JP2009155092A

JP2009155092A - エレベータの制御装置

Info

Publication number: JP2009155092A
Application number: JP2007338291A
Authority: JP
Inventors: Toru Tawara; 徹田原
Original assignee: Toshiba Elevator Co Ltd
Current assignee: Toshiba Elevator and Building Systems Corp
Priority date: 2007-12-27
Filing date: 2007-12-27
Publication date: 2009-07-16
Anticipated expiration: 2027-12-27
Also published as: JP5083890B2

Abstract

【課題】遠隔通信によるデータ更新中に何らかの異常が発生した場合に、人手による復旧作業を必要とせずに、データ更新を確実に行う。
【解決手段】一時保存ＲＡＭ２３、不揮発性メモリ２４，２５、実行制御用ＲＡＭ２６を備える。サーバ１３から通信ネットワーク１２を介して更新用データを受信すると、その更新用ソフトウェアを一時保存ＲＡＭ２３に一時的に記憶した後、不揮発性メモリ２４，２５にタイミングをずらして書き込む。ここで、不揮発性メモリ２４，２５のそれぞれに書き込まれた更新用データの健全性を判断し、正常であると判断された更新処理用メモリ内の更新用データを実行制御用ＲＡＭ２６に転送してエレベータを起動する。
【選択図】図１

Description

本発明は、エレベータの運転制御用のソフトウェアや各物件毎に設定される制御データの更新機能を備えたエレベータの制御装置に関する。

一般に、エレベータの制御装置には、マイクロコンピュータが使用される。マイクロコンピュータは、予めメモリに記録されたソフトウェアを読み込むことにより、そのソフトウェアに記述された手順に従ってモータの駆動制御やドアの開閉制御などを含むエレベータの運転制御を行う。したがって、制御内容の変更や仕様変更などがあると、それに合わせて修正変更したソフトウェアをインストールする必要がある。

ここで、エレベータ制御装置のソフトウェアを更新する場合、ＥＰＲＯＭ、ＦＬＡＳＨメモリなどの媒体を使用し、保守員がその媒体をエレベータ制御装置まで持ち込み、ソフトウェアの更新作業を行うことが一般的であった。

しかしながら、媒体を使用する更新方法では、物件毎に媒体が必要となってしまい、それらの媒体の管理が煩雑になる。例えば、更新したソフトウェアを元のバーションに戻すような場合や、複数の制御装置のソフトウェアを更新する場合などに、その都度、媒体を用意しておく作業が必要となる。

そこで、従来、媒体を必要とせずにソフトウェアの更新を行う方法として、監視センタからの遠隔通信によりエレベータ制御装置のソフトウェアを更新する手法がある（例えば、特許文献１参照）。
特開２００２−２００５２号公報

しかしながら、従来の方法では、遠隔通信によるソフトウェアの更新中に何らかの異常が発生した場合に、その異常を検出することはできても、その後に人手による復旧作業が必要であった。これは、ソフトウェアの更新に限らず、各物件毎に設定される制御データを遠隔通信にて更新する場合も同様である。

そこで、本発明では、遠隔通信によるデータ更新中に何らかの異常が発生した場合に、人手による復旧作業を必要とせずに、データ更新を確実に行うことのできるエレベータの制御装置を提供することを目的とする。

本発明に係るエレベータの制御装置は、一時保存用メモリと、第１および第２の更新処理用メモリと、実行制御用メモリとを備えたエレベータの制御装置において、サーバから通信ネットワークを介して受信した更新用データを上記一時保存用メモリに一時的に記憶した後、上記一時保存用メモリに記憶された更新用データを第１および第２の更新処理用メモリにタイミングをずらして書き込むデータ書込み手段と、このデータ書込み手段によって第１および第２の更新処理用メモリのそれぞれに書き込まれた更新用データの健全性を判断する健全性判断手段と、この健全性判断手段によって正常であると判断された更新処理用メモリ内の更新用データを上記実行制御用メモリに転送してエレベータを起動する更新制御手段とを具備したことを特徴とする。

本発明によれば、遠隔通信によるデータ更新中に何らかの異常が発生した場合に、人手による復旧作業を必要とせずに、データ更新を確実に行うことができる。

以下、図面を参照して本発明の実施形態を説明する。

（第１の実施形態）
図１は本発明の第１の実施形態に係るエレベータの制御装置の構成を示す図である。本実施形態におけるエレベータ１０は、通信ネットワーク１２を介してサーバ１３に接続されている。通信ネットワーク１２としては、公衆回線等が用いられるが、その通信形態については特に限定されるものではない。

サーバ１３は、この通信ネットワーク１２を介してエレベータ１０の動作状態を遠隔監視する監視センタに設置されている。このサーバ１３は、エレベータ１０の運転制御用のソフトウェアを更新用データとして配信する機能を備える。

なお、図１の例では、１台のエレベータ１０しか図示されていないが、実際には物件毎に設置された様々なエレベータが通信ネットワーク１２を介してサーバ１３に接続されている。上記監視センタでは、通信ネットワーク１２に接続された各エレベータを監視対象として、それらの動作状態を常時監視している。

一方、エレベータ１０にはエレベータ制御装置１１が設けられており、このエレベータ制御装置１１を通じてサーバ１３との間でデータ通信が行われる。このエレベータ制御装置１１は、ＣＰＵ、ＲＯＭ、ＲＡＭなどを備えたコンピュータからなる。

本実施形態において、このエレベータ制御装置１１には、ＣＰＵ２１、通信制御部２２、一時保存ＲＡＭ２３、第１の不揮発性メモリ２４、第２の不揮発性メモリ２５、実行制御用ＲＡＭ２６が設けられている。

ＣＰＵ２１は、本装置全体の制御を行うものであり、エレベータ１０の運転制御を行うと共に、ここではソフトウェアの更新制御を行う。通信制御部２２は、通信ネットワーク１２を介してサーバ１３との間でデータの通信制御を行う。

一時保存ＲＡＭ２３は、サーバ１３から通信制御部２２を介して受信した更新用ソフトウェアを一時的に保存するための一時保存用メモリとして用いられる。不揮発性メモリ２４，２５は、更新処理用のメモリであり、一時保存ＲＡＭ２３から読み出された更新用ソフトウェアがタイミングをずらして書き込まれる。このような更新処理用のメモリを２つ用意しておくことで、更新途中での異常発生に対処できるようにしている。

実行制御用ＲＡＭ２６は、エレベータ起動時に使用するソフトウェアを記憶している。このソフトウェアは、第１の不揮発性メモリ２４または第２の不揮発性メモリ２５から与えられる更新用のソフトウェアによって更新される。

次に、同実施形態の動作について、（ａ）データ受信時の動作と、（ｂ）再起動時の動作に分けて説明する。なお、以下の各フローチャートで示される処理は、マイクロコンピュータであるＣＰＵ２１が所定のプログラムを読み込むことにより、そのプログラムに記述された手順に従って実行される。

（ａ）データ受信時
図２は同実施形態におけるデータ受信時の処理動作を説明するためのフローチャートである。

今、サーバ１３から更新用ソフトウェア（ＳＷ）が通信ネットワーク１２を介して通信制御部２２に送られて来たとする。エレベータ制御装置１１では、その更新用ソフトウェアを通信制御部２２を通じて受信すると（ステップＡ１１）、一時保存ＲＡＭ２３に送って一時的に記憶する（ステップＡ１２）。

ここで、ＣＰＵ２１は、一時保存ＲＡＭ２３に記憶された更新用ソフトウェアを読み出し、第１の不揮発性メモリ２４に書き込んでいく（ステップＡ１３）。書き込みが終了したら（ステップＡ１４のＹｅｓ）、ＣＰＵ２１は第１の不揮発性メモリ２４のチェックサム計算を行い（ステップＡ１５）、その値を第１の不揮発性メモリ２４の所定の領域内に書き込んでおく（ステップＡ１６）。

なお、チェックサムの計算方法は、例えばＣＲＣ（cyclic redundancy check）計算や、排他的論理和を算出するなどの方法で実施するものとする。

続いて、ＣＰＵ２１は、一時保存ＲＡＭ２３に記憶された更新用ソフトウェアを第２の不揮発性メモリ２５に書き込んでいく（ステップＡ１７）。そして、書き込み終了後（ステップＡ１８のＹｅｓ）、上記同様にして、第２の不揮発性メモリ２５のチェックサム計算を行い（ステップＡ１９）、その値を第２の不揮発性メモリ２５の所定の領域内に書き込んでおく（ステップＡ１６）。

（ｂ）再起動時の動作
図３および図４は同実施形態における再起動時の処理動作を説明するためのフローチャートである。

第１の不揮発性メモリ２４と第２の不揮発性メモリ２５に対する更新用ソフトウェアの書き込みが終了したら、マイコンをリセットして再起動させるなどの手段を用いて、当該更新用ソフトウェアを実行制御用ＲＡＭ２６に読み込ませる。

ここで、再起動時に、ＣＰＵ２１は、第１の不揮発性メモリ２４に記憶された更新用ソフトウェア（以下、第１の更新用ソフトウェアと称す）の健全性を判断すると共に（ステップＢ１１）、第２の不揮発性メモリ２５に記憶された更新用ソフトウェア（以下、第２の更新用ソフトウェアと称す）の健全性を判断する（ステップＢ１２）。

具体的には、第１の不揮発性メモリ２４のチェックサムを算出することにより、第１の不揮発性メモリ２４の領域内に記憶されたチェックサム値と比較する。その結果、同じ値であれば、第１の不揮発性メモリ２４が記憶している第１の更新用ソフトウェアは健全であると判断する。

同様に、第２の不揮発性メモリ２５のチェックサムを算出することにより、第２の不揮発性メモリ２５の領域内に記憶されたチェックサム値と比較する。その結果、同じ値であれば、第２の不揮発性メモリ２５が記憶している第２の更新用ソフトウェアは健全であると判断する。

ここで、第１および第２の両方の更新用ソフトウェアが健全であると判断された場合は（ステップＢ１３のＹｅｓ）、ＣＰＵ２１は、第１の不揮発性メモリ２４から第１の更新用ソフトウェアを読み出し、これを実行制御用ＲＡＭ２６に転送してエレベータ１０を起動する（ステップＢ１４）。詳しくは、第１の更新用ソフトウェアにて現在使用中のソフトウェアを更新し、その更新後のソフトウェアを起動してエレベータ１０を運転制御する。

なお、両方の更新用ソフトウェアが健全である場合には、第２の不揮発性メモリ２５に記憶された第２の更新用ソフトウェアを実行制御用ＲＡＭ２６に転送してエレベータ１０を起動しても良い。

一方、第１の不揮発性メモリ２４から算出した第１の更新用ソフトウェアのチェックサム値と第１の不揮発性メモリ２４内に記憶されているチェックサム値が不一致であり、第２の不揮発性メモリ２５から算出した第１の更新用ソフトウェアのチェックサム値と第２の不揮発性メモリ２５に記憶されているチェックサム値が一致した場合には（ステップＢ１５のＹｅｓ）、第１の不揮発性メモリ２４に書き込まれた第１の更新用ソフトウェアに異常が生じているものと判断される。

この場合、ＣＰＵ２１は、第２の不揮発性メモリ２５に記憶されている第２の更新用ソフトウェアを第１の不揮発性メモリ２４に書き込み（ステップＢ１６）、第１の不揮発性メモリ２４に記憶されたチェックサム値を第２の不揮発性メモリ２５に記憶されたチェックサム値で更新する（ステップＢ１７）。そして、第２の不揮発性メモリ２５から第２の更新用ソフトウェアを読み出し、これを実行制御用ＲＡＭ２６に転送する（ステップＢ１８）。

逆に、第２の不揮発性メモリ２５から算出した第２の更新用ソフトウェアのチェックサム値と第２の不揮発性メモリ２５内に記憶されているチェックサム値が不一致であり、第１の不揮発性メモリ２４から算出された第２の更新用ソフトウェアのチェックサムと第１の不揮発性メモリ２４内に格納されているチェックサム値が一致した場合には（ステップＢ１９のＹｅｓ）、第２の不揮発性メモリ２５に書き込まれた第２の更新用ソフトウェアに異常が生じているものと判断される。

この場合、ＣＰＵ２１は、第１の不揮発性メモリ２４に記憶されている第１の更新用ソフトウェアを第２の不揮発性メモリ２５に書き込み（ステップＢ２０）、第２の不揮発性メモリ２５に記憶されたチェックサム値を第１の不揮発性メモリ２４に記憶されたチェックサム値で更新する（ステップＢ２１）。そして、第１の不揮発性メモリ２４から第２の更新用ソフトウェアを読み出し、これを実行制御用ＲＡＭ２６に転送する（ステップＢ２２）。

一方、第１および第２の不揮発性メモリ２４，２５の両方の更新用ソフトウェアが異常であると判断された場合には（ステップＢ１９のＮｏ）、ＣＰＵ２１は、直ちに更新処理を中止し（ステップＢ２３）、エレベータ１０を起動せずに停止状態を保持する（ステップＢ２４）。その際、更新中に異常が発生した旨をサーバ１３に報知しておく。

このように、２つの不揮発性メモリ２４，２５を更新処理用として備えておき、それぞれに書き込まれた更新用ソフトウェアの健全性をチェックして、正常な更新用ソフトウェアを実行制御用ＲＡＭ２６に転送する。これにより、ソフトウェア更新中に、何らかの異常が発生した場合、例えば停電などが発生した場合でも、第２の不揮発性メモリ２５の書き込み前、もしくは、第１の不揮発性メモリ２４の書き込み後であれば、どちらか一方の更新用ソフトウェアを確実に確保できる。従って、人手による復旧作業を必要とせずに、ソフトウェア更新作業を終了することが可能となる。

また、第１および第２の両方の更新用ソフトウェアに異常が生じ、更新処理が失敗した場合には、エレベータ１０を起動せずに停止させておくことで、異常ソフトによる運転を回避して安全性を確保できる。

（第２の実施形態）
次に、本発明の第２の実施形態について説明する。
第２の実施形態では、一時保存ＲＡＭ２３から不揮発性メモリ２４，２５への更新用ソフトウェアの書き込み時に異常を検出するようにしたものである。

なお、装置構成については、上記第１の実施形態における図１と同様であるため、ここでは、その処理動作についてのみ説明する。

図５は第２の実施形態における書き込み判断処理を説明するためのフローチャートである。この書き込み判断処理は、図２に示したデータ受信時に更新用ソフトウェアを不揮発性メモリ２４，２５に書き込むときに実行される。

まず、ステップＡ１２において、サーバ１３から受信した更新用ソフトウェアを一時保存ＲＡＭ２３に記憶した際に、その更新用ソフトウェアに対するチェックサム値を算出しておき、これを一時保存ＲＡＭ２３内の所定の領域に記憶しておく。

ここで、一時保存ＲＡＭ２３から第１の不揮発性メモリ２４への更新用ソフトウェアの書き込み動作が終了したときに、ＣＰＵ２１は、一時保存ＲＡＭ２３内のチェックサム値と第１の不揮発性メモリ２４内のチェックサム値とを比較する（ステップＣ１１）。その結果、両者が一致すれば（ステップＣ１２のＹｅｓ）、ＣＰＵ２１は、書き込み動作が正常になされたものと判断して、以後の処理を続ける。

一方、両者が一致しない場合（ステップＣ１２のＮｏ）、ＣＰＵ２１は、書き込み動作が正常に行われなかったものと判断し、更新用ソフトウェアの書き込み動作を再度実行する（ステップＣ１４）。この場合、実行制御用ＲＡＭ２６に再書き込みの制限回数が設定されており、その制限回数以内であれば（ステップＣ１３のＮｏ）、再書き込み動作を繰り返し行うものとする。

ここで、上記制限回数に達しても両者のチェックサム値が一致しなかった場合には（ステップＣ１３のＹｅｓ）、ＣＰＵ２１は、更新用ソフトウェアの書き込み動作を中止し（ステップＣ１５）、実行制御用ＲＡＭ２６内に保存されているソフトウェア（つまり、更新前のソフトウェア）をそのまま使用してエレベータ１０を起動する（ステップＣ１６）。なお、書き込み異常を検出した場合にその旨をサーバ１３に報知しておく。

また、一時保存ＲＡＭ２３から第２の不揮発性メモリ２５への更新用ソフトウェアの書き込みを行ったときも同様である。

すなわち、更新用ソフトウェアの書き込み動作が終了したときに、ＣＰＵ２１は、一時保存ＲＡＭ２３内のチェックサム値と第２の不揮発性メモリ２５内のチェックサム値とを比較し、両者が一致しない場合に再書き込みを行う。そして、上記制限回数に達しても一致しなかった場合には更新用ソフトウェアの書き込み動作を中止して、実行制御用ＲＡＭ２６内に保存されているソフトウェア（更新前のソフトウェア）をそのまま使用してエレベータ１０を起動する。

このように、一時保存ＲＡＭ２３から不揮発性メモリ２４，２５への更新用ソフトウェアの書き込み時に異常を判断した場合には、更新処理を中止して、現在のソフトウェアを使用してエレベータ１０を起動する。これにより、更新異常でエレベータ１０を起動できない状態を防ぐことができる。

なお、上記各実施形態では、エレベータ１０の運転制御に用いられるソフトウェアを更新する場合を想定して説明したが、各物件毎に設定された制御データを更新する場合も同様である。この制御データは、例えば各物件で仕様が異なるドアの開閉制御のデータなどを含む。

要するに、本発明は上記各実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記各実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の形態を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を省略してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。

図１は本発明の第１の実施形態に係るエレベータの制御装置の構成を示す図である。図２は同実施形態におけるデータ受信時の処理動作を説明するためのフローチャートである。図３は同実施形態における再起動時の処理動作を説明するためのフローチャートである。図４は同実施形態における再起動時の処理動作を説明するためのフローチャートである。図５は第２の実施形態における書き込み判断処理を説明するためのフローチャートである。

符号の説明

１０…エレベータ、１１…エレベータ制御装置、１２…通信ネットワーク、１３…サーバ、２１…ＣＰＵ、２２…通信制御部、２３…一時保存ＲＡＭ、２４…第１の不揮発性メモリ、２５…第２の不揮発性メモリ、２６…実行制御用ＲＡＭ。

Claims

一時保存用メモリと、第１および第２の更新処理用メモリと、実行制御用メモリとを備えたエレベータの制御装置において、
サーバから通信ネットワークを介して受信した更新用データを上記一時保存用メモリに一時的に記憶した後、上記一時保存用メモリに記憶された更新用データを第１および第２の更新処理用メモリにタイミングをずらして書き込むデータ書込み手段と、
このデータ書込み手段によって第１および第２の更新処理用メモリのそれぞれに書き込まれた更新用データの健全性を判断する健全性判断手段と、
この健全性判断手段によって正常であると判断された更新処理用メモリ内の更新用データを上記実行制御用メモリに転送してエレベータを起動する更新制御手段と
を具備したことを特徴とするエレベータの制御装置。
上記更新制御手段は、上記健全性判断手段によって上記第１および第２の更新処理用メモリの両方の更新用データが異常であると判断された場合には、更新処理を中止すると共にエレベータの停止状態を保持することを特徴とする請求項１記載のエレベータの制御装置
上記データ書込み手段による更新用データの書き込み動作の異常を検出する書き込み異常検出手段を備え、
上記更新制御手段は、上記書き込み異常検出手段によって異常が検出された場合に、上記更新データの書き込み動作を中止し、上記実行制御用メモリに保存されている更新前のデータを使用してエレベータを起動することを特徴とする請求項１記載のエレベータの制御装置。
上記更新制御手段は、上記書き込み異常検出手段によって異常が検出された場合に、上記データ書込み手段に再書き込みを行わせ、所定回数に達しても異常が検出される場合に、上記更新データの書き込み動作を中止し、上記実行制御用メモリに保存されている更新前のデータを使用してエレベータを起動することを特徴とする請求項３記載のエレベータの制御装置。
上記更新用データは、エレベータの運転制御用のソフトウェアを含むことを特徴とする請求項１記載のエレベータの制御装置。
上記更新用データは、各物件毎に設定される制御データを含むことを特徴とする請求項１記載のエレベータの制御装置。