JP4601827B2 - エレベータ安全システム - Google Patents

Description

【０００１】
【技術分野】
本発明は、主に、エレベータ装置で使用される安全設備に関し、特に、最新の電子部品を使用する改善された安全システムに関する。改善された安全システムは、設置時間、品質、製造コスト、および作動特性がかなり改善される。
【０００２】
【背景技術】
従来のエレベータ安全システムは、スイッチおよび接触子を含む直列回路である安全チェーンを使用して実施される。これらの接触子やスイッチは、作業員およびエレベータ内の装置によって作動される。いくつかのシステムは、過速度ガバナやリミットスイッチなどのようにかごによって制御される。他のシステムは、乗場のドアのスイッチやロックなどのようにドアによって制御される。
【０００３】
安全チェーンは、モータおよび制動機への電力供給を管理する継電器（や接触子）を作動させる。チェーン内の接触子の動作によって、モータまたは駆動装置が主電源から切り離される。検査、整備、および救助運転時の特殊なモードにおいて、安全チェーンのいくつかの部分は、橋絡（ブリッジ）することができ、また、安全監視に代わる他の部分を含むこともできる。
【０００４】
整備時や検査時には、試験やエラー調査のために安全チェーンに手動でブリッジを設ける必要がある場合がある。ブリッジは、昇降路およびかごの全体にわたって設置することができる。このようなブリッジの手動での設置および除去は、時間および労力を要する。
【０００５】
接触子の直列接続部や、救助運転および点検のための橋絡や接触子の組込みによって、チェーンの長さは、一般に昇降路の長さの数倍（通常６〜８倍）と長くなってしまう。安全チェーンのこのような長さは、チェーンに沿った電圧損失の影響を最小化するために、主電圧の範囲においてより高い電圧を使用することにつながる。
【０００６】
安全チェーンの接触子は、確実な開放特性を有する必要がある。多くのシステムにおいて、電子センサの使用が認められていない。
【０００７】
つい最近まで、ほとんど全ての国において、電子的な実装は停電によって動作不能となるという懸念から、エレベータ安全システムを機械的に実施することが必要とされていた。しかし、電子技術者の能力や技術の向上に照らして、規定が変更された。これらの新しい設計は、停電の際にフェールセーフモードを提供する。
【０００８】
従って、操作性を改善するとともに、部品数および製造コストを低減するエレベータ安全システムの改善された設計が求められている。
【０００９】
【発明の開示】
本発明の好適実施例では、検査および診断作業を改善するとともに、エレベータの安全運転を促進し、かつ危険な状態が検出された場合に安全な停止を可能にする新規な電子安全システムが開示されている。この電子安全システムは、マイクロプロセッサベースのコントローラと種々の他の部品との間で制御およびデータ信号の交換を容易にする通信バスを含む最新型の電子システムを備えており、上記部品には、センサと接続するように設計されたバスノード、接触子、およびスイッチとともに、検出器、コンポーネント、およびエレベータ装置の安全運転を保証するために必要な他の安全装備が含まれる。
【００１０】
ソフトウェア制御のマイクロプロセッサアセンブリは、エレベータ装置全体にわたってバスノードを有する通信バスを動作させる。バスノードは、バスノードに接続されたセンサ、接触子、およびスイッチの状態を確認するために定期的にポーリングされる。マイクロプロセッサは、整備、点検、通常運転、減速運転、および緊急運転などの異なる種々のモードのうちの１つで動作可能となっている。適切なときに、マイクロプロセッサアセンブリは、エレベータ制御装置とエレベータ駆動・制動装置に対して出力信号を生成する。
【００１１】
マイクロプロセッサは、エレベータの特定の形式や他の特定の設置パラメータに関するデータを含む実装された不揮発性メモリから構成情報を受信する。危険な状態が発生した場合には、マイクロプロセッサは、エレベータ制御装置および駆動装置に伝達される適切な出力を生成する。電子安全システムは、エレベータの動作を停止するための装置を起動することができる。マイクロプロセッサ、通信バス、および関連する部品は、中央管理でき、設置時間、品質、製造コスト、および作動特性を大きく改善する電子安全システムを提供する。
【００１２】
本発明の上記およびその他の特徴や利点は、以下の実施形態および図面によって当業者に理解されるであろう。
【００１３】
【発明を実施するための最良の形態】
図１を参照すると、部品およびインターフェイスを示す、電子安全システム８の高水準システムブロック図が示されている。コントローラ２０は、複数のバスノード９１〜９６を有する安全バス４を介して通信している。安全バス４は、コントローラエリアネットワーク（ＣＡＮ）バスと呼ばれる通信プロトコルを用いて実現される。システム８の各バスノード９１〜９６は、以下で詳細に説明するように、種々のセンサ、スイッチ、または他の入出力装置とインターフェイスで連結される。コントローラ２０は、バスノード９１〜９６からのデータを連続的に処理し、特定の状態においてエレベータ制御装置４０に出力信号を与えるとともに駆動・制動装置５０に出力信号を与える。
【００１４】
機械室８０に設置された過速度スイッチ８１は、エレベータかご６０の実際の速度を感知するとともに、実際の速度が上下の各方向におけるかご移動の予め定められた限度内であるかどうかを判断する。過速度状態が感知された場合には、過速度スイッチ８１によって過速度信号が機械室８０のバスノード９４に送信される。コントローラ２０は、機械室８０のバスノード９４とのデータ通信中に過速度信号を受信する。過速度状態を感知すると、コントローラ２０は、エレベータかご６０を安全に停止させるように、コントローラ／駆動・制動装置インターフェイス５２を介して駆動・制動装置５０に停止信号を送信する。コントローラ２０からは、過速度状態が生じたことを示す状態信号もコントローラ／エレベータ制御装置インターフェイス４２を介してエレベータ制御装置４０に与えられる。
【００１５】
昇降路７０を参照すると、別個のバスノード９１，９２，９３が、種々のセンサからの入力を受信するように対応する各階床の乗場ドアに設置されている。昇降路７０の各バスノード９１，９２，９３は、対応する各乗場ドア１，２，３に設けられた各ドアセンサ３１，３２，３３とインターフェイスで連結される。本実施例では、（１階、２階、３階の）各階床にそれぞれ１つの乗場ドア１，２，３が設けられている。しかし、エレベータ装置によっては、特定のエレベータかごが１つ以上のかごドア（図示省略）を有することができ、また、各階床の乗場に１つ以上の乗場ドアを有することができる。いずれの場合でも、各乗場の階床の全ての乗場ドアには、各乗場ドアまたは階床の乗場に設置されるバスノード９１〜９３と同様の方法で機器が設置される。バスノード９１〜９３は、安全バス４を介して各乗場ドア１〜３からコントローラ２０にドアセンサ３１〜３３の状態情報を与える。コントローラ２０は、各乗場ドア１〜３からのドアセンサ３１〜３３の情報を処理して、エレベータかご６０の制御シーケンスを決定する。コントローラによって危険な状態が存在すると判断された場合には、コントローラ２０は、エレベータを安全に停止させるように、コントローラ／駆動・制動装置インターフェイス５２を介して駆動・制動装置５０に停止信号を送信する。危険な状態を示す状態信号は、コントローラ／エレベータ制御装置インターフェイス４２を介して、コントローラ２０からエレベータ制御装置にも与えられる。
【００１６】
ピットスイッチ７１が、作業員が使用できるようにエレベータ昇降路７０の底部に設置されている。ピットスイッチ７１は、１階の乗場に設置された最も近接するバスノード９１に接続されている。コントローラ２０は、バスノード９１をポーリングしてピットスイッチ７１が作動されたことを感知すると、緊急事態として対処する。コントローラ２０は、エレベータかごを即座に制御して停止させるように駆動・制動装置５０に停止信号を与える。コントローラ２０は、また、エレベータ制御装置４０に状態信号を与えてこれを更新する。
【００１７】
エレベータかご６０を参照すると、センサ入力を受信するために複数のバスノード９５，９６がかご６０に設置されている。バスノード９５は、点検スイッチ６１からのデータ入力と緊急停止スイッチ６２からのデータ入力を受信する。バスノード９６は、エレベータかごドアスイッチ６３からのデータ入力を受信する。コントローラ２０は、運転モードにおいて、エレベータかご６０に設置された各バスノードに応答するようにこれらのバスノードと通信する。コントローラ２０が、緊急停止スイッチ６２の作動を感知すると、緊急事態処理が開始される。コントローラ２０が点検スイッチ６１の作動を感知すると、点検モード処理が開始される。エレベータかごドアスイッチ６３は、エレベータかごドア６４の開閉を確認するためにコントローラ２０によって監視される。コントローラ２０は、周知の論理に基づいて、エレベータかごドアスイッチ６３に関して危険な状態が存在するかどうかを判断する。例えば、乗場でエレベータドア６４が開けば、危険ではなく、一方、エレベータかごの移動中にエレベータドア６４が開けば、一般に危険である。
【００１８】
当業者であれば分かるように、上述の安全バス４の設計は、非常に順応性があり、必要に応じて、新しいデータを処理するためにソフトウェアを適切に変更することによって、追加のバスノード９１〜９６を加えたり除いたりすることができる。また、いくつかのノード９１〜９６は、追加のセンサとインターフェイスで連結可能となるように、予備の入出力容量を有することもできる。従来技術よりも改善された方法で、このような変更を行うことができるのは、安全バス４のモジュール性のためである。
【００１９】
［単一のマイクロプロセッサ（図２参照）］
図２を参照すると、システム部品を示す、マイクロプロセッサアセンブリ１０₁の高水準システムブロック図が示されている。汎用コントローラすなわちマイクロプロセッサ１１は、リードオンリーメモリ（ＲＯＭ）１２、ランダムアクセスメモリ（ＲＡＭ）１４、電源予備ユニット（ＢＡＴＴ）１３、論理演算装置１５、および入出力通信ポート（Ｉ／Ｏ）１６と、マイクロプロセッサシステムバス１７を介して通信する。この実施例では、不揮発性メモリとしてＲＯＭ１２が使用されているが、ＥＰＲＯＭなどの他の種類の不揮発性メモリを使用することもできる。
【００２０】
マイクロプロセッサ１１は、ＲＯＭ１２に記憶されたソフトウェアプログラムを実行する。ＲＯＭ１２は、特定のエレベータ装置用のデータ表も含んでいる。このようなデータには、エレベータの形式、エレベータの運転モード、階床数、階床間の距離、過速度しきい値、フィルタ係数などの設置パラメータ、および初期化や運転用のソフトウェアプログラムの実行に必要な他のデータが含まれうる。ＲＯＭ１２は、ソフトウェアの更新情報を整備用コンピュータＰＣ（図示省略）からダウンロードできるように、フラッシュＲＯＭから設計することもできる。この方法は、コード変更、データ変更、またはこの両方を実施するように使用することができる。
【００２１】
ＲＡＭ１４は、ソフトウェアプログラムの実行時において、データ値を一時的に記憶するために使用される。また、Ｉ／Ｏポート１６から受信した特定のデータまたはＩ／Ｏポート１６への送信準備ができた他のデータを保持することができる。ＲＡＭ１４は、主電源または予備電源１３からの電力供給が停止した場合でもデータを保持するように、不揮発性のランダムアクセスメモリ（ＮＶＲＡＭ）部品から設計することができる。
【００２２】
電源予備ユニット１３は、主電源（図示省略）が停止した場合に、安全に電源を切ることができるまでマイクロプロセッサアセンブリ１０₁に電力を供給するように設計されている。ソフトウェアプログラムは、主電源の電力供給が停止したことを検出すると、エレベータかごを安全に停止させるために安全なパワーダウンルーチンを呼び出す。
【００２３】
マイクロプロセッサ１１は、Ｉ／Ｏポート１６を通して、かつ安全バス４を介してバスノード９１〜９６と通信する。安全バス４は、デュアル冗長バス（バスＡおよびバスＢ）または単一のバス（バスＡ）とすることができる。よって、マイクロプロセッサ１１は、当業者に周知のように、バスＡもしくはバスＢ（図示省略）のどちらかのバスを介して、いずれのバスノード９１〜９６とも通信可能である。マイクロプロセッサ１１とバスノード９１〜９６との通信は、ソフトウェアプログラムによって管理され、バスノード９１〜９６によってデータが提供されているか否かにかかわらず、各バスノード９１〜９６と定期的に通信が行われる。定期的な通信によって、マイクロプロセッサ１１上で実行されるソフトウェアプログラムが、安全バス４を介したバスノード９１〜９６への通信が機能していることを確実に再確認することができる。これらの定期的なメッセージには、各バスノード９１〜９６で実行されたハードウェア検査の状態情報が含まれる。通常の運転モードの１つの実施例では、同じデータセットに関して各バスノード９１〜９６が２回ポーリングされ、これらのデータセットは、同一であることを確認するためにソフトウェアプログラムによって比較される。これらのデータセットが一致しない場合には、ソフトウェアプログラムは、バスノード９１〜９６を再度ポーリングしてその信頼性を判断する。ソフトウェアプログラムは、不一致のデータが一度限りの異常であると判断するか、または修理が必要な通信障害があると判断する。バスノード９１〜９６との通信の信頼性がなくなり、運転を継続することが危険であると判断した場合に、ソフトウェアプログラムはエレベータを停止することがある。
【００２４】
［バスノードおよびセンサ］
各バスノード９１〜９６では、種々のセンサ、接触子、およびスイッチがバスノード９１〜９６にデータを送信可能となっている。これらのデータ収集装置は、特定のバスノード９１〜９６に監視されるセンサ、接触子、およびスイッチの数量に従って、並列または直列またはこれらの組み合わせによってバスノード９１〜９６に接続することができる。しかし、バスノード９１〜９６がこれらの装置の１つから入力を受信した場合に、どの特定の装置が情報を送信しているのかがバスノード９１〜９６に分かるように、これらの多くのセンサ、接触子、スイッチを互いに並列に接続することが望ましい。このアーキテクチャによって、マイクロプロセッサ１１で実行されるソフトウェアプログラムが、データ信号を発生しているソースと状態を特定することができる。直列接続回路では、ソフトウェアプログラムは、回路レベルまでしかデータ信号を特定できない。
【００２５】
バスノード９１〜９６によって、センサ、接触子、およびスイッチに電力が供給される。バスノード９１〜９６とセンサ、接触子、およびスイッチとの距離が短いので、この場合には２４ＶＤＣである低い電圧が使用可能である。
【００２６】
センサ、接触子、およびスイッチは、ソフトウェアプログラムによって自動的に検査可能である。この特徴によって、手動での検査が不要になるとともに、点検に要する時間が減少する。また、これにより、整備ルーチンを他の重要な整備領域に集中させるとともにこれらの領域にかける時間を延長することができる。
【００２７】
［ソフトウェアプログラム］
ソフトウェアプログラムは、点検、整備、通常運転、および緊急運転などの種々のモードで実行される。このプログラムは、通信状態やデータを得るためのバスノード９１〜９６のポーリングなどの種々のルーチンや呼び出しを実行する。また、このプログラムは、エレベータ制御装置４０と駆動・制動装置５０に対して、制御信号やデータを出力する。
【００２８】
［バスのポーリング］
バスのポーリングは、この場合にはマイクロプロセッサ１１であるマスタと、この場合にはバスノード９１〜９６であるスレーブと、の巡回対話によって実行される。バス４の故障を検出するためにタイムアウトなどの種々の方式を採用することができ、タイムアウトでは、マイクロプロセッサ１１は、バスノード９１〜９６が予め定めた時間内にマイクロプロセッサ１１からの通信に応答しない場合にバスノードが故障したと推定する。他の方法では、バス４を介して送信する各メッセージが、昇順のＩＤ番号のタグを含む。マイクロプロセッサ１１は、メッセージが失われたか送信が失敗したかを判断できるメッセージＩＤを受信することで故障が起こったことを判断できる。エコー方式を使用することもでき、この方式では、マイクロプロセッサ１１は、バスを介して送信された全ての各通信メッセージに関して、この通信メッセージがアドレスされた各ノード９１〜９６からの確認を求める。マイクロプロセッサ１１が対象のノード９１〜９６からの確認を受信しなければ、マイクロプロセッサ１１は、ノード９１〜９６が故障したと推定する。ビット監視方式では、バス４上の各送信器が、送信されたビットがバス４上に実際に存在するかを確認するためにバス４を監視する。ノード９１〜９６が、送信メッセージがバス４に通信されていないことを認識すると、ノード９１〜９６は、マスタすなわちマイクロプロセッサ１１に故障を報告することができる。メッセージの完全性を確認するために、ビットスタフィング方式を使用することもでき、この方式では、予め定められたアルゴリズムに基づいて、送信器が、同じ論理レベルの特定数のビットが送信された後に反対の論理のスタッフビットを挿入する。また他の方式は、メッセージの完全性を確認するために各メッセージにチェックサムを挿入するＣＲＣチェックサム方式である。メッセージは、各メッセージが、ビット長さおよび／またはフィールドの予め定められたフォーマットに適合しなければならないようにフォーマットすることもできる。送信メッセージがあれば、少なくとも１つの受信器が受信を確認する必要がある確認チェックを実行することもできる。これらの多くの通信方式は、ＣＡＮバス規格で実現されるが、通信効率／および信頼性を高めるために追加の方式も実現することができる。
【００２９】
［運転モード］
点検モードでは、ソフトウェアプログラムは、検査のために種々のセンサ、接触子、およびスイッチを絶縁するように、安全チェーンに“ソフトウェア上のブリッジ”を設けることができる。従って、センサ、接触子、およびスイッチを橋絡するためのハードウェアの接続は不要となる。従来技術に対する重要な改良点は、時間関数の使用によって、もしくはソフトウェアプログラムが点検モードを出るときまたは通常の運転モードに戻るときに、プログラムによって“ソフトウェア上のブリッジ”を自動的に取り除くことができる点である。いずれの場合でも処理から人的過失を排除することができる。従来技術では、作業員が整備作業のために設置したハードウェア接続または機械的なブリッジを取り除く必要があった。
【００３０】
ソフトウェアプログラムがエレベータの安全運転を損なう状態を検出した場合には、異なるモードで停止を行いうる。大きな過速度信号を検出した場合には、プログラムは、エレベータかご６０を急停止させるように駆動・制動ユニット５０に信号を送信する。しかし、バスノード９１〜９６の故障などの危険性が少ない他のモードでは、プログラムは、エレベータかご６０を最も近い乗場階まで運転し、ドアを開けてから停止することを指令することができる。これにより、エレベータかご６０内に乗客が閉じ込められ、乗客を助け出す救助作業が必要な状況が少なくなる。
【００３１】
［ＰＣ通信］
整備手順のために、パソコンＰＣ（図示省略）などの整備ツールをマイクロプロセッサ１１との通信に使用することができる。ＰＣは、マイクロプロセッサアセンブリ１０₁からデータを抽出して、履歴の分析を提供しうる。また、ＰＣは、緊急運転および減速運転を含む通常の運転モードにおいて、マイクロプロセッサアセンブリ１０₁の実行を監視することもできる。さらに、ＰＣは、ＲＯＭ１２内のソフトウェアコードを再プログラムもしくは更新することができる（この場合にはフラッシュＲＯＭが使用される）。実装バッテリ１３のレベルは、交換の時間間隔に関して監視されうる。
【００３２】
マイクロプロセッサアセンブリ１０₁は、ピン構成を検出してエレベータの形式を感知するように設置可能である。このような構成の検出は、ＲＯＭにインストールされたソフトウェアプログラムが、電子安全システム８を設置する特定のエレベータに適切なものであるかの確認を補助する。
【００３３】
［デュアルマイクロプロセッサ（図３参照）］
図３を参照すると、２つのマイクロプロセッサシステム１５０，１５２およびそのインターフェイスを示す、マイクロプロセッサアセンブリ１０₂の高水準ブロック図が示されている。本発明の他の実施例では、２つの独立したマイクロプロセッサシステム１５０，１５２がマイクロプロセッサアセンブリ１０₂内に示されている。この実施例では、各マイクロプロセッサシステム１５０，１５２は、独立して動作しており、安全バス４と通信するとともにそれぞれのインターフェイス４２，５２を介してエレベータ制御装置４０と駆動・制動装置５０に別個の信号を出力するためにＩ／Ｏポートを共用している。システム１５０，１５２は、上記で詳細に説明したように、主電源が停止した場合にエレベータ装置を安全に停止させるように、共に実装電源予備装置１３によって支持されている。プロセッサ間連絡バス１８が、２つのマイクロプロセッサシステム１５０，１５２を接続して検査方式を実現する。この実施例では、各マイクロプロセッサ
１５０，１５２が、安全バス４のノード９１〜９６を個々にポーリングして状態情報およびデータを受信する。マイクロプロセッサ１５０，１５２は、プロセッサ間バス１８を介して予め定められた時間間隔で互いに通信してシステムの完全性を確認する。いずれかのマイクロプロセッサシステム１５０，１５２が、他方のマイクロプロセッサシステム１５０，１５２から確実な応答を得られなければ、第１のマイクロプロセッサシステム１５０，１５２は、エレベータ装置を安全に停止させる。マイクロプロセッサシステム１５０，１５２のいずれかで確認された状態に不一致がある場合には、この不一致によってエレベータ装置が減速モードに移行する。この減速モードは、２つのマイクロプロセッサシステム１５０，１５２の間の不一致の重大度によって停止を含みうる。
【００３４】
この実施例は、以下でさらに詳細に説明するように、デュアル冗長安全バス４とともに使用することができる。この実施例では、各マイクロプロセッサは、独自のＩ／Ｏポートと、エレベータ安全システム８にわたる各ノード９１〜９６と通信するための独立した安全バス４を有する。
【００３５】
ＰＣ通信、ピン構成の検出、および他の特徴に関する上述の説明は、単一のマイクロプロセッサアセンブリ１０₁と同様に、デュアルマイクロプロセッサアセンブリ１０₂にも対応する。
【００３６】
［状態機械の説明（図４参照）］
図４を参照すると、電子安全システムの状態を示す状態図２００が示されている。安全システム８は、オフライン状態から移行し、検査開始２５１指令が受信された後にバスの安全性を検査２０２するために、運転を停止２０１する。バスノード９１〜９６が予め定められた時間内に以前にポーリングされていなければ、システム８は、開始入力２６１を受信した後にバスノード選択２０６状態に移行する。全てのノードがポーリングされていなければ、次のノード選択指令２６３を受信し、ノード呼び出し状態２０７に移行する。この状態では、選択されたノード９１〜９６がポーリングされ、予め定められた時間枠内で応答が待ち受けられる。正しい応答が受信２６５されると、システム８は、バスノード選択状態２０６に戻る。正しい応答が受信されない場合２６４または予め定められた時間枠内で応答がない場合には、システム８は、危険なバス状態２０９に移行する。ループＬ₁は、ノード９１〜９６の応答が正しい限り、全てのノード９１〜９６がポーリングされるまで連続して実行される。システム８は、この時点で全てのノード入力２６２を受信して安全なバス状態２０８に移行する。安全なバス状態は、入力２５２としてレポートされ、システム８は、エレベータの安全性検査状態２０３に移行する。この状態２０３では、エレベータの検査および整備に関する他の種々のパラメータが検証され、エレベータが安全であると判断された場合２５４には、システム８は、運転可能状態２０４で引き続き実行される。しかし、エレベータが危険２５５であると判断された場合には、運転禁止状態２０１に移行し、新しい安全検査が検査開始２５１で開始されるまでこの状態に留まる。例えば、２５３，２５５，２０９などのバスが危険であるとの判断および状態２０９からの移行は、全てエレベータ安全システム８の運転禁止状態２０１を引き起こす。この状態２０１からの唯一の出口は、バスの安全性検査状態２０２を介したシステム８の再検査である。ノード９１〜９６に関する反復検査は、安全なバス状態２０８および危険なバス状態２０９から再検査２６６および再検査２６７の入力によって指令されうる。
【００３７】
上述のルーチンは、エレベータ安全システム８のどの運転モードでも１００ｍｓ毎に反復される。さらに、コンピュータプログラミングの周知の利点に基づいて、検査のルーチンおよび方法は、ソフトウェアの変更のみによって更新することができる。上述したように、エレベータ安全システム８のコードは、作業員が安全システムのコンピュータのメモリにソフトウェアの新しいバージョンをダウンロードすることによって更新可能である。
【００３８】
［デュアル冗長安全バス］
安全バスの他の実施例は、バスＡ，Ｂの一対のデュアル冗長バスである。冗長バスは、単一のマイクロプロセッサ１０₁構成もしくはデュアルマイクロプロセッサ構成１０₂とともに実現可能である。いずれの場合でも、物理的に独立した２つのバスＡ，Ｂが、エレベータ装置全体を通してマイクロプロセッサアセンブリ２０から各ノード９１〜９６へと経路づけられる。各ノード９１〜９６は、各バスＡ，Ｂに対して、独立した受信器と送信器の対を有する。このデュアル冗長バスの目的は、バスＡまたはバスＢのいずれかである主要バスが故障した場合に、ノード９１〜９６との通信のバックアップ法を提供することである。
【００３９】
１つの実施例では、バスＡが主要バスとして指定されているとともに全てのノードとの全ての通信に使用されており、一方バスＢが故障の場合のバックアップバスとしてノード９１〜９６と共に使用される。例えば、コントローラ２０がバスノード９１との通信に繰返し失敗した場合に、ソフトウェアプログラムは、バックアップバスＢを通してノード９１との通信を試みる。この方法では、コントローラ２０は、通信の失敗がバスの故障またはノードの故障のいずれによるものであるかを特定することができる。冗長バスは、通信ネットワークの安全性および信頼性を高める。ルーチンとしてバスＡとバスＢを交互に使用して通信を行うことや、バスＡとバスＢの両方を使用して通信を行って受信データを比較することなどの他のバス通信プロトコルも従来技術で周知である。
【００４０】
図２で示した単一のマイクロプロセッサ１０₁の実施例では、バスＡおよびバスＢを介した通信は、単一のマイクロプロセッサ１１によって制御される。デュアルマイクロプロセッサ１５０，１５２を含む図３の実施例では、各マイクロプロセッサ１５０，１５２は、割り当てられたバスＡまたはＢを介して個別に通信する。この方法では、各マイクロプロセッサは、エレベータシステム８の各ノード９１〜９６と個別に通信する。例えば、マイクロプロセッサ１５０がバスＡを介してノード９１〜９６をポーリングしている間に、マイクロプロセッサ１５２は、バスＢを介してノード９１〜９６をポーリングする。各ノード９１〜９６から収集したデータは、次にマイクロプロセッサ１５０，１５２の間でプロセッサ間バス１８を介して比較される。いずれのマイクロプロセッサ１５０，１５２も、駆動・制動ユニットインターフェイス５２を介してエレベータを安全に停止させるように個別に指令することができる。
【００４１】
デュアルマイクロプロセッサとデュアル通信バスの両方に関して要求される冗長性の程度は、環境の分析と設置されるエレベータ装置の必要条件によって決定される。コスト、信頼性、および故障の間の平均時間などに関して、何らかのトレードオフがなされる。
【００４２】
通信インターフェイスは、直列または並列、独自のものまたは標準化されたものとすることができる。また、通信インターフェイスは、電気的、工学的、または遠隔測定式の手段によって実現することができる。
【００４３】
以上のことから分かるように、本明細書で説明したシステムおよび装置は、エレベータかご用の信頼できる電子安全システムを提供する。また、本発明に係る電子安全システムの装置は、信頼性と安全性を提供すると同時に、部品、調整箇所、および故障モードの減少を可能とする。
【００４４】
好適な実施例を開示および説明したが、本発明の趣旨および範囲から逸脱することなく、種々の変更や代用を行うことができる。従って、本発明は、限定的ではなく、説明的に開示されている。
【図面の簡単な説明】
【図１】 システムの部品およびインターフェイスを示す電子安全システムの高水準システムブロック図である。
【図２】 単一のマイクロプロセッサシステムとそのインターフェイスを示すマイクロプロセッサアセンブリの高水準システムブロック図である。
【図３】 ２つのマイクロプロセッサシステムとそのインターフェイスを示すマイクロプロセッサアセンブリの高水準システムブロック図である。
【図４】 電子安全システムの各状態を示す状態図である。

Claims (12)

1. エレベータ安全システムであって、
   少なくとも１つのセンサからデータを受信する複数のバスノードと安全バスを介して接続された電子的安全コントローラと、
   前記電子的安全コントローラにさらに接続されたエレベータ制御ユニットと、
   前記電子的安全コントローラにまたさらに接続された駆動・制動ユニットと、を有し、
   前記電子的安全コントローラは、前記複数のバスノードから受信した前記データを処理して危険な状態が存在するかどうかを判断し、危険な状態が存在する場合には、該安全コントローラが前記駆動・制動ユニットに停止信号を送信するとともに、前記エレベータ制御ユニットに危険な状態を示す状態信号を送信することを特徴とするエレベータ安全システム。
2. 前記安全コントローラは、さらにマイクロプロセッサアセンブリを有し、該マイクロプロセッサアセンブリは、点検および整備、通常運転、減速運転、および緊急運転を含む種々の運転モードを有する安全プログラムを実行することを特徴とする請求項１記載のエレベータ安全システム。
3. 前記点検および整備モードで実行される前記安全プログラムは、前記安全システムの応答を確認するために、前記少なくとも１つのセンサをソフトウェア上で停止、絶縁、もしくは橋絡することを特徴とする請求項２記載のエレベータ安全システム。
4. 前記少なくとも１つのセンサは、複数のセンサを含み、
   前記点検および整備モードで実行される安全プログラムは、前記安全システムの応答を確認するために、少なくとも１つのセンサと共に他の少なくとも１つのセンサをソフトウェア上で停止、絶縁、もしくは橋絡することを特徴とする請求項３記載のエレベータ安全システム。
5. エレベータシャフトの下端に設置されるとともにピットスイッチセンサを有する第１のバスノードと、
   機械室内に設置されるとともに過速度センサを有する第２のバスノードと、
   乗場ドアに近接して設置されるとともに乗場ドアセンサを有する複数の乗場ドアバスノードと、
   エレベータかごに設置されるとともに点検スイッチセンサ、緊急停止スイッチセンサ、およびエレベータかごドアセンサを有する少なくとも１つのエレベータかごバスノードと、をさらに有していることを特徴とする請求項２記載のエレベータ安全システム。
6. 前記各乗場ドアセンサは、対応する前記乗場ドアの開閉状態を判断するように動作可能であり、
   前記各乗場ドアセンサは、前記対応するバスノードに対応する前記乗場ドアの前記開閉状態を提供することを特徴とする請求項５記載のエレベータ安全システム。
7. 前記マイクロプロセッサアセンブリは、
   前記安全プログラムを実行するマイクロプロセッサと、
   前記安全プログラムと予め定められたデータを記憶するリードオンリーメモリと、
   ランダムアクセスメモリと、
   電源予備ユニットと、
   前記安全バス、前記エレベータ制御ユニット、前記駆動・制動ユニットとの通信用の少なくとも１つの入出力ポートと、をさらに含み、
   前記マイクロプロセッサは、前記安全バスを介して前記各バスノードをポーリングするとともに、前記複数のバスノードから受信したデータを処理して危険な状態が存在するかどうかを判断し、危険な状態が存在する場合には、該マイクロプロセッサが、前記駆動・制動ユニットに停止信号を送信するとともに、前記エレベータ制御ユニットに状態信号を送信することを特徴とする請求項２記載のエレベータ安全システム。
8. 前記安全バスは、さらに、
   バスＡとバスＢを有するデュアル冗長安全バスを含み、
   前記バスＡと前記バスＢは、互いから物理的に独立しており、
   前記各バスノードは、前記バスＡと前記バスＢの両方と接続されており、
   前記安全プログラムは、前記バスＡもしくは前記バスＢもしくはこれらの両方を介して選択的に通信することを特徴とする請求項７記載のエレベータ安全システム。
9. 前記マイクロプロセッサアセンブリは、さらに、
   第１の安全プログラムを実行する第１のマイクロプロセッサと、
   第２の安全プログラムを実行する第２のマイクロプロセッサと、を含み、
   前記第１および第２のマイクロプロセッサは、プロセッサ間バスを介して互いに通信しており、
   前記第１のマイクロプロセッサは、前記安全バスを介して前記バスノードをポーリングするとともに、前記複数のバスノードから受信したデータを処理して前記プロセッサ間バスを介して前記第２のマイクロプロセッサに第１の状態メッセージを通信し、
   前記第２のマイクロプロセッサは、前記安全バスを介して前記バスノードをポーリングするとともに、前記複数のバスノードから受信したデータを処理して前記プロセッサ間バスを介して前記第１のマイクロプロセッサに第２の状態メッセージを通信し、
   前記第１および第２のマイクロプロセッサの一方が、前記危険な状態が存在することを判断して、前記駆動・制動ユニットに前記停止信号を送信するとともに、前記エレベータ制御ユニットに状態信号を送信することを特徴とする請求項２記載のエレベータ安全システム。
10. 前記各第１および第２のマイクロプロセッサは、前記危険な状態が存在することをそれぞれ個別に判断し、各第１および第２のマイクロプロセッサは、それぞれ前記駆動・制動ユニットに前記停止信号を送信するとともに、前記エレベータ制御ユニットに前記状態信号を送信することを特徴とする請求項９記載のエレベータ安全システム。
11. 前記安全バスは、さらに、
    バスＡとバスＢを有するデュアル冗長安全バスを含み、
    前記バスＡと前記バスＢは、互いから物理的に独立しており、
    前記各バスノードは、前記バスＡと前記バスＢの両方と接続されており、
    前記第１のマイクロプロセッサは、前記バスＡを介して前記各ノードと通信し、前記第２のマイクロプロセッサは、前記バスＢを介して前記各ノードと通信することを特徴とする請求項９記載のエレベータ安全システム。
12. 前記安全バスは、さらに、
    バスＡとバスＢを有するデュアル冗長安全バスを含み、
    前記バスＡと前記バスＢは、互いから物理的に独立しており、
    前記各バスノードは、前記バスＡと前記バスＢの両方と接続されており、
    前記第１のマイクロプロセッサは、前記バスＡを介して前記各ノードと通信し、前記第２のマイクロプロセッサは、前記バスＢを介して前記各ノードと通信することを特徴とする請求項１０記載のエレベータ安全システム。

Images