JP4475593B2 - エレベータ制御装置 - Google Patents

Description

本発明は、複数の制御系を備えた多重冗長構造のエレベータ制御装置に関するものである。

例えば、特開２０００−２５５４３１号公報に示された鉄道用保安制御装置における多重冗長構造では、複数の制御系によりフェイルセーフ機能を確保して信頼性を向上させることが可能となっている。各制御系は、共有メモリを用いて、現場機器との間の信号の入出力結果について、自系統と他系統との照合を行い、データが一致しない場合は故障であるとして鉄道の走行を停止するものである。
具体的には、ある入力接点信号に対して、自系統（以下、Ａ系と呼ぶ）の入力結果と他系統（以下、Ｂ系と呼ぶ）の入力結果とは次のようにして照合される。Ａ系コントローラは、Ａ系入力ユニットから入力接点信号を読み取るとともに、読み取り結果を共有メモリに書き込む。一方、Ｂ系コントローラも同様にして、Ｂ系入力ユニットから入力接点信号を読み取るとともに、読み取り結果を共有メモリに書き込む。
Ａ系コントローラは、Ｂ系コントローラが書き込んだ結果を共有メモリから読み取り、Ａ系入力ユニットから読み取った自らの入力結果と照合することにより、自系統と他系統との入力結果の照合を行っている。
しかしながら、従来技術には次のような問題点がある。従来の多重冗長構造において、自系統のコントローラが他系統の入力結果を得るに当たっては、他系統のコントローラによって共有メモリに書き込まれた他系統による読み取り結果を読み取っている。このような構成においては、多重系を実現するための回路構成が複雑になる。さらに、これに伴ってデータ処理も複雑となり、動作速度が遅くなる、あるいは読み取り結果が遅延するといった問題が起こる。さらに、専用のハードウェアが必要になり装置が高価になるといった問題があった。
また、従来の多重冗長構造において、各制御系はリレー回路による接点信号を読み取り、そのＯＮ／ＯＦＦ状態の照合確認を行うものである。しかし、例えば信号検出手段としてエンコーダを用いた場合には、連続してＯＮ／ＯＦＦする信号が各制御系に入力されることとなり、従来の各制御系ではこのような入力信号のカウント結果の照合確認を行うことはできないという問題があった。

本発明は上述のような課題を解決するためになされたもので、連続してＯＮ／ＯＦＦする入力信号に対しても、多重系による照合確認を容易に行えるエレベータ制御装置を得ることを目的とする。
本発明に係るエレベータ制御装置は、演算処理装置を個別に有する２系統以上の制御系と、各制御系の演算処理装置の同期をとるための外部クロック発生手段と、各制御系の演算処理装置間で相互に読み書きが可能な共有メモリとを備え、各制御系の演算処理装置は、エレベータ制御に使用するパルス列信号を入力信号として取り込む際に、自系統の検出手段を用いて検出したパルス列信号と、他系統の検出手段を用いて検出したパルス列信号とをともに入力信号として取り込み、両入力信号のパルス数をカウントした結果の差分があらかじめ決められた入力信号許容誤差範囲内のときは、あらかじめ決められた制御系の検出手段からの入力信号を用いてエレベータ制御に必要な演算処理を実行して演算結果を前記共有メモリに書き込み、さらに共有メモリから他系統の演算結果を読み込み自系統の演算結果との差分を求め、両演算結果の差分があらかじめ決められた演算結果許容誤差範囲内のときは、全制御系が正常状態であると判断してエレベータの制御動作を許可する制御動作許可指令を出力し、両入力信号の差分が入力信号許容誤差範囲外のとき、または両演算結果の差分が演算結果許容誤差範囲外のときには、いずれかの制御系が異常状態であると判断してエレベータの制御動作を停止させる制御動作停止指令を出力するものである。

図１は、本発明の実施の形態１に係るエレベータ制御装置の制御系の冗長構造を示す図、
図２は、本発明の実施の形態１に係るエレベータ制御装置における制御系の正常状態判断を行う処理を示したフローチャート、
図３は、本発明の実施の形態２に係るエレベータ制御装置の制御系の冗長構造を示す図、
図４は、本発明の実施の形態２に係るエレベータ制御装置における制御系の正常状態判断を行う処理を示したフローチャートである。

以下、本発明の実施の形態を図面に基づいて説明する。
実施の形態１．
本発明の実施の形態１では、エレベータの制御が可能な制御系が、ａ制御系、ｂ制御系の２系統により構成される場合について説明する。
図１は、本発明の実施の形態１に係るエレベータ制御装置の制御系の冗長構造を示す図である。図１に示す各制御系は、演算処理装置であるマイクロコンピュータ（以下マイコンと呼ぶ）のみを記載した概略の構成となっており、図示しないが記憶部としてＲＯＭ、ＲＡＭを有している。また、エレベータの調速器の軸には、エレベータのかご位置・速度情報を得るためにエンコーダ等の検出器（図示せず）が取り付けられていて、ここでは、検出器からのパルス列の信号が、それぞれの制御系に対応した入力ユニット１ａ、１ｂに入力される場合を想定している。さらに、信頼性を向上する目的で、同一の信号を複数の検出手段で検出するために、各制御系に対して個別にエンコーダ等の検出器が取り付けられている。
入力ユニット１ａ、１ｂを介した検出器からの信号は、２系統のマイコン２ａ、２ｂの両方に入力される。マイコン２ａ、２ｂは、共通に設けられた外部クロック発生手段３により同期が取られ、入力処理及び演算処理を実行する。マイコン２ａ、２ｂは、パルス列である入力信号のパルス数をカウントするために、イベントカウンタレジスタ（図示せず）をそれぞれ有している。
この２系統のマイコン２ａ、２ｂには、外部の記憶手段として共通に設けられた共有メモリ４がつながれている。マイコン２ａ、２ｂは、それぞれバスを介して共有メモリ４に対してデータの読み書きを行うことができる。このような構成により、マイコン２ａ、２ｂは、他系統の演算結果を読み取ることができる。
それぞれのマイコン２ａ、２ｂは、両系統の入力信号及び両系統の演算結果を比較判断することにより、ａ制御系とｂ制御系とがともに正常な状態であるか否か、すなわち制御系が正常な状態であるか否かを判断できる。さらに、マイコン２ａ、２ｂは、その判断結果の信号をフォトカプラ５ａ、５ｂに出力することにより、リレーコイル６ａ、６ｂのＯＮ／ＯＦＦ状態を切り換えることができる。
リレーコイル６ａのリレー接点７ａ及びリレーコイル６ｂのリレー接点７ｂは、リレーコイル８とリレーコイル８の制御回路ライン９との間に直列に挿入されている。ここで、リレーコイル６ａ、６ｂ及びリレー接点７ａ、７ｂはリレー回路部に相当する。
リレーコイル８は、リレー接点７ａ、７ｂのいずれか１つでもＯＦＦ状態になると、励磁が切れる。したがって、図示していないが、例えばエレベータのモータブレーキ電源を遮断する回路にリレーコイル８のリレー接点を挿入することにより、マイコン２ａ、２ｂからの出力に基づいてモータにブレーキをかけることが可能となる。
次に、図２を用いて動作を詳細に説明する。図２は、本発明の実施の形態１に係るエレベータ制御装置における制御系の正常状態判断を行う処理を示したフローチャートである。ステップ番号の添字ａ、ｂは、それぞれａ制御系、ｂ制御系を表すものであり、基本的な処理は両系統で同一である。そこで、ａ制御系において制御系の正常状態を判断する場合を中心に説明する。
ａ制御系のマイコン２ａは、入力ユニット１ａを介して、エレベータの調速器の軸に取り付けられたエンコーダからの入力信号ＩＮａを取り込む。これとともに、ａ制御系のマイコン２ａは、入力ユニット１ｂを介して、エレベータの調速器の軸に取り付けられた別のエンコーダからの入力信号ＩＮｂもさらに取り込む（Ｓ２０１ａ）。
マイコン２ａは、イベントカウンタレジスタによりそれぞれの入力信号ＩＮａ、ＩＮｂのパルス数のカウント処理を行う（Ｓ２０２ａ）。さらに、マイコン２ａは、外部クロック発生手段３からのクロック信号に同期して、一定の演算周期でそのイベントカウンタレジスタのカウント値を読み出す。
マイコン２ａは、イベントカウンタレジスタから読み出した入力信号ＩＮａ、ＩＮｂに関するそれぞれのカウント値を照合する。具体的には、マイコン２ａは、両カウント値の差分を求め、差分値があらかじめ決められた入力信号許容誤差範囲内であるかを判断する（Ｓ２０３ａ）。
差分値が入力信号許容誤差範囲内であれば、マイコン２ａは、入力信号ＩＮａに基づくカウント値をマスタとして採用し、位置データ、速度データの演算処理を行う（Ｓ２０４ａ）。ここで、入力信号ＩＮａ、ＩＮｂに関するカウント値のどちらをマスタとして採用するかは、処理判断のルールとして、全てのマイコンに対してあらかじめ共通に定めておくものである。
本実施の形態１においては、入力信号ＩＮａに関するカウント値をマスタとするルールがあらかじめ定められていたことに相当する。さらにｂ制御系においても、ａ制御系と同様の処理が実行される。すなわち、差分値が入力信号許容誤差範囲内であれば（Ｓ２０３ｂ）、マイコン２ｂも、入力信号ＩＮａに基づくカウント値をマスタとして採用し、位置データ、速度データの演算処理を行うこととなる（Ｓ２０４ｂ）。
さらに、マイコン２ａは、算出した演算結果を共有メモリ４に書き込む（Ｓ２０５ａ）。同様に、マイコン２ｂも、算出した演算結果を共有メモリ４に書き込む（Ｓ２０５ｂ）。次に、マイコン２ａは、マイコン２ｂによって書き込まれたｂ制御系の演算結果を共有メモリ４から読み込む（Ｓ２０６ａ）。
マイコン２ａは、自己が算出したａ制御系の演算結果と、ｂ制御系によって算出された演算結果とを照合する。具体的には、マイコン２ａは、両演算結果の差分を求め、差分値があらかじめ決められた演算結果許容誤差範囲内であるかを判断する（Ｓ２０７ａ）。
差分値が演算結果許容誤差範囲内であれば、マイコン２ａは、ａ制御系とｂ制御系とがともに正常状態である、すなわち制御系が正常状態であると判断する。そして、マイコン２ａは、エレベータが通常走行できるように制御動作許可指令をフォトカプラ５ａに出力し（Ｓ２０８ａ）、その後、次の演算周期へと移行する。これにより、リレーコイル６ａは励磁され、リレー接点７ａはＯＮ状態となる。制御系が正常状態と判断される状態が続く限り、リレー接点７ａはＯＮ状態が保たれることとなる。
一方、マイコン２ａは、入力信号の差分値が入力信号許容誤差範囲外であると判断した場合（Ｓ２０３ａ）、または演算結果の差分値が演算結果許容誤差範囲外であると判断した場合（Ｓ２０７ａ）には、制御系が正常状態でないと判断する。さらに、マイコン２ａは、エレベータを停止させるために制御動作停止指令をフォトカプラ５ａに出力する（Ｓ２０９ａ）。これにより、リレーコイル６ａは励磁されなくなり、リレー接点７ａはＯＦＦ状態となる。
同様にして、マイコン２ｂがフォトカプラ５ｂに制御動作停止指令を出力すると（Ｓ２０９ｂ）、リレーコイル６ｂは励磁されなくなり、リレー接点７ｂはＯＦＦ状態となる。リレー接点７ａまたはリレー接点７ｂのどれか１つでもＯＦＦ状態となることにより、リレーコイル８は励磁されなくなる。これにより、マイコン２ａまたはマイコン２ｂからの制御動作停止指令の出力に連動して、エレベータのモータブレーキ電源が遮断されることとなる。
実施の形態１によれば、複数のマイコンのそれぞれは、制御系の正常状態を個別に判断でき、容易に多重冗長構造を構成することができる。複数のマイコンのそれぞれは、入力信号の照合結果が入力信号許容誤差範囲外であるか、または演算処理の照合結果が演算結果許容誤差範囲外であるかを判断する。そして、複数のマイコンのそれぞれは、それらの判断結果に基づいて制御動作停止指令を出力することにより、エレベータのモータブレーキを遮断して、エレベータを停止させることができる。
さらに、本実施の形態１に係るエレベータ制御装置は、複数のマイコンに共通の外部クロックと共有メモリとを有する単純なハードウェア構成を取っており、高価なＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔｓ）やＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）のような専用ハードウェアを使う必要が無い。さらに、この構成により、連続してＯＮ／ＯＦＦするパルス列の入力信号に対しても、多重系による照合確認を容易に行うことができ、その上、演算結果に対しても多重系による照合確認を容易に行うことができる。この結果、安価でかつ高い信頼性を有するエレベータ制御装置を得ることができる。
実施の形態２．
本発明の実施の形態２では、制御系の正常状態の判断をより厳格に行う構成について説明する。図３は、本発明の実施の形態２に係るエレベータ制御装置の制御系の冗長構造を示す図である。図１と比較すると、複数のマイコンからの指令出力を統括する出力ユニット１０と、リレーコイルの動作状態をマイコンにフィードバックするフィードバックリレー接点１１ａ、１１ｂとをさらに備えている点が異なっている。
出力ユニット１０は、マイコン２ａ、２ｂからのそれぞれの指令出力を取り込み、両指令出力の状態に基づいて、フォトカプラ５ａ、５ｂに対して同一の統括指令を出力するものである。また、フィードバックリレー接点１１ａ、１１ｂは、リレーコイル６ａ、６ｂの励磁によりＯＮ状態となるリレー接点７ａ、７ｂとは逆の論理で、リレーコイル６ａ、６ｂの励磁によりＯＦＦ状態となるものであり、フィードバックリレー接点１１ａ、１１ｂの状態がそれぞれのマイコン２ａ、２ｂに読み込まれる。ここで、リレーコイル６ａ、６ｂ、リレー接点７ａ、７ｂ及びフィードバックリレー接点１１ａ、１１ｂはリレー回路部に相当する。
出力ユニット１０及びフィードバックリレー接点１１ａ、１１ｂの詳細について、図４のフローチャートをもとに説明する。図４は、本発明の実施の形態２に係るエレベータ制御装置における制御系の正常状態判断を行う処理を示したフローチャートである。ステップ番号の添字ａ、ｂは、それぞれａ制御系、ｂ制御系を表すものであり、基本的な処理は両系統で同一である。そこで、ａ制御系において制御系の正常状態を判断する場合を中心に説明する。
また、マイコン２ａ、２ｂが制御動作許可指令または制御動作停止指令を出力するまでの処理は、図２のフローチャートと全く同一である。そこで、図２において図４に用いられる部分を「Ａ部」、「Ｂ部」と記載するとともに、図４においては図２と同一の処理を行う部分を「Ａ部」、「Ｂ部」と記載して詳細を省略している。マイコン２ａ、２ｂからの指令出力に基づくそれ以降の処理について、図４を用いて以下に説明する。
出力ユニット１０は、マイコン２ａ、２ｂからの指令出力を取り込み（Ｓ４０１）、両指令出力の論理が同一であるかを比較する（Ｓ４０２）。すなわち、制御動作許可指令の論理を１，制御動作停止指令の論理を０としたときに、両指令出力の論理が一致するか否かを判断することとなる。両指令出力の論理が一致している場合には、出力ユニット１０は、一致した指令出力を統括指令出力としてフォトカプラ５ａ、５ｂに出力する（Ｓ４０３）。
一方、両指令出力の論理が一致していない場合（Ｓ４０２）には、出力ユニット１０は、停止指令出力を統括指令出力としてフォトカプラ５ａ、５ｂに出力する（Ｓ４０４）。すなわち、出力ユニット１０は、マイコン２ａ、２ｂからの指令出力の少なくとも１つが制御動作停止指令であれば、フォトカプラ５ａ、５ｂに制御動作停止統括指令を出力することとなる。さらに、出力ユニット１０は、マイコン２ａ、２ｂからの指令出力の両方が制御動作許可指令であったときのみ、フォトカプラ５ａ、５ｂに制御動作許可統括指令を出力することとなる。
出力ユニット１０から出力される制御動作許可統括指令または制御動作停止統括指令に基づいて、リレーコイル６ａ、６ｂが動作する（Ｓ４０５）。すなわち、制御ユニット１０から制御動作許可統括指令が出力されると、リレーコイル６ａ、６ｂは励磁される状態となり、制御動作停止統括指令が出力されると、リレーコイル６ａ、６ｂは励磁されない状態となる。
リレー接点７ａ、７ｂは、実施の形態１において説明したように、リレーコイル６ａ、６ｂのそれぞれが励磁されることによりＯＮ状態となる接点である。本実施の形態２におけるフィードバックリレー接点１１ａ、１１ｂは、リレー接点７ａ、７ｂとは逆に、リレーコイル６ａ、６ｂのそれぞれが励磁されることによりＯＦＦ状態となる接点である。
マイコン２ａは、リレーコイル６ａのＯＮ／ＯＦＦ状態を、フィードバックリレー接点１１ａの状態を読み込むことにより検知できる（Ｓ４０６ａ）。さらに、マイコン２ａは、読み込んだフィードバックリレー接点の状態と、出力ユニット１０に対して出力した指令の状態とが一致するかを比較する（Ｓ４０７ａ）。
マイコン２ａは、両状態が一致すると判断した場合（Ｓ４０７ａ）には、制御系の正常状態が確保されていると判断し、その後、次の演算周期へと移行する。一方、マイコン２ａは、両状態が一致しないと判断した場合（Ｓ４０７ａ）には、制御系の正常状態が確保されていないと判断する。そして、マイコン２ａは、かごを停止させるために、エレベータ制御基板のＣＰＵとの通信手段を使って、エレベータ制御ＣＰＵにブレーキをかけるように異常信号を送信する（Ｓ４０８ａ）。
なお、図４のフローチャートを用いた上述の実施の形態２の説明では、ステップ番号Ｓ４０７ａにおいて不一致判断がなされた際に、マイコン２ａは、直ちにエレベータ制御ＣＰＵに異常信号を通信する場合を説明した。しかし、直ちに異常信号を送信する前に、マイコン２ａは、出力ユニット１０に対して制御動作停止指令を出力することも考えられる。すなわち、マイコン２ａからの制御動作停止指令に基づいて、エレベータのモータブレーキ電源を遮断できるリレーコイル８の励磁を切ることにより、エレベータを停止させることを試みる。
この際、マイコン２ａは、制御動作停止指令の出力とともに、フィードバックリレー接点１１ａの信号を読み取る。次に、マイコン２ａは、制御動作停止指令の出力に対応してフィードバックリレー接点１１ａの信号が正しくＯＮ状態として検知されたかを判断する。そして、マイコン２ａは、フィードバックリレー接点１１ａの信号がＯＦＦ状態、すなわち誤動作をしていると判断した場合には、先のステップ番号Ｓ４０８ａと同様に、かごを停止させるために、エレベータ制御基板のＣＰＵとの通信手段を使って、エレベータ制御ＣＰＵにブレーキをかけるように信号を送信する。
実施の形態２によれば、出力ユニット及びフィードバックリレー接点を活用することにより、複数のマイコンからの制御指令の整合性をより厳格にチェックできる。さらに、ハードウェア構成は、汎用のデバイス等で十分に実現できるものであり、コスト的にも安価である。この結果、安価でかつ高い信頼性を有するエレベータ制御装置を得ることができる。
以上のように本発明によれば、複数のマイコンに対して共通の外部クロックと共有メモリとを有する単純なハードウェア構成を取ることにより、連続してＯＮ／ＯＦＦするパルス列の入力信号に対しても、多重系による照合確認を容易に行うことができ、安価でかつ高い信頼性を有するエレベータ制御装置を得ることができる。
なお、マイコン２ａは、かごが停止しているときに限り、フィードバックリレー接点１１ａの動作確認を行うことができる。かごが停止している状態のときには、エレベータのモータブレーキ電源を遮断できるリレーコイル８のＯＮ／ＯＦＦ動作を行っても運転に支障がない。そこで、マイコン２ａは、動作確認用のダミー信号として制御動作許可指令または制御動作停止指令を出力し、その出力に対応する状態をフィードバックリレー接点１１ａから読み取ることにより、フィードバックリレー接点１１ａの動作確認を行うことができる。
また、本実施の形態２では、実施の形態１に対して出力ユニットとフィードバックリレー接点とを追加した構成を説明したが、実施の形態１に対して出力ユニットだけ、あるいはフィードバックリレー接点だけを追加した構成を取ることもできる。
また、実施の形態１、２では、エンコーダからのパルス列入力信号を許容誤差に基づいて照合する場合を説明したが、単にＯＮ／ＯＦＦ状態を検出する入力信号の一致／不一致を照合することも可能である。
また、図１及び図２において、リレーコイル６ａ、６ｂ、リレー接点７ａ、７ｂ、及びリレー接点フィードバック１１ａ、１１ｂとしては、セーフティリレーユニットを用いることができる。セーフティリレーユニットは、異常発生時に電源を確実に遮断するように動作するとともに、異常原因が取り除かれない限りは元の状態に復帰しない機能を有しているものである。これにより、より信頼性の高いエレベータ制御装置を実現できる。

Claims (4)

1. 演算処理装置を個別に有する２系統以上の制御系と、
   前記各制御系の演算処理装置間で相互に読み書きが可能な共有メモリと
   を備え、
   前記各制御系の演算処理装置は、エレベータ制御に使用するパルス列信号を入力信号として取り込む際に、自系統の検出手段を用いて検出したパルス列信号と、他系統の検出手段を用いて検出したパルス列信号とをともに入力信号として取り込み、両入力信号のパルス数をカウントした結果の差分があらかじめ決められた入力信号許容誤差範囲内のときは、あらかじめ決められた制御系の検出手段からの入力信号を用いてエレベータ制御に必要な演算処理を実行して演算結果を前記共有メモリに書き込み、さらに前記共有メモリから他系統の演算結果を読み込み自系統の演算結果との差分を求め、両演算結果の差分があらかじめ決められた演算結果許容誤差範囲内のときは、全制御系が正常状態であると判断してエレベータの制御動作を許可する制御動作許可指令を出力し、前記両入力信号の差分が前記入力信号許容誤差範囲外のとき、または前記両演算結果の差分が前記演算結果許容誤差範囲外のときには、いずれかの制御系が異常状態であると判断してエレベータの制御動作を停止させる制御動作停止指令を出力する
   エレベータ制御装置。
2. 請求項１に記載のエレベータ制御装置において、
   前記各制御系の演算処理装置が出力する前記制御動作許可指令または前記制御動作停止指令をそれぞれ読み込み、全ての制御系の演算処理装置から前記制御動作許可指令を読み込んだときは制御動作許可統括指令を出力し、少なくともいずれか１台の制御系の演算処理装置から前記制御動作停止指令を読み込んだときは制御動作停止統括指令を出力する出力ユニットをさらに備えた
   エレベータ制御装置。
3. 請求項１に記載のエレベータ制御装置において、
   前記各制御系の演算処理装置は、前記制御動作許可指令または前記制御動作停止指令に基づいてＯＮ／ＯＦＦ動作を行うリレー回路部の接点信号を読み込み、前記リレー回路部に対して出力した前記制御動作許可指令または前記制御動作停止指令と、前記接点信号のＯＮ／ＯＦＦ状態とを比較することにより前記リレー回路部の動作が正常であるか否かを確認する
   エレベータ制御装置。
4. 請求項２に記載のエレベータ制御装置において、
   前記各制御系の演算処理装置は、前記出力ユニットが出力する前記制御動作許可統括指令または前記制御動作停止統括指令に基づいてＯＮ／ＯＦＦ動作を行うリレー回路部の接点信号を読み込み、前記出力ユニットに対して出力した前記制御動作許可指令または前記制御動作停止指令と、前記接点信号のＯＮ／ＯＦＦ状態とを比較することにより前記リレー回路部の動作が正常であるか否かを確認する
   エレベータ制御装置。

Images