JP2006056676A

JP2006056676A - エレベータの保守システム

Info

Publication number: JP2006056676A
Application number: JP2004241117A
Authority: JP
Inventors: Shota Suzuki; 祥太鈴木
Original assignee: Mitsubishi Electric Building Techno Service Co Ltd
Current assignee: Mitsubishi Electric Building Solutions Corp
Priority date: 2004-08-20
Filing date: 2004-08-20
Publication date: 2006-03-02

Abstract

【課題】エレベータ制御盤内にある制御装置への外部からの不正なアクセスがあった場合に、かごの運転を即座に停止させ起動不能にすることでエレベータ利用者の安全確保を図ったエレベータの保守システムを提供する。
【解決手段】エレベータ制御用のソフトウェアを内蔵したエレベータ制御盤の制御装置に外部の保守装置からアクセスして保守作業を行うエレベータの保守システムであって、エレベータ制御盤の制御装置に外部から正規でない装置からのアクセスがあった場合に、かごを最寄り階に停止させて起動不能にする保守認証・制御手段Ｓ３１〜Ｓ４０を備えた。
【選択図】図２

Description

この発明は、エレベータ制御用のソフトウェアを内蔵したエレベータ制御盤の制御装置に保守装置からアクセスして保守作業を行うエレベータの保守システムに関する。

従来、この種の装置として、エレベータ制御用のソフトウェアを修正変更する場合に、管理用コンピュータからモデムおよび公衆回線を介して修正変更したエレベータ制御用のソフトウェアを現場のメモリに送信し更新記憶し、チェック手段がメモリに更新記憶されたエレベータ制御用のソフトウェアの健全性をチェックし、正常に受信されている時には、演算手段がその修正変更されたエレベータ制御用のソフトウェアに基づきエレベータを運行制御するものがあった(例えば特許文献１参照)。

特開２００２−２００５２号公報

このようなシステムにおいては、エレベータ制御プログラム等のソフトウェアの更新記憶後の健全性のチェックは行われるものの、そもそもエレベータ制御盤の制御装置への外部からのアクセスに対するセキュリティが確立しておらず、ハッカーや違法処理等により制御装置内のエレベータ制御プログラムの更新等が行われた場合には、エレベータ利用者の安全確保に支障をきたすという課題があった。

この発明は、エレベータ制御盤内にある制御装置への外部からの不正なアクセスがあった場合に、かごの運転を即座に停止させ起動不能にすることでエレベータ利用者の安全確保を図ったエレベータの保守システムを提供することを目的とする。

この発明は、エレベータ制御用のソフトウェアを内蔵したエレベータ制御盤の制御装置に外部の保守装置からアクセスして保守作業を行うエレベータの保守システムであって、エレベータ制御盤の制御装置に外部から正規でない装置からアクセスがあった場合に、かごを最寄り階に停止させて起動不能にする保守認証・制御手段を備えたことを特徴とするエレベータの保守システムにある。

この発明では、エレベータ制御盤内にある制御装置への不正なアクセスに対して、より確実にエレベータ利用者の安全確保が図れる。

実施の形態１．
図１はこの発明の一実施の形態によるエレベータの保守システムの概略的な構成を示すもので、(ａ)は現場で保守用コンピュータを制御盤内の制御装置に接続する場合の構成、(ｂ)はモデムおよび公衆回線を介した遠隔地のエレベータ管理センタから制御盤内の制御装置にアクセスする場合の構成を示す。図１の(ａ)、(ｂ)において、両端にそれぞれエレベータかご３と釣合おもり４が結合された主索５が掛けられた巻上電動機６は、エレベータ制御盤２によりかご３が昇降路内を呼びに応答するように昇降運転するように駆動制御され(つるべ方式のものを示したがこれに限定されない)、この制御盤２にはコンピュータにより構成される制御装置２ａが設けられており、上記駆動制御はこの制御装置２ａにより行われる。そして図１の(ａ)の場合は、この制御装置２ａに現場で保守用コンピュータ(保守装置)１ａが接続され、(ｂ)ではモデム７および公衆回線８を介して遠隔地のエレベータ管理センタ１０内の管理用コンピュータ１ｂ(保守装置)から通信によりアクセスが行われる。

図２は図１の制御装置２ａと、保守用コンピュータ１ａ及び管理用コンピュータ１ｂのそれぞれの制御部１ａａ、２ｂｂとの内部構成を示す図である。制御装置２ａは、各種プログラムに従って処理を行う演算手段２０１と、演算処理時のデータ等を一時的に記憶しておく一時記憶部２０２と、後述する保守認証・制御のための保守認証・制御プログラム２０３、プログラムデータのチェックを行うプログラムデータチェックプログラム２０４、エレベータかごの試運転のための試運転プログラム２０５を格納した第１のメモリＭ２１と、エレベータを実際に制御するためのエレベータ制御プログラム２０６、このエレベータ制御プログラム２０６に含まれ学習データとしても利用されるエレベータ制御中の履歴(保守)データ２０７を格納した第２のメモリＭ２２と、および外部との接続を行うインターフェース２０９とを備える。なお、第１および第２のメモリＭ２１、Ｍ２２はそれぞれ書き換え可能なメモリ(例えばフラッシュメモリ)からなり、またこれらは１つのメモリにまとめられていてもよい。

図２の制御部１ａａ、１ｂｂは保守装置である保守用コンピュータ１ａおよび管理用コンピュータ１ｂで本願発明に係わる部分の基本的構造がほぼ同様であるため１つにまとめて示した。保守用コンピュータ１ａの制御部１ａａの場合で説明すると、各種プログラムに従って処理を行う演算手段１０１と、演算処理時のデータ等を一時的に記憶しておく一時記憶部１０２と、制御装置２ａに対して保守を行うための保守プログラム１０３、後述する保守認証のための保守認証プログラム１０４を格納した第１のメモリＭ１１、現在のエレベータ制御プログラムである既存エレベータ制御プログラムデータ１０５、バージョンアップ等が施された更新用エレベータ制御プログラムデータ１０６を格納した第２のメモリＭ１２、および外部との接続を行うインターフェース１０７とを備える。なお、管理用コンピュータ１ｂの制御部１ｂｂの場合には、制御装置２ａと制御部１ｂｂとが双方のモデム７ａ、７ｂおよびこれらの間にある公衆回線８(図１参照)を介して接続され、さらにエレベータ管理センタ１０が管轄するエレベータを統括して管理するエレベータ管理プログラム１０８を格納した第３のメモリＭ１３を少なくとも備える。なお、第１ないし第３の作業用メモリＭ１１〜Ｍ１３はそれぞれ書き換え可能なメモリからなり、またこれらは１つのメモリにまとめられていてもよい。

次に図３に従って、図１の(ａ)に示すように制御盤２の制御装置２ａへ保守用コンピュータ１ａが接続された場合の動作を説明する。なお、保守認証・制御手段が図３のステップＳ３１〜Ｓ４０からなり、ソフトウェアデータチェック手段がステップＳ４１〜Ｓ４３，Ｓ４８からなり、試運転手段がステップＳ４４，Ｓ４８，Ｓ４３からなり、プログラム書き換え手段がＳ４５〜Ｓ４８，Ｓ４３からなる。

保守用コンピュータ１ａが制御盤２の制御装置２ａに接続されると(実際には接続されて制御装置２ａに対してアクセスがあると)、制御装置２ａの保守認証・制御プログラム２０３と保守用コンピュータ１ａの制御部１ａａの保守認証プログラム１０４により、互いが正規のものか否かの判定が行われる(ステップＳ３１)。この判定は、それぞれ相手のメモリの所定のアドレスに所定のデータが記憶されていることを確認することにより行われる。なおこれは制御装置２ａが保守用コンピュータ１ａが正規か否かを判定するものだけであってもよい。保守用コンピュータ１ａ側の制御部１ａａも判定を行う場合には、判定結果を制御装置２ａに知らせる。

判定の結果が正規のものであれば、後述する不正アクセスがありかごの運転を停止した時に”１”に設定されるフラグＦＬ(図２の制御装置２ａの履歴データ２０７内参照)が”１”でなければ(ステップＳ３２)、制御装置２ａから制御部１ａａにアクセス許可すなわち保守作業の許可が与えられ、制御部１ａａは保守プログラム１０３に従って保守作業を行う。そして制御装置２ａ内のメモリＭ２２に格納されたエレベータ制御プログラム２０６に含まれる履歴データ２０７の抽出等がある。また、かご３の運転を停止させ、例えば制御装置２ａ内のメモリＭ２２に格納されたエレベータ制御プログラム２０６およびこれに含まれる履歴データ２０７の部分を、制御部１ａａの更新用エレベータ制御プログラムデータ１０６に従って書き換えるプログラムの更新等の保守作業を行う(ステップＳ３３)。

一方、ステップＳ３１で正規のものではないと判定された場合には、ハッカーや不正処理等により制御装置２ａのシフトウェアの改竄等が行われる可能性のある極めて危険な状態にあるため、上記と同様に後述するフラグＦＬが”１”でなければ(ステップＳ３４)、その時点で制御部１ａａとの通信を終了し(ステップＳ３５)、さらに制御装置２ａは保守認証・制御プログラム２０３およびエレベータ制御プログラム２０６に従って、エレベータかご３を最寄り階に停止させ(ステップＳ３６)、戸開して乗客を降ろし(ステップＳ３７)、例えば履歴データ２０７の領域内の予め定められた位置(履歴データ２０７に限定されない)に、不正アクセスがあったのでかごの運転を停止したことを示す上述のフラグＦＬを”１”にした後(ステップＳ３８)、エレベータを起動不能状態にする(ステップＳ３９)。これによりエレベータ利用者の安全が確保される。

また、不正アクセスによりフラグＦＬを”１”としてエレベータを起動不能にした状態において、保守用コンピュータ１ａが制御盤２の制御装置２ａに接続されると、上記と同様にして保守用コンピュータ１ａが正規のものか否かの判定が行われ(ステップＳ３１)、例えば正規のものでなく、ステップＳ３４でフラグＦＬが”１”であれば、制御装置２ａは保守認証・制御プログラム２０３に従い起動不能の状態を継続する(ステップＳ４０)。

一方、ステップＳ３１で正規のものと判定された場合には、ステップＳ３２でフラグＦＬが”１”であれば、制御部１ａａ側が保守プログラム１０３に従って制御装置２ａにプログラムデータチェックを行わせる。制御装置２ａはプログラムデータチェックプログラム２０４によるメモリＭ２２に格納されているエレベータ制御プログラム２０６に先の不正アクセスにより書き換え箇所があるか否かのチェック(例えばパリティチェック)をさせる(ステップＳ４１)。そして書き換わった箇所がなければ(ステップＳ４２)、制御部１ａａがフラグＦＬを”０”に戻し(ステップＳ４８)、制御装置２ａ側のエレベータの起動不能状態を解消して通常運転に復帰させて制御装置２ａの制御によるエレベータの運行を再開可能にする(ステップＳ４３)。

一方、ステップＳ４２でエレベータ制御プログラム２０６に書き換え箇所が有れば、制御部１ａａ側が保守プログラム１０３に従って制御装置２ａに試運転を行わせる。制御装置２ａは試運転プログラム２０５によりエレベータかご３を実際に動かして所定の試運転を行い(ステップＳ４４)、普通に動けば(ＯＫ)、制御部１ａａがフラグＦＬを”０”に戻し(ステップＳ４８)、エレベータを復帰させる(ステップＳ４３)。またステップＳ４４で、試運転中にかごが途中で停止してしまった場合には、制御部１ａａ側が保守プログラム１０３に従って制御装置２ａに上記プログラムデータチェックプログラム２０４によりさらに書き換わった箇所の場所をチェックさせ、制御部１ａａ側がチェックされたエレベータ制御プログラム２０６の書き換わった箇所が重要部分であるか否かを判定し(ステップＳ４５)、重要部分であればエレベータ制御プログラム２０６を全部書き換え(ステップＳ４６)、重要部分でなければ例えば書き換わっている部分だけ等、部分的に書き換えを行い(ステップＳ４７)、その後それぞれフラグＦＬを”０”にして(ステップＳ４８)、復帰させる(ステップＳ４３)。これらの書き換えの際には既存エレベータ制御プログラムデータ１０５を使用する。

なお、エレベータ制御プログラム２０６は一般に、基本的なすなわち重要なものから順に、電動機等を動かす駆動用プログラム部分、速度や安全制御を行う制御用プログラム部分、釦や情報の表示等に関する管理用プログラム部分からなり、重要でない部分とは、例えば管理用プログラム部分等の特にエレベータの運行に直接的に支障をきたさない部分であり、それぞれのエレベータ制御プログラム２０６において重要な部分を予め決めて、制御部１ａａ側が保守プログラム１０３に従って認識できるようにしておく(データ形式等から判断してもよい)。また、エレベータ制御プログラム２０６の全部をなるべく書き換えないようにするのは、これに含まれる保守データ等として使用される履歴データ２０７も書き換えの際に消滅してしまうためである。なお、図２の構成であれば、エレベータ制御プログラム２０６を全部書き換えた場合にはフラグＦＬは”０”に書き換わる。また、フラグＦＬを別のメモリ(特に図示せず)に設定してもよい。また、プログラムデータチェックプログラム２０４、試運転プログラム２０５は制御部１ａａの保守プログラム１０３に含め、制御装置２ａ側にインストールするようにしてもよい。

以上、図１の(ａ)に示す制御盤２の制御装置２ａへ保守用コンピュータ１ａが接続された場合の動作について説明したが、図１の(ｂ)のエレベータ管理センタ１０の管理用コンピュータ１ｂからのアクセスの場合は、公衆回線８およびモデム７を介して上記と同様の動作が制御装置２ａと制御部１ｂｂの間で行われる。

なお、上記説明ではエレベータの制御盤２内の制御装置２ａに内蔵されているプログラムとしてエレベータ制御プログラムを例に挙げて説明したが、この発明はこれに限定されるものではなく、制御装置２ａのエレベータ制御プログラムがさらなるプログラムを含んでいても同様にして実施可能であり、相当の効果を奏する。

この発明の一実施の形態によるエレベータの保守システムの概略的な構成を示すもので、(ａ)は現場で保守用コンピュータを制御盤内の制御装置に接続する場合の構成、(ｂ)はモデムおよび公衆回線を介した遠隔地のエレベータ管理センタから制御盤内の制御装置にアクセスする場合の構成を示す図である。図１の制御装置と保守用コンピュータ及び管理用コンピュータのそれぞれの制御部との概略的な内部構成を示す図である。この発明の一実施の形態によるエレベータの保守システムの動作を説明するためのフローチャートである。

符号の説明

１ａ保守用コンピュータ(保守装置)、１ａａ，１ｂｂ制御部、１ｂ管理用コンピュータ(保守装置)、２エレベータ制御盤、２ａ制御装置、３エレベータかご、４釣合おもり、５主索、６巻上電動機、７，７ａ，７ｂモデム、８公衆回線、１０エレベータ管理センタ、１０１，２０１演算手段、１０２，２０２一時記憶部、１０３保守プログラム、１０４保守認証プログラム、１０５既存エレベータ制御プログラムデータ、１０６更新用エレベータ制御プログラムデータ、１０７，２０９インターフェース、２０３保守認証・制御プログラム、２０４プログラムデータチェックプログラム、２０５試運転プログラム、２０６エレベータ制御プログラム、２０７履歴データ、ＦＴフラグ、Ｍ１１，Ｍ１２，Ｍ１３，Ｍ２１，Ｍ２２メモリ。

Claims

エレベータ制御用のソフトウェアを内蔵したエレベータ制御盤の制御装置に外部の保守装置からアクセスして保守作業を行うエレベータの保守システムであって、エレベータ制御盤の制御装置に外部から正規でない装置からアクセスがあった場合に、かごを最寄り階に停止させて起動不能にする保守認証・制御手段を備えたことを特徴とするエレベータの保守システム。
上記起動不能状態において上記制御装置に正規の保守装置からアクセスがあった場合に、上記保守装置が上記制御装置に上記ソフトウェアの書き換わっている部分の有無をチェックさせ、書き換わっている部分がない場合には上記起動不能状態を解消して通常運転に復帰させるソフトウェアデータチェック手段をさらに備えたことを特徴とする請求項１に記載のエレベータの保守システム。
上記ソフトウェアに書き換わっている部分があった場合に、上記保守装置が上記制御装置にかごの所定の試運転を行わせ、正常に運転された場合には上記起動不能状態を解消して通常運転に復帰させる試運転手段をさらに備えたことを特徴とする請求項２に記載のエレベータの保守システム。
上記試運転で正常に運転されなかった場合には、上記プログラムデータチェック手段が、ソフトウェアの書き換わっている部分の場所もチェックし、書き換わっている部分の重要度に応じて上記保守装置が上記制御装置にソフトウェアの部分書き換え又は全部の書き換えを行うプログラム書き換え手段をさらに備えたことを特徴とする請求項３に記載のエレベータの保守システム。