JP2012224448A - エレベータの安全保護装置 - Google Patents

Abstract

【課題】エレベータに対する安全性及び信頼性を確実に維持することができるエレベータの安全保護装置を提供する。
【解決手段】エレベータの安全装置に関わる機器に対する制御信号をソフトウエアに基づいて出力する処理手段２と、処理手段２の機能及び機器の機能に関する定期点検が一定期間実施されていない場合又はソフトウエアが改ざんされた場合に、機器の動作が安全側故障時の動作となるように制御信号の出力状態を制御する制御手段４と、安全側故障時の動作となるように制御信号の出力状態を制御する制御手段４を監視する監視手段４と、を備えた。
【選択図】図１

Description

この発明は、エレベータの安全保護装置に関するものである。

近年のエレベータには、電子系機器で構成された電子安全装置が設けられる。この電子安全装置は、基板等の装置を見ただけでは、どの部分が故障しているのかが分かり難い。その上、電子安全装置においては、故障が潜在化する可能性が機械系安全装置よりも高い。

そのため、ＩＥＣ６１５０８という「電気・電子・プログラマル電子安全関連系の機能安全」に関する国際規格が制定されている。この規格では、設計から保守、廃棄に至るプロセスや考え方まで細かく規定されている。

ＩＥＣ６１５０８においては、電子安全装置は、安全度水準という基準で１〜４の水準にランク分けされる。これらの水準を維持するためには、定期的な保守や自己診断による電子安全装置の機能試験（機能確認）が必要であることも規定されている。

また、電子安全装置は、マイコンを使用することが前提である。このため、認証時と違うソフトウエアで電子安全装置を動作させてはならないという規定もある。

これに対し、メンテナンス装置を利用して制御盤から各種メンテナンス情報を読み出す際に、通信許可フラグを設定することでセキュリティを確保するものが提案されている（例えば、特許文献１参照）。

特開２００２−０６０１５６号公報

これらの情報に基づいて、エレベータの制御用ソフトウエアの書き換え等、定期的な点検が行われる。この点検により、エレベータに対する安全性及び信頼性が維持される。

しかしながら、定期的な点検を怠ると、特に電子安全装置においては、エレベータに対する安全性及び信頼性が低下する。

この発明は、上述のような課題を解決するためになされたもので、その目的は、エレベータに対する安全性及び信頼性を確実に維持することができるエレベータの安全保護装置を提供することである。

この発明に係るエレベータの安全保護装置は、エレベータの安全装置に関わる機器に対する制御信号をソフトウエアに基づいて出力する処理手段と、前記処理手段の機能及び前記機器の機能に関する定期点検が一定期間実施されていない場合又は前記ソフトウエアが改ざんされた場合に、前記機器の動作が安全側故障時の動作となるように前記制御信号の出力状態を制御する制御手段と、安全側故障時の動作となるように前記制御信号の出力状態を制御する前記制御手段を監視する監視手段と、を備えたものである。

この発明によれば、エレベータに対する安全性及び信頼性を確実に維持することができる。

この発明の実施の形態１におけるエレベータの安全保護装置の構成図である。 この発明の実施の形態２におけるエレベータの安全保護装置の構成図である。 この発明の実施の形態３におけるエレベータの安全保護装置の構成図である。

この発明を実施するための形態について添付の図面に従って説明する。なお、各図中、同一又は相当する部分には同一の符号を付しており、その重複説明は適宜に簡略化ないし省略する。

実施の形態１．
図１はこの発明の実施の形態１におけるエレベータの安全保護装置の構成図である。

エレベータには、安全保護装置を含んだ電子安全装置が設けられる。電子安全装置は、入力部１、メインＣＰＵ２、出力部３、監視ＣＰＵ４を備える。入力部１には、エレベータの各センサからのセンサ信号等の各種外部信号が入力される。メインＣＰＵ２は、処理手段として、ソフトウエアを用いて、各種外部信号に基づいて、エレベータの機器（図示せず）に対する制御信号を生成する。出力部３は、制御信号をエレベータの機器に対して出力する。

本実施の形態においては、電子安全装置の安全度水準維持や機能維持に関する点検が正しく実施された場合、メインＣＰＵ２の内部又は外部のメモリ（図示せず）に、正しく点検されたという保守情報が時刻とともに記憶される。メインＣＰＵ２は、通信ラインやデュアルポートＲＡＭ等を介して監視ＣＰＵ４に保守情報を出力する。

監視ＣＰＵ４は、監視手段として、保守情報とソフトウエアのＣＲＣ情報を常時監視する。監視ＣＰＵ４は、前回の点検時から今回の点検時までの期間データ及びＣＲＣ情報を内部で蓄積する。この際、監視ＣＰＵ４は、前回の点検から一定期間継続して保守情報が入力されない場合や異なったＣＲＣ情報を受信した場合は、強制的にメインＣＰＵ２のソフトウエアを消去する。

この場合、メインＣＰＵ２は、外部ウォッチドッグタイマＩＣ（図示せず）等のリセットＩＣにより継続的にリセット状態が保持される。このため、メインＣＰＵ２は、出力部３に制御信号を出力しない。

ここで、電子安全装置は、フェールセーフの考え方で設計される。このため、出力部３から制御信号が出力されていない場合、対応した機器は、安全側故障として動作する。このため、エレベータは、安全状態を維持する。

以上で説明した実施の形態１によれば、なんらかの理由で、電子安全装置の機能等に関する定期点検が一定期間実施されていない場合や保守契約を結んでいない場合に、制御信号を生成する際に利用されるソフトウエアが消去される。これにより、制御信号が出力されなくなる。このため、対応した機器の動作は安全側故障時の動作となる。すなわち、万が一、正しく定期点検が実施されなかったとしても、エレベータが不安全状態に至ることはない。これにより、エレベータに対する安全性及び信頼性を維持することができる。

実施の形態２．
図２はこの発明の実施の形態２におけるエレベータの安全保護装置の構成図である。なお、実施の形態１と同一又は相当部分には同一符号を付して説明を省略する。

図２において、電子安全装置は、基板（図示せず）上に設けられる。５はメモリである。メモリ５は、メインＣＰＵ２の各種データを保存する機能を備える。メモリ５は、バスライン６を介してメインＣＰＵ２に接続される。７は絶縁型バッファである。絶縁型バッファ７は、メインＣＰＵ２との間で信号を絶縁して送受信する機能を備える。

８はＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）である。ＦＰＧＡ８は、カスタムＩＣとして、絶縁型バッファ７を介してメインＣＰＵ２と通信する機能を備える。９は電源である。電源９の出力の一つは、ＦＰＧＡ８に接続される。

１０はレギュレータ１０である。レギュレータ１０の入力は、電源９の出力の一つと接続される。レギュレータ１０の出力の一方は、メインＣＰＵ２に接続される。レギュレータ１０の出力の他方は、メモリ５に接続される。１１はトランジスタである。トランジスタ１１は、電源９とレギュレータ１０との間に接続される。トランジスタ１１の制御端子は、ＦＰＧＡ８の出力に接続される。

１２はリレーコイルである。リレーコイル１２の一端は、レギュレータ１０とトランジスタ１１との間の配線に接続される。リレーコイル１２の他端は、基板のグランド１３に接続される。１４はリレーコイル１２のメーク接点である。メーク接点１４は、電源９の出力と基板のグランド１５との間に接続される。１６はトランジスタである。トランジスタ１６は、リレーコイル１２と基板のグランド１３との間に接続される。

本実施の形態においては、定期的な機能点検が正しく実施された場合、メインＣＰＵ２から点検実施に関する情報がＦＰＧＡ８に送信される。当該情報は、ＦＰＧＡ８内部又は外部メモリ（図示せず）に記録される。この後、ＦＰＧＡ８は、当該情報に基づいて機能点検の実施状況を内部で判断する。

万が一、定期的な機能点検が実施されなかった場合は、ＦＰＧＡ８は、トランジスタ１１へＯＦＦ指令を出力する。このＯＦＦ指令により、トランジスタ１１がＯＦＦ状態となる。これにより、電源９とレギュレータ１０とが切り離される。これにより、レギュレータ１０への電力供給が遮断される。

この遮断により、レギュレータ１０からメインＣＰＵ２への電力供給が遮断される。これにより、出力部３からの制御信号の出力が遮断される。これにより、実施の形態１と同様に、対応した機器は、安全側故障として動作する。このため、エレベータは、安全状態を維持する。

次に、違法な流用品や模造品等が電子安全装置に接続された場合を考える。この場合、模造品等は、基板の認証ＩＣ（図示せず）やＩＤデータの通信（図示せず）等で検出される。この検出結果は、メインＣＰＵ２からＦＰＧＡ８に送信される。このとき、ＦＰＧＡ８は、トランジスタ１６へＯＮ指令を出力する。

このＯＮ指令により、トランジスタ１６がＯＮ状態となる。これにより、リレーコイル１２が励磁される。この励磁により、メーク接点１４がＯＮとなる。これにより、電源９の出力が短絡する。この短絡により、基板が破壊される。この破壊により、基板は物理的に使用できない状態となる。

以上で説明した実施の形態２によれば、電子安全装置の機能点検が一定期間継続して実施されていない場合に、メインＣＰＵ２への電力供給が遮断される。この遮断により、制御信号が出力されなくなる。これにより、機器の動作は安全側故障時の動作となる。このため、エレベータに対する安全性及び信頼性を維持することができる。

また、模造品等が電子安全装置に接続された場合は、基板が破壊される。これにより、基板は二度と使えなくなる。このため、悪質な模造品対策にもなり得る。

また、カスタムＩＣの処理によって、エレベータに対する安全性及び信頼性が維持される。このため、万が一、カスタムＩＣが模造された場合、エレベータに対する安全性及び信頼性を維持する機能も模造される。すなわち、模造品においても、正規品と同等に、エレベータに対する安全性及び信頼性を維持することができる。

なお、カスタムＩＣをＦＰＧＡ８に限定する必要はない。例えば、カスタムＩＣとして、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）やＣＰＬＤ（Ｃｏｍｌｅｘ Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ）を利用してもよい。

実施の形態３．
図３はこの発明の実施の形態３におけるエレベータの安全保護装置の構成図である。なお、実施の形態１又は２と同一又は相当部分には同一符号を付して説明を省略する。

図３において、１７ａ、１７ｂは過電圧保護用のダイオードである。ダイオード１７ａは、電源とＣＰＵ２との間に接続される。ダイオード１７ｂは、電源とメモリ５との間に接続される。１８はＣＰＬＤ（Ｃｏｍｌｅｘ Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ）である。ＣＰＬＤ１８は、フォトカプラ１９を介してメインＣＰＵ２からの信号を受信する機能を備える。

２０はリレーコイルである。リレーコイル２０は、電源２１と基板のグランド２２との間に接続される。２３はＦＥＴ（Ｆｉｅｌｄ Ｅｆｆｅｃｔ Ｔｒａｎｓｉｓｔｏｒ）である。ＦＥＴ２３は、リレーコイル２０とグランド２２との間に接続される。ＦＥＴ２３の制御端子は、ＣＰＬＤ１８に接続される。

２４はセーフティリレーである。セーフティリレー２４は、電源２１と基板のグランド２５との間に接続される。２６はＦＥＴ（Ｆｉｅｌｄ Ｅｆｆｅｃｔ Ｔｒａｎｓｉｓｔｏｒ）である。ＦＥＴ２６は、セーフティリレー２４とグランド２５との間に接続される。ＦＥＴ２６の制御端子は、ＣＰＬＤ１８に接続される。

２７はリレーコイル２０の接点である。接点２７の一方は、セーフティリレー２４と並列に接続される。接点２７の他方は、接点２７の一方よりもメインＣＰＵ２とメモリ５側で、電源２１とメインＣＰＵ２及びメモリ５とを接続する配線上に設けられる。

２８はセーフティリレー２４の接点である。これらの接点２８においては、メーク接点とクローズ接点とが強制ガイドで接続される。２９はフォトカプラである。フォトカプラ２９の一側には、発光ダイオードが配置される。発光ダイオードは、両接点２８間に接続される。フォトカプラ２９は、メインＣＰＵ２から出力部３をドライブするための信号を絶縁する機能を備える。

本実施の形態においては、正常時は、セーフティリレー２４は無励磁である。このため、接点２８のブレーク接点は閉じている。これに対し、接点２８のメーク接点は開いている。このため、図３に示すように、フォトカプラ２９の発光ダイオードにアノード側には、電源が接続される。これに対し、フォトカプラ２９の発光ダイオードのカソード側には、メインＣＰＵ２からのドライブ信号線が接続される。

一方、電子安全装置に関する定期的な機能点検が実施されなかった場合や模造品等が本電子安全装置に接続された場合は、基板の認証ＩＣ（図示せず）やＩＤデータの通信（図示せず）等により検出される。また、ソフトウエアの改ざんが検出される場合もある。

これらの場合、メインＣＰＵ２は、フォトカプラ１９を介してＣＰＬＤ１８に通信信号を出力する。この場合、ＣＰＬＤ１８は、ＦＥＴ２６にＯＮ指令を出力する。このＯＮ指令により、ＦＥＴ２６がＯＮ状態となる。これにより、セーフティリレー２４が励磁される。この励磁により、接点２８が動作する。

この際、接点２８は、強制ガイドにより連動する。この連動により、接点２８のブレーク接点は開く。これに対し、接点２８のメーク接点は閉じる。その結果、フォトカプラ２９のダイオードのカソード側は、メインＣＰＵ２のドライブ信号から切り離され、電源に接続される。これに対し、フォトカプラ２９のアノード側は、電源から切り離され、グランドと接続される。

このため、フォトカプラ２９のダイオードに強制的に過剰な逆電圧がかかる。この逆電圧により、フォトカプラ２９のダイオードが破壊する。この破壊により、フォトカプラ１９は、メインＣＰＵ２からドライブすることができなくなる。すなわち、出力部３は、制御信号を出力しなくなる。このため、エレベータは、安全状態を維持する。

なお、セーフティリレー２４への励磁は、継続的にする必要はない。すなわち、セーフティリレー２４は、一瞬励磁された後すぐに無励磁状態に戻される。

一方、ＣＰＬＤ１８がＦＥＴ２３にＯＮ指令を出力した場合は、ＦＥＴ２３がＯＮ状態となる。これにより、リレーコイル２０が励磁される。この励磁により、接点２７が閉じる。これにより、メインＣＰＵ２やメモリ５の電源ピンにのみ、過電圧であるコイル励磁用の電源２１が接続される。この接続により、メインＣＰＵ２やメモリ５が破壊される。この破壊により、出力部３には、制御信号が出力されなくなる。この場合も、エレベータは、安全状態を維持する。

この状態で、ＣＰＬＤ１８がＦＥＴ２６をＯＮにすれば、強制的に電源２１が短絡する。この短絡により、基板全体が破壊される。

以上で説明した実施の形態３によれば、電子安全装置の機能点検が一定期間継続して実施されていない場合等に、メインＣＰＵ２等、特定のデバイスのみが破壊される。これにより、制御信号が出力されなくなる。このため、機器の動作は安全側故障時の動作となる。このため、エレベータに対する安全性及び信頼性を維持することができる。

なお、実施の形態１〜３においては、メインＣＰＵ２は単一系であった。しかしながら、メインＣＰＵ２を二重系で相互監視するようにしてもよい。この場合、エレベータに対する安全性及び信頼性をより確実に維持することができる。

１ 入力部
２ メインＣＰＵ
３ 出力部
４ 監視ＣＰＵ
５ メモリ
６ バスライン
７ 絶縁型バッファ
８ ＦＰＧＡ
９ 電源
１０ レギュレータ
１１ トランジスタ
１２ リレーコイル
１３ グランド
１４ メーク接点
１５ グランド
１６ トランジスタ
１７ａ、１７ｂ ダイオード
１８ ＣＰＬＤ
１９ フォトカプラ
２０ リレーコイル
２１ 電源
２２ グランド
２３ ＦＥＴ
２４ セーフティリレー
２５ グランド
２６ ＦＥＴ
２７ 接点
２８ 接点
２９ フォトカプラ

Claims (7)

1. エレベータの安全装置に関わる機器に対する制御信号をソフトウエアに基づいて出力する処理手段と、
   前記処理手段の機能及び前記機器の機能に関する定期点検が一定期間実施されていない場合又は前記ソフトウエアが改ざんされた場合に、前記機器の動作が安全側故障時の動作となるように前記制御信号の出力状態を制御する制御手段と、
   安全側故障時の動作となるように前記制御信号の出力状態を制御する前記制御手段を監視する監視手段と、
   を備えたことを特徴とするエレベータの安全保護装置。
2. 前記処理手段は、前記ソフトウエアが消去された場合に前記機器の動作が安全側故障時の動作となる制御信号を前記機器に対して出力するように設けられ、
   前記監視手段は、前記点検が一定期間継続して実施されていない場合に、前記ソフトウエアを消去することを特徴とする請求項１記載のエレベータの安全保護装置。
3. 前記処理手段に電力を供給する電源、
   を備え、
   前記処理手段は、前記電源から切り離された場合に前記機器の動作が安全側故障時の動作となる制御信号を前記機器に対して出力するように設けられ、
   前記監視手段は、前記点検が一定期間継続して実施されていない場合又は前記ソフトウエアが改ざんされた場合に、前記電源から前記処理手段を切り離すことを特徴とする請求項１記載のエレベータの安全保護装置。
4. 前記処理手段に電力を供給する電源と、
   前記処理手段と前記電源とが搭載された基板と、
   を備え、
   前記処理手段は、前記基板を破壊した場合に前記機器の動作が安全側故障時の動作となる制御信号を前記機器に対して出力するように設けられ、
   前記監視手段は、前記点検が一定期間継続して実施されていない場合又は前記ソフトウエアが改ざんされた場合に、前記電源の出力を前記基板に短絡して前記基板を破壊することを特徴とする請求項１記載のエレベータの安全保護装置。
5. 前記処理手段は、破壊した場合に前記機器の動作が安全側故障時の動作となる制御信号を前記機器に対して出力するように設けられ、
   前記監視手段は、前記機器の機能に関する点検が一定期間継続して実施されていない場合又は前記ソフトウエアが改ざんされた場合に、前記処理手段を破壊することを特徴とする請求項１記載のエレベータの安全保護装置。
6. 前記制御信号の出力状態に影響を及ぼすデバイス、
   を備え、
   前記処理手段は、前記デバイスを破壊した場合に前記機器の動作が安全側故障時の動作となる制御信号を前記機器に対して出力するように設けられ、
   前記監視手段は、前記機器の機能に関する点検が一定期間継続して実施されていない場合又は前記ソフトウエアが改ざんされた場合に、前記デバイスを破壊することを特徴とする請求項１記載のエレベータの安全保護装置。
7. 前記処理手段は、二重系の相互監視を行うように設けられたことを特徴とする請求項１〜請求項６のいずれかに記載のエレベータの安全保護装置。

Images