JP5350590B2 - エレベータ装置 - Google Patents

Description

この発明は、センサからの検出信号に基づいてエレベータの異常を検出する電子安全コントローラを用いたエレベータ装置に関するものである。

従来のエレベータの安全システムでは、昇降路、機械室及びかごに設けられたバスノードにセンサ等が接続されており、センサ等からの情報がバスノード及び通信ネットワークバスを介して安全コントローラに送られる（例えば、特許文献１参照）。

特表２００２−５３８０６１号公報

上記のような従来のエレベータ装置では、センサから安全コントローラへの情報の入力が通信ネットワークを介して行われているので、安全システムとしての高い信頼性を確保するためには、かなり高度な信頼性を持つ通信ネットワークが必要となり、それを構成するハードウエアやソフトウエアが複雑で高価になってしまう。

この発明は、上記のような課題を解決するためになされたものであり、比較的簡単な構成で安全システムの信頼性を向上させることができるエレベータ装置を得ることを目的とする。

この発明によるエレベータ装置は、エレベータの状態を検出するための検出信号を発生するセンサ、及びセンサからの検出信号に基づいてエレベータの異常を検出し、エレベータを安全な状態に移行させるための指令信号を出力する電子安全コントローラを備え、電子安全コントローラは、電子安全コントローラ自体の異常を検出可能であり、電子安全コントローラ自体の異常を検出した場合にも、エレベータを安全な状態に移行させるための指令信号を出力する。

この発明の実施の形態１によるエレベータ装置を示す構成図である。 図１の調速機及びＥＴＳ回路部において設定された過速度のパターンを示すグラフである。 図１の電子安全コントローラ、エレベータ制御盤及び各種センサの接続関係を示すブロック図である。 図１の電子安全コントローラの要部の装置構成を示すブロック図である。 図４のマイクロプロセッサによる演算処理の実行方法を示す説明図である。 図１の電子安全コントローラの要部を示すブロック図である。 図６のクロック異常検出回路の具体的な構成を示す構成図である。 図８は図１の電子安全コントローラのＲＡＭ内の領域区分を示す説明図である。 図１の電子安全コントローラの初期動作を示すフローチャートである。 図１の電子安全コントローラの割り込み演算の流れの第１例を示すフローチャートである。 図１の電子安全コントローラの要部を示すブロック図である。 図１の電子安全コントローラの要部を示すブロック図である。 図１２のチェック機能回路の具体的な構成の一例を示す回路図である。 図１２のチェック機能回路を第１及び第２のＣＰＵがリードしたときのデータバスの各ビットに関するデータの意味を示す説明図である。 図１２の第１のＣＰＵ側の電源電圧監視健全性チェック方法を示すフローチャートである。 図１２のエレベータ制御装置においてＣＰＵがリセットされた場合の動作を示すフローチャートである。 図１のＥＴＳ回路部の初期設定動作の段階と運転制御部及び安全回路部の動作との関係を示す説明図である。 図１のエレベータ装置の初期設定運転モードにおけるかごの動きを説明する説明図である。 図１の電子安全コントローラの接点異常検出部を示す回路図である。 図１９の安全リレー主接点の動作試験方法を説明するためのフローチャートである。 図１の電子安全コントローラに履歴情報記録部及び健全性診断部を接続した状態を示すブロック図である。 図２２は図２１の履歴情報記録部に格納された情報の一例を示す説明図である。 図２１の電子安全コントローラの動作を説明するためのフローチャートである。 図１の電子安全コントローラの要部を示すブロック図である。 図２４のデータ異常チェック用のデータ比較回路を具体的に示す回路図である。 図２４のアドレスバス異常チェック用の指定アドレス検出回路を具体的に示す回路図である。 図２４のＣＰＵ内の指定アドレス出力ソフトウエアと指定アドレス検出回路による処理動作を示すフローチャートである。 図２４のＣＰＵ内のデータバス異常チェックソフトウエアの処理動作を示すフローチャートである。

以下、この発明の好適な実施の形態について図面を参照して説明する。
実施の形態１．
図１はこの発明の実施の形態１によるエレベータ装置を示す構成図である。図において、昇降路１内には、一対のかごガイドレール２及び釣合おもりガイドレール（図示せず）が設置されている。かご３は、かごガイドレール２に案内されて昇降路１内を昇降される。釣合おもり４は、釣合おもりガイドレールに案内されて昇降路１内を昇降される。

かご３の下部には、かごガイドレール２に係合してかご３を非常停止させる非常止め装置５が搭載されている。非常止め装置５は、機械的な操作により動作してかごガイドレール２に押し付けられる一対の制動片（楔部材）６を有している。

昇降路１内の上部には、主ロープを介してかご３及び釣合おもり４を昇降させる駆動装置（巻上機）７が設置されている。駆動装置７は、駆動シーブ８、駆動シーブ８を回転させるモータ部（図示せず）、駆動シーブ８の回転を制動するブレーキ部９、及び駆動シーブ８の回転に応じた検出信号を発生するモータエンコーダ１０を有している。

ブレーキ部９としては、例えば電磁ブレーキ装置が用いられている。電磁ブレーキ装置においては、制動ばねのばね力によりブレーキシューが制動面に押し付けられて駆動シーブ８の回転が制動されるとともに、電磁マグネットを励磁することによりブレーキシューが制動面から開離され、制動が解除される。

エレベータ制御盤１１は、例えば昇降路１内の下部等に配置されている。エレベータ制御盤１１には、駆動装置７の運転を制御する運転制御部１２と、エレベータの異常時にかご３を急停止させるための安全回路部（リレー回路部）１３とが設けられている。運転制御部１２には、モータエンコーダ１０からの検出信号が入力される。運転制御部１２は、モータエンコーダ１０からの検出信号に基づいて、かご３の位置及び速度を求め、駆動装置７を制御する。

安全回路部１３のリレー回路が開路状態にされると、駆動装置７のモータ部への通電が遮断されるとともに、ブレーキ部９の電磁マグネットへの通電が遮断され、駆動シーブ８が制動される。

昇降路１の上部には、調速機（機械式調速機）１４が設置されている。調速機１４には、調速機シーブ１５、過速度検出スイッチ１６、ロープキャッチ１７、及びセンサとしての調速機エンコーダ１８が設けられている。調速機シーブ１５には、調速機ロープ１９が巻き掛けられている。調速機ロープ１９の両端部は、非常止め装置５の操作機構に接続されている。調速機ロープ１９の下端部は、昇降路１の下部に配置された張り車２０に巻き掛けられている。

かご３が昇降されると、調速機ロープ１９が循環され、かご３の走行速度に応じた回転速度で調速機シーブ１５が回転される。調速機１４では、かご３の走行速度が過速度に達したことが機械的に検出される。検出する過速度としては、定格速度よりも高い第１の過速度（ＯＳ速度）と、第１の過速度よりも高い第２の過速度（Ｔｒｉｐ速度）とが設定されている。

かご３の走行速度が第１の過速度に達すると、過速度検出スイッチ１６が操作される。過速度検出スイッチ１６が操作されると、安全回路部１３のリレー回路が開路状態となる。かご３の走行速度が第２の過速度に達すると、ロープキャッチ１７により調速機ロープ１９が把持され、調速機ロープ１９の循環が停止される。調速機ロープ１９の循環が停止されると、非常止め装置５が制動動作する。

調速機エンコーダ１８は、調速機シーブ１５の回転に応じた検出信号を発生する。また、調速機エンコーダ１８としては、２系統の検出信号、即ち第１及び第２の検出信号を同時に出力するデュアルセンスタイプのエンコーダが用いられている。

調速機エンコーダ１８からの第１及び第２の検出信号は、電子安全コントローラ２１に設けられた終端階強制減速装置（ＥＴＳ装置）のＥＴＳ回路部２２に入力される。ＥＴＳ回路部２２は、調速機エンコーダ１８からの検出信号に基づいてエレベータの異常を検出し、エレベータを安全な状態に移行させるための指令信号を出力する。具体的には、ＥＴＳ回路部２２は、調速機エンコーダ１８からの信号により、運転制御部１２とは独立して、かご３の走行速度及び位置を求め、終端階付近でのかご３の走行速度がＥＴＳ監視過速度に達したかどうかを監視する。

また、ＥＴＳ回路部２２は、調速機エンコーダ１８からの信号をデジタル信号に変換し、デジタル演算処理を行うことにより、かご３の走行速度がＥＴＳ監視過速度に達したかどうかを判断する。ＥＴＳ回路部２２によりかご３の走行速度がＥＴＳ監視過速度に達したと判断されると、安全回路部１３のリレー回路が開路状態となる。

また、ＥＴＳ回路部２２は、ＥＴＳ回路部２２自体の異常、及び調速機エンコーダ１８の異常を検出可能である。ＥＴＳ回路部２２自体又は調速機エンコーダ１８の異常が検出された場合、エレベータを安全な状態に移行させるための指令信号としての最寄り階停止指令信号がＥＴＳ回路部２２から運転制御部１２に対して出力される。さらに、ＥＴＳ回路部２２と運転制御部１２との間は、双方向に通信可能となっている。

昇降路１内の所定の位置には、かご３が昇降路１内の基準位置に位置することを検出するための第１〜第４の基準センサ２３〜２６が設けられている。基準センサ２３〜２６としては、上部及び下部終端階スイッチを用いることができる。基準センサ２３〜２６からの検出信号は、ＥＴＳ回路部２２に入力される。ＥＴＳ回路部２２では、基準センサ２３〜２６からの検出信号に基づいて、ＥＴＳ回路部２２内で求めたかご３の位置の情報を修正する。

昇降路１の底面とかご３及び釣合おもり４の下面との間には、かご緩衝器２７及び釣合おもり緩衝器２８が設置されている。ここでは、かご緩衝器２７及び釣合おもり緩衝器２８は、昇降路１内の下部に設置されている。かご緩衝器２７は、かご３の真下に配置され、かご３が昇降路１の底部に衝突する際の衝撃を緩和する。釣合おもり緩衝器２８は、釣合おもり４の真下に配置され、釣合おもり４が昇降路１の底部に衝突する際の衝撃を緩和する。これらの緩衝器２７，２８としては、例えば油入式又はばね式バッファが用いられている。

図２は図１の調速機１４及びＥＴＳ回路部２２において設定された過速度のパターンを示すグラフである。図において、かご３が下部終端階から上部終端階まで通常速度（定格速度）で走行する場合、かご３の速度パターンは、通常速度パターンＶ０となる。調速機１４には、機械的な位置調整により第１及び第２の過速度パターンＶ１，Ｖ２が設定されている。ＥＴＳ回路部２２には、ＥＴＳ監視過速度パターンＶＥが設定されている。

ＥＴＳ監視過速度パターンＶＥは、通常速度パターンＶ０よりも高く設定されている。また、ＥＴＳ監視過速度パターンＶＥは、通常速度パターンＶ０に対して全昇降行程でほぼ等間隔をおくように設定されている。即ち、ＥＴＳ監視過速度パターンＶＥは、かご位置に応じて変化している。さらに具体的には、ＥＴＳ監視過速度パターンＶＥは、中間階付近で一定となるように設定されているが、終端階付近では昇降路１の終端（上端及び下端）へ近づくに従って連続的かつ滑らかに低くなるように設定されている。このように、ＥＴＳ回路部２２は、終端階付近だけでなく、中間階付近（通常速度パターンＶ０における一定速走行区間）でもかご３の走行速度を監視しているが、中間階付近については必ずしも監視しなくてもよい。

第１の過速度パターンＶ１は、ＥＴＳ監視過速度パターンＶＥよりも高く設定されている。また、第２の過速度パターンＶ２は、第１の過速度パターンＶ１よりもさらに高く設定されている。また、第１及び第２過速度パターンＶ１，Ｖ２は、昇降路１内の全ての高さで一定である。

釣合おもり緩衝器２８のバッファストロークは、ＥＴＳ回路部２２によって制限される釣合おもり４の釣合おもり緩衝器２８への衝突速度に応じて、調速機１４で制限される衝突速度に応じて規定されるストロークよりも短く設定されている。かご緩衝器２７のバッファストロークは、調速機１４で制限される衝突速度に応じて規定されている。

緩衝器２７，２８のバッファストロークは、かご３や釣合おもり４が最初に接触したときの初速度と、かご３や釣合おもり４が停止するまでの許容減速度とによって決まるものである。従って、かご緩衝器２７のバッファストロークよりも、釣合おもり緩衝器２８のバッファストロークの方が短く設定される。即ち、釣合おもり緩衝器２８のバッファストロークは、かご緩衝器２７のバッファストロークよりも短くなっている。

また、釣合おもり緩衝器２８は、例えば主ロープが破断した場合など、ＥＴＳ監視過速度パターンＶＥで規定される速度よりも大きな速度で釣合おもり４が衝突した場合にも破壊されることがないように、十分な容量に設定されている。このように、釣合おもり緩衝器２８の十分な容量を確保する方法としては、例えば通常よりも大きな容量の緩衝器を用いるか、又は通常の容量の緩衝器を複数用いる方法などがある。

かご３が最上階に停止したときのかご３の上端部と昇降路１の天井部との間の隙間寸法は、ＥＴＳ回路部２２によって制限される釣合おもり４の釣合おもり緩衝器２８への衝突速度に応じて設定されている。即ち、釣合おもり４が釣合おもり緩衝器２８に衝突しても、かご３が昇降路１の天井部に衝突しないように、昇降路１の頂部隙間寸法が設定されている。

図３は図１の電子安全コントローラ２１、エレベータ制御盤１１及び各種センサの接続関係を示すブロック図である。図において、電子安全コントローラ２１には、調速機エンコーダ１８からの２系統の検出信号、第１〜第４基準センサ２３〜２６からの検出信号、及びその他のセンサ（第１〜第Ｎのセンサ）からの信号が入力される。また、電子安全コントローラ２１は、センサ毎に対応した複数の信号入力ポートを有している。即ち、電子安全コントローラ２１には、各センサからの信号が別々に入力される。これにより、電子安全コントローラ２１は、各センサの異常を検出可能となっている。

電子安全コントローラ２１により何等かの異常（例えば過速度、センサ故障、電子安全コントローラ２１自体の異常等）が検出されると、故障や異常の内容を含む故障・異常内容信号がエレベータ制御盤１１の制御ユニット（図示せず）に入力されるとともに、故障や異常の内容に応じた停止信号がエレベータ制御盤１１の駆動・制動ユニット（図示せず）に入力される。

図４は図１の電子安全コントローラ２１の要部の装置構成を示すブロック図である。電子安全コントローラ２１は、第１の安全プログラムに基づいてエレベータの異常を検出するための演算処理を実行する第１のマイクロプロセッサ３１と、第２の安全プログラムに基づいてエレベータの異常を検出するための演算処理を実行する第２のマイクロプロセッサ３２とを含んでいる。

第１の安全プログラムは、第２の安全プログラムと同じ内容のプログラムである。第１及び第２のマイクロプロセッサ３１，３２は、プロセッサ間バス及び２ポートＲＡＭ３３を介して互いに通信可能になっている。また、第１及び第２のマイクロプロセッサ３１，３２は、互いの演算処理結果を比較することにより第１及び第２のマイクロプロセッサ３１，３２自体の健全性を確認可能になっている。即ち、第１及び第２のマイクロプロセッサ３１，３２に同一処理を実行させ、処理結果を２ポートＲＡＭ３３等を介して通信比較することにより、マイクロプロセッサ３１，３２の健全性が確認される。

また、マイクロプロセッサ３１，３２は、マイクロプロセッサ３１，３２自体の異常以外の電子安全コントローラ２１の異常も演算処理により検出可能である。

図５は図４のマイクロプロセッサ３１，３２による演算処理の実行方法を示す説明図である。マイクロプロセッサ３１，３２は、定周期タイマからの信号に基づく所定の演算周期（例えば５０ｍｓｅｃ）で、ＲＯＭに格納されたプログラムに従って、演算処理を繰り返し実行する。一周期内に実行されるプログラムには、エレベータの異常を検出するための安全プログラムと、電子安全コントローラ２１自体や各種センサの故障・異常を検出するための故障・異常チェックプログラムとが含まれる。また、故障・異常チェックプログラムは、予め設定された条件が満たされたときのみ実行するようにしてもよい。

このようなエレベータ装置では、電子安全コントローラ２１が電子安全コントローラ２１自体の異常を検出可能であり、電子安全コントローラ２１自体の異常を検出した場合にも、エレベータを安全な状態に移行させるための指令信号を出力するので、エレベータの異常の検出速度や異常に対する処理速度を高めつつ、比較的簡単な構成で安全システムの信頼性を向上させることができる。

また、電子安全コントローラ２１は、各種センサの異常も検出可能であり、センサの異常を検出した場合にも、エレベータを安全な状態に移行させるための指令信号を出力するので、安全システムの信頼性をさらに向上させることができる。

さらに、電子安全コントローラ２１は第１及び第２のマイクロプロセッサ３１，３２を含み、第１及び第２のマイクロプロセッサ３１，３２は、互いの演算処理結果を比較することにより第１及び第２のマイクロプロセッサ３１，３２自体の健全性を確認可能になっているので、安全システムの信頼性をさらに向上させることができる。

以下、電子安全コントローラ２１の構成及び動作の具体例を説明する。
≪クロック異常検出≫
図６は図１の電子安全コントローラ２１の要部を示すブロック図である。電子安全コントローラ２１には、十分な信頼性を確保するため、二重系の回路構成が採用されている。

電子安全コントローラ２１では、第１及び第２マイクロプロセッサとしての第１及び第２のＣＰＵ（処理部）４１，４２が用いられている。第１のＣＰＵ４１は、運転制御部１２及び第１の出力インタフェース（出力部）４３に制御信号を出力する。第２のＣＰＵ４２は、運転制御部１２及び第２の出力インタフェース（出力部）４４に制御信号を出力する。

運転制御部１２は、第１及び第２のＣＰＵ４１，４２から同様の制御信号を受けたときに、その制御信号により制御される。第１及び第２の出力インタフェース４３，４４は、第１及び第２のＣＰＵ４１，４２からの制御信号に基づいて、安全回路部１３を開路状態とするための信号を出力する。

第１及び第２のＣＰＵ４１，４２には、両者間のデータ授受を行うための２ポートＲＡＭ４５が接続されている。第１のＣＰＵ４１には、第１ウォッチドッグタイマ４６が接続されている。第２のＣＰＵ４２には、第２ウォッチドッグタイマ４７が接続されている。

第１のＣＰＵ４１には、調速機エンコーダ１８（図１）からの２系統の信号が入力される。また、第２のＣＰＵ４２にも、調速機エンコーダ１８からの２系統の信号が入力される。調速機エンコーダ１８からの信号は、ＣＰＵ４１，４２で演算処理され、これによりかご３（図１）の速度及び位置が求められる。即ち、調速機エンコーダ１８は、速度センサ兼位置センサとして機能する。また、ＣＰＵ４１，４２には、図３で示したような種々のセンサからの信号も入力される。

第１のＣＰＵ４１には、第１のクロック４８からの第１のクロック信号が入力される。第２のＣＰＵ４２は、第２のクロック４９からの第２のクロック信号が入力される。第１及び第２のクロック信号の周波数は互いに等しく設定されている。

第１及び第２のクロック信号は、クロック異常検出回路５０にも入力される。クロック異常検出回路５０は、第１及び第２のクロック信号のパルス数をカウントし、パルス数の差から第１及び第２のクロック信号の異常を検出する。

第１及び第２のＣＰＵ４１，４２は、クロック異常検出回路５０の健全性をチェックするためのテストモード信号５１，５２をクロック異常検出回路５０に送信する。また、第１及び第２のＣＰＵ４１，４２は、クロック異常検出を開始するための検出開始指令信号５３，５４をクロック異常検出回路５０に送信する。

また、クロック異常検出回路５０は、クロック異常を検出したときにエラー信号５５，５６を第１及び第２のＣＰＵ４１，４２に入力する。

図７は図６のクロック異常検出回路５０の具体的な構成を示す構成図である。クロック異常検出回路５０には、第１のクロック信号のパルスエッジをカウントする第１の監視カウンタ５７及び第１の被監視カウンタ５８と、第２のクロック信号のパルスエッジをカウントする第２の監視カウンタ５９及び第２の被監視カウンタ６０とが設けられている。

第１のクロック信号は、第１のセレクタ６１を介して第１の被監視カウンタ５８に入力される。第１のセレクタ６１では、通常回路とテスト回路との切換が可能になっている。通常回路では、第１のクロック信号がそのまま第１の被監視カウンタ５８に入力される。テスト回路では、第１のクロック信号が第１の逓倍回路６２で逓倍された後、第１の被監視カウンタ５８に入力される。テスト回路への切換は、第１のＣＰＵ４１からのテストモード信号５１が第１のセレクタ６１に入力されることにより行われる。

同様に、第２のクロック信号は、第２のセレクタ６３を介して第２の被監視カウンタ６０に入力される。第２のセレクタ６３では、通常回路とテスト回路との切換が可能になっている。通常回路では、第２のクロック信号がそのまま第２の被監視カウンタ６０に入力される。テスト回路では、第２のクロック信号が第２の逓倍回路６４で逓倍された後、第２の被監視カウンタ６０に入力される。テスト回路への切換は、第２のＣＰＵ４２からのテストモード信号５２が第２のセレクタ６３に入力されることにより行われる。

第１及び第２の被監視カウンタ５８，６０からのリップルキャリーアウトプット信号、即ちエラー信号５５，５６は、第１及び第２のラッチ部６５，６６でラッチされる。第１及び第２のラッチ部６５，６６は、第１及び第２のＣＰＵ４１，４２からのラッチ解除信号６７，６８を受けてラッチ状態を解除する。

クロック異常検出回路５０からのエラー信号がＣＰＵ４１，４２に入力されると、ＣＰＵ４１，４２から出力インタフェース４３，４４に異常検出信号が出力される。そして、出力インタフェース４３，４４から安全回路部１３に作動信号が出力され、安全回路部１３によりエレベータが安全状態へと移行される。

なお、電子安全コントローラ２１は、図６に示したＣＰＵ４１，４２やＲＯＭを含むコンピュータ（マイクロコンピュータ）を含んでいる。

次に、動作について説明する。調速機エンコーダ１８から出力された２系統のパルス信号は、ＣＰＵ４１，４２に入力される。そして、ＣＰＵ４１，４２のそれぞれにより、パルス信号は演算処理され、かご３の位置及び速度が求められる。求められた位置及び速度は、２ポートＲＡＭ４５を介して互いに比較された上で、異常を判定するための設定値（基準値）、例えばＥＴＳ監視過速度と比較される。

そして、過速度や位置異常などの異常が検出されると、異常の内容に応じて、運転制御部１２又は安全回路部１３に信号が出力され、エレベータが安全状態へと移行される。安全状態への移行とは、例えばかご３を急停止させること、又はかご３を最寄り階に停止させることである。また、安全状態への移行後、必要に応じて運転制御部１２がさらに制御される。

なお、ＣＰＵ４１，４２の演算結果が互いに異なっていれば、ＣＰＵ４１，４２のどちらかの系に異常があると判断され、やはりエレベータが安全状態へと移行される。
また、求められた位置及び速度に異常がなければ、かご３の走行を許可する旨の制御信号が生成され、運転制御部１２に出力される。

ＣＰＵ４１，４２では、一定時間内に入力されるパルス信号をカウントすることにより、かご速度を求める演算が実行される。そして、その「一定時間」を司るタイマは、クロック４８，４９からのクロック信号により生成されている。従って、クロック信号の周波数は非常に重要である。

特に、周波数が高くなる異常については、かご３の過速度を監視する上で注意が必要である。例えば、１０ｍｓ毎にパルス信号をカウントしているつもりが、何等かの故障によりクロック信号の周期が半分になると、実際には５ｍｓ毎にカウントしていることになってしまう。この場合、ＣＰＵ４１，４２で求められたかご速度は、実際のかご速度の半分として誤認識されてしまい、過速度が検出できない状態となる。

これに対して、この例では、第１及び第２のクロック４８，４９からのクロック信号がクロック異常検出回路５０に入力され、クロック信号に異常がないかが監視されている。

次に、クロック異常監視動作の詳細について説明する。まず、電源リセット時には、各デバイスが安定し次第、カウンタ５７〜６０によりクロックパルスのカウントが直ちに開始される。これにより、エラー信号５５，５６がラッチされるが、ＣＰＵ４１，４２では、最初はこのエラー信号５５，５６が無視される。

この後、検出開始指令信号５３，５４にＨｉｇｈの信号が与えられ、次いでラッチ解除信号６７，６８がＣＰＵ４１，４２からクロック異常検出回路５０に送られる。

検出開始指令信号５３，５４がＨｉｇｈになってから最初の監視カウンタ５７，５９からのリップルキャリーアウトプット信号で、各カウンタ５７〜６０のプリセットデータ値が各カウンタ５７〜６０にロードされ、カウントアップが開始される。プリセットデータ値は、カウンタ５７〜６０でカウントを開始する際のカウント値である。

被監視カウンタ５８，６０のプリセットデータ値としては、例えば０が予め設定される。また、監視カウンタ５７，５９のプリセットデータ値としては、クロック異常を判定するための閾値が予め設定される。監視カウンタ５７，５９のプリセットデータ値は、被監視カウンタ５８，６０のプリセットデータ値よりも大きい数値、ここでは４が設定される。

監視カウンタ５７，５９は、被監視カウンタ５８，６０よりも短い範囲でパルス数を繰り返しカウントし、キャリーオーバーする度に被監視カウンタ５７，５９をリセットする。被監視カウンタ５８，６０もパルス数を繰り返しカウントしようとするが、正常時には、被監視カウンタ５８，６０がキャリーオーバーする前に監視カウンタ５７，５９がキャリーオーバーして被監視カウンタ５８，６０がリセットされる。

このようなプリセットデータ値は、クロック異常検出回路５０を例えばＦＰＧＡ（field programmable gate array）で構成することにより、任意に設定可能である。

２つのクロック４８，４９が正常なときは、被監視カウンタ５８，６０がキャリーオーバーしてリップルキャリーアウトプット信号、即ちエラー信号５５，５６を出力するよりも４つ手前のカウンタ値で、監視カウンタ５７，５９のリップルキャリーアウトプット信号によりリセットされるため、エラー信号５５，５６は出力されない。

これに対して、例えば第１のクロック４８の周波数が高くなる異常が起きた場合、第２の監視カウンタ５９のリップルキャリーアウトプット信号が第１の被監視カウンタ５８をリセットする前に、第１の被監視カウンタ５８のリップルキャリーアウトプット信号、即ちエラー信号５５が出力され、ラッチ部６５によりエラー信号５５がラッチされる。

また、第２のクロック４９の周波数が高くなる異常が起きた場合は、同様にして第２の被監視カウンタ６０からエラー信号５６が出力され、ラッチ部６６によりエラー信号５６がラッチされる。

さらに、クロック４８，４９が停止した場合には、クロック異常検出回路５０でも検出可能であるが、ウォッチドッグタイマ４６，４７が効き、強制リセットとなるため、危険状態となることはない。

このような構成とすることにより、クロック異常を検出するための専用のクロックを用いる必要がなく、二重系のＣＰＵ４１，４２のために使用しているクロック４８，４９をそのまま利用してクロック異常を検出することができ、効率的なハードウエア資源の利用が可能になる。従って、簡単な回路構成で信頼性を向上させることができる。

また、カウンタ５７〜６０のプリセットデータ値を任意に設定できるため、クリティカルな周波数のずれも検出することができる。これにより、安全回路部１３を駆動・制御するまでの動作遅れ時間を短縮でき、より安全性の高い設計を実現できる。

さらに、４つのカウンタ５７〜６０とウォッチドッグタイマ４６，４７とを組み合わせて使用したので、周波数が高くなる異常がクロック４８，４９のどちらに発生したかを容易に特定できる。

次に、クロック異常検出回路５０の健全性のチェック機能について説明する。例えば、第１のＣＰＵ４１からクロック異常検出回路５０にテストモード信号５１が送信されると、セレクタ６１により回路がテスト回路に切り換えられ、第１のクロック信号が第１逓倍回路６２で逓倍される。即ち、第１の被監視カウンタ５８に入力される第１のクロック信号が故意に異常状態にされる。このため、クロック異常検出回路５０が正常であれば、第１の被監視カウンタ５８からエラー信号５５が出力されることになる。

従って、ＣＰＵ４１では、テストモード信号５１の送信に対してエラー信号５５が受信されることにより、クロック異常検出回路５０の健全性を確認することができる。同様に、第２のクロック４９側も健全性をチェックすることができる。

このようなクロック異常検出回路５０の健全性チェック機能を付加することにより、例えばクロック異常検出回路５０の最終出力ピンが正常側に固着する等の故障を検出することができ、信頼性をさらに向上させることができる。

なお、この例では、２個のＣＰＵを用いた二重系の回路構成を示したが、３個以上のＣＰＵを用いた多重系の回路構成とすることも可能である。

このように、この例の電子安全コントローラ２１は、エレベータの制御に関する演算を二重系で行う第１及び第２処理部、第１処理部に第１クロック信号を送る第１クロック、第２処理部に第２クロック信号を送る第２クロック、及び第１及び第２クロック信号が入力され、第１及び第２クロック信号の異常を検出するクロック異常検出回路を備え、クロック異常検出回路は、第１及び第２クロック信号のパルス数をカウントし、パルス数の差から第１及び第２クロック信号の異常を検出する。

また、クロック異常検出回路は、第１及び第２クロック信号のいずれか一方のパルス数をカウントする被監視カウンタと、第１及び第２クロック信号のいずれか他方のパルス数をカウントする監視カウンタとを有し、被監視カウンタでカウントを開始する際のカウント値であるプリセットデータ値は、監視カウンタでカウントを開始する際のカウント値であるプリセットデータ値よりも大きく設定されており、監視カウンタがキャリーオーバーすると、被監視カウンタのカウント数がリセットされ、被監視カウンタがキャリーオーバーすることにより第１及び第２クロック信号の異常が検出される。

さらに、監視カウンタは、第１クロック信号のパルス数をカウントする第１の監視カウンタと、第２クロック信号のパルス数をカウントする第２の監視カウンタとを含み、被監視カウンタは、第１クロック信号のパルス数をカウントする第１被監視カウンタと、第２クロック信号のパルス数をカウントする第２被監視カウンタとを含む。

さらにまた、監視カウンタのプリセットデータ値は、任意に設定可能である。また、テストモードのときに、被監視カウンタに入力されるクロック信号を故意に異常状態とすることにより、クロック異常検出回路の健全性を確認することが可能になっている。さらに、クロック異常検出回路は、テストモードのときに被監視カウンタに入力されるクロック信号を逓倍する逓倍回路を有する。

≪スタック領域の異常検出≫
次に、電子安全コントローラ２１に用いられるＲＡＭ内のスタック領域の異常検出について説明する。図８は図１の電子安全コントローラ２１のＲＡＭ内の領域区分を示す説明図である。ＲＡＭは、ＣＰＵによる演算に必要な情報を記憶するスタック領域を含んでいる。スタック領域には、例えばサブルーチンコールの戻りアドレス、タイマ割り込みの戻りアドレス、及びサブルーチンコールの引数等が格納される。

また、ＲＯＭには、ＲＡＭのスタック領域内の予め設定された監視領域の状態を監視するためのプログラムが格納されている。即ち、スタック領域監視部は、ＣＰＵ及びＲＯＭを有している。

この例では、Ｃ０００Ｈ〜ＦＦＦＦＨの領域がスタック領域に設定されている。また、スタック領域内のＤ０００Ｈ〜Ｄ０１０Ｈの領域が監視領域に設定されている。

スタック領域の使用方法はマイコンによって決まるが、一般的にはマイコンが持つスタックポインタにより、アドレスの若い方へデータを積み上げていく使い方をする。図８の場合、スタックポインタの初期値をＦＦＦＦＨとし、ＦＦＦＦＨ→ＦＦＦＥＨ→ＦＦＦＤＨ→・・・→Ｃ００１Ｈ→Ｃ０００Ｈのように使用する。従って、監視領域Ｄ０００Ｈ〜Ｄ０１０Ｈは、スタック領域の７５％を使用したときに使用される領域である。

監視領域の位置は、スタック領域の５０％以上を使用したときに使用される領域が好ましい。特に、スタック領域の６０％以上を使用したときに使用される領域が好ましい。また、監視領域の位置は、スタック領域の９０％以下を使用したときに使用される領域が好ましい。特に、スタック領域の８０％以下を使用したときに使用される領域が好ましい。

スタック領域は予め０に設定されており、スタック領域監視部は、監視領域全体が０であるかどうかを監視する。そして、監視領域に０以外のデータが含まれていると、スタックオーバーが発生したと判断する。

図９は図１の電子安全コントローラ２１の初期動作を示すフローチャートである。エレベータ起動時には、電子安全コントローラ２１の初期設定が実施される。初期設定が開始された時点では、全ての割り込み演算が禁止される（ステップＳ１）。この後、マイコンの初期設定が行われ（ステップＳ２）、ＲＡＭ領域が０にされる（ステップＳ３）。この後、割り込み演算が可能な状態となり（ステップＳ４）、割り込み待ち状態となる（ステップＳ５）。割り込み演算は、演算周期時間毎に繰り返し実行される。

図１０は図１の電子安全コントローラ２１の割り込み演算の流れの第１例を示すフローチャートである。割り込み演算が開始されると、まず監視領域の状態が確認される（ステップＳ３１）。即ち、監視領域Ｄ０００Ｈ〜Ｄ０１０Ｈの状態が００００Ｈであるかどうかが確認される。

ここで、監視領域が００００Ｈでない場合、ＲＡＭにスタックオーバーが発生しているか、又はスタックオーバーに陥る可能性が高いと判断される。即ち、監視領域の値が０以外であるということは、割り込み演算の処理時間に余裕がなく、割り込み演算が演算周期時間内に終わらずにスタックオーバーが発生していると判断される。このように、スタックオーバーが検出されると、かご３を急停止させるための演算が実行され（ステップＳ３２）、非常停止指令が安全回路部１３に出力される。また、スタックオーバーが検出された場合、エレベータ監視室に異常検出信号が送信される。

監視領域に異常がなければ、演算に必要な信号を入力する入力演算が行われ（ステップＳ３３）、かご３の現在位置と現在位置から終端階までの距離とを求めるかご位置演算（ステップＳ３４）、かご３の移動量からかご３の速度を求めるかご速度演算（ステップＳ３５）、及び終端階までの距離に応じた異常速度の判断基準値（例えば図２）を求める判断基準演算（ステップＳ３６）が実行される。

この後、かご速度と判断基準値とからかご速度の異常を検出するための安全監視演算が実行される（ステップＳ３７）。安全監視演算又は急停止演算が実行されると、エレベータの状態をモニタ表示するためのモニタ演算が実行される（ステップＳ３８）。最後に、かご３の走行を許可、又はかご３を急停止させるために必要な指令信号を出力するための出力演算が実行される（ステップＳ３９）。

このような電子安全コントローラ２１では、スタック領域監視部により監視領域の状態が監視されており、監視領域に異常があると判断されたときに、かご３が急停止されるので、ＲＡＭのスタックオーバーによりプログラム暴走が生じるのが防止される。これにより、機器の破損が未然に防止される。即ち、コンピュータによる運転制御に関する演算をより確実に実行することができ、信頼性を向上させることができる。

ここで、スタックオーバー（スタックの積み上げ）による異常は、原因究明が難しく、故障復旧に時間がかかってしまう。スタックオーバーは、マイコンやプログラムの異常により発生することもあるが、これらに異常がなければ、スタックオーバーの一番の要因は、割り込み演算が演算周期時間内に終わらないこと（演算時間オーバー）であると考えられる。

演算時間オーバーは、通常は発生しないが、例えば呼び釦が多く操作され呼びスキャン演算に長時間を要する場合など、一時的に演算時間が増えることにより発生する。また、ソフトウエアの改造や改善等を繰り返すうちに演算時間が徐々に増え、演算時間オーバーが発生することも考えられる。

演算時間オーバーが発生すると、スタックオーバーが発生して、スタック領域が不正に使用され、タイマ割り込みからの戻りアドレスが壊れる恐れがある。戻りアドレスが壊れると、プログラム暴走が生じたり、ＲＡＭデータが破壊されてエレベータの制御が不能になったりする恐れがある。

これに対して、この例の電子安全コントローラ２１によれば、スタックオーバーをより早期に検出することができ、プログラム暴走や制御不能の発生を未然に防止することができ、信頼性が向上する。

また、スタック領域監視部は、予め設定された演算周期毎に監視領域の状態を確認するので、スタックオーバーの有無を常時監視することができ、信頼性をさらに向上させることができる。

さらに、監視領域に異常があると判断されたときには、かご３を急停止させるので、より大きな故障にながるのを防止することができる。

なお、上記の例では、監視領域の異常が検出されるとかご３を急停止させたが、最寄り階停止指令を運転制御部１２に出力してかご３を最寄り階に停止させてもよく、かご３内の乗客をスムーズに乗場に降ろすことができる。

また、監視領域の異常が検出されたとき、エレベータを安全な状態に移行させるための信号を出力するとともに、そのときの電子安全コントローラ２１の状態を履歴として記録（履歴演算）してもよい。履歴は、例えばＲＡＭのスタック領域以外の領域に記録される。これにより、スタックオーバーの発生を未然に防止したり、スタックオーバーの原因究明に役立てたりすることができる。また、故障復旧時間の短縮を図ることができる。

このように、この例における電子安全コントローラ２１は、エレベータの安全を監視するための演算に必要な情報を記憶するスタック領域が設定されているＲＡＭ、及びスタック領域内の予め設定された監視領域の状態を監視するスタック領域監視部を備え、スタック領域監視部により検出された監視領域の状態に応じてエレベータの運転を制御する。

また、スタック領域監視部は、所定の演算周期毎に監視領域の状態を確認する。さらに、監視領域の状態の確認は、エレベータの安全を監視するための割り込み演算処理の一部として実行される。

≪演算処理実行順序の異常検出≫
次に、電子安全コントローラ２１における演算処理の実行順序の異常検出方法について説明する。図１１は図１の電子安全コントローラ２１による割り込み演算の流れの第２例を示すフローチャートである。

割り込み演算が開始されると、まずＲＡＭに書き込まれた処理情報のパターンが確認される（ステップＳ４１）。ここでは、処理情報として、演算処理のタスク（機能単位）毎に予め設定された数値（識別値）が用いられる。処理情報は、ＲＡＭ内の予め決められた領域に設定されたテーブルに書き込まれる。この例では、７つの演算処理に対して１〜７の識別値が割り振られており、対応するＴＢＬ［０］〜［６］に識別値が書き込まれている。ＴＢＬ［７］〜［９］は、対応する演算処理が存在しないため、０のままである。

処理情報のパターンが正常であれば、ＴＢＬ［０］〜［９］及びテーブルの格納ポインタが０に初期化される（ステップＳ４２）。この後、演算に必要な信号を入力する入力演算（ステップＳ４３）、かごの現在位置と現在位置から終端階までの距離とを求めるかご位置演算（ステップＳ４４）、かごの移動量からかごの速度を求めるかご速度演算（ステップＳ４５）、及び終端階までの距離に応じた異常速度の判断基準値（例えば図２）を求める判断基準演算（ステップＳ４６）が実行される。

この後、かご速度と判断基準値とからかご速度の異常を検出するための安全監視演算が実行される（ステップＳ４７）。安全監視演算又は急停止演算が実行されると、エレベータの状態をモニタ表示するためのモニタ演算が実行される（ステップＳ４８）。最後に、安全監視演算の結果に応じて、かごの走行を許可、又はかごを急停止させるために必要な指令信号を出力するための出力演算が実行される（ステップＳ４９）。

また、それぞれの演算が実行された直後には、対応するテーブルへの識別値の書き込みが実行される（ステップＳ５０〜５６）。即ち、演算処理と識別値の書き込みとは交互に実行される。

具体的には、最初の演算である入力演算が実行された直後には、ＴＢＬ［Ｐ］に１が書き込まれ、格納ポインタＰに１がプラスされる（ステップＳ１５）。次に、かご位置演算が実行された直後には、ＴＢＬ［Ｐ］に２が書き込まれ、格納ポインタＰに１がプラスされる（ステップＳ１６）。このような処理が順次実行され、最後の演算である出力演算が実行された直後には、ＴＢＬ［６］に７が書き込まれる。

このように書き込まれた識別値のパターンは、次の割り込み演算の開始時に確認される（ステップＳ４１）。即ち、識別値のパターンを確認することにより、演算処理の実行順序が正常であるかどうかが判断される。

演算処理の実行順序に異常が検出されると、かごを急停止させるための急停止演算が実行される（ステップＳ５７）。また、演算処理の実行順序に異常が検出された場合、エレベータ監視室に異常検出信号が送信される。急停止演算が実行されると、モニタ演算が実行され（ステップＳ５８）、かごを急停止させるために必要な指令信号を出力するための出力演算が実行され（ステップＳ５９）、割り込み演算処理が終了する。

このような電子安全コントローラ２１では、演算処理の実行順序の異常を速やかに検出することができ、これによりコンピュータによる運転制御に関する演算をより確実に実行することができ、信頼性を向上させることができる。また、プログラム異常で自己ループしているような異常も検出することができる。即ち、この発明は、運転制御装置にも安全装置にも適用できる。

ここで、演算処理の実行順序の異常は、原因究明が難しく、故障復旧に時間がかかってしまう。演算処理の実行順序の異常は、マイコンやプログラムの異常により発生することもあるが、これらに異常がなければ、一番の要因は割り込み演算が演算周期時間内に終わらないこと（演算時間オーバー）であると考えられる。

演算時間オーバーは、通常は発生しないが、例えば呼び釦が多く操作され呼びスキャン演算に長時間を要する場合など、一時的に演算時間が増えることにより発生する。また、ソフトウエアの改造や改善等を繰り返すうちに演算時間が徐々に増え、演算時間オーバーが発生することも考えられる。

これに対して、この電子安全コントローラ２１によれば、演算処理の実行順序の異常をより早期に検出することができ、二次的な故障の発生を未然に防止することができ、信頼性が向上する。

また、電子安全コントローラ２１は、予め設定された演算周期毎に処理情報のパターンを確認するので、異常の有無を常時監視することができ、信頼性をさらに向上させることができる。

さらに、演算処理の実行順序に異常があると判断されたときには、かごを急停止させるので、より大きな故障にながるのを防止することができる。

なお、上記の例では、演算処理の実行順序に異常があると判断されたときにかご３を急停止させたが、最寄り階停止指令を運転制御部１２に出力してかご３を最寄り階に停止させてもよく、かご３内の乗客をスムーズに乗場に降ろすことができる。

また、演算処理の実行順序に異常が検出されたとき、エレベータを安全な状態に移行させるための信号を出力するとともに、そのときの電子安全コントローラ２１の状態を履歴として記録（履歴演算）してもよい。

さらに、上記の例では、全ての演算処理に処理情報を割り当てたが、必ずしも全てでなくてもよい。即ち、実行順序を監視したい演算処理のみに処理情報を付与してもよい。

このように、この例における電子安全コントローラ２１は、ＲＡＭ、及び安全監視に関するプログラムが格納されたプログラム記憶部と、プログラムに基づいて複数の演算処理を実行する処理部とを有するコントローラ本体を備え、コントローラ本体は、演算処理を実行したときにそれぞれの演算処理に対応した処理情報をＲＡＭに書き込むとともに、ＲＡＭに書き込まれた処理情報のパターンから演算処理の実行順序が正常であるかどうかを監視する。

また、処理情報は、演算処理毎に予め設定された数値である。さらに、制御装置本体は、所定の演算周期毎に処理情報のパターンを確認する。さらにまた、処理情報の書き込み、及び処理情報のパターンの確認は、エレベータの安全を監視するための割り込み演算処理の一部として実行される。

≪電源電圧の異常検出≫
次に、電子安全コントローラ２１における電源電圧の異常検出方法について説明する。図１２は図１の電子安全コントローラ２１の要部を示すブロック図である。この例では、信頼性を向上させるため２系統の指令信号がエレベータ制御盤１１に出力される。このため、二重系の回路構成が採用されており、第１及び第２のＣＰＵ（処理部）４１，４２が用いられている。

第１のＣＰＵ４１は、第１の出力インタフェース４３を介してエレベータ制御盤１１に指令信号を出力する。第２のＣＰＵ４２は、第２の出力インタフェース４４を介してエレベータ制御盤１１に指令信号を出力する。エレベータ制御盤１１は、第１及び第２の出力インタフェース４３，４４から指令信号を受けると、エレベータを安全状態へと移行させる。

第１及び第２のＣＰＵ４１，４２には、両者間のデータ授受を行うための２ポートＲＡＭ４５が接続されている。第１のＣＰＵ４１には、第１センサからの信号が入力される。第２のＣＰＵ４２には、第２センサからの信号が入力される。

第１及び第２のセンサからの信号は、ＣＰＵ４１，４２で演算処理され、これによりかご３の速度及び位置が求められる。第１及び第２のセンサとしては、例えば調速機エンコーダ１８が挙げられる。

ＣＰＵ４１，４２での演算処理の結果データは、２ポートＲＡＭ４５を介してＣＰＵ４１，４２により互いに授受される。そして、ＣＰＵ４１，４２では、互いの結果データとの比較が行われ、演算結果に有意差が見られたり、過速度（速度超過）が確認されたりした場合には、出力インタフェース４３，４４を介してエレベータ制御盤１１に指令信号が出力され、エレベータが安全状態へと移行される。

また、このエレベータ制御装置には、ＣＰＵ４１，４２の電源電圧を監視する＋５Ｖ電源電圧監視回路７１及び＋３．３Ｖ電源電圧監視回路７２が設けられている。電源電圧監視回路７１，７２は、例えばＩＣ（集積回路）により構成されている。

電源電圧監視回路７１，７２は、安定した電源電圧がＣＰＵ４１，４２に供給されているかどうかを監視する。ＣＰＵ４１，４２の定格電圧を外れるような電源電圧異常が発生した場合、電源電圧監視回路７１，７２からの情報に基づいてＣＰＵ４１，４２に強制リセットがかけられ、フェールセーフ勝手に設計された安全回路部１３によりかご３が急停止される。

＋５Ｖ電源電圧監視回路７１には、第１の監視用電圧入力回路７３から監視用電圧が入力される。＋３．３Ｖ電源電圧監視回路７２には、第２の監視用電圧入力回路７４から監視用電圧が入力される。

電源電圧監視回路７１，７２及びＣＰＵ４１，４２には、電源電圧監視回路７１，７２の健全性を監視する電圧監視健全性チェック機能回路７５（以下、チェック機能回路７５と略称する）が接続されている。チェック機能回路７５は、例えばＦＰＧＡ（field programmable gate array）等のプログラマブルなゲートＩＣで構成されている。また、チェック機能回路７５は、ＡＳＩＣ、ＣＰＬＤ、ＰＬＤ又はゲートアレイ等でも実現可能である。

電源電圧の異常が検出されると、電源電圧監視回路７１，７２からチェック機能回路７５に電圧異常検出信号８１，８２が出力され、チェック機能回路７５からＣＰＵ４１，４２にリセット信号８３，８４が出力される。

また、チェック機能回路７５には、ＣＰＵ４１，４２からの制御信号８５，８６が入力される。チェック機能回路７５からは、電源電圧監視回路７１，７２の電圧入力ピンを低電圧に強制的に変更させるための監視用入力電圧強制変更信号８７，８８が出力される。

監視用入力電圧強制変更信号８７，８８が出力されると、監視用入力電圧強制変更回路７６，７７により、電源電圧監視回路７１，７２の電圧入力ピンが低電圧に強制的に落とされる。

また、チェック機能回路７５は、第１のＣＰＵ４１用の第１データバス７８と、第２のＣＰＵ４２用の第２データバス７９とに接続されている。

なお、かご３の位置及び速度を求めるためのプログラム、エレベータの異常を判定するためのプログラム、及び電源電圧監視回路７１，７２の健全性を確認するためのプログラム等は、ＣＰＵ４１，４２に接続された記憶部であるＲＯＭに格納されている。

図１３は図１２のチェック機能回路７５の具体的な構成の一例を示す回路図である。制御信号８５，８６には、選択信号８９，９０、出力許信号９１，９２、及びチップセレクト信号９３，９４が含まれている。

選択信号８９，９０は、どちらの電源電圧監視回路７１，７２の健全性をチェックするかを選択するための２ビットの信号である。出力許可信号９１，９２は、チェック機能回路７５からの監視用入力電圧強制変更信号８７，８８の出力を許可するとともに、選択信号８９，９０で選択された内容をラッチするための信号である。即ち、出力許可信号９１，９２は、ラッチトリガ信号を兼ねている。

電源電圧の異常が検出されると、チェック機能回路７５内の電圧異常信号ラッチ回路１０１により電圧異常検出信号８１，８２がラッチされる。電圧異常信号ラッチ回路１０１でのラッチ状態は、制御信号８５，８６の一部であるラッチ解除信号９５，９６が入力されることにより解除される。

選択信号８９，９０は、第１及び第２のセレクタ１０２，１０３に入力される。第１及び第２のセレクタ１０２，１０３は、選択信号８９，９０に基づいて、どちらの電源電圧監視回路７１，７２の健全性をチェックするかを切り換える。セレクタ１０２，１０３で選択された内容は、第１及び第２の選択内容ラッチ回路１０４，１０５によりラッチされる。

監視用入力電圧強制変更信号８７，８８の出力の前段には、変更信号出力バッファ１０６が入れられている。

また、チェック機能回路７５には、第１のＣＰＵ４１の複数のデータバス出力バッファ１０７と、第２のＣＰＵ４２の複数のデータバス出力バッファ１０８とが設けられている。

ここで、図１４は図１２のチェック機能回路７５を第１及び第２のＣＰＵ４１，４２がリードしたときのデータバス７８，７９の各ビットに関するデータの意味を示す説明図である。

次に、図１５は図１２の第１のＣＰＵ４１側の電源電圧監視健全性チェック方法を示すフローチャートである。電子安全コントローラ２１は、かご３の過速度等のエレベータの異常監視のための演算処理を含む割り込み演算を演算周期（例えば５ｍｓｅｃ）毎に実行する。そして、割り込み演算のメインルーチンを実行した際、電源電圧監視回路７１，７２の健全性チェックを実施するかどうかを判断する（ステップＳ１１）。

健全性チェックは、予め設定されたタイミングで実施される。即ち、健全性チェックは、かご３の停止状態が予め設定された時間経過したときに実施される。具体的には、利用客の少ない閑散時や夜間運転休止時等に実施される。

健全性チェックを実施しなければ、メインルーチンに戻る。健全性チェックを実施する場合、まずチェック機能回路７５内のエラー信号である電圧異常検出信号８１，８２のラッチ状態を解除する。即ち、チェック機能回路７５へラッチ解除信号９５を出力する（ステップＳ１２）。ラッチ解除信号９５は、電圧異常信号ラッチ回路１０１に入力され、電圧異常検出信号８１，８２のラッチ状態が解除される。

次に、第１のＣＰＵ４１の出力許可信号９１がＨｉｇｈになっていることを確認の上（ステップＳ１３）、第２のＣＰＵ４２に対しても出力許可信号９２をＨｉｇｈにするように２ポートＲＡＭ４５を介して要求する（ステップＳ１４）。

この後、どちらの電源電圧監視回路７１，７２の健全性チェックを行うかを選択するセレクト信号８９をチェック機能回路７５へ出力しラッチする（ステップＳ１５）。

続いて、第２のＣＰＵ４２に対して出力許可信号９２をＬｏｗにするように２ポートＲＡＭ４５を介して要求する（ステップＳ６）。出力許可信号９２がＬｏｗになったことが確認されたら、出力許可信号９１をＬｏｗにする（ステップＳ７）。これにより、チェック機能回路７５内では、出力許可信号９１の立ち下がりに同期して、セレクト信号８９が選択内容ラッチ回路１０４によりラッチされる。そして、チェック機能回路７５から電源電圧監視回路７１へ監視用入力電圧強制変更信号８７が出力される。

この結果、電源電圧監視回路７１では電圧異常が検出され、電圧異常検出信号８１がチェック機能回路７５に入力されることになる。そして、チェック機能回路７５内では、電圧異常信号ラッチ回路１０１により電圧異常検出信号８１がラッチされる。これとともに、ＣＰＵ４１，４２には、チェック機能回路７５からのリセット信号８３，８４が入力され（ステップＳ８）、これによりＣＰＵ４１，４２がリセットする。

このとき、１回の健全性チェック動作でチェックする電源電圧監視回路は必ず１つだけである。引き続き他の電源電圧監視回路の健全性チェックを実施する場合には、１つの電源電圧監視回路のチェックが終了してから、他の電源電圧監視回路の健全性チェックを実施する。１つのＣＰＵに複数の電圧の異なる複数の電源が供給され、それに伴い複数の電源電圧監視回路が設けられている場合も、各電源電圧監視回路の健全性チェックをシーケンシャルに１つずつ実施する。このように、複数の電源電圧監視回路の健全性チェックをシーケンシャルに実施することは、プログラム（ソフトウエア）上に予め設定しておくことができる。

図１６は図１２のエレベータ制御装置においてＣＰＵ４１，４２がリセットされた場合の動作を示すフローチャートである。ＣＰＵ４１，４２のリセットの原因は、勿論、健全性チェックによるものだけではなく、真の電源電圧の異常やその他の理由による可能性もある。

リセットがかけられると、ＣＰＵ４１，４２は、まずソフトウエアのイニシャライズ処理を開始する（ステップＳ１９）。次に、イニシャライズ処理の中で、チェック機能回路７５のデータをリードする（ステップＳ２０）。そして、ラッチされている内容からリセットされる前の状況を確認し、電源電圧の異常や電源電圧監視回路７１，７２の故障があるかどうかを判断する（ステップＳ２１）。即ち、そのリセットが健全性チェックのために起きたものなのか、真の電源電圧異常により起きたものなのかを判断する。

例えば、出力許可信号９１，９２の出力をＬｏｗにしていないのに、電圧異常が示されていれば、真の電源電圧異常が発生したと判断される。また、出力許可信号９１，９２の出力をＬｏｗにしたにも拘わらず、チェック機能回路７５のデータでは電圧異常が示されていない場合、電源電圧監視回路７１，７２又はチェック機能回路７５自体の故障であると判断される。この状態で、監視用入力電圧強制変更信号８７，８８が出力されていれば、電源電圧監視回路７１，７２の故障であると判断され、監視用入力電圧強制変更信号８７，８８が出力されていなければ、チェック機能回路７５自体の故障であると判断される。

チェック機能回路７５のデータリードの結果、異常や故障が検出されなければ、メインルーチンへの移行を許可する（ステップＳ２２）。但し、ここでは電源電圧に関するリセットについてのみ述べているが、他の故障検出や他の回路の健全性チェックによりリセットをかけるようにしてもよく、その場合には、全ての異常・故障がないことを確認した上でメインルーチンへの移行が許可されることになる。

また、チェック機能回路７５のデータリードの結果、何等かの異常や故障が見つかれば、エレベータ制御盤１１に指令信号を出力し（ステップＳ２３）、エレベータを安全状態へと移行させる。

このような電子安全コントローラ２１では、電源電圧の異常だけなく、電源電圧監視回路７１，７２の故障についても健全性を監視することができるので、電源電圧の監視について信頼性をより一層向上させることができる。

また、従来はフェールセーフや安全性の確保のために、各電源電圧監視回路にも二重系を用いることがあったが、上記の電子安全コントローラ２１ではその必要がないため、構成が簡単であり、コストの増加も抑えることができる。しかも、信頼性は、各電源電圧監視回路を二重系とした場合と同等である。

さらに、２つのＣＰＵ４１，４２を用いた二重系の回路構成とし、２ポートＲＡＭ４５を介して、それぞれのＣＰＵ４１，４２による健全性チェック動作を互いに確認し合えるようにしたので、チェック機能回路７５やソフトウエアの故障も検出することができる。

このように、この例における電子安全コントローラ２１は、エレベータの安全監視に関する処理を行う処理部と、処理部に供給される電源電圧を監視する電源電圧監視回路とを備え、電源電圧監視回路に入力される電源電圧を強制的に変更するための監視用入力電圧強制変更信号を処理部からの制御信号に応じて出力するとともに、電源電圧監視回路からの電圧異常検出信号が入力される電圧監視健全性チェック機能回路をさらに備え、電圧監視健全性チェック機能回路は、処理部及び電源電圧監視回路との信号の送受信内容の少なくとも一部を保持し、処理部は、電圧監視健全性チェック機能回路に保持されたデータをリードすることにより電源電圧監視回路の健全性チェックを行う。

また、処理部は、第１及び第２のＣＰＵを含んでおり、第１及び第２のＣＰＵは、２ポートＲＡＭを介して、第１及び第２のＣＰＵによる健全性チェック動作を互いに確認し合えるようになっている。

さらに、監視用入力電圧強制変更信号の入力により、電源電圧監視回路に入力される電源電圧を強制的に低下させる監視用入力電圧強制変更回路をさらに備えている。

さらにまた、電源電圧監視回路には、電圧の異なる複数の電源の電圧を監視するための複数の電源電圧監視回路が含まれており、処理部から電圧監視健全性チェック機能回路への制御信号には、複数の電源電圧監視回路のうちのどの回路の健全性チェックを行うかを選択するための選択信号が含まれている。

また、処理部は、各電源電圧監視回路の健全性チェックをシーケンシャルに１つずつ実施可能である。
さらに、電圧監視健全性チェック機能回路は、プログラマブルなゲートＩＣにより構成されている。

≪ＥＴＳ初期設定≫
次に、ＥＴＳ回路部２２の初期設定動作について説明する。上述したように、ＥＴＳ回路部２２では、運転制御部１２とは独立して、かご３の位置を検出している。このため、例えばエレベータの起動時には、ＥＴＳ回路部２２の初期設定動作（初期設定運転ステップ）が行われる。また、何等かの原因により運転制御部１２におけるかご３の位置情報とＥＴＳ回路部２２におけるかご３の位置情報との間にずれが生じてしまった場合にも、ＥＴＳ回路部２２の初期設定動作が行われる。このような初期設定動作を行う際には、運転制御部１２の運転モードは、初期設定運転モードに切り換えられる。

図１７は図１のＥＴＳ回路部２２の初期設定動作の段階と運転制御部１２及び安全回路部１３の動作との関係を示す説明図である。初期設定動作では、まず速度検出初期設定が行われ、次に位置検出初期設定が行われる。

初期設定動作開始時には、安全回路部１３により駆動装置７が非常停止状態にされている。即ち、駆動装置７のモータ電源が遮断され、駆動装置７のブレーキ部９が制動状態にされている。また、ＥＴＳ回路部２２から運転制御部１２に運転不可の指令が出力されている。

速度検出初期設定が終了するまでは、安全回路部１３は非常停止状態であり、運転制御部１２も運転不可のままである。従って、ＥＴＳ回路部２２による監視は不能である。

速度検出初期設定が終了すると、電子安全コントローラ２１から運転制御部１２に低速運転可能の許可信号が出力される。また、安全回路部１３の非常停止状態が解除される。この状態で、ＥＴＳ回路部２２は、位置検出初期設定動作を行う。

位置検出初期設定動作では、かご３は、緩衝器２７，２８の衝突許容速度以下の速度で、昇降路１の下部から上部まで走行される。そして、ＥＴＳ回路部２２では、調速機エンコーダ１８からの信号と昇降路１内でのかご３の位置との関係が設定される。

初期設定動作が終了すると、電子安全コントローラ２１から運転制御部１２に高速（定格速運転）運転可能の許可信号が出力される。また、ＥＴＳ回路部２２では、高速監視が可能となる。

次に、図１８は図１のエレベータ装置の初期設定運転モードにおけるかご３の動きを説明する説明図である。初期設定運転モードでは、速度検出初期設定が終了した後、かご３が昇降路１の下部の階床書込開始位置まで移動される。階床書込開始位置は、かご３が最下階位置Ｐ_BOTよりも下方でかご緩衝器２７よりも上方に位置する位置である。また、かご３が階床書込開始位置に位置するとき、かご３（具体的には、かご３に設けられた基準センサ２３〜２６の操作プレート）は第４の基準センサ２６よりも下方に位置している。

昇降路１内には、運転制御部１２により最下階や最上階の位置を検出するための複数の終点スイッチ（図示せず）が設けられている。そして、階床書込開始位置へのかご３の移動は、運転制御部１２によって制御される。

この後、階床書込開始位置からかご３を上昇させながら、調速機エンコーダ１８からの信号に対応したかご３の仮現在位置Ｐ_{current tmp}が求められる。具体的には、階床書込開始位置を０とする。
Ｐ_{current tmp}←０
そして、以降は、演算周期（例えば１００ｍｓｅｃ）毎に仮現在位置が更新される。

ここで、ＥＴＳ回路部２２には、調速機エンコーダ１８のエンコーダパルスをカウントするアップダウンカウンタが設けられており、アップダウンカウンタの演算周期内移動量をＧＣ１とすると、Ｎ回目の演算周期における仮現在位置Ｐ_{current tmp}は、
Ｐ_{current tmp N}←Ｐ_{current tmp N-1}＋ＧＣ１
で求められる。具体的には、仮現在位置や演算周期内移動量は、エンコーダパルスのパルス数として求められる。

このように、かご３の上昇に伴い仮現在位置が更新されていくが、操作プレートが基準センサ２３〜２６に進入した位置と、操作プレートが基準センサ２３〜２６から脱出した位置とは、ＥＴＳ回路部２２に設けられた記憶部（メモリ）のテーブルに書き込まれる。

例えば、Ｎ回目の演算周期で第４の基準センサ２６への進入が検出されたとすると、進入位置Ｐ_{tmp ETSD}は、
Ｐ_{tmp ETSD}←Ｐ_{current tmp N-1}＋ＧＣ１−ＧＣ２
で求められる。但し、ＧＣ２は、第４の基準センサ２６への進入後のアップダウンカウンタの移動量である。
他の基準センサ２３，２４，２５への進入位置も同様にテーブルに書き込まれる。

また、Ｎ回目の演算周期で基準センサ２６からの脱出が検出されたとすると、脱出位置Ｐ_{tmp ETSU}は、
Ｐ_{tmp ETSU}←Ｐ_{current tmp N-1}＋ＧＣ１−ＧＣ３
で求められる。但し、ＧＣ３は、第４の基準センサ２６から脱出した後のアップダウンカウンタの移動量である。
他の基準センサ２３，２４，２５からの脱出位置も同様にテーブルに書き込まれる。

このように、全ての進入位置及び脱出位置の書き込みが終わったら、かご３は最上階位置Ｐ_TOPに停止される。
ここで、運転制御部１２には、仮想０点を基準とした最下階位置Ｐ_BOT及び最上階位置Ｐ_TOPのデータが設定されている。そして、かご３が最上階位置Ｐ_TOPに停止されたら、仮想０点を基準とした最下階位置Ｐ_BOT及び最上階位置Ｐ_TOPのデータが運転制御部１２から電子安全コントローラ２１に伝送される。電子安全コントローラ２１では、仮現在位置として求められテーブルに書き込まれている位置データが、運転制御部１２から伝送された情報に基づいて、仮想０点を基準としたデータに変換される。これにより、仮想０点を基準とした現在位置Ｐ_currentの検出が可能となる。

現在位置への修正量δは、
δ＝Ｐ_TOP−Ｐ_{current tmp N}
で求められる。従って、テーブルに書き込まれた位置データに修正量δを加えれば、仮想０点基準の位置データが求められる。修正後の位置データは、電子安全コントローラ２１のＥ²ＰＲＯＭに書き込まれ、以降はこのデータが使用される。

また、最上階停止中には、以下の処理が行われ、位置管理が仮現在位置から現在位置に変更される。
Ｐ_{current 0}←Ｐ_TOP
Ｐ_{current N}←Ｐ_{current N-1}＋ＧＣ１

この修正が完了し、位置管理が現在位置管理に移行されたら、電子安全コントローラ２１から運転制御部１２に高速運転可の指令が出力され、高速自動運転、即ち通常運転モードの実施が許可される。また、ＥＴＳ回路部２２では、通常監視動作が実施される。通常監視動作では、かご緩衝器２７の上面からのかご３の距離Ｌ１と釣合おもり緩衝器２８の上面からの釣合おもり４の距離Ｌ２とが、次の式により演算周期毎に求められる。
Ｌ１＝Ｐ_{current N}−（Ｐ_BOT−Ｌ_KRB）
Ｌ２＝（Ｐ_TOP−Ｌ_CRB）−Ｐ_{current N}

但し、Ｌ_KRBは、かご緩衝器２７の上面から最下階位置Ｐ_BOTまでの距離、Ｌ_CRBは、最上階位置Ｐ_TOPから、釣合おもり４が釣合おもり緩衝器２８に衝突するときのかご３の位置（図１８のＣＷＴ衝突位置）までの距離である。

このようなエレベータ装置では、初期設定動作が完了するまでは、かご緩衝器２７の衝突許容速度以下でかご３を走行させるので、衝突許容速度を超えた速度でかご３がかご緩衝器２７に衝突するのをより確実に防止することができ、信頼性を向上させることができる。

なお、上記の例では、速度検出初期設定及び位置検出初期設定の２段階で初期設定動作を行う場合を示したが、３段階以上で初期設定動作を行い、段階毎に許容されるかごの走行速度を設定してもよい。
また、初期設定動作は、速度検出初期設定及び位置検出初期設定に限定されるものではない。

このように、この例におけるエレベータ装置は、かごの運転を制御する運転制御部と、かごの走行の異常を検出する監視部（電子安全コントローラ２１）とを有するエレベータ制御装置を備え、監視部の初期設定を行う際、運転制御部は、初期設定の段階に応じて通常運転時よりも低速でかごを走行させるようになっている。

また、監視部は、初期設定の段階に応じて、かごの速度に関する許可信号を運転制御部に出力する。
さらに、運転制御部は、通常運転モードと、かごを走行させながら監視部の初期設定を行うための初期設定運転モードとを含む複数の運転モードを選択的に切り換えてかごの運転を制御するようになっており、運転制御部は、初期設定運転モードでは、初期設定の段階に応じて通常運転モードよりも低速でかごを走行させる。

また、この例におけるエレベータ装置の制御方法は、かごの走行の異常を検出する監視部の初期設定を、かごを走行させながら行う初期設定運転ステップを含み、初期設定運転ステップでは、初期設定の段階に応じて通常運転よりも低速でかごを走行させる。

≪リレー接点の異常検出≫
次に、図１９は図１の電子安全コントローラ２１の接点異常検出部を示す回路図である。安全回路部１３は、ブレーキ部９に電力を供給するためのブレーキ電源コンタクタコイル１１１と、駆動装置７のモータ部に電力を供給するためのモータ電源コンタクタコイル１１２と、コンタクタコイル１１１，１１２への電圧の印加を入切するための安全リレー主接点１１３と、安全リレー主接点１１３に対して並列に接続されたバイパスリレー主接点１１４とを有している。

ブレーキ電源コンタクタコイル１１１、モータ電源コンタクタコイル１１２及び安全リレー主接点１１３は、電源に対して互いに直列に接続されている。安全リレー主接点１１３は、通常運転時には閉じられている。また、例えばかご３の走行速度が予め設定された速度を超えた場合など、エレベータの異常時には、安全リレー主接点１１３が開かれる。バイパスリレー主接点１１４は、通常運転時には開かれている。

電子安全コントローラ２１は、コントローラ本体１１５と、安全リレー主接点１１３を動作させる安全リレーコイル１１６と、バイパスリレー主接点１１４を動作させるバイパスリレーコイル１１７と、安全リレー主接点１１３に機械的に連動して開閉される安全リレーモニタ接点１１８と、バイパスリレー主接点１１４に機械的に連動して開閉されるバイパスリレーモニタ接点１１９とを有している。

安全リレーコイル１１６、バイパスリレーコイル１１７、安全リレーモニタ接点１１８及びバイパスリレーモニタ接点１１９は、コントローラ本体１１５に対して互いに並列に接続されている。

安全リレー主接点１１３と安全リレーモニタ接点１１８とは、リンク機構（図示せず）により機械的に連結されている。従って、接点１１３，１１８のいずれか一方が溶着等により動作不能となった場合には、他方も動作不能となる。

バイパスリレー主接点１１４とバイパスリレーモニタ接点１１９とは、リンク機構（図示せず）により機械的に連結されている。従って、接点１１４，１１９のいずれか一方が溶着等により動作不能となった場合には、他方も動作不能となる。

コントローラ本体１１５は、処理部１２０、記憶部１２１、入出力部１２２、安全リレーモニタ接点レシーバ回路１２３、バイパスリレーモニタ接点レシーバ回路１２４、安全リレードライバ回路１２５、及びバイパスリレードライバ回路１２６を有している。
処理部１２０としては、例えばＣＰＵが用いられている。記憶部１２１としては、例えばＲＡＭ、ＲＯＭ及びハードディスク装置等が用いられている。記憶部１２１には、例えばエレベータの異常を判断するためのデータや、安全リレー主接点１１３の動作試験を行うためのプログラム等が格納されている。

処理部１２０は、入出力部１２２を介して、運転制御部１２及び各種センサと信号の送受信を行う。

安全リレーモニタ接点レシーバ回路１２３は、安全リレーモニタ接点１１８に直列に接続され、安全リレーモニタ接点１１８の開閉状態を検出する。バイパスリレーモニタ接点レシーバ回路１２４は、バイパスリレーモニタ接点１１９に直列に接続され、バイパスリレーモニタ接点１１９の開閉状態を検出する。

安全リレードライバ回路１２５は、安全リレーコイル１１６に直列に接続され、安全リレーコイル１１６の励磁・非励磁を切り換える。バイパスリレードライバ回路１２６は、バイパスリレーコイル１１７に直列に接続され、バイパスリレーコイル１１７の励磁・非励磁を切り換える。

安全リレーコイル１１６の励磁・非励磁の切換は、処理部１２０から安全リレードライバ回路１２５に安全リレー指令信号を出力することにより行われる。また、バイパスリレーコイル１１７の励磁・非励磁の切換は、処理部１２０からバイパスリレードライバ回路１２６にバイパス指令信号を出力することにより行われる。

レシーバ回路１２３，１２４及びドライバ回路１２５，１２６は、処理部１２０に対して互いに並列に接続されている。

次に、動作について説明する。エレベータの運転中には、各種センサからの情報に基づいて、コントローラ本体１１５によりエレベータの異常の有無が監視されている。処理部１２０によりエレベータの異常が検出されると、安全リレードライバ回路１２５により安全リレーコイル１１６のドライブが止められる。

これにより、安全リレー主接点１１３が開かれ、コンタクタコイル１１１，１１２への通電が遮断される。この結果、ブレーキ部９により駆動シーブ８の回転が制動されるとともに、モータ部への通電が遮断され、かご３が急停止される。

次に、安全リレー主接点１１３の動作試験方法について説明する。図２０は図１９の安全リレー主接点１１３の動作試験方法を説明するためのフローチャートである。この実施の形態では、通常運転時にかご３が停止階に停止する度に動作試験が実施される。従って、通常運転時には、処理部１２０は、各種センサからの情報によりかご３の走行速度が０になったがどうかを監視している（停止検出ステップＳ６１）。

かご３の速度が０になり安全状態になったら、バイパスリレードライバ回路１２６によりバイパスリレーコイル１１７が励磁され、この後、予め設定された時間、ここでは１００ｍｓ待機する（ステップＳ６２）。そして、バイパスリレーモニタ接点１１９が閉じられたかどうかがバイパスリレーモニタ接点レシーバ回路１２４により確認される（ステップＳ６３）。

バイパスリレーモニタ接点１１９が閉じられていなければ、バイパスリレー主接点１１４も閉じられていないことを意味するため、処理部１２０によりバイパスリレー故障と判断され、コントローラ本体１１５から運転制御部１２に異常検出信号が出力される（ステップＳ６４）。

バイパスリレーモニタ接点１１９が正常に閉じられていることが確認されたら、安全リレードライバ回路１２５により安全リレーコイル１１６が励磁され、この後、予め設定された時間、ここでは１００ｍｓ待機する（試験指令ステップＳ６５）。そして、安全リレーモニタ接点１１８が開かれたどうかが安全リレーモニタ接点レシーバ回路１２３により確認される（異常検出ステップＳ６６）。

安全リレーモニタ接点１１８が開かれていなければ、溶着等の原因により安全リレー主接点１１３も開かれていないことを意味するため、処理部１２０により安全リレー故障と判断され、コントローラ本体１１５から運転制御部１２に異常検出信号が出力される（ステップＳ６４）。

安全リレーモニタ接点１１８が正常に開かれたことが確認されたら、今度は安全リレーコイル１１６が非励磁状態にされ、この後、予め設定された時間、ここでは１００ｍｓ待機する（ステップＳ６７）。そして、安全リレーモニタ接点１１８が閉じられたかどうかが安全リレーモニタ接点レシーバ回路１２３により確認される（ステップＳ６８）。

安全リレーモニタ接点１１８が閉じられていなければ、処理部１２０により安全リレー故障と判断され、コントローラ本体１１５から運転制御部１２に異常検出信号が出力される（ステップＳ６４）。

安全リレーモニタ接点１１８が正常に閉じられたことが確認されたら、バイパスリレーコイル１１７が非励磁状態にされ、この後、予め設定された時間、ここでは１００ｍｓ待機する（ステップＳ６９）。そして、バイパスリレーモニタ接点１１９が開かれたかどうかがバイパスリレーモニタ接点レシーバ回路１２４により確認される（ステップＳ７０）。

バイパスリレーモニタ接点１１９が開かれていなければ、処理部１２０によりバイパスリレー故障と判断され、コントローラ本体１１５から運転制御部１２に異常検出信号が出力される（ステップＳ６４）。

このようにして、安全リレー主接点１１３及びバイパスリレー主接点１１４の開閉動作の試験が終了したら、かご３の走行速度が予め設定された設定値以上になるまで待機し（ステップＳ７１）、次にかご３が停止するまでＥＴＳ回路部２２により走行速度が監視される。そして、かご３が停止する度に、上記の動作試験が実施され、安全回路部１３の健全性が確認される。

このようなエレベータ安全装置では、通常運転時にかごが停止したタイミングを利用して、安全リレー主接点１１３の動作試験を行うようにしたので、通常運転に支障を来すことなく、安全リレー主接点１１３の異常を検出することができ、信頼性を向上させることができる。

また、動作試験は、かごが停止する度に行うようにしたので、十分な頻度で安全リレー主接点１１３の動作を確認することができ、信頼性をさらに向上させることができる。

さらに、安全リレー主接点１１３の動作試験を行う際には、バイパスリレー主接点１１４を閉じるようにしたので、動作試験中に安全回路部１３への通電が遮断されるのを防止することができ、安全回路部１３を維持したまま、動作試験を実施することができる。

さらにまた、安全リレー主接点１１３及びバイパスリレー主接点１１４が正常に元に戻されたかどうかも確認するようにしたので、信頼性をさらに向上させることができる。

なお、上記の例では、安全リレー主接点１１３が開いたときにブレーキ部９が制動動作する場合を示したが、逆に、安全リレー主接点が閉じたときにブレーキ部が制動動作することも可能であり、この場合も安全リレー主接点の動作試験を実施することができる。

また、上記の例では、駆動装置７に設けられたブレーキ部９を動作させるための安全リレー主接点について示したが、例えば主ロープを把持してかごを制動するロープブレーキや、かご又は釣合おもりに搭載された非常止め装置を動作させるための安全リレー主接点に対しても適用できる。

さらに、上記の例では、かご３が停止する度に動作試験を行うようにしたが、動作試験のタイミングはこれに限定されない。例えば、かごの停止回数をカウントするカウンタを検出回路本体に設け、予め設定された停止回数毎に動作試験を実施するようにしてもよい。また、検出回路本体にタイマを設け、予め設定された時間が経過してから最初にかごが停止したときに動作試験を実施するようにしてもよい。さらに、エレベータの通常運転を開始したとき（起動時）のみ、動作試験を実施するようにしてもよい。さらにまた、予め設定された階に停止したときのみ、動作試験を実施するようにしてもよい。

このように、この例における電子安全コントローラ２１は、通常運転時にかごが停止したとき、ブレーキ部が制動動作する方向へ安全リレー主接点を動作させるための安全リレー指令信号を発生するとともに、安全リレー指令信号に応じて安全リレー主接点が動作したかどうかを検出する。

また、電子安全コントローラ２１には、安全リレー主接点に機械的に連動して開閉される安全リレーモニタ接点が設けられており、電子安全コントローラ２１は、安全リレーモニタ接点の状態から安全リレー主接点の状態を検出する。
さらに、安全リレー主接点は、通常運転時には閉じられており、かつエレベータの異常時には開かれるようになっており、安全リレー主接点に対して並列に接続され、通常運転時には開かれているバイパスリレー主接点が安全回路に設けられており、電子安全コントローラ２１は、安全リレー指令信号を発生する場合、その前にバイパスリレー主接点を閉じるためのバイパス指令信号を発生する。

さらにまた、電子安全コントローラ２１には、バイパスリレー主接点に機械的に連動して開閉されるバイパスリレーモニタ接点が設けられており、電子安全コントローラ２１は、バイパスリレーモニタ接点の状態からバイパスリレー主接点の状態を検出する。
また、電子安全コントローラ２１は、バイパス指令信号に応じてバイパスリレー主接点が動作したかどうかを検出する。
さらに、電子安全コントローラ２１は、安全リレー主接点の異常を検出したとき、運転制御部に異常検出信号を出力する。

≪動作履歴の記録≫
図２１は図１の電子安全コントローラ２１に履歴情報記録部及び健全性診断部を接続した状態を示すブロック図である。電子安全コントローラ２１には、電子安全コントローラ２１における判定処理に関する情報の履歴（処理過程）が記録される履歴情報記録部１３１が接続されている。履歴情報記録部１３１としては、エレベータ制御装置の電源が切断されても情報を保持し続ける不揮発性のメモリが用いられる。このようなメモリとしては、例えばフラッシュメモリやハードディスク装置等が挙げられる。

また、電子安全コントローラ２１及び履歴情報記録部１３１には、電子安全コントローラ２１の健全性を自動的に診断する健全性診断部１３２が接続されている。健全性診断部１３２は、各種センサ及び安全回路部１３等のシステム全体についての健全性も診断可能である。健全性診断部１３２による診断結果は、履歴情報記録部１３１に記録される。

図２２は図２１の履歴情報記録部１３１に格納された情報の一例を示す説明図である。履歴情報としては、時刻、かご位置、かご速度、かご位置に応じて求められた設定値（閾値）、判定結果、及び内部変数等の解析データが記録される。

履歴情報記録部１３１には、かご位置、かご速度、設定値、判定結果及び解析データ等のデータの組み合わせが、対応する時刻毎に分けて蓄積され、図２２に示すようなデータのテーブルが作成される。

図２３は図２１の電子安全コントローラ２１の動作を説明するためのフローチャートである。まず、現在時刻のデータが履歴情報記録部１３１に出力される（ステップＳ８１）。次に、かご３の位置が検出される（ステップＳ８２）。検出されたかご位置のデータは、履歴情報記録部１３１に出力される（ステップＳ８３）。この後、かご３の速度が検出される（ステップＳ８４）。検出されたかご速度のデータは、履歴情報記録部１３１に出力される（ステップＳ８５）。

次に、かご位置に対応した設定値が算出される（ステップＳ８６）。設定された設定値のデータは、履歴情報記録部１３１に出力される（ステップＳ８７）。この後、検出速度ｖと設定値ｆ（ｘ）とが比較され（ステップＳ８８）、検出速度ｖが設定値ｆ（ｘ）よりも小さければ、その判定結果は、「異常なし」（Ｇｏｏｄ）として履歴情報記録部１３１に出力される（ステップＳ８９）。かごの速度に異常がなければ、上記の動作が演算周期毎に繰り返される。

比較判定の結果、検出速度ｖが設定値ｆ（ｘ）以上であれば、安全回路部１３に停止指令信号が出力される（ステップＳ９０）。そして、その判定結果は、「異常あり」（Ｂａｄ）として履歴情報記録部１３１に出力される（ステップＳ９１）。

履歴情報記録部１３１では、電子安全コントローラ２１から送られたデータが順次記録される。

このようなエレベータ装置によれば、電子安全コントローラ２１からの指令によりかご３が急停止されたとき、履歴情報記録部１３１に記録された履歴を確認することにより、電子安全コントローラ２１の健全性を確認することができる。例えば、判定結果が「異常なし」であったにも拘わらず、かご３が急停止された場合、エレベータ制御盤１１側に故障があることが判断できる。

従って、かご３が急停止された場合の原因を効率的に判断することができる。これにより、復旧作業の効率化を図ることができる。
また、定期点検作業において、あらゆる条件の検査信号を実際に入力して設定値の演算結果や判定結果が正しいかどうかを確認するのに代えて、履歴情報を確認することにより一部の検査結果を得たとすることができ、点検作業の簡素化を図ることができる。履歴情報記録部１３１に記録された設定値の計算結果と比較判定結果とを確認するだけで、一部の定期点検を検査済みとすることができ、検査項目を軽減することができる。

さらに、電子安全コントローラ２１で設定される設定値は、いたずらによるかご振動等を考慮して余裕を持たせて設定される。どの程度の余裕を持たせるかは、エレベータ毎に調整することも可能である。履歴情報記録部１３１に記録された判定結果のデータを解析することにより、実際の運行状況において、どの程度の余裕が必要であるかを確認することができ、余裕を最小限とすることができる。これにより、かご速度を高速化し、運行効率を向上させることが可能である。また、余裕の調整作業を容易にすることができる。即ち、通常時の履歴情報を解析することにより、調整作業の作業項目を軽減することができる。

次に、健全性診断部１３２による診断内容の具体例は、以下の通りである。
１．センサの故障診断
・時間に対する位置の挙動のチェック（連続性、変化量、ノイズ等の有無）
・時間に対する速度の挙動のチェック（連続性、変化量、ノイズ等の有無）
・センサの故障チェック
２．速度監視部の動作の診断
・動作タイミング（動作間隔）のチェック（時刻ｔ１、ｔ２から）
・かご位置に対する設定値の演算結果のチェック
・検出速度と設定値との比較判定結果のチェック
・ＣＰＵ、ＲＯＭ、ＲＡＭ等の電子素子の故障診断
３．速度監視部の出力値の診断
・出力値の挙動のチェック（ノイズ等の有無）
・判定結果に対応する安全回路への出力のチェック
４．非常止め装置の自己診断機能の動作チェック
・自己診断の動作チェック（タイミング、診断項目）
・異常検出の履歴チェック
５．かご急停止動作の有無及び動作時の状態診断
・自己診断による非常止め装置の故障検知のチェック
（故障検出箇所、故障要因のチェック）
・誤出力のチェック（出力と論理演算との整合性チェック）
・動作直前の位置や速度の挙動チェック
（異常速度に至った挙動のチェック、いたずら等の有無のチェック）

また、上記のような診断結果の履歴情報を集計する処理を追加し、履歴情報記録部１３１に集計処理結果を記録することにより、履歴情報の確認作業を軽減することも可能である。記録する集計処理結果の具体例は、以下の通りである。
・動作タイミングの良否
・センサ入力の履歴による入力機能の健全性の良否
・論理演算の健全性の良否
・出力機能の良否
・自己診断動作と結果の良否
・装置異常の有無

このようなエレベータ装置では、システムの健全性の診断結果を履歴情報記録部１３１で確認することができるので、電子素子の故障が原因でかご３が急停止された場合、原因となった電子素子の特定を効率良く行うことができる。

また、履歴情報記録部１３１に記録された診断結果及びその集計処理結果を確認することで、定期点検の検査項目を削減することができる。定期点検時に確認する事項としては、次のものが挙げられる。
・記録されたかご位置やかご速度から、動作の健全性の確認済み領域（ｘ、ｖに関する検査済み範囲）のチェック
・自己診断によって確認済みの点検項目のチェック
・検出速度と設定値との間の余裕をチェック

このように、例えばＣＰＵ、ＲＯＭ及びＲＡＭ等の電子素子についての健全性の診断が行われている場合、履歴情報記録部１３１に記録された診断結果を確認することにより、定期点検時の電子素子の点検を省略することができる。

なお、履歴情報の記録や健全性診断結果の記録に加え、定期点検の実施確認事項を履歴情報記録部１３１に記録可能としてもよく、点検履歴を履歴情報記録部１３１に保持することができ、定期点検の実施内容を容易に確認することができる。記録する点検履歴としては、例えば点検実施時期及び点検項目等が挙げられる。

また、上記の例では、履歴情報記録部１３１及び健全性診断部１３２を電子安全コントローラ２１の外部に設けたが、少なくともいずれか一方を電子安全コントローラ２１内に設けてもよい。

さらに、上記の例では異常速度の監視について履歴情報を記録したが、例えば主ロープの損傷や切断の有無を監視するロープ切れ監視についての履歴情報を記録してもよい。また、巻上機のモータ温度、インバータの温度又は制御盤の温度等を監視する温度監視についての履歴情報を記録してもよい。

このように、この例におけるエレベータ装置は、センサからの情報に基づいてエレベータの異常の有無を判定し、異常が検出されたときにかごを停止させるための信号を出力する異常監視部（電子安全コントローラ２１）、及び異常監視部における判定処理に関する情報の履歴が記録される履歴情報記録部を備えている。

≪データバスの異常検出≫
次に、図２４は図１の電子安全コントローラ２１の要部を示すブロック図である。電子安全コントローラ２１は、メモリデータの異常をチェックするメモリデータ異常チェック回路１４１と、ＣＰＵ１４２と、アドレスバスの異常をチェックする指定アドレス検出回路１４３とを有している。

メモリデータ異常チェック回路１４１は、同一アドレス空間に重ねて割り付けられた並列構成の主メモリ１４１ａ及び副メモリ１４１ｂ（ＲＡＭ）と、副メモリ１４１ｂの出力データの衝突を回避するためのデータバッファ１４１ｃと、主メモリ１４１ａ及び副メモリ１４１ｂの各データを比較してデータ異常をチェックするデータ比較回路１４１ｄとを有している。

また、ここでは図示を省略するが、メモリデータ異常チェック回路１４１は、従来システムと同様に、誤り訂正符号チェック回路も有している。

ＣＰＵ１４２は、データ異常チェック時に指定アドレスを出力するための指定アドレス出力ソフトウエア１４２ａと、データバス異常チェック時に実行されるデータバス異常チェックソフトウエア１４２ｂと、プログラム格納用のＲＯＭ（図示せず）とを有している。

メモリデータ異常チェック回路１４１において、主メモリ１４１ａ及び副メモリ１４１ｂは、それぞれ、アドレスバスＢＡ及びデータバスＢＤを介してＣＰＵ１４２に接続され、電子安全コントローラ２１のデータがＣＰＵ１４２から書き込まれるとともに、ＣＰＵ１４２に読み出されるようになっている。

データバスＢＤは、メモリデータ異常チェック回路１４１内で主メモリデータバスＢＤ１及び副メモリデータバスＢＤ２に分岐されており、主メモリ１４１ａ及び副メモリ１４１ｂは、それぞれ、主メモリデータバスＢＤ１及び副メモリデータバスＢＤ２を介して、データ比較回路１４１ｄに接続されている。副メモリデータバスＢＤ２には、データバッファ１４１ｃが介在されている。

データ比較回路１４１ｄは、メモリデータの異常チェック時に、主メモリデータバスＢＤ１及び副メモリデータバスＢＤ２を介して入力される各メモリデータを比較し、メモリデータに異常有りと判定した場合にはデータ異常信号ＥＤを出力する。

指定アドレス検出回路１４３は、アドレスバスＢＡを介してＣＰＵ１４２に接続されており、アドレスバスＢＡの異常チェック時に指定アドレスを検出し、アドレスバスＢＡに異常有りと判定した場合にはアドレスバス異常信号ＥＢＡを出力する。

ＣＰＵ１４２内の指定アドレス出力ソフトウエア１４２ａは、アドレスバスＢＡの異常チェック時に動作し、後述するように、指定アドレス検出回路１４３に対して周期的に指定アドレスを出力する。ＣＰＵ１４２内のデータバス異常チェックソフトウエア１４２ｂは、データバスＢＤの異常チェック時に動作し、データバスＢＤに異常有りと判定した場合にはデータバス異常信号ＥＢＤを出力する。

図２５は図２４内のデータ異常チェック用のデータ比較回路１４１ｄを具体的に示しており、複数の排他的オアゲート１５１と、アンドゲート１５２と、メモリリード信号ＲＤを用いたＤ型ラッチ回路１５３とにより構成した場合を示している。

図２５において、データ比較回路１４１ｄは、並設された排他的オアゲート１５１と、排他的オアゲート１５１の各出力信号の論理積をとるアンドゲート１５２と、アンドゲート１５２の出力信号をＤ端子入力としてＨ（論理「１」）レベル信号をデータ異常信号ＥＤとして出力するＤ型ラッチ回路１５３とを有している。

各排他的オアゲート１５１は、主メモリデータバスＢＤ１からのデータを各一方の入力信号とし、副メモリデータバスＢＤ２からのデータを各一方の入力信号とし、両者が一致する場合に、それぞれＬ（論理「０」）レベル信号を出力し、両者が不一致の場合に、それぞれＨ（論理「１」）レベル信号を出力する。

アンドゲート１５２は、各排他的オアゲート１５１からの出力信号の反転信号を取り込み、各入力信号が全てＨレベル（即ち、排他的オアゲート１５１の各出力信号が全てＬレベル）の場合に、Ｈ（論理「１」）レベル信号を出力する。

Ｄ型ラッチ回路１５３は、メモリリード信号ＲＤに応答して動作するとともに、Ｄ端子入力（アンドゲート１５２の出力信号）に応答して出力信号（データ異常信号ＥＤ）のレベルを変更し、リセット信号ＲＳＴに応答して初期状態にリセットされる。

図２６は図２４内のアドレスバス異常チェック用の指定アドレス検出回路１４３を具体的に示している。

図２６において、指定アドレス検出回路１４３は、Ｈレベル信号を一方の入力信号とする複数の排他的オアゲート１６１と、Ｌレベル信号を一方の入力信号とする複数の排他的オアゲート１６２と、排他的オアゲート１６１の各出力信号及びアドレスストローブ信号ＳＴＲの論理積をとるナンドゲート１６３と、排他的オアゲート１６２の各出力信号及びアドレスストローブ信号ＳＴＲの論理積をとるナンドゲート１６４と、ナンドゲート１６３の出力信号をセット端子の入力信号とするＤ型ラッチ回路１６５と、ナンドゲート１６４の出力信号をセット端子の入力信号とするＤ型ラッチ回路１６６と、Ｄ型ラッチ回路１６５，１６６の各出力信号の論理積をとるアンドゲート１６７と、指定アドレス検出回路１４３のリセット信号ＲＳＴ１に応答して動作するＤ型ラッチ回路１６８と、指定アドレス検出回路１４３のマスク信号ＭＳＫに応答して動作するＤ型ラッチ回路１６９と、アンドゲート１６７の出力信号とＤ型ラッチ回路１６９の出力信号との論理和をとるオアゲート１７０とを有している。

並設された排他的オアゲート１６１，１６２の各他方の入力端子には、それぞれ、アドレスバスＢＡを介した指定アドレスが入力されている。

各排他的オアゲート１６１は、アドレスバスＢＡから入力される指定アドレスがＨレベル信号の場合には、それぞれＬレベル信号を出力し、指定アドレスがＬレベル信号の場合には、それぞれＨレベル信号を出力する。

逆に、各排他的オアゲート１６２は、アドレスバスＢＡから入力される指定アドレスがＨレベル信号の場合には、それぞれＨレベル信号を出力し、指定アドレスがＨレベル信号の場合には、それぞれＬレベル信号を出力する。

各排他的オアゲート１６１の出力信号は、アドレスストローブ信号ＳＴＲとともに、レベル反転されてナンドゲート１６３に入力される。同様に、各排他的オアゲート１６２の出力信号は、アドレスストローブ信号ＳＴＲとともに、レベル反転されてナンドゲート１６４に入力される。

従って、アドレスバスＢＡが健全であれば、ナンドゲート１６３，１６４は、アドレスストローブ信号ＳＴＲに同期して、アドレスバスＢＡを介して周期的に入力される指定アドレス（「ＦＦＦＦ」、「００００」）により、一定周期毎に、かつ相補的にＨレベル信号を出力することになる。

Ｄ型ラッチ回路１６８は、Ｄ入力端子にＬレベル信号が印加され、第１のリセット信号ＲＳＴ１により動作する。Ｄ型ラッチ回路１６８の出力信号は、Ｄ型ラッチ回路１６５，１６６の各リセット端子に印加されている。Ｄ型ラッチ回路１６９は、Ｄ入力端子にデータバスＢＤの０ビット信号（マスクＯＮ時に「０」、マスクＯＦＦ時に「１」となる）ＢＴＯが印加されるとともに、マスク信号ＭＳＫにより動作する。各Ｄ型ラッチ回路１６８，１６９は、第２のリセット信号ＲＳＴ２により、それぞれリセットされる。

オアゲート１７０は、アンドゲート１６７の出力信号又はＤ型ラッチ回路１６９の出力信号がＨレベルを示す場合に、アドレスバス異常信号ＥＢＡを出力する。

上記のように構成された電子安全コントローラ２１においては、メモリデータ異常チェック回路１４１によるデータ異常チェックのみならず、指定アドレス出力ソフトウエア１４２ａ及び指定アドレス検出回路１４３によるアドレスバスＢＡの異常チェックと、データバス異常チェックソフトウエア１４２ｂによるデータバスＢＤの異常チェックとが実行される。

次に、図２４〜図２８を参照しながら、上記の３通りの異常チェック動作について、さらに具体的に説明する。
図２７は図２４のＣＰＵ１４２内の指定アドレス出力ソフトウエア１４２ａと指定アドレス検出回路１４３とによる処理動作を示すフローチャートであり、アドレスバスＢＡの異常チェック時に指定アドレス検出回路１４３に指定アドレスを出力するときの動作手順を示している。
図２８は図２４のＣＰＵ１４２内のデータバス異常チェックソフトウエア１４２ｂの処理動作を示すフローチャートである。

まず、図２４及び図２５を参照しながら、メモリデータ異常チェック回路１４１によるデータ異常チェック動作について説明する。
メモリデータ異常チェック回路１４１において、主メモリ１４１ａ及び副メモリ１４１ｂには、同一のアドレス空間が重ねて割り付けられており、ＣＰＵ１４２が主メモリ１４１ａ及び副メモリ１４１ｂにデータを書き込んだ場合には、主メモリ１４１ａ及び副メモリ１４１ｂの同じアドレスに同じデータがそれぞれ書き込まれる。

一方、ＣＰＵ１４２が主メモリ１４１ａ及び副メモリ１４１ｂからデータを読み出した場合には、主メモリ１４１ａのデータは、主メモリデータバスＢＤ１上に読み出され、データバスＢＤを介してＣＰＵ１４２に渡されるが、副メモリ１４１ｂのデータは、副メモリデータバスＢＤ２上に読み出されるものの、データバッファ１４１ｃにブロックされるので、データバスＢＤに送出されない。

従って、主メモリ１４１ａ及び副メモリ１４１ｂからの２つのメモリ出力が衝突することはなく、主メモリ１４１ａのデータのみがＣＰＵ１４２に渡され、正常に書き込みと読み出しとが実行される。

この動作と同時に、主メモリデータバスＢＤ１上に読み出された主メモリデータ、及び、副メモリデータバスＢＤ２上に読み出された副メモリデータは、データ比較回路１４１ｄに入力されて両者のデータ比較が行われる。

データ比較回路１４１ｄは、データ異常をチェックし、異常（データの不一致）が検出されれば、データ異常信号ＥＤを出力する。

次に、図２４、図２６及び図２７を参照しながら、ＣＰＵ１４２内の指定アドレス出力ソフトウエア１４２ａと指定アドレス検出回路１４３とによるアドレスバスＢＡの異常チェック動作について説明する。

ＣＰＵ１４２は、アドレスバスＢＡのうち、メモリシステムに使用される全ビット信号の各々について、「０」、「１」の両方の場合が確認できるチェック用の指定アドレス（例えば、８ビットの場合、「ＦＦ」と「００」）を用い、指定アドレス出力ソフトウエア１４２ａを実行することにより、図２７の処理（ステップＳ１０１〜Ｓ１０４）を周期的に繰り返し実行する。また、これと同時に、アドレスバスＢＡ上に設置された指定アドレス検出回路１４３に指定アドレスを検出させる。指定アドレス検出回路１４３は、全ての指定アドレスを検出することができない場合に、アドレスバスＢＡに異常有りと判定し、アドレスバス異常信号ＥＢＡを出力する。

図２７において、まず、ＣＰＵ１４２は、指定アドレス検出回路１４３のマスクをＯＮして（ステップＳ１０１）、指定アドレス検出回路１４３内のＤ型ラッチ回路１６９を動作させるとともに、０ビット信号ＢＴＯ（＝０）をＤ入力端子に印加する。続いて、第１のリセット信号ＲＳＴ１により指定アドレス検出回路１４３をリセットし（ステップＳ１０２）、Ｄ型ラッチ回路１６８を動作させる。

次に、アドレスが全て「１」となる最大値のアドレス「ＦＦＦＦ」（又は、アドレスが全て「０」となる最小値のアドレス「００００」）を読む（ステップＳ１０３）。最後に、指定アドレス検出回路１４３のマスクをＯＦＦにして（ステップＳ１０４）、Ｄ型ラッチ回路１６９のＤ入力端子に０ビット信号ＢＴＯ（＝１）を印加し、Ｄ型ラッチ回路１６９の動作状態を反転させて、図２７の処理ルーチンを抜け出る。

次に、図２４及び図２８を参照しながら、ＣＰＵ１４２内のデータバス異常チェックソフトウエア１４２ｂによるデータバスＢＤの異常チェック動作について説明する。
ＣＰＵ１４２は、データバスＢＤのうち、メモリシステムに使用される全ビット信号の各々について、「０」、「１」の両方の場合が確認できるチェック用の指定データ（例えば、８ビットの場合、「ＡＡ」及び「５５」、又は、「０１」、「０２」、「０４」、「０８」、「１０」、「２０」、「４０」及び「８０」などの組の値）を用い、図２８の処理（ステップＳ１０５〜Ｓ１１１）によるリードライトチェック動作を周期的に繰り返し実行する。

ＣＰＵ１４２は、データバス異常チェックソフトウエア１４２ｂによる判定処理において、全ての指定データが一致しなければ、データバスＢＤに異常有りと判定し、データバス異常信号ＥＢＤを出力する。

図２８において、ＣＰＵ１４２は、まず、指定データを特定する変数Ｎを「１」に初期設定し（ステップＳ１０５）、Ｎ（＝１）番目の指定データ（＝「０１」）をＲＡＭ（主メモリ１４１ａ及び副メモリ１４１ｂ）内のテストアドレスに書き込む（ステップＳ１０６）。続いて、ステップＳ１２で書き込んだ指定データをテストアドレスから読み出し（ステップＳ１０７）、書き込み前の指定データと一致するか否かを判定する（ステップＳ１０８）。

ステップＳ１０８において、読み出し後の指定データが書き込み前の指定データと一致しない（即ち、ＮＯ）と判定されれば、ＣＰＵ１４２は、データバスＢＤに異常有りと見なし、データバス異常信号ＥＢＤを出力して（ステップＳ１０９）、異常終了する。

一方、ステップＳ１０８において、読み出し後の指定データが書き込み前の指定データと一致する（即ち、ＹＥＳ）と判定されれば、変数Ｎをインクリメントして（ステップＳ１１０）、変数Ｎが「８」以下であるか否かを判定する（ステップＳ１１１）。

ステップＳ１１１において、Ｎ≦８（即ち、ＹＥＳ）と判定されれば、指定データの書き込み処理（ステップＳ１０６）に戻り、上記処理ステップＳ１０７〜Ｓ１１０を繰り返し実行する。即ち、２番目の指定データ（＝「０２」）、３番目の指定データ（＝「０２」）、・・・、８番目の指定データ（＝「８０」）が、順次ＲＡＭ内のテストアドレスに書き込まれ（ステップＳ１０６）、それぞれの読み出し後に（ステップＳ１０７）、一致又は不一致が判定される（ステップＳ１０８）。

一方、ステップＳ１１１において、Ｎ＞９（即ち、ＮＯ）と判定されれば、全ての指定データ（Ｎ＝１〜８）についてデータバス異常チェックが実行され、かつ全ての指定データが書き込み前後で一致したものと見なし、ＣＰＵ１４２は、図２８の処理ルーチンを正常終了する。

このように、従来システムと同様のメモリデータ異常チェック回路１４１による処理に加えて、メモリ書き込み時及び読み出し時に使用するアドレスバスＢＡ及びデータバスＢＤの周期的な異常チェック処理を実行することにより、異常チェックの信頼性を向上させることができる。

特に、上記異常チェックは、エレベータ電子安全装置におけるメモリシステムの健全性をチェックする際に有効である。

このように、この例における電子安全コントローラ２１は、指定アドレス出力ソフトウエア及びデータバス異常チェックソフトウエアを有するＣＰＵと、アドレスバス及びデータバスを介してＣＰＵに接続された主メモリ及び副メモリと、主メモリ及び副メモリのデータを比較するメモリデータ異常チェック回路、及びアドレスバスを介してＣＰＵに接続された指定アドレス検出回路とを備え、ＣＰＵは、指定アドレス出力ソフトウエアを実行するとともに、指定アドレス検出回路を用いて、アドレスバスの異常チェックを周期的に行い、ＣＰＵは、データバス異常チェックソフトウエアを実行するとともに、主メモリ及び副メモリを用いて、データバスの異常チェックを周期的に行う。

また、ＣＰＵは、指定アドレス出力ソフトウエアを実行して、アドレスバスのうち、主メモリ及び副メモリに使用される全ビット信号の各々について、「０」、「１」の両方の場合が確認できるチェック用の指定アドレスを指定アドレス検出回路に周期的に出力し、指定アドレス検出回路は、ＣＰＵから周期的に出力される複数の指定アドレスを検出し、複数の指定アドレスの全てを検出できない場合には、アドレスバスの異常と判定してアドレスバス異常信号を出力する。

さらに、ＣＰＵは、データバス異常チェックソフトウエアを実行して、データバスのうち、主メモリ及び副メモリに使用される全ビット信号の各々について、「０」、「１」の両方の場合が確認できるチェック用の指定データを周期的に入出力し、ＣＰＵから周期的に出力される複数の指定データを、主メモリ及び副メモリに一旦書き込んだ後に読み出して比較し、書き込み前の複数の指定データと読み出し後の複数の指定データとが全て一致しない場合には、データバスの異常と判定してデータバス異常信号を出力する。

Claims (4)

1. かご、
   上記かごを昇降させる駆動装置、
   エレベータの状態を検出するための検出信号を発生する複数のセンサ、
   上記センサからの検出信号に基づいて上記駆動装置の運転を制御する運転制御部、及び
   上記センサからの検出信号に基づいてエレベータの異常を検出し、エレベータを安全な状態に移行させるための指令信号を出力する電子安全コントローラ
   を備え、
   上記電子安全コントローラには、上記センサのうち、上記運転制御部に検出信号を出力しているセンサとは異なるセンサからの検出信号が入力されており、
   上記電子安全コントローラは、上記異なるセンサからの検出信号に基づいてエレベータの異常を検出し、エレベータを安全な状態に移行させるための指令信号を出力し、
   上記電子安全コントローラは、上記電子安全コントローラ自体の異常を検出可能であり、上記電子安全コントローラ自体の異常を検出した場合にも、エレベータを安全な状態に移行させるための指令信号を出力し、
   上記電子安全コントローラは、第１の安全プログラムに基づいてエレベータの異常を検出するための演算処理を実行する第１のマイクロプロセッサと、第２の安全プログラムに基づいてエレベータの異常を検出するための演算処理を実行する第２のマイクロプロセッサとを含み、
   上記第１及び第２のマイクロプロセッサは、プロセッサ間バスを介して互いに通信可能になっており、かつ互いの演算処理結果を比較することにより上記第１及び第２のマイクロプロセッサ自体の健全性を確認可能になっており、
   上記異なるセンサは、２系統の検出信号である第１及び第２の検出信号を同時に出力するセンサを含み、
   上記第１のマイクロプロセッサには、上記第１及び第２の検出信号が入力され、
   上記第２のマイクロプロセッサにも、上記第１及び第２の検出信号が入力され、
   上記第１及び第２のマイクロプロセッサのそれぞれにより、上記第１及び第２の検出信号が演算処理され、上記かごの位置及び速度が求められるエレベータ装置。
2. 上記電子安全コントローラは、上記センサの異常を検出可能であり、上記センサの異常を検出した場合にも、エレベータを安全な状態に移行させるための指令信号を出力する請求項１記載のエレベータ装置。
3. 上記第１及び第２のマイクロプロセッサは、上記電子安全コントローラ自体の異常を検出するための演算処理を周期的に実行する請求項１記載のエレベータ装置。
4. 上記第１及び第２のマイクロプロセッサは、予め設定された条件が満たされたとき、上記電子安全コントローラ自体の異常を検出するための演算処理を実行する請求項１記載のエレベータ装置。

Images