CN100542927C

CN100542927C - 电梯装置

Info

Publication number: CN100542927C
Application number: CNB2005800349327A
Authority: CN
Inventors: 松冈达雄
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2005-02-25
Filing date: 2005-02-25
Publication date: 2009-09-23
Anticipated expiration: 2025-02-25
Also published as: WO2006090470A1; JPWO2006090470A1; CN101039864A; JP4757863B2; EP1852382A4; EP1852382A1; EP1852382B1

Abstract

本发明提供一种电梯装置。在该电梯装置中，电子安全控制器可以检测电子安全控制器自身的异常。另外，电子安全控制器在检测出电子安全控制器自身的异常时，向电梯控制部输出用于使轿厢停止在最近楼层的最近楼层停止指令，并且在输出最近楼层停止指令后经过预先设定的时间时，向电梯控制部输出用于使轿厢紧急停止的紧急停止指令。

Description

电梯装置

技术领域

本发明涉及使用了根据来自传感器的检测信号检测电梯异常的电子安全控制器的电梯装置。

背景技术

在以往的电梯安全系统中，在井道、机械室以及设于轿厢中的总线节点上连接有传感器等，来自传感器等的信息经由总线节点和通信网络总线发送到安全控制器(例如，参照专利文献1)。

专利文献1：日本特表2002-538061号公报

在上述那样以往的电梯装置中，由于经由通信网络从传感器向安全控制器进行信息的输入，因此为了确保作为安全系统的高可靠性，需要具有相当高可靠性的通信网络，构成通信网络的硬件和软件也变得复杂且昂贵。

发明内容

本发明就是为了解决上述问题而提出的，其目的在于，提供一种可利用比较简单的结构提高安全系统的可靠性的电梯装置。

本发明的电梯装置具有：控制轿厢运转的电梯控制部；以及电子安全控制器，其检测电梯的异常，产生用于使电梯转移到安全状态的指令信号，电子安全控制器可以检测电子安全控制器自身的异常，在检测出电子安全控制器自身的异常时，向电梯控制部输出用于使轿厢停止在最近楼层的最近楼层停止指令，并且在输出最近楼层停止指令后经过预先设定的时间时，向电梯控制部输出用于使轿厢紧急停止的紧急停止指令。

附图说明

图1是表示根据本发明第一实施方式的电梯装置的结构图。

图2是表示图1的调速机和ETS电路部中设定的过速度模式的图。

图3是表示图1的电子安全控制器、电梯控制盘以及各种传感器的连接关系的框图。

图4是表示图1的电子安全控制器的主要部分的装置结构的框图。

图5是表示图4的微处理器的运算处理的执行方法的说明图。

图6是表示图1的电子安全控制器的主要部分的框图。

图7是表示时钟异常检测电路的具体结构的结构图。

图8是表示图1的电子安全控制器的RAM内的区域划分的说明图。

图9是表示图1的电子安全控制器的初始动作的流程图。

图10是表示图1的电子安全控制器的中断运算的流程的第1例的流程图。

图11是表示图1的电子安全控制器的主要部分的框图。

图12是表示图1的电子安全控制器的主要部分的框图。

图13是表示图12的检查功能电路的具体结构的一个例子的电路图。

图14是表示第1和第2CPU对图12的检查功能电路进行读取时与数据总线的各位相关的数据的意义的说明图。

图15是表示图12的第1CPU侧的电源电压监视健全性检查方法的流程图。

图16是表示在图12的电梯控制装置中CPU被重启时的动作的流程图。

图17是表示图1的ETS电路部的初始设定动作的阶段和运转控制部以及安全电路部的动作之间的关系的说明图。

图18是说明图1的电梯装置的初始设定运转模式中轿厢的动作的说明图。

图19是表示图1的电子安全控制器的接点异常检测部的电路图。

图20是用于说明图19的安全继电器主接点的动作测试方法的流程图。

图21是表示在图1的电子安全控制器上连接了履历信息记录部和健全性诊断部的状态的框图。

图22是表示存储在履历信息记录部中的信息的一个例子的说明图。

图23是用于说明图21的电子安全控制器的动作的流程图。

图24是表示图1的电子安全控制器的主要部分的框图。

图25是具体表示图24的数据异常检查用的数据比较电路的电路图。

图26是具体表示图24的地址总线异常检查用的指定地址检测电路的电路图。

图27是表示图24的CPU内的指定地址输出软件和指定地址检测电路的处理动作的流程图。

图28是表示图24的CPU内的数据总线异常检查软件的处理动作的流程图。

图29是表示产生图1的最近楼层停止指令时的电子安全控制器和电梯控制部的动作的流程图。

图30是表示图1的电子安全控制器和电梯控制部的主要部分的电路图。

具体实施方式

下面，参照附图说明本发明的优选实施方式。

第一实施方式

图1是表示根据本发明的第一实施方式的电梯装置的结构图。在图中，在井道1内，设置有一对轿厢导轨2和配重导轨(未图示)。轿厢3由轿厢导轨2引导而在井道1内升降。配重4由配重导轨引导而在井道1内升降。

在轿厢3的下部安装有与轿厢导轨2卡合以使轿厢3紧急停止的紧急停止装置5。紧急停止装置5具有通过机械操作而动作来被按压在轿厢导轨2上的一对制动片(楔部件)6。

在井道1的上部设置有通过主钢绳使轿厢3和配重4升降的驱动装置(卷扬机)7。驱动装置7具有驱动滑轮8、使驱动滑轮8旋转的电动机部(未图示)、对驱动滑轮8的旋转进行制动的制动部9以及产生与驱动滑轮8的旋转相对应的检测信号的电动机编码器10。

作为制动部9，例如使用电磁制动装置。在电磁制动装置中，通过制动弹簧的弹力，将制动片按压在制动面上来对驱动滑轮8的旋转进行制动，并且通过对电磁铁进行励磁，而使制动片离开制动面，解除制动。

电梯控制盘11例如配置在井道1内的下部等。在电梯控制盘11上，设有控制驱动装置7的运转的运转控制部12和用于在电梯的异常时紧急停止轿厢3的安全电路部(继电器电路部)13。对运转控制部12输入来自电动机编码器10的检测信号。运转控制部12根据来自电动机编码器10的检测信号，求出轿厢3的位置和速度，控制驱动装置7。

当安全电路部13的继电器电路成为开路状态时，切断驱动装置7向电动机部的通电，并且切断制动部9向电磁铁的通电，对驱动滑轮8进行制动。

在井道1的上部设置有调速机(机械式调速机)14。在调速机14上设有调速机滑轮15、过速度检测开关16、钢绳制动装置(rope catch)17以及作为传感器的调速机编码器18。在调速机滑轮15上卷绕有调速机钢绳19。调速机钢绳19的两端部与紧急停止装置5的操作机构连接。调速机钢绳19的下端部卷绕在配置于井道1下部的张紧轮20上。

当轿厢3升降时，调速机钢绳19循环，调速机滑轮15以与轿厢3的运行速度相应的转速旋转。在调速机14中，能够以机械的方式检测出轿厢3的运行速度是否达到过速度。作为所要检测的过速度，设定有比额定速度高的第1过速度(OS速度)和高于第1过速度的第2过速度(Trip速度)。

当轿厢3的运行速度达到第1过速度时，过速度检测开关16被操作。当过速度检测开关16被操作时，安全电路部13的继电器电路成为开路状态。当轿厢3的运行速度达到第2过速度时，通过钢绳制动装置17抓住调速机钢绳19，停止调速机钢绳19的循环。当调速机钢绳19的循环停止时，紧急停止装置5进行制动工作。

调速机编码器18产生与调速机滑轮15的旋转相应的检测信号。另外，作为调速机编码器18，使用同时输出2路检测信号，即第1和第2检测信号的双重编码器。

来自调速机编码器18的第1和第2检测信号被输入到设于电子安全控制器21内的终端楼层强制减速装置(ETS装置)的ETS电路部22中。ETS电路部22根据来自调速机编码器18的检测信号检测电梯的异常，输出用于使电梯转移至安全状态的指令信号。具体而言，ETS电路部22通过来自调速机编码器18的信号，与运转控制部12独立地，求出轿厢3的运行速度和位置，监视在终端楼层附近的轿厢3的运行速度是否达到了ETS监视过速度。

另外，ETS电路部22将来自调速机编码器18的信号转换为数字信号，通过进行数字运算处理，判断轿厢3的运行速度是否达到了ETS监视过速度。当通过ETS电路部22判断为轿厢3的运行速度达到了ETS监视过速度时，安全电路部13的继电器电路变成开路状态。

另外，ETS电路部22可以检测ETS电路部22自身的异常以及调速机编码器18的异常。当检测出ETS电路部22自身或者调速机编码器18的异常时，从ETS电路部22向运转控制部12输出作为用于使电梯转移至安全状态的指令信号的最近楼层停止指令信号。进而，ETS电路部22与运转控制部12之间可以进行双向的通信。

在井道1内的规定位置上，设置有用于对轿厢3位于井道1内的基准位置的情况进行检测的第1～第4基准传感器23-26。作为基准传感器23～26可以使用上部和下部终端楼层开关。来自基准传感器23～26的检测信号输入ETS电路部22。在ETS电路部22中，根据来自基准传感器23～26的检测信号，对在ETS电路部22中求出的轿厢3的位置信息进行修正。

在井道1的底面与轿厢3及配重4的下表面之间，设置有轿厢缓冲器27和配重缓冲器28。在此，轿厢缓冲器27和配重缓冲器28设置在井道1内的下部。轿厢缓冲器27配置在轿厢3的正下方，缓和轿厢3与井道1的底部冲撞时的冲击。配重缓冲器28配置在配重4的正下方，缓和配重4与井道1的底部冲撞时的冲击。作为这些缓冲器27、28，例如可以使用充油式或者弹簧式缓冲器。

图2是表示在图1的调速机14和ETS电路部22中设定的过速度模式的图。在图中，在轿厢3从下部终端楼层到上部终端楼层以通常速度(额定速度)运行时，轿厢3的速度模式为通常速度模式V0。调速机14中，通过机械的位置调整设定有第1和第2过速度模式V1、V2。在ETS电路部22中设定有ETS监视过速度模式VE。

ETS监视过速度模式VE设定得比通常速度模式V0要高。另外，ETS监视过速度模式VE设定为在整个升降行程中相对于通常速度模式V0隔开大致等间隔。即，ETS监视过速度模式VE根据轿厢位置而变化。更具体而言，ETS监视过速度模式VE被设定成在中间楼层附近为恒定，但在终端楼层附近随着接近井道1的终端(上端和下端)而连续且平滑地降低。这样，ETS电路部22不仅在终端楼层附近，在中间楼层附近(通常速度模式V0中的定速运行区间)也对轿厢3的运行速度进行监视，但对中间楼层附近并不一定要进行监视。

第1过速度模式V1被设定得高于ETS监视过速度模式VE。另外，第2过速度模式V2被设定得进一步高于第1过速度模式V1。另外，在井道1内的所有高度处，第1和第2过速度模式V1、V2都为恒定。

按照被ETS电路部22限制的配重4向配重缓冲器28的冲撞速度，配重缓冲器28的缓冲行程被设定为短于按照由调速机14限制的冲撞速度所规定的行程。轿厢缓冲器27的缓冲行程根据由调速机14限制的冲撞速度而规定。

缓冲器27、28的缓冲行程由轿厢3和配重4最初接触时的初速度和到轿厢3和配重4停止为止的允许减速度来决定。因此，配重缓冲器28的缓冲行程设定得比轿厢缓冲器27的缓冲行程短。即，配重缓冲器28的缓冲行程短于轿厢缓冲器27的缓冲行程。

另外，配重缓冲器28设定有足够的容量，以使例如在主钢绳断裂时等，配重4以比ETS监视过速度模式VE规定的速度更大的速度冲撞时配重缓冲器28也不会遭受破坏。这样，作为确保配重缓冲器28足够的容量的方法，有例如使用比通常容量大的缓冲器或者使用多个通常容量的缓冲器的方法。

当轿厢3停止在最顶层时，轿厢3的上端部和井道1的天井部之间的间隙尺寸按照由ETS电路部22所限制的配重4向配重缓冲器28的冲撞速度而设定。即，井道1的顶部间隙尺寸被设定为，即使配重4与配重缓冲器28发生冲撞，轿厢3也不会冲击井道1的天井部的尺寸。

图3是表示图1的电子安全控制器21、电梯控制盘11和各种传感器的连接关系的框图。在图中，电子安全控制器21输入有来自调速机编码器18的2路检测信号、来自第1～第4基准传感器23～26的检测信号和来自其他传感器(第1～第N传感器)的信号。另外，电子安全控制器21具有对应于每个传感器的多个信号输入端口。即，来自各传感器的信号分别输入电子安全控制器21。由此，电子安全控制器21可以检测各传感器的异常。

当通过电子安全控制器21检测出有任何异常(例如过速度、传感器故障、电子安全控制器21自身的异常等)时，将包含故障或异常的内容在内的故障/异常内容信号输入到电梯控制盘11的控制单元(未图示)，并且将与故障或异常的内容相应的停止信号输入到电梯控制盘11的驱动/制动单元(未图示)。

图4表示图1的电子安全控制器21的主要部分的装置结构的框图。电子安全控制器21包括：第1微处理器31，其执行用于根据第1安全程序检测电梯的异常的运算处理，和第2微处理器32，其执行用于根据第2安全程序检测电梯的异常的运算处理。

第1安全程序和第2安全程序是相同内容的程序。第1和第2微处理器31、32可以通过处理器间总线和2端口RAM 33相互通信。第1和第2微处理器31、32通过比较互相的运算处理结果，可以确认第1和第2微处理器31、32自身的健全性。即，通过第1和第2微处理器31、32执行同样的处理，并经由2端口RAM 33等对处理结果进行通信比较，从而确认微处理器31、32的健全性。

另外，微处理器31、32也能通过运算处理检测出微处理器31、32自身的异常之外的电子安全控制器21的异常。

图5表示图4的微处理器31、32进行的运算处理的执行方法的说明图。微处理器31、32按照基于来自固定周期定时器的信号的预定运算周期(例如为50msec)，按照存储在ROM中的程序反复执行运算处理。在一个周期内执行的程序中，包含用于检测电梯异常的安全程序和用于检测电子安全控制器21自身和各种传感器的故障/异常的故障/异常检查程序。另外，故障/异常检查程序可以只在满足预先设定的条件时执行。

在这种电梯装置中，电子安全控制器21可以检测电子安全控制器21自身的异常，即使在检测出电子安全控制器21自身的异常时，也由于输出用于使电梯转移到安全状态的指令信号，可以提高对电梯异常的检测速度和对异常的处理速度，同时可以通过比较简单的结构提高安全系统的可靠性。

另外，电子安全控制器21可以检测各种传感器的异常，即使在检测出传感器的异常时，也由于输出用于使电梯转移到安全状态的指令信号，可以进一步提高安全系统的可靠性。

进而，电子安全控制器21包含第1和第2微处理器31、32，第1和第2微处理器31、32通过比较互相的运算处理结果，可以确认第1和第2微处理器31、32自身的健全性，因此可以进一步提高安全系统的可靠性。

下面，说明电子安全控制器21的结构和动作的具体例子。

《时钟异常检测》

图6是表示图1的电子安全控制器21的主要部分的框图。为确保充分的可靠性，电子安全控制器21采用了二重系统的电路结构。

在电子安全控制器21中，使用作为第1和第2微处理器的第1和第2CPU(处理部)41、42。第1 CPU 41向运转控制部12和第1输出端口(输出部)43输出控制信号。第2 CPU 42向运转控制部12和第2输出端口(输出部)44输出控制信号。

在从第1和第2 CPU 41、42接收到同样的控制信号时，运转控制部12受到该控制信号的控制。第1和第2输出端口43、44根据来自第1和第2 CPU 41、42的控制信号，输出用于使安全电路部13成为开路状态的信号。

第1和第2 CPU 41、42连接着用于进行两者间数据交换的2端口RAM 45。在第1 CPU 41上连接着第1监视定时器46。在第2 CPU 42上连接着第2监视定时器47。

来自调速机编码器18(图1)的2路信号输入第1 CPU 41。另外，来自调速机编码器18的2路信号也输入第2 CPU 42。来自调速机编码器18的信号在CPU 41、42中被进行运算处理，由此求出轿厢3(图1)的速度和位置。即，调速机编码器18作为速度传感器兼位置传感器发挥作用。另外，来自如图3示出的各种传感器的信号也输入CPU 41、42。

来自第1时钟48的第1时钟信号输入第1 CPU 41。来自第2时钟49的第2时钟信号输入第2 CPU 42。第1和第2时钟信号的频率被设定为相等。

第1和第2时钟信号也输入到时钟异常检测电路50。时钟异常检测电路50对第1和第2时钟信号的脉冲数进行计数，根据脉冲数的差来检测第1和第2时钟信号的异常。

第1和第2 CPU 41、42向时钟异常检测电路50发送用于检查时钟异常检测电路50的健全性的测试模式信号51、52。另外，第1和第2 CPU41、42向时钟异常检测电路50发送用于开始时钟异常检测的检测开始指令信号53、54。

另外，时钟异常检测电路50在检测出时钟异常时，将错误信号55、56输入第1和第2 CPU 41、42。

图7是表示图6的时钟异常检测电路50的具体结构的结构图。在时钟异常检测电路50中设有对第1时钟信号的脉冲边沿进行计数的第1监视计数器57和第1被监视计数器58、对第2时钟信号的脉冲边沿进行计数的第2监视计数器59和第2被监视计数器60。

第1时钟信号经由第1选择器61被输入到第1被监视计数器58。在第1选择器61中可以进行通常电路和测试电路之间的切换。在通常电路中，第1时钟信号被原样输入到第1被监视计数器58。在测试电路中，第1时钟信号在由第1倍增电路62进行倍增之后输入到第1被监视计数器58。通过将来自第1 CPU 41的测试模式信号51输入到第1选择器61中来进行对测试电路的切换。

同样地，第2时钟信号经由第2选择器63被输入到第2被监视计数器60。在第2选择器63中可以进行通常电路和测试电路之间的切换。在通常电路中，第2时钟信号被原样输入到第2被监视计数器60。在测试电路中，第2时钟信号在由第2倍增电路64进行倍增之后输入到第2被监视计数器60。通过将来自第2 CPU 42的测试模式信号52输入到第2选择器63中来进行对测试电路的切换。

来自第1和第2被监视计数器58、60的行波进位输出信号(ripplecarry output signal)、即错误信号55、56由第1和第2锁存部65、66锁存。第1和第2锁存部65、66接受来自第1和第2 CPU 41、42的锁存解除信号67、68而解除锁存状态。

来自时钟异常检测电路50的错误信号输入到CPU 41、42时，从CPU41、42向输出端口43、44输出异常检出信号。然后，从输出端口43、44向安全电路部13输出工作信号，通过安全电路部13将电梯转移到安全状态。

另外，电子安全控制器21包含包括图6所示CPU 41、42和ROM的计算机(微型计算机)。

下面说明动作。从调速机编码器18输出的2路脉冲信号输入到CPU41、42。然后通过CPU 41、42分别对脉冲信号进行运算处理，求出轿厢3的位置和速度。求出的位置和速度在经由2端口RAM 45互相比较之后，与用于判定异常的设定值(基准值)、例如ETS监视过速度进行比较。

然后，当检测出过速度和位置异常等异常时，根据异常的内容向运转控制部12或者安全电路部13输出信号，将电梯转移到安全状态。所谓转移到安全状态是指，例如使轿厢3紧急停止或者使轿厢3停止在最近楼层。另外，在转移到安全状态后，根据需要还对运转控制部12进行控制。

另外，如果CPU 41、42的运算结果互不相同，则判断CPU 41、42的哪一方系统出现异常，同样将电梯转移到安全状态。

另外，如果求出的位置和速度没有异常，则生成表示允许轿厢3的运行的控制信号，并输出给运转控制部12。

在CPU 41、42中，通过对在一定时间内输入的脉冲信号进行计数，执行求解轿厢速度的运算。然后，对该“一定时间”进行计测的定时器是根据来自时钟48、49的时钟信号而生成的。因此，时钟信号的频率十分重要。

在监视轿厢3的过速度时，特别地，需要注意关于频率变高的异常。例如，预定每10ms对脉冲信号进行计数，但因为某种故障而使得时钟信号的周期减半，实际上成为每5ms进行计数。此时，通过CPU 41、42求出的轿厢速度被误认为是实际轿厢速度的一半，成为无法检测出过速度的状态。

对此，在本例中，来自第1和第2时钟48、49的时钟信号输入到时钟异常检测电路50，监视时钟信号中有无异常。

下面，详细说明时钟异常监视动作。首先，在电源重启时，各设备稳定后，立即通过计数器57～60开始时钟脉冲的计数。由此，错误信号55、56被锁存，但在CPU 41、42中，最开始忽视该错误信号55、56。

之后，对检测开始指令信号53、54赋予High信号，接着从CPU 41、42向时钟异常检测电路50发送锁存解除信号67、68。

利用检测开始指令信号53、54成为High之后最初的来自监视计数器57、59的行波进位输出信号，把各计数器57～60的预置数据值载入各计数器57～60，开始向上计数。预置数据值是利用计数器57～60开始计数时的计数值。

作为被监视计数器58、60的预置数据值，例如预先设定为0。另外，作为监视计数器57、59的预置数据值，预先设定为用于判定时钟异常的阈值。监视计数器57、59的预置数据值为比被监视计数器58、60的预置数据值大的数值，此处设定为4。

监视计数器57、59在比被监视计数器58、60短的范围中反复对脉冲数进行计数，每当进位(carryover)时对被监视计数器57、59进行复位。被监视计数器58、60也反复对脉冲数进行计数，但在正常时，在被监视计数器58、60进位之前，监视计数器57、59进位，从而被监视计数器58、60复位。

通过例如用FPGA(field programmable gate array，现场可编程门阵列)构成时钟异常检测电路50，可以任意设定这样的预置数据值。

当2个时钟48、49正常时，在比被监视计数器58、60进位而输出行波进位输出信号、即错误信号55、56的计数值早4的计数值处，被监视计数器58、60通过监视计数器57、59的行波进位输出信号而复位，因此不会输出错误信号55、56。

与此相对，例如在发生第1时钟48的频率变高的异常时，在第2监视计数器59的行波进位输出信号重置第1被监视计数器58之前，输出第1被监视计数器58的行波进位输出信号即错误信号55，通过锁存部65来锁存错误信号55。

另外，当发生第2时钟49的频率变高的异常时，同样地从第2被监视计数器60输出错误信号56，通过锁存部66来锁存错误信号56。

进而，当时钟48、49停止时，也可以用时钟异常检测电路50进行检测，但由于监视定时器46、47发挥作用，而强制重置，所以不会成为危险状态。

通过这种结构，不必使用用于检测时钟异常的专用时钟，可以原样使用用于二重系统的CPU 41、42的时钟48、49检测时钟异常，可以高效地使用硬件资源。因此，可以用简单的电路结构提高可靠性。

另外，由于可以任意设定计数器57～60的预置数据值，所以可以检测临界的频率偏移。由此，可以缩短驱动/控制安全电路部13为止的动作延迟时间，可实现安全性更高的设计。

进而，由于使用4个计数器57～60和监视定时器46、47的组合，可容易地确定时钟48、49的哪一个发生了频率变高的异常。

接着，说明时钟异常检测电路50的健全性检查功能。例如，当从第1 CPU 41向时钟异常检测电路50发送测试模式信号51时，通过选择器61将电路切换为测试电路，第1时钟信号在第1倍增电路62中倍增。即，将输入到第1被监视计数器58的第1时钟信号人为地设为异常状态。因此，如果时钟异常检测电路50是正常的，将从第1被监视计数器58输出错误信号55。

因此，在CPU 41中，对应于测试模式信号51的发送，接收到错误信号55，从而可以确认时钟异常检测电路50的健全性。同样地，也可确认第2时钟49侧的健全性。

通过附加这样的时钟异常检测电路50的健全性检查功能，可以例如检测时钟异常检测电路50的最终输出管脚固定在正常侧等的故障，可以进一步提高可靠性。

另外，在该例中，示出了使用2个CPU的二重系统的电路结构，但也可以为使用3个以上CPU的多重系统的电路结构。

这样，该例的电子安全控制器21具有通过二重系统进行关于电梯控制的运算的第1和第2处理部、向第1处理部发送第1时钟信号的第1时钟、向第2处理部发送第2时钟信号的第2时钟以及被输入第1和第2时钟信号并检测第1和第2时钟信号的异常的时钟异常检测电路，时钟异常检测电路对第1和第2时钟信号的脉冲数进行计数，根据脉冲数的差异来检测第1和第2时钟信号的异常。

另外，时钟异常检测电路具有对第1和第2时钟信号的任一方的脉冲数进行计数的被监视计数器和对第1和第2时钟信号的任意另一方的脉冲数进行计数的监视计数器，作为开始用被监视计数器进行计数时的计数值的预置数据值，设定得比作为开始用监视计数器进行计数时的计数值的预置数据值要大，当监视计数器进位时，被监视计数器的计数值被重置，可以通过被监视计数器进位来检测第1和第2时钟信号的异常。

进而，监视计数器包括对第1时钟信号的脉冲数进行计数的第1监视计数器和对第2时钟信号的脉冲数进行计数的第2监视计数器，被监视计数器包括对第1时钟信号的脉冲数进行计数的第1被监视计数器和对第2时钟信号的脉冲数进行计数的第2被监视计数器。

而且，还可以任意地设定监视计数器的预置数据值。另外，在测试模式时，通过人为地使输入到被监视计数器的时钟信号处于异常状态，可以确认时钟异常检测电路的健全性。并且，时钟异常检测电路具有在测试模式时对输入到被监视计数器的时钟信号进行倍增的倍增电路。

《堆栈区域的异常检测》

接着，说明用于电子安全控制器21中的RAM内的堆栈区域的异常检测。图8是表示图1的电子安全控制器21的RAM内的区域划分的说明图。RAM包含存储CPU运算所需信息的堆栈区域。在堆栈区域中，存储有例如子程序调用的返回地址、定时器中断的返回地址以及子程序调用的参数等。

另外，在ROM中存储有用于监视RAM的堆栈区域内的预先设定的监视区域的状态的程序。即，堆栈区域监视部具有CPU和ROM。

在本例中，C000H-FFFFH的区域被设定为堆栈区域。另外，堆栈区域内的D000H-D010H的区域被设定为监视区域。

堆栈区域的使用方法由微机决定，但一般是通过微机具有的堆栈指针向地址的新近方蓄积数据的方法。在图8的情况下，将堆栈指针的初始值设为FFFFH，如FFFFH→FFFEH→FFFDH→...→C001H→C000H这样使用。因此，监视区域D000H～D010H为使用了堆栈区域的75％时所使用的区域。

监视区域的位置优选为使用了堆栈区域的50％以上时使用的区域。特别优选为使用了堆栈区域的60％以上时使用的区域。另外，监视区域的位置优选为使用了堆栈区域的90％以下时所使用的区域。特别优选为使用了堆栈区域的80％以下时所使用的区域。

堆栈区域被预设为0，堆栈区域监视部对监视区域全体是否为0进行监视。然后，当在监视区域中包含0以外的数据时，判断为发生堆栈溢出(stack over)。

图9是表示图1的电子安全控制器21的初始动作的流程图。在电梯启动时，实施电子安全控制器21的初始设定。在初始设定开始的时刻，禁止所有的中断运算(步骤S1)。之后，进行微机的初始设定(步骤S2)，将RAM区域设为0(步骤S3)。之后，成为可以进行中断运算的状态(步骤S4)，成为中断等待状态(步骤S5)。每隔运算周期时间重复执行中断运算。

图10是表示图1的电子安全控制器21的中断运算的流程的第1例的流程图。当开始中断运算时，首先确认监视区域的状态(步骤S31)。即，确认监视区域D000H～D010H的状态是否为0000H。

此处，当监视区域不是0000H时，判断为在RAM中发生了堆栈溢出或者是堆栈溢出的可能性高。即，监视区域的值为0以外，则判断为中断运算的处理时间没有余量而未能在运算周期时间内完成中断运算，导致发生了堆栈溢出。这样地当检测出堆栈溢出时，执行用于使轿厢3紧急停止的运算(步骤S32)，向安全电路部13输出紧急停止指令。另外，当检测出堆栈溢出时，向电梯监视室发送异常检出信号。

如果监视区域中没有异常，则进行输入运算所需信号的输入运算(步骤S33)，执行求出轿厢3的当前位置和从当前位置到终端楼层为止的距离的轿厢位置运算(步骤S34)、根据轿厢3的移动量求出轿厢3的速度的轿厢速度运算(步骤S35)、以及求出与到终端楼层的距离相对应的异常速度判断基准值(例如图2)的判断基准运算(步骤S36)。

之后，执行用于根据轿厢速度和判断基准值检测轿厢速度异常的安全监视运算(步骤S37)。当执行了安全监视运算或者紧急停止运算时，执行用于在监视器上显示电梯状态的监视器运算(步骤S38)。最后执行用于输出允许轿厢3的运行或者紧急停止轿厢3所需的指令信号的输出运算(步骤S39)。

在这种电子安全控制器21中，通过堆栈区域监视部对监视区域的状态进行监视，当判断为在监视区域中存在异常时，紧急停止轿厢3，所以可以防止由于RAM的堆栈溢出而产生程序的执行错误。由此，可以事先防止设备的损坏。即，可以更加可靠地执行与计算机的运转控制相关的运算，可提高可靠性。

此处，关于堆栈溢出(堆栈的蓄积)导致的异常，难以探明其原因，故障恢复也花费时间。堆栈溢出有时由于微机或者程序的异常而发生，但当它们没有异常时，堆栈溢出最大的原因被认为是中断运算未在运算周期时间内完成(运算超时)。

运算超时通常并不发生，但在例如呼梯按钮被多次操作，呼梯扫描运算需要长时间时，由于一时地运算时间增多而发生。另外，在由于反复地进行软件的改造或改善等而使运算时间逐渐增加时，会产生运算超时。

当发生运算超时时，产生堆栈溢出，堆栈区域被不正确地使用，有可能破坏定时器中断的返回地址。当返回地址被破坏时，有可能产生程序的错误执行，或者RAM数据被破坏而无法控制电梯。

与此相对，根据该例的电子安全控制器21可以更早期地检测出堆栈溢出，可以事先防止产生程序错误执行或者失控，提高可靠性。

另外，堆栈区域监视部按照每个预先设定的运算周期确认监视区域的状态，因此可以常时地监视有无堆栈溢出，可进一步提高可靠性。

进而，当判断为监视区域存在异常时，紧急停止轿厢3，所以可以防止导致更大的故障。

另外，在上述例子中，当检测出监视区域的异常时紧急停止轿厢3，但也可以向运转控制部12输出最近楼层停止指令而使轿厢3停止在最近楼层，可以让轿厢3内的乘客顺利地离开电梯。

另外，当检测出监视区域的异常时，可以输出用于使电梯转移到安全状态的信号，并且将此时的电子安全控制器21的状态作为履历进行记录(履历运算)。履历例如记录在RAM的堆栈区域以外的区域中。由此，可以事先防止堆栈溢出的产生，或是有助于探明堆栈溢出的原因。另外，可以实现缩短故障恢复时间。

这样，本例中的电子安全控制器21具有：设定有存储用于监视电梯安全的运算所需信息的堆栈区域的RAM、以及监视堆栈区域内预先设定的监视区域的状态的堆栈区域监视部，根据由堆栈区域监视部检测出的监视区域的状态来控制电梯的运转。

另外，堆栈区域监视部按照每个规定的运算周期确认监视区域的状态。进而，对监视区域的状态的确认作为用于监视电梯安全的中断运算处理的一部分而执行。

《运算处理执行顺序的异常检测》

接着，说明电子安全控制器21的运算处理的执行顺序的异常检测方法。图11是表示图1的电子安全控制器21进行的中断运算的流程的第2例的流程图。

当中断运算开始时，首先确认写入到RAM中的处理信息的模式(pattern)(步骤S41)。此处，作为处理信息，对每个运算处理的作业(功能单位)使用预先设定的数值(识别值)。处理信息被写入设定在RAM内的预先确定的区域内的表中。在本例中，对于7个运算处理分配1～7的识别值，在对应的TBL[0]～[6]中写入识别值。由于TBL[7]～[9]不存在对应的运算处理，所以仍为0。

如果处理信息的模式是正常的，则TBL[0]～[9]以及表的存储指针被初始化为0(步骤S42)。之后，执行输入运算所需的信号的输入运算(步骤S43)、求出轿厢的当前位置和从当前位置到终端位置为止的距离的轿厢位置运算(步骤S44)、根据轿厢的移动量求出轿厢的速度的轿厢速度运算(步骤S45)以及求出与到终端楼层的距离相对应的异常速度判断基准值(例如图2)的判断基准运算(步骤S46)。

之后，执行用于根据轿厢速度和判断基准值检测轿厢速度异常的安全监视运算(步骤S47)。当执行了安全监视运算或者紧急停止运算时，执行用于在监视器上显示电梯状态的监视器运算(步骤S48)。最后根据安全监视运算的结果，执行用于输出允许轿厢的运行或者紧急停止轿厢所需的指令信号的输出运算(步骤S49)。

另外，在执行了各个运算之后，马上向对应的表写入识别值(步骤S50～56)。即，交替地执行运算处理和识别值的写入。

具体而言，在执行了初始的运算，即输入运算之后，马上向TBL[P]内写入1，对存储指针P加1(步骤S15)。接着，在执行了轿厢位置运算之后马上向TBL[P]内写入2，对存储指针P加1(步骤S16)。依次执行这种处理，在执行了最后的运算即输出运算之后，马上将7写入TBL[6]内。

在下面的中断运算开始时确认这样写入的识别值的模式(步骤S41)。即，通过确认识别值的模式，可以判断运算处理的执行顺序是否正常。

当检测出在运算处理的执行顺序中存在异常时，执行用于使轿厢紧急停止的紧急停止运算(步骤S57)。另外，当检测出在运算处理的执行顺序中存在异常时，向电梯监视室发送异常检出信号。当执行紧急停止运算时，执行监视器运算(步骤S58)，执行用于输出紧急停止轿厢所需的指令信号的输出运算(步骤S59)，结束中断运算处理。

在这种电子安全控制器21中，可以快速地检测运算处理的执行顺序的异常，由此能够更可靠地执行计算机的与运转控制相关的运算，可以提高可靠性。另外，还可以检测因为程序异常而自我循环这样的异常。即，本发明也可应用于运转控制装置和安全装置。

在此，关于运算处理的执行顺序的异常难以探明其原因，故障恢复也需要时间。运算处理的执行顺序的异常有时由于微机或者程序的异常而发生，但当它们没有异常时，最大的原因被认为是中断运算未在运算周期时间内完成(运算超时)。

运算超时通常并不发生，但在例如呼叫按钮被多次操作，呼梯扫描运算需要很长时间时，由于一时地运算时间增加而发生。另外，当反复进行软件的改造或改善等时，运算时间逐渐增加，也可能产生运算超时。

与此相对，根据该电子安全控制器21，可以更早地检测出运算处理的执行顺序的异常，可以事先防止二次故障的发生，提高可靠性。

另外，电子安全控制器21按照每个预先设定的运算周期确认处理信息的模式，因此可以常时监视有无异常，可进一步提高可靠性。

进而，当判断为在运算处理的执行顺序中存在异常时，紧急停止轿厢，所以可以防止导致更大的故障产生。

另外，在上述例子中，当在运算处理的执行顺序中检测出异常时，紧急停止轿厢3，但也可以向运转控制部12输出最近楼层停止指令，使轿厢3停止在最近楼层，可以让轿厢3内的乘客顺利地离开电梯。

另外，当在运算处理的执行顺序中检测出异常时，可以输出用于使电梯转移到安全状态的信号，并且将此时的电子安全控制器21的状态作为履历进行记录(履历运算)。

进而，在上述例子中，将处理信息分配给所有的运算处理，但也可以不必为全部的运算处理。即，也可以把处理信息仅提供给要对执行顺序进行监视的运算处理。

这样，本例中的电子安全控制器21具有控制器主体，该控制器主体具有存储有RAM以及关于安全监视的程序的程序存储部以及根据程序执行多个运算处理的处理部，控制器主体在执行运算处理时将对应于各个运算处理的处理信息写入RAM中，并且根据写入RAM的处理信息的模式监视运算处理的执行顺序是否正常。

另外，处理信息是对于每个运算处理预先设定的数值。而且，控制装置主体按照每个规定的运算周期确认处理信息的模式。进而，处理信息的写入以及处理信息的模式的确认作为用于监视电梯安全的中断运算处理的一部分而执行。

《电源电压的异常检测》

下面说明电子安全控制器21的电源电压的异常检测方法。图12是表示图1的电子安全控制器21的主要部分的框图。在本例中，为提高可靠性而将2路的指令信号输出给电梯控制盘11。因此，采用双重的电路结构，使用第1和第2 CPU(处理部)41、42。

第1 CPU 41经由第1输出端口43向电梯控制盘11输出指令信号。第2 CPU 42经由第2输出端口44向电梯控制盘11输出指令信号。电梯控制盘11从第1和第2端口43、44接收到指令信号后，将电梯转移到安全状态。

第1和第2 CPU 41、42与用于进行两者间数据交换的2端口RAM45连接。向第1 CPU 41输入来自第1传感器的信号。向第2 CPU 42输入来自第2传感器的信号。

来自第1和第2传感器的信号在CPU 41、42中进行运算处理，由此求出轿厢3的速度和位置。作为第1和第2传感器可举出例如调速机编码器18。

CPU 41、42中的运算处理的结果数据经由2端口RAM 45由CPU 41、42互相进行交换。然后，在CPU 41、42中，进行互相的结果数据的比较，当运算结果出现明显误差或者确认到过速度(速度过高)时，经由输出端口43、44向电梯控制盘11输出指令信号，将电梯转移到安全状态。

另外，在该电梯控制装置中，设有监视CPU 41、42的电源电压的+5V电源电压监视电路71和+3.3V电源电压监视电路72。电源电压监视电路71、72例如由IC(集成电路)构成。

电源电压监视电路71、72监视是否向CPU 41、42提供了稳定的电源电压。当发生偏离CPU 41、42的额定电压那样的电源电压异常时，根据来自电源电压监视电路71、72的信息对CPU 41、42进行强制重启，通过失效保护设计的安全电路部13紧急停止轿厢3。

从第1监视用电压输入电路73向+5V电源电压监视电路71输入监视用电压。从第2监视用电压输入电路74向+3.3V电源电压监视电路72输入监视用电压。

电源电压监视电路71、72和CPU 41、42与监视电源电压监视电路71、72的健全性的电压监视健全性检查功能电路75(下面，简称为检查功能电路75)连接。检查功能电路75例如由FPGA(现场可编程门阵列，field programmable gate array)等的可编程门电路IC构成。另外，检查功能电路75也可以用ASIC、CPLD、PLD或者门阵列等来实现。

当检测出电源电压的异常时，从电源电压监视电路71、72向检查功能电路75输出电压异常检出信号81、82，从检查功能电路75向CPU 41、42输出重启信号83、84。

另外，向检查功能电路75输入来自CPU 41、42的控制信号85、86。从检查功能电路75输出用于把电源电压监视电路71、72的电压输入管脚强制变为低电压的监视用输入电压强制变更信号87、88。

当输出监视用输入电压强制变更信号87、88时，通过监视用输入电压强制变更电路76、77，把电源电压监视电路71、72的电压输入管脚强制地降至低电压。

另外，检查功能电路75与第1 CPU 41用的第1数据总线78和第2CPU 42用的第2数据总线79连接。

另外，在作为与CPU 41、42连接的存储部的ROM中存储有用于求出轿厢3的位置和速度的程序、用于判定电梯的异常的程序以及用于确认电源电压监视电路71、72的健全性的程序等。

图13是表示图12的检查功能电路75的具体结构的一个例子的电路图。在控制信号85、86中包含着：选择信号89、90；输出许可信号91、92；以及芯片选择信号93、94。

选择信号89、90是用于选择检查电源电压监视电路71、72之中哪一个的健全性的2位信号。输出许可信号91、92是用于许可来自检查功能电路75的监视用输入电压强制变更信号87、88的输出，并且锁存由选择信号89、90所选择的内容的信号。即，输出许可信号91、92兼作为锁存触发信号。

当检测出电源电压的异常时，通过检查功能电路75内的电压异常信号锁存电路101锁存电压异常检出信号81、82。通过输入作为控制信号85、86的一部分的锁存解除信号95、96而解除电压异常信号锁存电路101的锁存状态。

选择信号89、90输入到第1和第2选择器102、103中。第1和第2选择器102、103根据选择信号89、90，切换检查电源电压监视电路71、72之中哪一个的健全性。由选择器102、103所选择的内容被第1和第2选择内容锁存电路104、105锁存。

在监视用输入电压强制变更信号87、88的输出的前级，包括有变更信号输出缓冲器106。

另外，在检查功能电路75中设有第1 CPU 41的多个数据总线输出缓冲器107和第2 CPU 42的多个数据总线输出缓冲器108。

此处，图14是表示第1和第2 CPU 41、42读取图12的检查功能电路75时的数据总线78、79的各位相关的数据的含义的说明图。

下面，图15是表示图12的第1 CPU 41侧的电源电压监视健全性检查方法的流程图。电子安全控制器21按照每个运算周期(例如5msec)执行包含用于轿厢3的过速度等的电梯异常监视的运算处理在内的中断运算。然后，在执行中断运算的主程序时，判断是否实施电源电压监视电路71、72的健全性检查(步骤S11)。

在预先设定的时刻实施健全性检查。即，在轿厢3的停止状态经过了预先设定的时间时实施健全性检查。具体而言，在乘客较少的空闲时或者夜间运转休止时等实施。

如果不实施健全性检查，就返回主程序。实施健全性检查时，首先解除检查功能电路75内的作为错误信号的电压异常检出信号81、82的锁存状态。即，向检查功能电路75输出锁存解除信号95(步骤S12)。锁存解除信号95被输入到电压异常信号锁存电路101，解除电压异常检出信号81、82的锁存状态。

接着，在确认第1 CPU 41的输出许可信号91为High(步骤S13)之后，经由2端口RAM 45向第2 CPU 42进行请求，以使输出许可信号92成为High(步骤S14)。

之后，将选择进行电源电压监视电路71、72之中哪一个的健全性检查的选择信号89输出给检查功能电路75并进行锁存(步骤S15)。

接下来，经由2端口RAM 45向第2 CPU 42进行请求，以使输出许可信号92成为Low(步骤S6)。当确认到输出许可信号92成为Low之后，将输出许可信号91设为Low(步骤S7)。由此，在检查功能电路75中，与输出许可信号91的下降沿同步地，通过选择内容锁存电路104锁存选择信号89。然后，从检查功能电路75向电源电压监视电路71输出监视用输入电压强制变更信号87。

其结果，在电源电压监视电路71中检测出电压异常，电压异常检出信号81输入到检查功能电路75。然后，在检查功能电路75中，通过电压异常信号锁存电路101锁存电压异常检出信号81。与此同时，向CPU41、42输入来自检查功能电路75的重启信号83、84(步骤S8)，由此重启CPU 41、42。

此时，通过一次的健全性检查动作进行检查的电源电压监视电路一定仅为1个。接下来，在实施其他的电源电压监视电路的健全性检查时，在1个电源电压监视电路的检查结束之后，实施其他的电源电压监视电路的健全性检查。在向1个CPU提供多个电压不同的多个电源，与此相伴设有多个电源电压监视电路时，也按顺序地一个个地实施各个电源电压监视电路的健全性检查。可以在程序(软件)上预先设定这样按顺序实施多个电源电压监视电路的健全性检查。

图16表示图12的电梯控制装置中CPU 41、42被重启时的动作的流程图。CPU 41、42被重启的原因当然不仅因为健全性检查，也有可能因为真正的电源电压的异常或者其他理由。

当进行重启时，CPU 41、42首先开始软件的初始化处理(步骤S19)。接着，在初始化处理中，读取检查功能电路75的数据(步骤S20)。然后，根据被锁存的内容确认重启之前的状况，判断有无电源电压的异常或者电源电压监视电路71、72的故障(步骤S21)。即，判断该重启是因为健全性检查而引起的还是因为真正的电源电压的异常而引起的。

例如，如果输出许可信号91、92的输出未被设为Low，却表现出电压异常时，则判断为发生了真正的电源电压异常。另外，尽管输出许可信号91、92的输出被设为Low，但在检查功能电路75的数据中没有显示电压异常时，判断为电压监视电路71、72或者检查功能电路75自身的故障。在该状态下，如果输出了监视用输入电压强制变更信号87、88，则判断为电压监视电路71、72的故障，如果没有输出监视用输入电压强制变更信号87、88，则判断为检查功能电路75自身的故障。

如果检查功能电路75的数据读取结果为没有检测出异常或者故障，则允许转移到主程序(步骤S22)。但是，此处只对关于电源电压的重启进行了描述，但也可以通过其他的故障检测或者其他的电路健全性检查来进行重启，在该情况下，在确认了全都没有异常/故障的基础上允许转移到主程序。

另外，如果检查功能电路75的数据读取结果为没有检测出任何异常或者故障，则向电梯控制盘11输出指令信号(步骤S23)，将电梯转移到安全状态。

在这样的电子安全控制器21中，由于不仅可以监视电源电压的异常，还可对电源电压监视电路71、72的故障监视其健全性，因此可以进一步提高关于电源电压的监视的可靠性。

另外，以往为了确保失效保护或安全性，在各个电源电压监视电路中也使用双重系统，但在上述的电子安全控制器21中由于没有那种必要，所以结构简单，可以抑制成本增加。而且，其可靠性与使用二重系统构成各个电源电压监视电路时相同。

而且，由于设为采用2个CPU 41、42的二重系统的电路结构，经由2端口RAM 45可以互相确认各个CPU 41、42进行的健全性检查动作，所以可以检测出检查功能电路75和软件的故障。

这样，本例中的电子安全控制器21具有进行有关电梯的安全监视的处理的处理部和监视提供给处理部的电源电压的电源电压监视电路，还具有电压监视健全性检查功能电路，其根据来自处理部的控制信号输出用于强制变更输入到电源电压监视电路的电源电压的监视用输入电压强制变更信号，并且输入来自电源电压监视电路的电压异常检出信号，电压监视健全性检查功能电路保持处理部和电源电压监视电路之间的信号的收发内容的至少一部分，处理部通过读取保持在电压监视健全性检查功能电路中的数据来进行电源电压监视电路的健全性检查。

另外，处理部包含第1和第2 CPU，第1和第2 CPU经由2端口RAM可以互相确认由第1和第2 CPU分别进行的健全性检查动作。

进而，还具有监视用输入电压强制变更电路，其通过输入监视用输入电压强制变更信号，强制降低输入到电源电压监视电路的电源电压。

进而，在电源电压监视电路中还包含用于监视电压不同的多个电源的电压的多个电源电压监视电路，在从处理部到电压监视健全性检查功能电路的控制信号中，包含有用于选择进行多个电源电压监视电路中哪个电路的健全性检查的选择信号。

另外，处理部可以按顺序地一个个地实施各个电源电压监视电路的健全性检查。

而且，电压监视健全性检查功能电路由可编程门电路IC构成。

《ETS初始设定》

接着，说明ETS电路部22的初始设定动作。如上所述，在ETS电路部22中，与运转控制部12独立地检测轿厢3的位置。因此，例如在电梯的启动时进行ETS电路部22的初始设定动作(初始设定运转步骤)。另外，在由于某种原因致使运转控制部12的轿厢3的位置信息和ETS电路部22的轿厢3的位置信息之间产生了偏差时，也进行ETS电路部22的初始设定动作。在进行这种初始设定动作时，运转控制部12的运转模式被切换为初始设定运转模式。

图17是表示图1的ETS电路部22的初始设定动作的阶段和运转控制部12以及安全电路部13的动作之间的关系的说明图。在初始设定动作中，首先进行速度检测初始设定，接下来进行位置检测初始设定。

在开始初始设定动作时，通过安全电路部13使驱动装置7成为紧急停止状态。即，驱动装置7的电动机电源被切断，驱动装置7的制动部9处于制动状态。另外，从ETS电路部22向运转控制部12输出禁止运转的指令。

到速度检测初始设定结束为止，安全电路部13处于紧急停止状态，运转控制部12也维持运转禁止。因此，不能进行ETS电路部22的监视。

当速度检测初始设定结束时，从电子安全控制器21向运转控制部12输出可以低速运转的许可信号。另外，解除安全电路部13的紧急停止状态。在该状态下，ETS电路部22进行位置检测初始设定动作。

在位置检测初始设定动作中，轿厢3以缓冲器27、28的冲击容许速度以下的速度，从井道1的下部运行到上部。然后，在ETS电路部22中设定来自调速机编码器18的信号与井道1内的轿厢3的位置之间的关系。

当初始设定动作结束后，从电子安全控制器21向运转控制部12输出可以高速(额定速度运转)运转的许可信号。另外，在ETS电路部22中可以进行高速监视。

接着，图18是说明图1的电梯装置的初始设定运转模式中轿厢3的动作的说明图。在初始设定运转模式中，当速度检测初始设定结束后，轿厢3移动到井道1的下部的楼层写入开始位置。楼层写入开始位置是轿厢3位于最下层位置P_BOT的下方且位于缓冲器27的上方的位置。另外，当轿厢3位于楼层写入开始位置时，轿厢3(具体而言是设于轿厢3上的基准传感器23～26的操作板)位于第4基准传感器26的下方。

在井道1内设有用于通过运转控制部12检测最下层和最上层的位置的多个终点开关(未图示)。而且，由运转控制部12来控制轿厢3向楼层写入开始位置的移动。

之后，使轿厢3从楼层写入开始位置上升，同时求出与来自调速机编码器18的信号相对应的轿厢3的暂时当前位置P_current tmp。具体而言，将楼层写入开始位置设为0。

P_current tmp←0

然后，每个运算周期(例如100msec)中更新暂时当前位置。

此处，在ETS电路部22中设有对调速机编码器18的编码器脉冲进行计数的升降计数器(updown counter)，如果设升降计数器的运算周期内移动量为GC1，则第N次的运算周期中暂时当前位置P_{current tmp N}可通过

P_{current tmp N}←P_{current tmp N-1}+GC1

来求出。具体而言，作为编码器脉冲的脉冲数求出暂时当前位置和运算周期内移动量。

这样，伴随轿厢3的上升对暂时当前位置进行更新，操作板进入基准传感器23～26的位置和操作板从基准传感器23～26离开的位置被写入设于ETS电路部22中的存储部(存储器)的表内。

例如，在第N次的运算周期中检测出进入第4基准传感器26时，进入位置P_tmp ETSD可通过

P_tmp ETSD←P_{current tmp N-1}+GC1—GC2

求出。其中，GC2为进入第4基准传感器26后的升落计数器的移动量。

进入其他基准传感器23、24、25的进入位置也同样被写入表内。

另外，当在第N次的运算周期中检测出离开基准传感器26时，则离开位置P_tmp ETSU可通过

P_tmp ETSU←P_{current tmp N-1}+GC1—GC3

求出。其中，GC3为离开第4基准传感器26后的升落计数器的移动量。

离开其他基准传感器23、24、25的离开位置也同样被写入表内。

这样，当所有的进入位置和离开位置的写入结束后，轿厢3停止在最上层位置P_TOP。

此处，在运转控制部12中设定有以假想0点为基准的最下层位置P_BOT以及最上层位置P_TOP的数据。然后，当轿厢3停止在最上层位置P_TOP时，从运转控制部12向电子安全控制器21传送以假想0点为基准的最下层位置P_BOT以及最上层位置P_TOP的数据。在电子安全控制器21中，根据从运转控制部12传送来的信息，把作为暂时当前位置求出且写入表中的位置数据转换为以假想0点为基准的数据。由此，可以检测出以假想0点为基准的当前位置P_current。

向当前位置的修正量δ可通过

δ＝P_TOP—P_{current tmp N}

来求出。因此如果对写入表中的位置数据加上修正量δ则可求出以假想0点为基准的位置数据。修正后的位置数据被写入电子安全控制器21的E²PROM中，以后将使用该数据。

另外，在停止于最上层的期间内，进行以下处理，将位置管理从暂时当前位置变更到当前位置。

P_current 0←P_TOP

P_current N←P_current N-1+GC1

当该修正结束，位置管理转移到当前位置管理后，从电子安全控制器21向运转控制部12输出可以高速运转的指令，允许实施高速自动运转即通常运转模式。另外，在ETS电路部22中，实施通常监视动作。在通常监视动作中，从轿厢缓冲器27的上表面到轿厢3的距离L1和从配重缓冲器28的上表面到配重4的距离L2可通过下式按照每个运算周期求出。

L1＝P_current N-(P_BOT-L_KRB)

L2＝(P_TOP-L_CRB)-P_current N

其中，L_KRB是从轿厢缓冲器27的上表面到最下层位置P_BOT为止的距离，L_CRB是从最上层位置P_TOP到配重4与配重缓冲器28冲撞时轿厢3的位置(图18的CWT冲撞位置)为止的距离。

在这样的电梯装置中，由于到初始设定动作结束为止都使轿厢3以轿厢缓冲器27的冲撞容许速度以下的速度运行，因此可以更加可靠地防止轿厢3以超过冲撞容许速度的速度与轿厢缓冲器27冲撞，可以提高可靠性。

另外，在上述例子中，示出了在速度检测初始设定和位置检测初始设定这两个阶段进行初始设定动作的情况，但也可以在3个阶段以上进行初始设定动作，对于每个阶段设定所允许的轿厢运行速度。

另外，初始设定动作并不限于速度检测初始设定和位置检测初始设定。

这样，本例中的电梯装置具有电梯控制装置，该电梯控制装置具有控制轿厢的运转的运转控制部和检测轿厢运行的异常的监视部(电子安全控制器21)，在进行监视部的初始设定时，运转控制部根据初始设定的阶段，使轿厢以低于通常运转时的速度运行。

另外，监视部根据初始设定的阶段，向运转控制部输出关于轿厢速度的许可信号。

进而，运转控制部选择性地切换包括通常运转模式和用于在使轿厢运行的同时进行监视部的初始设定的初始设定运转模式在内的多个运转模式，来控制轿厢的运转，运转控制部在初始设定运转模式中，根据初始设定的阶段使轿厢以低于通常运转模式的速度运行。

另外，该例中的电梯装置的控制方法包括一边使轿厢运行一边进行检测轿厢运行异常的监视部的初始设定的初始设定运转步骤，在初始设定运转步骤中，根据初始设定的阶段使轿厢以低于通常运转模式的速度运行。

《继电器接点的异常检测》

接着，图19是表示图1的电子安全控制器21的接点异常检测部的电路图。安全电路部13具有用于向制动部9提供电力的制动电源接触器线圈111、用于向驱动装置7的电动机部提供电力的电动机电源接触器线圈112、用于对电源接触器线圈111、112的施加电压进行开关的安全继电器主接点113和并联连接在安全继电器主接点113上的旁通继电器主接点114。

制动器电源接触器线圈111、电动机电源接触器线圈112和安全继电器主接点113与电源互相串联连接。安全继电器主接点113在通常运转时闭合。另外，例如当轿厢3的运行速度超过了预先设定的速度时等，在电梯的异常时，安全继电器主接点113断开。旁通继电器主接点114在通常运转时断开。

电子安全控制器21具有控制器主体115、使安全继电器主接点113动作的安全继电器线圈116、使旁通继电器主接点114动作的旁通继电器线圈117、与安全继电器主接点113机械地连动而开闭的安全继电器监视接点118和与旁通继电器主接点114机械地连动而开闭的旁通继电器监视接点119。

安全继电器线圈116、旁通继电器线圈117、安全继电器监视接点118和旁通继电器监视接点119相对于控制器主体115互相并联连接。

安全继电器主接点113与安全继电器监视接点118通过连杆机构(未图示)被机械地连接。因此，接点113、118中任一方因为熔接而无法动作时另一方也无法动作。

旁通继电器主接点114和旁通继电器监视接点119通过连杆机构(未图示)被机械地连接。因此，接点114、119中任一方因为熔接而无法动作时另一方也无法动作。

控制器主体115具有处理部120、存储部121、输入输出部122、安全继电器监视接点接收电路123、旁通继电器监视接点接收电路124、安全继电器驱动电路125以及旁通继电器驱动电路126。

例如使用CPU作为处理部120。例如使用RAM、ROM以及硬盘装置等作为存储部121。在存储部121中存储有例如用于判断电梯异常的数据和用于进行安全继电器主接点113的动作测试的程序等。

处理部120经由输入输出部122与运转控制部12和各种传感器之间进行信号的收发。

安全继电器监视接点接收电路123与安全继电器监视接点118串联连接，检测安全继电器监视接点118的开闭状态。旁通继电器监视接点接收电路124与旁通继电器监视接点119串联连接，检测旁通继电器监视接点119的开闭状态。

安全继电器驱动电路125与安全继电器线圈116串联连接，切换安全继电器线圈116的励磁/非励磁。旁通继电器驱动电路126与旁通继电器线圈117串联连接，切换旁通继电器线圈117的励磁/非励磁。

通过从处理部120向安全继电器驱动电路125输出安全继电器指令信号来进行安全继电器线圈116的励磁/非励磁的切换。另外，通过从处理部120向旁通继电器驱动电路126输出旁通指令信号来进行旁通继电器线圈117的励磁/非励磁的切换。

接收电路123、124以及驱动电路125、126相对于处理部120相互并联连接。

接着，说明动作。在电梯的运转中，根据来自各种传感器的信息，通过控制器主体115监视有无电梯异常。当由处理部120检测出电梯异常时，由安全继电器驱动电路125停止安全继电器线圈116的驱动。

由此，安全继电器主接点113断开，切断对接触器线圈111、112的通电。其结果，可通过制动部9对驱动滑轮8的旋转进行制动，并且切断对电动机部的通电，紧急停止轿厢3。

接着，说明安全继电器主接点113的动作测试方法。图20是用于说明图19的安全继电器主接点113的动作测试方法的流程图。在该实施方式中，在通常运转时每当使轿厢3停止在停止楼层时实施动作测试。因此，在通常运转时，处理部120通过来自各种传感器的信息来监视轿厢3的运行速度是否变为0(停止检测步骤S61)。

当轿厢3的速度为0成为安全状态后，通过旁通继电器驱动电路126对旁通继电器线圈117励磁，之后等待预先设定的时间，此处为100ms(步骤S62)。然后，通过旁通继电器监视接点接收电路124确认旁通继电器监视接点119是否闭合(步骤S63)。

如果旁通继电器监视接点119没有闭合，则意味着旁通继电器主接点114也没有闭合，所以通过处理部120判断为旁通继电器故障，从控制器主体115向运转控制部12输出异常检出信号(步骤S64)。

如果确认到旁通继电器监视接点119正常闭合，则通过安全继电器驱动电路125，对安全继电器线圈116进行励磁，之后等待预先设定的时间，此处为100ms(测试指令步骤S65)。然后，通过安全继电器监视接点接收电路123确认安全继电器监视接点118是否断开(异常检测步骤S66)。

如果安全继电器监视接点118没有断开，则意味着因为熔接等的原因安全继电器主接点113也没有断开，所以处理部120判断为安全继电器故障，从控制器主体115向运转控制部12输出异常检出信号(步骤S64)。

如果确认到安全继电器监视接点118正常断开，则把安全继电器线圈116设为非励磁状态，之后等待预先设定的时间，此处为100ms(步骤S67)。然后，通过安全继电器监视接点接收电路123确认安全继电器监视接点118是否闭合(步骤S68)。

如果安全继电器监视接点118没有闭合，则处理部120判断为安全继电器故障，从控制器主体115向运转控制部12输出异常检出信号(步骤S64)。

如果确认到安全继电器监视接点118正常闭合，则把旁通继电器线圈117设为非励磁状态，之后等待预设的时间，此处为100ms(步骤S69)。然后，通过旁通继电器监视接点接收电路124确认旁通继电器监视接点119是否断开(步骤S70)。

如果旁通继电器监视接点119没有断开，则处理部120判断为旁通继电器故障，从控制器主体115向运转控制部12输出异常检出信号(步骤S64)。

这样地，当安全继电器主接点113和旁通继电器主接点114的开闭动作的测试结束后，等待直到轿厢3的运行速度达到预先设定的设定值以上(步骤S71)，接下来由ETS电路部22监视运行速度直到轿厢3停止为止。然后，每当轿厢3停止就实施上述的动作测试，确认安全电路部13的健全性。

在这种电梯安全装置中，利用在通常运转时轿厢停止的时间来进行安全继电器主接点113的动作测试，所以可以检测安全继电器主接点113的异常而不会妨碍通常运转，可以提高可靠性。

另外，由于每当轿厢停止就进行动作测试，所以可以以较高的频度确认安全继电器主接点113的动作，可以进一步提高可靠性。

进而，在进行安全继电器主接点113的动作测试时，由于闭合旁通继电器主接点114，所以可以防止在动作测试中对安全电路部13的通电被切断，可以在维持安全电路部13的条件下实施动作测试。

进而，由于还确认安全继电器主接点113和旁通继电器主接点114是否正常地返回原样，可以进一步提高可靠性。

另外，在上述例子中，示出了当安全继电器主接点113断开时制动部9进行制动动作的情况，但相反地也可以在安全继电器主接点闭合时制动部进行制动动作，此时也能实施安全继电器主接点的动作测试。

另外，在上述例子中，示出了用于使设于驱动装置7中的制动部9动作的安全继电器主接点，但例如对用于使抓住主钢绳对轿厢进行制动的钢绳制动器或使安装于轿厢或配重上的紧急停止装置动作的安全继电器主接点也同样适用。

进而，在上述例子中，每当轿厢3停止时进行动作测试，但动作测试的时间不限于此。例如，也可以在检测电路主体中设置对轿厢的停止次数进行计数的计数器，每过预设的停止次数实施动作测试。另外，也可以在检测电路主体中设置定时器，在经过了预设的时间后轿厢首次停止时实施动作测试。进而，也可以只在开始了电梯的通常运转时(启动时)实施动作测试。而且，还可以仅在停止于预设的楼层时实施动作测试。

这样，该例中的电子安全控制器21在通常运转时停止轿厢时，产生用于使安全继电器主接点向制动部进行制动动作的方向动作的安全继电器指令信号，并且根据安全继电器指令信号检测安全继电器主接点是否已动作。

另外，在电子安全控制器21中设有与安全继电器主接点机械地连动而开闭的安全继电器监视接点，电子安全控制器21根据安全继电器监视接点的状态检测安全继电器主接点的状态。

进而，安全继电器主接点在通常运转时闭合，且在电梯异常时断开，在安全电路中设有相对于安全继电器主接点并联连接、且在通常运转时被断开的旁通继电器主接点，电子安全控制器21在产生安全继电器指令信号时，在此之前产生用于闭合旁通继电器主接点的旁通指令信号。

进而，在电子安全控制器21中设有与旁通继电器主接点机械地连动而开闭的旁通继电器监视接点，电子安全控制器21根据旁通继电器监视接点的状态来检测旁通继电器主接点的状态。

另外，电子安全控制器21根据旁通指令信号来检测旁通继电器主接点是否已动作。

此外，电子安全控制器21在检测出安全继电器主接点的异常时，向运转控制部输出异常检出信号。

《动作履历的记录》

图21是表示在图1的电子安全控制器21上连接了履历信息记录部和健全性诊断部的状态的框图。记录与电子安全控制器21的判定处理相关的信息的履历(处理过程)的履历信息记录部131与电子安全控制器21连接。作为履历信息记录部131可以使用即使电梯控制装置的电源被切断也继续保持信息的非易失性存储器。作为这种存储器，可举出例如闪存或者硬盘装置等。

另外，自动诊断电子安全控制器21的健全性的健全性诊断部132与电子安全控制器21和履历信息记录部131连接。健全性诊断部132可以诊断各种传感器和安全电路部13等的系统整体的健全性。健全性诊断部132的诊断结果记录在履历信息记录部131中。

图22是表示存储在图21的履历信息记录部131中的信息的一个例子的说明图。作为履历信息，记录有时刻、轿厢位置、轿厢速度、对应于轿厢位置而求出的设定值(阈值)、判定结果以及内部变量等的分析数据。

在履历信息记录部131中，轿厢位置、轿厢速度、设定值、判定结果以及分析数据等的数据的组合按照对应的每个时刻进行蓄积，做成如图22所示那样的数据表。

图23是用于说明图21的电子安全控制器21的动作的流程图。首先，把当前时刻的数据输出到履历信息记录部131(步骤S81)。接下来，检测轿厢3的位置(步骤S82)。把检测出的轿厢位置的数据输出到履历信息记录部131(步骤S83)。之后，检测轿厢3的速度(步骤S84)。检测出的轿厢速度的数据输出到履历信息记录部131(步骤S85)。

接下来计算对应于轿厢位置的设定值(步骤S86)。所设定的设定值的数据输出到履历信息记录部131(步骤S87)。之后，比较检测速度v和设定值f(x)(步骤S88)，如果检测速度v小于设定值f(x)，则该判定结果作为“没有异常”(Good)输出到履历信息记录部131(步骤S89)。如果轿厢的速度没有异常，则每个运算周期重复上述动作。

如果比较判定的结果为检测速度v大于等于设定值f(x)，则向安全电路部13输出停止指令信号(步骤S90)。然后，该判定结果作为“存在异常”(Bad)输出到履历信息记录部131(步骤S91)。

在履历信息记录部131中，从电子安全控制器21发送的数据被依次进行记录。

根据这种电梯装置，当通过来自电子安全控制器21的指令而紧急停止轿厢3时，通过确认记录在履历信息记录部131中的履历，可以确认电子安全控制器21的健全性。例如，即使判定结果为“没有异常”，在轿厢3紧急停止时，也可以判断为在电梯控制盘11侧存在故障。

因此，可以高效地判断紧急停止轿厢3时的原因。由此，可以实现恢复作业的高效率化。

另外，在定期点检作业中，可以通过确认履历信息来获得一部分的检查结果，来取代实际输入所有条件的检查信号来确认设定值的运算结果和判定结果是否正确，可以实现点检作业的简单化。可以只确认记录在履历信息记录部131中的设定值的计算结果和比较判定结果，就能够将一部分的定期点检设为检查完成，可以减少检查项目。

进而，在电子安全控制器21中所设定的设定值考虑了因恶作剧导致的轿厢振动等而设定得有余量。具有怎样程度的余量可以按照每个电梯进行调整。通过分析记录在履历信息记录部131中的判定结果的数据，可以确认在实际的运转状况中需要何种程度的余量，可以将余量设为最小限度。由此，可以使轿厢速度变得高速，提高运转效率。另外，可以容易地进行余量的调整作业。即，通过分析通常时的履历信息，可以减轻调整作业的作业项目。

接着，健全性诊断部132的诊断内容的具体例子如下所述。

1.传感器的故障诊断

·位置相对于时间的特性的检查(连续性、变化量、有无噪声等)

·速度相对于时间的特性的检查(连续性、变化量、有无噪声等)

·传感器的故障检查

2.速度监视部的动作的诊断

·动作定时(动作间隔)的检查(从时刻t1、t2起)

·设定值相对于轿厢位置的运算结果的检查

·检测速度和设定值之间的比较判定结果的检查

·CPU、ROM、RAM等的电子元件的故障诊断

3.速度监视部的输出值的诊断

·输出值的特性的检查(有无噪声等)

·对与判定结果相对应的安全电路的输出的检查

4.紧急停止装置的自诊断功能的动作检查

·自诊断的动作检查(定时、诊断项目)

·异常检测的履历检查

5.轿厢的紧急停止动作的有无和动作时的状态诊断

·基于自诊断的紧急停止装置的故障检测的检查

(故障检测部位、故障原因的检查)

·误输出的检查(输出和逻辑运算之间的一致性检查)

·动作之前的位置和速度的特性检查

(导致异常速度的举动的检查、有无恶作剧等的检查)

另外，追加对上述这样的诊断结果的履历信息进行合计的处理，通过将合计处理结果记录在履历信息记录部131中，可以减轻履历信息的确认作业。记录的合计处理结果的具体例子如下所述。

·动作定时的优劣

·基于传感器输入履历的输入功能的健全性的优劣

·逻辑运算的健全性的优劣

·输出功能的优劣

·自诊断动作和结果的优劣

·有无装置异常

在这种电梯装置中，可以在履历信息记录部131中确认系统的健全性的诊断结果，所以可以在因为电子元件的故障而使轿厢3紧急停止时，高效率地确定作为原因的电子元件。

另外，通过确认记录在履历信息记录部131中的诊断结果及其合计处理结果，可以削减定期点检的检查项目。作为在定期点检时要确认的事项可举出以下内容。

·根据所记录的轿厢位置和轿厢速度，对动作的健全性的确认完成区域(关于x、v的检查完成范围)的检查

·通过自诊断确认完毕的点检项目的检查

·检查检测速度和设定值之间的余量

这样，在例如进行关于CPU、ROM和RAM等的电子元件的健全性诊断时，通过确认记录在履历信息记录部131中的诊断结果，可以省略定期点检时的电子元件的点检。

另外，除了履历信息的记录和健全性诊断结果的记录，还可以将定期点检的实施确认事项记录在履历信息记录部131中，可以将点检履历保持在履历信息记录部131中，可以容易地确认定期点检的实施内容。作为进行记录的点检履历，例如可以举出点检实施时期和点检项目等。

另外，在上述例子中，将履历信息记录部131和健全性诊断部132设于电子安全控制器21的外部，但也可以至少将其中一方设于电子安全控制器21内。

进而，在上述例子中关于异常速度的监视记录了履历信息，但也可以记录例如关于监视有无主钢绳的损伤或切断的钢绳裂痕监视的履历信息。另外，也可以记录关于监视卷扬机的电动机温度、逆变器的温度或者控制盘的温度等的温度监视的履历信息。

这样，该例中的电梯装置具有根据来自传感器的信息判定有无电梯的异常，当检测出异常时，输出用于使轿厢停止的信号的异常监视部(电子安全控制器21)和记录异常监视部的判定处理相关信息的履历的履历信息记录部。

《数据总线的异常检测》

下面，图24是表示图1的电子安全控制器21的主要部分的框图。电子安全控制器21具有检查存储器数据异常的存储器数据异常检查电路141、CPU 142和检查地址总线异常的指定地址检测电路143。

存储器数据异常检查电路141具有被重复分配到同一地址空间的并列结构的主存储器141a和副存储器141b(RAM)；用于避免副存储器141b的输出数据的冲突的数据缓冲器141c和比较主存储器141a和副存储器141b的各数据来检查数据异常的数据比较电路141d。

另外，此处虽然省略了图示，但存储器数据异常检查电路141与以往的系统同样地具有纠错码检查电路。

CPU 142具有用于在数据异常检查时输出指定地址的指定地址输出软件142a、在数据总线异常检查时所执行的数据总线异常检查软件142b和存储程序用的ROM(未图示)。

在存储器数据异常检查电路141中，主存储器141a和副存储器141b分别经由地址总线BA和数据总线BD与CPU 142连接，电子安全控制器21的数据被从CPU 142写入，并且可由CPU 142读出。

数据总线BD在存储器数据异常检查电路141中分支为主存储器数据总线BD1和副存储器数据总线BD2，主存储器141a和副存储器141b分别经由主存储器数据总线BD1和副存储器数据总线BD2与数据比较电路141d连接。副存储器数据总线BD2上设有数据缓冲器141c。

数据比较电路141d在存储器数据的异常检查时，比较经由主存储器数据总线BD1和副存储器数据总线BD2输入的各存储器数据，当判定为存储器数据中存在异常时输出数据异常信号ED。

指定地址检测电路143经由地址总线BA与CPU 142连接，在数据总线BA的异常检查时检测指定地址，当判定为地址总线BA中存在异常时，输出地址总线异常信号EBA。

CPU 142内的指定地址输出软件142a在地址总线BA的异常检查时动作，如后所述，对指定地址检测电路143周期性地输出指定地址。CPU142内的数据总线异常检查软件142b在数据总线BD的异常检查时动作，当判定为数据总线BD中存在异常时，输出数据总线异常信号EBD。

图25具体地示出了图24内的数据异常检查用的数据比较电路141d，示出了由多个“异或”门151、“与”门152和使用存储器读取信号RD的D型锁存电路153构成的情况。

在图25中，数据比较电路141d具有并列设置的“异或”门151、取“异或”门151的各输出信号的逻辑积的“与”门152和将“与”门152的输出信号作为D端子输入，将H(逻辑“1”)电平信号作为数据异常信号ED输出的D型锁存电路153。

各“异或”门151将来自主存储器数据总线BD1的数据作为各一方的输入信号，将来自副存储器数据总线BD2的数据作为各一方的输入信号，当两者一致时，分别输出L(逻辑“0”)电平信号，当两者不一致时，分别输出H(逻辑“1”)电平信号。

“与”门152取入来自各“异或”门151的输出信号的反转信号，当各输入信号都为H电平(即“异或”门151的各输出信号都为L电平)时，输出H(逻辑“1”)电平信号。

D型锁存电路153响应于存储器读取信号RD而动作，并且响应于D端子输入(“与”门152的输出信号)变更输出信号(数据异常信号ED)的电平，响应于复位信号RST而被复位为初始状态。

图26具体表示图24内的地址总线异常检查用的指定地址检测电路143。

在图26中，指定地址检测电路143具有：将H电平信号作为一方的输入信号的多个“异”门161；将L电平信号作为一方的输入信号的多个“异或”门162；取“异或”门161的各输出信号和地址选通信号STR的逻辑积的“与非”门163；取“异或”门162的各输出信号和地址选通信号STR的逻辑积的“与非”门164；将“与非”门163的输出信号作为置位端子(set terminal)的输入信号的D型锁存电路165；将“与非”门164的输出信号作为置位端子的输入信号的D型锁存电路166；取D型锁存电路165、166的各输出信号的逻辑积的“与”门167；响应于指定地址检测电路143的复位信号RST1而动作的D型锁存电路168；响应于指定地址检测电路143的掩蔽信号(mask signal)MSK而动作的D型锁存电路169以及取“与”门167的输入信号和D型锁存电路169的输出信号的逻辑和的“或”门170。

经由地址总线BA分别向并列设置的“异或”门161、162的各另一方的输入端子输入指定地址。

在从地址总线BA输入的指定地址为H电平信号时，各“异或”门161分别输出L电平信号，当指定地址为L电平信号时，分别输出H电平信号。

相反地，在从地址总线BA输入的指定地址为H电平信号时，各“异或”门162分别输出H电平信号，当指定地址为L电平信号时，分别输出L电平信号。

各“异或”门161的输出信号与地址选通信号STR一起被电平反转后输入到“与非”门163。同样地，各“异或”门162的输出信号与地址选通信号STR一起被电平反转后输入到“与非”门164。

因此，如果地址总线BA是健全的，则“与非”门163、164与地址选通信号STR同步地，通过经由地址总线BA周期性输入的指定地址(“FFFF”、“0000”)而每隔一定周期且互补地输出H电平信号。

D型锁存电路168的D输入端子被施加了L电平信号，通过第1复位信号RST1而动作。D型锁存电路168的输出信号被施加给D型锁存电路165、166的各复位端子。D型锁存电路169的D输入端子被施加了数据总线BD的0位信号(掩蔽ON时为“0”、掩蔽OFF时为“1”)BTO，并且通过掩蔽信号MSK而动作。各D型锁存电路168、169通过第2复位信号RST2而被分别复位。

当“与非”门167的输出信号或者D型锁存电路169的输出信号表示H电平时，“或”门170输出地址总线异常信号EBA。

在如上所述构成的电子安全控制器21中，不仅执行存储器数据异常检查电路141的数据异常检查，还执行指定地址输出软件142a和指定地址检测电路143的地址总线BA的异常检查，和数据总线异常检查软件142b的数据总线BD的异常检查。

接着，参照图24～图28进一步具体说明上述3种异常检查动作。

图27是表示图24的CPU 142内的基于指定地址输出软件142a和指定地址检测电路143进行的处理动作的流程图，示出了在地址总线BA的异常检查时向指定地址检测电路143输出指定地址时的动作步骤。

图28是表示图24的CPU 142内的数据总线异常检查软件142b的处理动作的流程图。

首先，参照图24和图25，说明存储器数据异常检查电路141的数据异常检查动作。

在存储器数据异常检查电路141中，对于主存储器141a和副存储器141b重复分配了同一地址空间，当CPU 142将数据写入主存储器141a和副存储器141b中时，相同的数据被分别写入主存储器141a和副存储器141b的相同地址内。

另一方面，当CPU 142从主存储器141a和副存储器141b中读出数据时，主存储器141a的数据被读出到主存储器数据总线BD1上，经由数据总线BD传递给CPU 142，副存储器141b的数据被读出到副存储器数据总线BD2上，但由于被数据缓冲器141c挡住，所以不会发送到数据总线BD。

因此，来自主存储器141a和副存储器141b的2个存储器输出不会发生冲突，而只将主存储器141a的数据传递给CPU 142，可执行正常的写入和读出。

与该动作同时地，读出到主存储器数据总线BD1上的主存储器数据和读出到副存储器数据总线BD2上的副存储器数据被输入到数据比较电路141d而进行两者的数据比较。

数据比较电路141d检查数据异常，如果检测出异常(数据的不一致)，则输出数据异常信号ED。

下面参照图24、图26和图27说明CPU 142内的指定地址输出软件142a和指定地址检测电路143进行的地址总线BA的异常检查动作。

CPU 142对于地址总线BA中由存储器系统所使用的各个全位信号，使用可确认“0”、“1”两方情况的检查用指定地址(例如8位时为“FF”和“00”)，通过执行指定地址输出软件142a来周期性地重复执行图27的处理(步骤S101～S104)。另外，与此同时地，使设置于地址总线BA上的指定地址检测电路143检测指定地址。指定地址检测电路143在无法检测出所有的指定地址时，判定为地址总线BA存在异常，输出地址总线异常信号EBA。

在图27中，首先CPU 142将指定地址检测电路143的掩蔽打开(步骤S101)，使指定地址检测电路143内的D型锁存电路169动作，并且向D输入端子施加0位信号BTO(＝0)。接下来，通过第1复位信号RST1使指定地址检测电路143复位(步骤S102)，使D型锁存电路168动作。

下面，读取地址全为“1”的最大值的地址“FFFF”(或者地址全为“0”的最小值的地址“0000”)(步骤S103)。最后，将指定地址检测电路143的掩蔽关闭(步骤S104)，向D型锁存电路169的D输入端子施加0位信号BTO(＝1)，反转D型锁存电路169的动作状态，跳出图27的处理流程。

接着，参照图24和图28，说明CPU 142内的数据总线异常检查软件142b进行的数据总线BD的异常检查动作。

CPU 142对于数据总线BD中由存储器系统中所使用的各个全位信号，使用可确认“0”、“1”两方情况的检查用指定数据(例如，8位时为“AA”和“55”或者“01”、“02”、“04”、“08”、“10”、“20”、“40”和“80”等的组的值)，来周期性地重复执行图28的处理(步骤S105～S111)进行的读写检查动作。

CPU 142在数据总线异常检查软件142b的判定处理中，如果所有的指定数据不一致，则判定为在数据总线BD中存在异常，输出数据总线异常信号EBD。

在图28中，CPU 142首先将确定指定数据的变量N初始设定为“1”(步骤S105)，将第N(＝1)个指定数据(＝“01”)写入RAM(主存储器141a和副存储器141b)内的测试地址内(步骤S106)。接下来，从测试地址中读出在步骤S12中写入的指定数据(步骤S107)，判定与写入前的指定数据是否一致(步骤S108)。

在步骤S108中，如果判定为读出后的指定数据与写入前的指定数据不一致(即，“否”)，则CPU 142认为在数据总线BD中存在异常，输出数据总线异常信号EBD(步骤S109)，异常结束。

另一方面，在步骤S108中，如果判定为读出后的指定数据与写入前的指定数据一致(即，“是”)，则对变量N加1(步骤S110)，判定变量N是否为“8”以下(步骤S111)。

在步骤S111中，如果判定为N≤8(即，“是”)，则返回指定数据的写入处理(步骤S106)，重复执行上述处理步骤S107～S110。即，把第2个指定数据(＝“02”)、第3个指定数据(＝“04”)、...、第8个指定数据(＝“80”)依次写入RAM内的测试地址(步骤S106)，在分别读出后(步骤S107)，判定一致或者不一致(步骤S108)。

另一方面，在步骤S111中如果判定为N>9(即，“否”)，则对所有的指定数据(N＝1～8)执行数据总线异常检查，而且认为所有的指定数据在写入前后一致，CPU 142正常结束图28的处理流程。

这样，除了与以往系统同样的由存储器数据异常检查电路141进行的处理，还执行存储器写入时和读出时使用的地址总线BA和数据总线BD的周期性异常检查处理，从而可以提高异常检查的可靠性。

特别地，上述异常检查在检查电梯电子安全装置中的存储器系统的健全性时是有效的。

这样，该例中的电子安全控制器21具有：具有指定地址输出软件和数据总线异常检查软件的CPU；经由地址总线和数据总线与CPU连接的主存储器和副存储器；比较主存储器和副存储器的数据的存储器数据异常检查电路；以及经由地址总线与CPU连接的指定地址检测电路，CPU执行指定地址输出软件，同时使用指定地址检测电路，周期性地进行地址总线的异常检查；CPU执行数据总线异常检查软件，同时使用主存储器和副存储器，周期性地进行数据总线的异常检查。

另外，CPU执行指定地址输出软件，对于地址总线中由主存储器和副存储器所使用的各个全位信号，周期性地向指定地址检测电路输出可确认“0”、“1”两方情况的检查用指定地址，指定地址检测电路检测从CPU周期性地输出的多个指定地址，在无法检测所有多个指定地址时，判定为地址总线异常，输出地址总线异常信号。

而且，CPU执行数据总线异常检查软件，对于数据总线中由主存储器和副存储器所使用的各个全位信号，周期性地输出可确认“0”、“1”两方情况的检查用指定数据，将CPU周期性地输出的多个指定数据暂时写入主存储器和副存储器之后读出进行比较，当写入前的多个指定数据和读出后的多个指定数据不全部一致时，判定为数据总线的异常，输出数据总线异常信号。

《最近楼层停止动作的监视》

接着，图29是表示图1的最近楼层停止指令产生时的电子安全控制器21和电梯控制部11的动作的流程图。首先，当通过电子安全控制器21检测出电子安全控制器21自身的故障等需要使轿厢停止在最近楼层的异常时(步骤S121)，从电子安全控制器21向电梯控制部11的运转控制部12输出最近楼层停止指令信号(步骤S122)。由此，运转控制部12执行用于使轿厢停止在最近楼层的处理(步骤S123)。

另外，在电子安全控制器21中，在输出最近楼层停止指令信号的同时，启动内置的紧急停止定时器，开始紧急停止定时器的计数(步骤S124)。紧急停止定时器当经过预设的时间(足够完成最近楼层停止的时间)则到时。当紧急停止定时器到时时，从电子安全控制器21向电梯控制部11的安全电路部13输出紧急停止指令(步骤S125)。由此，电梯控制部11进行紧急停止动作(步骤S126)。

当通过来自电子安全控制器21的最近楼层停止指令使轿厢正常停止在最近楼层时，在紧急停止定时器到时时，轿厢停止，驱动装置7的制动部9为制动状态。因此，即使输出紧急停止指令，也不会产生实质上的变化。与此相对，万一由于在电梯控制部11侧出现异常，通过来自电子安全控制器21的最近楼层停止指令也没有让轿厢停止在最近楼层时，在紧急停止定时器到时时，轿厢将紧急停止。

图30是表示图1的电子安全控制器21和电梯控制部11的主要部分的电路图。在电子安全控制器21中，设有作为上述的紧急停止定时器而发挥作用的紧急停止定时器电路部171。紧急停止定时器电路部171由从电子安全控制器21内的软件程序独立出来的硬件电路构成。

来自最近楼层停止输出端口172的指令同时输入到第1晶体管173和紧急停止定时器电路部171中。当向第1晶体管173输入最近楼层停止指令时，第1继电器部174断开，向运转控制部12输入最近楼层停止指令信号。

当向紧急停止定时器电路部171输入最近楼层停止指令时，开始计数。当紧急停止定时器电路部171的计数到时时，或者从紧急停止输出端口175输出了紧急停止指令时，第2晶体管176截止，第2继电器部177被断开，向安全电路部13输入紧急停止指令，即切断安全电路部13。由此，驱动装置7的驱动电源连接器和制动器电源连接器断开，轿厢紧急停止。

根据这样的电梯装置，即使在万一电梯控制部11进行的最近楼层停止不能正常执行的情况下，也可以防止在电子安全控制器21检测出异常的状态下轿厢继续运转。另外，在电子安全控制器21检测出异常时，并不马上执行紧急停止，如果电梯控制部11正常则执行最近楼层停止，所以不会因电子安全控制器21的故障而使乘客被关在轿厢内。

另外，优选周期性地而且自动地实施紧急停止定时器电路部171的健全性检查。紧急停止定时器电路部171的健全性检查可以例如1天1次，在规定时间内未登记轿厢呼梯而进入自动关灯模式时进行。

作为健全性检查的流程，首先从电梯控制部11向电子安全控制器21输入通知允许接受健全性检查的信号。接受到该许可信号后从电子安全控制器21向电梯控制部11输入通知检查开始的信号，接着输入最近楼层停止指令。然后，从电梯控制部11向电子安全控制器21返回通知检查结果好坏的信号。

检查结束后，紧急停止定时器电路部171通过硬件复位而复原，第2继电器部177被接通。

Claims

1.一种电梯装置，该电梯装置具有：

控制轿厢运转的电梯控制部；以及

电子安全控制器，其检测电梯的异常，产生用于使电梯转移到安全状态的指令信号，

上述电子安全控制器可以检测上述电子安全控制器自身的异常，在检测出上述电子安全控制器自身的异常时，向上述电梯控制部输出用于使上述轿厢停止在最近楼层的最近楼层停止指令，并且在输出上述最近楼层停止指令后经过了预先设定的时间时，向上述电梯控制部输出用于使上述轿厢紧急停止的紧急停止指令。

2.根据权利要求1所述的电梯装置，其特征在于，从输出最近楼层停止指令到输出紧急停止指令为止的时间被设定成上述轿厢停止到最近楼层所需的充分时间。

3.根据权利要求1所述的电梯装置，其特征在于，上述电子安全控制器具有对从输出最近楼层停止指令到输出紧急停止指令为止的时间进行计时的紧急停止定时器，上述紧急停止定时器由硬件电路构成。

4.根据权利要求3所述的电梯装置，其特征在于，上述电子安全控制器和上述电梯控制部能够周期性且自动地对上述紧急停止定时器实施健全性检查。