報５１には、第１のグループに含まれる各種の安全制御機能の実行順序および規定時間が格納されている。スケジューラ３７は、安全スケジューリング情報５１に基いて、各種の安全制御機能のタスクに実行時間を割り当てる。
【００４４】
安全移行スケジューリング情報５２には、第２のグループに含まれる各種の自己診断機能および安全移行処理の実行順序および規定時間が格納されている。スケジューラ３７は、安全移行スケジューリング情報５２に基いて、各種の自己診断機能および安全移行処理のタスクに実行時間を割り当てる。
【００４５】
非安全スケジューリング情報５３には、第３のグループに含まれる各種の非安全制御機能の実行順序および規定時間が格納されている。スケジューラ３７は、非安全スケジューリング情報５３に基いて、各種の非安全制御機能のタスクに実行時間を割り当てる。
【００４６】
スケジューラ３７の割り当てに従って、ある周期においてある安全制御機能のタスクの実行が開始されると、当該安全制御機能の規定時間に設定された第１のタイマ３４によって、タスクの実行時間が監視される。第１のタイマ３４の監視時間は可変であり、機能毎に設定される。第１のタイマ３４としては、例えば可変タイムウィンドウ付きのウォッチドッグタイマを用いることができる。
【００４７】
安全制御機能のタスクの実行が正常に終了した場合には、第１のタイマ３４の規定時間内にタスクの切り替え処理、すなわち当該機能タスクの実行状態を退避して次の機能タスクの実行状態を復帰する処理が行われ、スケジューラ３７によるスケジューリングに従って、次の安全制御機能のタスクの実行が開始される。
【００４８】
ある周期に割り当てられた第１のグループに含まれる安全制御機能のタスクの実行が終了すると、第２のグループに含まれる自己診断機能のタスクの実行が開始される。この際、自己診断機能の場合にも、安全制御機能の場合と同様に、規定時間に設定された第１のタイマ３４によって、タスクの実行時間が監視される。
【００４９】
第１のタイマ３４によって規定時間超過が検出された場合には、当該安全制御機能または自己診断機能のタスクの実行を中断する。また、実行の中断が所定回数発生した場合には、対応する安全移行処理を実行する。
【００５０】
第２のグループに含まれる自己診断機能のタスクの実行が完了すると、スケジューラ３７によって非安全スケジューリング情報５３に基いて決定されたスケジューリングに従って、第３のグループに含まれる非安全制御機能のタスクの実行が開始される。ただし、この際には、第１のタイマ３４による実行時間の監視は行われない。
【００５１】
また、ＣＰＵ３１は、周期全体の実行時間を第２のタイマ３５によって監視する。第２のタイマ３５の監視時間は固定であり、周期時間に合わせて設定される。第２のタイマとしては、例えば固定タイムウィンドウ付きのウォッチドッグタイマを用いることができる。
【００５２】
第２のタイマ３５によって、安全制御機能のタスクによる周期時間超過が検出された場合には、対応する安全移行処理が実行される。また、第２のタイマ３５によって、非安全制御機能のタスクによる周期時間超過が検出された場合には、当該タスクの実行が中断されて次の周期に移る。
【００５３】
また、ＣＰＵ３１は、安全移行処理に起因する周期時間超過が検出された場合には、直ちに巻上機４の停止とブレーキ作動を行なう。
【００５４】
また、ある機能のタスクの実行中は、メモリ保護ユニット３６によって他の機能のタスクの利用するメモリエリアへのアクセス、すなわちメモリからの読み込み、およびメモリへの書き込みが制限される。各機能には、予めアクセス可能なメモリ範囲が設定されており、それを超えたアクセスを実施しようとすると、メモリ保護ユニット３６によってメモリアクセス違反が検出される。
【００５５】
また、入出力については直接アクセスが禁止されており、入出力用メモリを経由して同様の保護が実施される。なお、メモリアクセス違反が検出された場合には、例えば、「最寄り階停止」の安全移行処理が実行される。
【００５６】
（安全移行処理）
次に、本発明の実施の形態１に係るエレベータ安全制御装置２５における、安全移行処理の詳細について説明する。エレベータ安全制御装置２５のＲＯＭ３２には、エレベータの異常の種類に応じた複数の安全移行処理の実行プログラム、すなわち安全移行プログラム４３と、各々の安全移行処理の優先度を定めた安全移行優先度５４とが格納されている。
【００５７】
ＣＰＵ３１は、例えば、センサ故障などによって過速度監視機能の位置情報が喪失した場合には、安全移行処理として、全行程にわたって最高速度を制限する「速度制限」を実施する。
【００５８】
また、ＣＰＵ３１は、前述のメモリアクセス違反などの軽微な演算異常が検出された場合には、安全移行処理として、駆動装置に最寄り階への停止を指示して一定時間後にかご１を完全に停止させる「最寄り階停止」を実施する。
【００５９】
また、ＣＰＵ３１は、前述の規定時間超過、周期時間超過、戸開走行などの重大な異常が検出された場合には、安全移行処理として、直ちに巻上機４の停止とブレーキ作動を行なう「非常停止」を実施する。
【００６０】
この場合、安全移行処理の優先度は、「非常停止」、「最寄り階停止」、「速度制限」の順である。この他にも安全移行処理が必要な場合には、適宜追加して優先度を定めることができる。
【００６１】
図４には、エレベータ安全制御装置２５における安全移行処理のフローチャートが示されている。
【００６２】
エレベータ安全制御装置２５における周期的な処理の実行中に、安全制御機能のタスクまたは自己診断機能のタスクは、エレベータの異常または安全制御機能自体もしくは安全制御装置２５自体の異常が発生していないかチェックする（ステップＳ１）。異常が検出されない場合（ステップＳ１＝いいえ）には、スケジュール通りに処理を実行する。
【００６３】
ステップＳ１において異常が検出されると（ステップＳ１＝はい）、予めスケジュールされていた自己診断機能のタスクの実行を中断、すなわちスケジュールから除外し（ステップＳ２）、その時間枠で今回検出した異常に対応した安全移行処理を実行する（ステップＳ３）。なお、安全移行処理に必要な時間が短く、安全移行処理と自己診断機能の両方の実行時間が確保できる場合には、自己診断機能のタスクの実行を継続してもよい。
【００６４】
安全移行処理の実行中は、復帰条件が成立するか否かをチェックする（ステップＳ４）。例えば、センサ入力異常が解消されたか否か、保守員による復帰によって過速度状態が解消されたか否かなどをチェックする。
【００６５】
ステップＳ４において復帰条件が成立すると（ステップＳ４＝はい）、安全移行処理を終了し（ステップＳ５）、その時間枠で自己診断機能のタスクの実行を再開する（ステップＳ６）。
【００６６】
なお、安全移行処理の実行中に、安全制御機能のタスクが新たな異常を検出した場合（ステップＳ７＝はい）には、新たに検出された異常に対応する安全移行処理の優先度をチェックし（ステップＳ８）、実行中の安全移行処理の優先度の方が高い場合（ステップＳ８＝いいえ）には、そのまま現在の安全移行処理を継続する（ステップＳ４に戻る）。
【００６７】
一方、新たな安全移行処理の優先度の方が高い場合（ステップＳ８＝はい）には、現在の安全移行処理を中断、すなわちスケジュールから除外し（ステップＳ９）、その時間枠で新たに検出された異常に対応する安全移行処理を実行する（ステップＳ１０）。その後、復帰条件が成立すれば復帰する（ステップＳ４〜Ｓ６）。
【００６８】
（スケジューリングの第１の例）
図５には、本発明の実施の形態１に係るエレベータ安全制御装置２５における、スケジューリングの第１の例が示されている。
【００６９】
エレベータ安全制御装置２５のＣＰＵ３１は、ある周期では、パターン(ａ１)に示されるように、第１のグループから安全通信機能のタスク、過速度検知機能のタスクを実行する。次に、第２のグループから自己診断機能のタスクを実行する。最後の空き時間に、第３のグループから保守機能のタスクを実行して終了する。
【００７０】
次の周期では、ＣＰＵ３１は、パターン(ａ２)に示されるように、第１のグループから安全通信機能のタスク、戸開走行保護機能のタスク、保守切替機能のタスクを実行する。次に、第２のグループから自己診断機能のタスクを実行する。最後の空き時間に、第３のグループから運行機能のタスクを実行して終了する。
【００７１】
ここで例えば、過速度検知機能がセンサ異常を検出して、安全移行処理として「速度制限」の実施を要求した場合には、ＣＰＵ３１は、パターン(ｂ１)に示されるように、まず第１のグループから安全通信機能のタスク、過速度検知機能のタスクを実行する。次に、第２のグループの実行時間において、自己診断機能のタスクの代わりに「速度制限」の処理を実行する。そして、最後の空き時間に、第３のグループから保守機能のタスクを実行して終了する。
【００７２】
ところが、ここでさらに戸開走行保護機能がエレベータの異常を検出して、安全移行処理として「非常停止」の実施を要求した場合には、ＣＰＵ３１は、パターン(ｂ２)に示されるように、まず第１のグループから安全通信機能のタスク、戸開走行保護機能のタスク、保守切替機能のタスクを実行する。次に、第２のグループの実行時間において安全移行処理を実行するのであるが、現在実行中の「速度制限」の優先度よりも「非常停止」の優先度の方が高いため、「速度制限」の処理に代わって「非常停止」の処理を実行する。そして、最後の空き時間に、第３のグループから運行機能のタスクを実行して終了する。
【００７３】
その後、保守員による復旧によって、再びパターン(ａ１)に示されるような通常のパターンに戻る。
【００７４】
以上説明したように、本発明の実施の形態１に係るエレベータ安全制御装置２５は、タイムパーティショニングを用いたタスクスケジューリング機能によって、複数の安全制御機能をマルチタスクで実行可能である。
【００７５】
ＣＰＵ３１によって実行される複数の機能は、安全制御機能を含む第１のグループと、自己診断機能を含む第２のグループと、非安全制御機能を含む第３のグループとに分類される。
【００７６】
スケジューラ３７は、各周期において、第１、第２のグループから各々少なくとも１つの機能のタスクに実行時間を割り当てるとともに、第３のグループに含まれる機能のタスクに残りの実行時間を割り当てる。
【００７７】
ＣＰＵ３１は、安全制御機能または自己診断機能によって異常が検出された場合には、第２のグループに含まれる機能のタスクの実行を中断し、当該中断されたタスクの実行時間枠において、検出された異常に対応する安全移行処理を実行する。
【００７８】
これにより、複数の安全制御機能の独立性を保証することができる。
【００７９】
また、ＣＰＵ３１は、上記の安全移行処理の実行中に新たに異常が検出されて、新たに検出された異常に対応する安全移行処理の優先度が上記の安全移行処理の優先度よりも高い場合には、上記の安全移行処理の実行を中断して、新たに検出された異常に対応する安全移行処理を実行する。
【００８０】
これにより、複数の安全制御機能の独立性を保証しながら、複数の異常が同時に検出された場合にも適切に対応することができる。
【００８１】
（スケジューリングの第２の例）
図６には、本発明の実施の形態１に係るエレベータ安全制御装置２５における、スケジューリングの第２の例が示されている。なお、エレベータの通常動作時のスケジューリング（ａ１’、ａ２’）は、上述した第１の例と同様である。
【００８２】
ある周期において、安全制御機能それ自体の異常が検出され、当該安全制御機能のタスクの実行継続が困難な場合、例えば致命的な演算エラー、実行時間超過などが検出された場合には、ＣＰＵ３１は、パターン（ｂ１’）またはパターン（ｂ２’）に示されるように、当該安全制御機能のタスクの時間割り当てを解除し、その実行時間枠でパターン（ｂ１’）またはパターン（ｂ２’）に示されるような安全移行処理を実行する。すなわち、この際の安全移行処理は、第２のグループの実行時間枠ではなく、第１のグループに含まれる安全制御機能の実行時間枠において実行される。
【００８３】
なお、複数の安全制御機能のタスクの実行継続が困難な場合には、ＣＰＵ３１は、当該複数の安全制御機能のタスクの時間割り当てを解除し、それらの異常に対応した安全移行処理の中で最も優先度の高いものを、空いた時間枠において実行する。この際には、同一周期において、安全移行処理に複数の実行時間枠が割当てられることもありえる。
【００８４】
代替的には、ＣＰＵ３１は、当該安全制御機能のタスクの時間割り当てを解除し、後続の安全制御機能のタスクの実行開始時間を前倒しすることによって、第２のグループの実行時間枠を拡張し、第２のグループの実行時間枠において、安全移行処理および自己診断機能のタスクの実行を行ってもよい。
【図１】
2019163133.tif 000003
【図２】
2019163133.tif 000004
【図３】
2019163133.tif 000005
【図４】
2019163133.tif 000006
【図５】
2019163133.tif 000007
【図６】
2019163133.tif 000008
【国際調査報告】
2019163133.tif 000009
2019163133.tif 000010
2019163133.tif 000011
2019163133.tif 000012