JP2004110400A

JP2004110400A - エレベータ制御装置

Info

Publication number: JP2004110400A
Application number: JP2002271992A
Authority: JP
Inventors: Yukiyoshi Takeda; 武田　享悦
Original assignee: Toshiba Elevator Co Ltd
Current assignee: Toshiba Elevator and Building Systems Corp
Priority date: 2002-09-18
Filing date: 2002-09-18
Publication date: 2004-04-08
Anticipated expiration: 2022-09-18
Also published as: JP4115219B2

Abstract

【課題】メモリのデータ化けが発生した場合にエレベータの故障を回避し、信頼性の高いエレベータの制御を行うことが可能なエレベータ制御装置を提供する。
【解決手段】運転制御処理のプログラムを格納した不揮発メモリであるプログラム格納メモリ２とは別に、運転制御処理のプログラムを実行するための揮発メモリであるプログラム実行メモリ３を設け、プログラム実行メモリ３のデータ化けを防止するためのベリファイチェックを常時行う。エラーが発生した場合、エレベータが停止したことを確認してプログラム格納メモリ２からプログラム実行メモリ３にプログラムデータを転送する。これにより、プログラム実行メモリ３のデータ化けが発生した場合に、エレベータの故障を回避できる。
【選択図】　図１

Description

【０００１】
【発明の属する技術分野】
本発明はエレベータ制御装置に関し、特にプログラム格納用不揮発メモリにてプログラム実行を行った際にメモリのデータ化けなどにより制御に支障をきたすおそれやエレベータが故障となり交通サービスを復旧までの間提供できなくなるということを想定して、メモリのデータ化けが発生した場合にエレベータの故障を回避しかつ、信頼性の高い制御プログラムを提供することの可能なエレベータ制御装置に関する。
【０００２】
【従来の技術】
図６は従来のエレベータ制御装置の運転制御回路の構成図である。
【０００３】
同図に示すように、エレベータ制御装置１０の運転制御回路は、運転制御の実行を行うための運転制御ＣＰＵ１と、運転制御処理のプログラムを格納した不揮発メモリであるプログラム格納メモリ２と、エレベータ制御装置１０とエレベータ会社の監視センタ８との間を電話回線７で通信するために必要とされる保守インタフェース４と、エレベータの状態を検出するためのエレベータ状態検出回路６と、制御データを格納した揮発メモリであるデータ格納用メモリ１２で構成される。
【０００４】
また、複数号機が１つの建物に設置された環境において、２台制御や群管理制御を行うシステムにおいては、さらに他号機通信インタフェース５と他号機２０との通信のための通信線９が構成され通信線９を介して他号機２０に接続される。他号機２０の内部の構成は本図のエレベータ制御装置１０と同様の運転制御回路の構成を有する。
【０００５】
一般に、前述の運転制御ＣＰＵ１は、エレベータの運行制御に関する演算を行い、エレベータのかごの停止階を決定するための演算処理などを行い、１６ビットから３２ビットの演算を行うＣＰＵが使用される。
【０００６】
プログラム格納メモリ２には、２５６ＫＢ程度の不揮発メモリであるＥＰＲＯＭやフラッシュＲＯＭが一般に使用される。
【０００７】
保守インタフェース４は、前述の運転制御ＣＰＵ１との通信を行い、データを電話回線７のプロトコルに変換してエレベータの保守会社の監視センタ８とデータの通信を行う。
【０００８】
他号機通信インタフェース５では、運転制御ＣＰＵ１から送信されたデータをシリアルデータに変換して、通信線９により光通信またはＲＳ−４２２、ＲＳ−４８５、ＬＡＮなどの長距離通信インタフェースで他号機２０との通信を行う。
【０００９】
エレベータ状態検出回路６では、エレベータのかご位置の検出機能や、着床レベルの検出をはじめエレベータに取りつけられたスイッチ・センサの状態を信号として読み込み、運転制御ＣＰＵ１にて前述の信号を演算することでエレベータの状態検出を行う。
【００１０】
データ格納用メモリ１２には、２５６ＫＢ程度の揮発メモリであるスタティックＲＡＭが一般に使用され、エレベータの制御データの格納や、プログラムデータの総和を演算した結果であるチェックサム値を格納するレジスタなどに使用される。
【００１１】
前述の信号の演算を行うにあたって、運転制御ＣＰＵ１は、プログラム格納メモリ２に格納されたプログラムデータを読み出すことで、エレベータ状態検出回路６から読み出されるエレベータの各種の信号を演算してエレベータの運行命令を行うためプログラム格納メモリ２に格納されたプログラムデータを正確に読み出すことを要求され、万一データを誤って読み出した場合は本来目的とする運転制御の誤動作を引き起こし安全な運行サービスを提供できなくなるおそれが多分にあるため、一般に運転制御ＣＰＵ１は常時プログラム格納メモリ２のデータの総和を演算するチェックサム処理を行う。
【００１２】
次に、チェックサム処理の概要を説明する。
【００１３】
運転制御ＣＰＵ１は、常時プログラムデータのデータの総和を演算してデータ格納用メモリ１２にチェックサムレジスタとして格納するが、格納する前に前のチェックサムデータと現在演算したチェックサムデータとの比較を行い異常の有無を判定し、データに相違がある場合にはチェックサムを行った領域内でのデータの相違があるものと判断してチェックサムエラーと判定する。チェックサムエラーが発生した場合には本来変更されることのないプログラムデータが変更されているためにデータ化けが発生したものと考えるため、プログラムの誤動作・暴走による危険を回避するためにエレベータを故障させる処理を行う。
【００１４】
【発明が解決しようとする課題】
しかしながら、近年の電子部品の発達によりプログラム格納メモリ２の集積度が著しく増加することに伴い、プログラム格納メモリ２に使用される不揮発メモリには、書き込み回数の限界値や一定アドレスを連続してアクセスしつづけた場合アクセスした番地に電荷が蓄積されることに起因したチャージゲイン現象などからデータ化けといった現象が発生する課題があった。
【００１５】
そこで本発明は、メモリのデータ化けが発生した場合にエレベータの故障を回避し、信頼性の高いエレベータの制御を行うことが可能なエレベータ制御装置を提供することを目的とする。
【００１６】
【課題を解決するための手段】
本発明に係るエレベータ制御装置は、エレベータにおける所定の制御を行うための処理装置と、所定の制御のプログラムを格納する第１のメモリと、所定の制御のプログラムを実行するための第２のメモリとを備え、通常は第２のメモリのプログラムデータを用いて処理装置により所定の制御を行うことを特徴とする。
【００１７】
このような構成の本発明によれば、例えば不揮発メモリからなる第１のメモリをプログラム格納メモリの用途に限定し、プログラムの実行メモリとなる第２のメモリを別に設けているので、プログラム実行メモリとなる第２のメモリに例えば自由に読み書き可能な揮発メモリを使用して、プログラム実行メモリのデータ化けを防止するためのベリファイチェック機能を有するようにすれば、信頼性の高いエレベータの制御を行うことができる。
【００１８】
【発明の実施の形態】
以下、図面を参照して本発明の実施形態について詳細に説明する。
【００１９】
図１は、本発明の一実施形態に係るエレベータ制御装置の運転制御回路の構成図である。同図に示すように、エレベータ制御装置１０の運転制御回路は、運転制御の実行を行うための運転制御ＣＰＵ（処理装置）１と、運転制御処理のプログラムを格納した不揮発メモリであるプログラム格納メモリ２と、前述の運転制御処理のプログラムを実行するための揮発メモリであるプログラム実行メモリ３と、エレベータの制御装置１０とエレベータ会社の監視センタ８との間を電話回線７で通信するために必要とされる保守インタフェース４と、エレベータの状態を検出するためのエレベータ状態検出回路６と、データを一時的に退避させることの可能なデータバッファ用メモリ１１と、制御データを格納した揮発メモリであるデータ格納用メモリ１２と、前述の運転制御ＣＰＵ１がプログラム格納メモリ２及びプログラム実行メモリ３のいずれのメモリにアクセス可能となるかを制御するためのバンク切替制御信号１３とで構成される。
【００２０】
前述のプログラム実行メモリ３には、プログラム格納メモリ２と同等以上のメモリ領域の揮発メモリを使用し、一般には書きこみ回数に制約のないスタティックＲＡＭを使用する。
【００２１】
また、プログラム格納メモリ２には、不揮発メモリとして、書き換え不能なＥＰＲＯＭや、電気的に消去可能なＥＥＰＲＯＭや、電気的に一定領域をブロック消去可能なフラッシュＲＯＭなどが使用されるが、現在実用化に向けて開発中の磁気メモリＭＲＡＭや誘電体ＦＣＲＡＭなどは同様の特性を持ち、ビット単位で書き換え・消去が可能であるためデータの加工の容易性に優れており今後使用されることが推定される。
【００２２】
プログラム実行メモリ３はプログラム格納メモリ２と同一のアドレスに配置して、バンク切替制御信号１３を使用していずれの素子にアクセス可能とするかを制御するバンク選択機能により運転制御ＣＰＵ１からメモリヘのアクセスを行う。これは、プログラムデータの転送を行う場合に異なるアドレスにデータの転送を行うよりも、同一アドレスのデータを異なるバンクに転送する処理の方がソフトウェアの処理上簡潔に処理を行うことが可能なため、バンク選択方式としている。
【００２３】
また、複数号機が１つの建物に設置された環境において、２台制御や群管理制御を行うシステムにおいては、さらに他号機通信インタフェース５と、他号機との通信のための通信線９が構成され、通信線９を介して他号機２０に接続される。他号機２０の内部の構成は本図のエレベータ制御装置１０と同様の運転制御回路の構成を有する。
【００２４】
次にプログラムデータの転送方法について説明する。
【００２５】
まず、プログラムの起動方法について、図２により説明する。
【００２６】
あらかじめ電源投入を行うとバンク選択制御信号１３は必ずプログラム格納メモリ２を選択できるような構成を用意しておき、エレベータ制御装置１０の電源を投入すると、最初に運転制御ＣＰＵ１はプログラム格納メモリ２に格納されたプログラム転送用プログラムをデータバッファ用メモリ１１に退避させる（ステップＳ２１）。退避が完了すると、データバッファ用メモリ１１に退避したプログラム転送用プログラムの実行を行う。
【００２７】
プログラム転送用プログラムでは、まずプログラム格納メモリ２の制御プログラムデータをデータバッファ用メモリ１１に退避させる（ステップＳ２２）。ここで、プログラム転送用プログラムもデータバッファ用メモリ１１から実行しているため、プログラム転送用プログラムの格納されていない領域にデータの退避を行う。次にバンク切替制御信号１３をプログラム実行メモリ３に変更して（ステップＳ２３）、データバッファ用メモリ１１に転送された制御プログラムデータをプログラム実行メモリ３に転送する（ステップＳ２４）。１度に制御プログラムデータをプログラム格納メモリ２からプログラム実行メモリ３に転送できないときは、バンク切替制御信号１３をプログラム格納メモリ２に変更して（ステップＳ２６）、ステップＳ２２に戻り、転送動作を繰り返す。転送が完了すると、プログラム実行エリアに格納した制御プログラムを実行させることができる（ステップＳ２７）。
【００２８】
なお、プログラムデータを他のメモリに退避・転送させる場合には逐次データの整合性確認を行う（ステップＳ２５）。整合性確認の方法すなわちベリファイチェックとしては、転送前データと転送後データの全領域データの照合を行うデータベリファイもしくは各転送データの総和となるチェックサムデータ同士の比較を行うチェックサム処理といった方法を用い、転送中にデータ化けが発生していないことを確認する。
【００２９】
プログラムデータをプログラム実行メモリ３に転送完了すると、運転制御ＣＰＵ１は以降プログラム実行メモリ３からプログラムデータを読み出し、運転制御を行う。この場合プログラム実行メモリ３は揮発メモリであるためランダムに読み書きが可能であるため、誤書込みによるプログラムデータ化けを回避するために常時整合性確認を行う。この整合性確認は、例えば、プログラム実行メモリ３における一回前のチェックサムデータとの比較によるチェックサム処理により行うが、プログラム格納メモリ２とプログラム実行メモリ３とのデータ全領域のデータベリファイまたはチェックサム処理により行うこともできる。
【００３０】
この制御プログラム実行中にデータ整合性異常が発生した場合のプログラム交換手順について、図３によって説明する。
【００３１】
データの整合性異常が発生した場合は、まず異常内容をデータ格納用メモリ１２に内蔵したエラーコード格納エリアに記録して監視センタ８に対して保守インタフェース４を経由してエラー発報、すなわち異常警告を行う（ステップＳ３１）。この場合、エラーの発生した回数、発生日時も合わせて送信することで、監視センタ８に駐在のエレベータ保守会社の作業員がエラーの発生傾向を確認できるため、メンテナンスデータとして有効に扱うことが可能となる。
【００３２】
次にエレベータの走行中・停止中の判断を行い（ステップＳ３２）、エレベータ走行中の場合は、減速させ最寄階へかごを移動して停止させる（ステップＳ３３）。これは、エレベータ走行中にプログラムのバックアップ転送処理を実施した場合はエレベータが途中無制御になる危険を伴う可能性があるため行う処理であり、必ずエレベータ停止中という安全な状態でデータ転送作業を行うための処理となる。
【００３３】
エレベータの停止を確認すると、乗客へ異常を報知するためにかご内に故障中・復旧中であることまたは「しばらくお待ち下さい」などのアナウンスを行う。また故障中にエレベータの利用をやめる乗客がいることも想定できるため、呼びの登録は全てクリアする（ステップＳ３４）。これら故障であることの手続を完了させた上で、プログラム格納メモリ２からプログラム実行メモリ３ヘバックアップされたプログラムデータを転送し（ステップＳ３５）、転送が完了するとかご内に復旧完了のアナスンスを行いプログラム実行メモリ３の制御プログラムを実行する（ステップＳ３６）ことで、エレベータの永久故障を回避できるのでエレベータ制御の信頼性を向上させることが可能となる。
【００３４】
データの整合性確認は、前述のデータ全領域のデータベリファイもしくはチェックサム処理により実現させ、プログラムデータの転送方法は制御装置起動時の制御プログラムの転送方法と同様の方法によって実現可能である。
【００３５】
エレベータの停止の判断については、エレベータ状態検出回路６から例えば、かご位置パルスのデータが所定時間内で変位しないこと、エレベータの着床スイッチが一定時間オンとなっていること、モーター制御ＣＰＵからインバータ制御状態のデータを受け取りインバータ制御を停止していることなどから容易に判断できる。
【００３６】
ここで、前述の監視センタ８へのエラー発報の手順について、図４によって説明する。
【００３７】
プログラムデータの整合性に異常が発生した場合、整合性異常の発生した日時・アドレス及び正常データと異常データの記録をデータ格納用メモリ１２に格納する（ステップＳ４３）。
【００３８】
ここで、整合性異常のアドレス及びデータについては、プログラム格納メモリ２のデータをデータバッファ用メモリ１１に転送して（ステップＳ４１）、このデータバッファ用メモリ１１のデータとプログラム実行メモリ３のデータの整合性を確認する（ステップＳ４２）ことにより、すなわちプログラム格納メモリ２のデータとプログラム実行メモリ３のデータの内容をベリファイチェックして、異なるアドレスおよびデータについて記録することで容易に実現可能である。相違データについてはプログラム格納メモリ２のデータは、プログラム実行中はアクセス不能となるため正しいデータとなりデータ実行メモリ３のデータが化けたデータとなる。
【００３９】
これらデータをデータ格納用メモリ１２から読み出し保守インタフェース４へ送信する（ステップＳ４４）。送信するデータは異常データの他に、制御装置の納入物件コードなども送信する。保守インタフェース４には通信制御回路を備えておき、受信したデータを直列通信で電話回線のフォーマットに従ってデータ送信を行う（ステップＳ４５）。
【００４０】
電話回線から監視センタ８側で異常情報を受信して監視センタ８のサーバに異常情報を記録して（ステップＳ４６）、エレベータ保守会社の従業員にモニタなどの表示装置に報知する（ステップＳ４７）。
【００４１】
また、前述のプログラムデータのバックアップ方法においてプログラムデータの整合性確認の手段として、他号機２０とのプログラムデータのチェックサム値同士を号機間で整合性確認し、整合性エラーが発生した場合にプログラムのバックアップ転送処理を行うといった処理も有効である。
【００４２】
他号機２０との間のプログラムの交換手順について図５を元に説明する。
【００４３】
一般に号機間通信は通信線９の電線本数の低減といった観点から直列通信方式でデータの授受を行うため、プログラムデータ全領域のベリファイチェックを行う場合チェック時間の長さからエレベータ制御に支障を与えるために、チェックサム処理によるチェックサム値の整合性確認が有効とされる。
【００４４】
チェックサム値の整合性確認方法としては、他号機２０のチェックサムデータを他号機通信インタフェース５でシリアルデータからパラレルデータに変換して運転制御ＣＰＵ１は他号機２０のチェックサムデータとしてデータ格納用メモリ１２に格納する（ステップＳ５１）。また、運転制御ＣＰＵ１は常時自号機のチェックサムデータを同様にデータ格納用メモリ１２に格納する（ステップＳ５２）。ここで、それぞれ格納したチェックサムデータに相違が生じた場合、いずれの号機のプログラムに異常が発生したのかを判断できないために一回前に他号機から受信したチェックサムデータおよび一回前の自号機のチェックサムデータも同様にデータ格納用メモリ１２に格納する。
【００４５】
そして、データ格納用メモリ１２に格納された自号機と他号機のチェックサムデータを比較し（ステップＳ５３）、チェックサムデータに相違がある場合はデータ格納用メモリ１２に格納された一回前のチェックサムデータも参照して相違のあるデータの号機をプログラム異常と判定する（ステップＳ５４）。すなわち、自号機と他号機のチェックサムデータ及び一回前の自号機と他号機のチェックサムデータの４つを参照すれば、１つだけ他の３つと異なっていることからその号機をプログラム異常と判定することができる。
【００４６】
自号機が異常の場合は、まず自号機のプログラム格納メモリ２のチェックサムと他号機のチェックサムデータの比較照合を行い、一致している場合は前述のプログラムの起動手順に従って、プログラムデータをプログラム格納メモリ２からプログラム実行メモリ３に転送して転送完了後にプログラム実行メモリ３の制御プログラムを起動させる。
【００４７】
自号機のプログラム格納メモリ２のチェックサムとデータ格納用メモリ１２に格納された他号機のチェックサムが異なる場合は、データプログラムデータを送信する号機とプログラムデータを受信する号機はエレベータを停止させた状態にして（ステップＳ５５〜Ｓ６０）、停止を確認した上で、通信線９を介してシリアル通信でプログラムデータを通信させ（ステップＳ６１〜Ｓ６３）、受信号機は他号機通信インタフェース５でデータをパラレル変換してデータバッファ用メモリ１１にデータを格納する（ステップＳ６４）。
【００４８】
エレベータの停止手順については前述のこの制御プログラム実行中にデータ整合性異常が発生した場合のプログラム交換手順により実現する。
【００４９】
他号機からのプログラムデータをデータバッファ用メモリ１１に転送完了すると、データバッファ用メモリ１１に格納されたプログラムデータをプログラム格納メモリ２およびプログラム実行メモリ３に転送を行い（ステップＳ６５）、転送完了後プログラム実行メモリ３から制御プログラムの実行を行う（ステップＳ６６）。データバッファ用メモリ１１からプログラム格納メモリ２およびプログラム実行メモリ３へのデータの転送処理はバンク切替制御信号１３を使用してプログラムの起動方法と同じ手段で実現する。
【００５０】
また反対に、プログラム格納メモリ２のプログラムデータの信頼性を向上させるために、プログラム格納メモリ２が書き換え可能なＥＥＰＲＯＭやフラッシュＲＯＭの場合は、プログラム実行メモリ３のデータのチェックサム値を一回前のプログラム実行メモリ３のデータのチェックサム値と比較するチェックサム処理を常時行い、プログラム実行メモリ３のチェックサムが正常な場合は一定周期でエレベータの停止中にプログラム実行メモリ３のプログラムデータをプログラム格納メモリ２に転送することでバックアップされたプログラムデータの信頼性を確保することも可能となる。プログラムの転送手順はバンク切替制御信号１３を使用してプログラムの起動方法と同じ手段で実現する。
【００５１】
以上のようにプログラムデータの信頼性について述べているが、制御固定データのデータ化け防止のための処理についても同様処理にてデータの信頼性向上を図ることができる。すなわち、プログラム格納メモリ２の一定の空きエリアに制御固定データをバックアップしておくことで、本来データ格納用メモリ１２に格納された制御固定データとバックアップデータとのベリファイチェック（データ全領域のデータベリファイまたはチェックサム処理）、またはデータ格納用メモリ１２に格納された制御固定データをデータ格納用メモリ１２に格納された一回前の制御固データと比較するベリファイチェック（データ全領域のデータベリファイまたはチェックサム処理）を常時行い、ベリファイエラーの場合はエレベータの停止を確認した上でバックアップデータを、本来格納しているデータ格納用メモリ１２のデータエリアに転送する処理により実現可能となる。
【００５２】
現在はプログラム格納用不揮発メモリとしてはフラッシュＲＯＭのようにブロック単位で書きこみ、消去を行うメモリが主流であるが、現在メモリ業界で開発中の素子には磁気メモリＭＲＡＭや誘電メモリＦＣＲＡＭといった１バイト単位でプログラムやデータの補正が可能となる見込みがあることからも小容量の固定データの補正についても今後有効となる機能と考える。
【００５３】
また、本実施形態ではエレベータの運行制御回路を一例に実施形態を説明しているが、エレベータの制御装置においてＣＰＵにより制御を行うモーター制御、ドア制御、乗り場制御、かご上制御、かご操作盤制御、表示装置制御、群管理制御、２台号機制御などといった制御においても実施形態であげたようなＣＰＵを用いた制御を行っているため同様の制御装置の構成と手段によってプログラムデータの信頼性向上を図ることが可能となる。
【００５４】
以上の処理を行うことによって、エレベータ制御装置において、安全でデータ化けなどの誤動作による故障の起こりにくい安全なエレベータ制御を行うことができる。
【００５５】
【発明の効果】
本発明によれば、エレベータのデータの誤動作による危険や故障の起こりにくい安全なエレベータ制御装置を得ることができる。
【図面の簡単な説明】
【図１】本発明の一実施形態に係るエレベータ制御装置の構成を示すブロック図。
【図２】本発明の一実施形態におけるプログラム起動方法を示すフローチャート。
【図３】本発明の一実施形態におけるプログラムの交換手順を示すフローチャート。
【図４】本発明の一実施形態におけるエラーの発報手順を示すフローチャート。
【図５】本発明の一実施形態における他号機とのプログラム交換手順を示すフローチャート。
【図６】従来例の構成を示すブロック図。
【符号の説明】
１…運転制御ＣＰＵ
２…プログラム格納メモリ
３…プログラム実行メモリ
４…保守インタフェース
５…他号機通信インタフェース
６…エレベータ状態検出回路
７…電話回線
８…監視センタ
９…通信線
１０…エレベータ制御装置
１１…データバッファ用メモリ
１２…データ格納用メモリ
１３…バンク切替制御信号
２０…他号機

Claims

エレベータにおける所定の制御を行うための処理装置と、前記所定の制御のプログラムを格納する第１のメモリと、前記所定の制御のプログラムを実行するための第２のメモリとを備え、通常は前記第２のメモリのプログラムデータを用いて前記処理装置により所定の制御を行うことを特徴とするエレベータ制御装置。
請求項１に記載のエレベータ制御装置において、前記第２のメモリのプログラムデータのチェックサム処理を常時行い、異常時には、エレベータが停止したことを確認して前記第１のメモリから前記第２のメモリにプログラムデータを転送する手段を備えたことを特徴とするエレベータ制御装置。
請求項１または請求項２に記載のエレベータ制御装置において、前記第２のメモリのプログラムデータのチェックサム処理を常時行い、正常時には、エレベータが停止したことを確認して前記第２のメモリから前記第１のメモリにプログラムデータを転送する手段を備えたことを特徴とするエレベータ制御装置。
請求項１に記載のエレベータ制御装置において、常時前記第１のメモリと前記第２のメモリのプログラムデータのベリファイチェックを行い異常の有無を検出して、前記第２のメモリの異常時には、エレベータが停止していることを確認して前記第１のメモリから前記第２のメモリにプログラムデータを転送する手段を備えたことを特徴とするエレベータ制御装置。
請求項１乃至請求項４のいずれかに記載のエレベータ制御装置において、複数号機間の通信を行うための通信手段と、この通信手段を介して、複数号機間でプログラムデータのベリファイチェックを行う手段と、ベリファイエラー時には各号機のエレベータが停止したことを確認して複数号機間でプログラムデータを転送する手段とを備えたことを特徴とするエレベータ制御装置。
請求項１乃至請求項５のいずれかに記載のエレベータ制御装置において、制御固定データを格納する制御固定データ格納用メモリと、制御固定データをバックアップする制御固定データバックアップ手段と、制御固定データ格納用メモリの制御固定データとバックアップされた制御固定データとのベリファイチェック、または制御固定データ格納用メモリの制御固定データと一回前の制御固定データとのベリファイチェックを行う手段と、ベリファイエラー時にはエレベータが停止したことを確認してバックアップされた制御固定データを前記制御固定データ格納用メモリに転送する手段とを備えたことを特徴とするエレベータ制御装置。