JP5568962B2 - エレベーターの制御装置 - Google Patents

Description

この発明は、エレベーターの制御装置に関するものである。

従来における制御装置においては、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）及びＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）を２つずつ有する二重系システムであって、双方のＣＰＵから読み書き可能なＤＰＲＡＭ（Ｄｕａｌ Ｐｏｒｔ ＲＡＭ）を介して２つのＣＰＵ間でのデータのやり取りを行うものとして、制御装置内でメモリ（ＲＡＭ）の一過性のビットエラーが発生した場合に、固定領域データの場合はＲＯＭデータとＲＡＭデータとの比較を行い、比較不一致の場合はＲＯＭデータを真値としてＲＡＭデータの訂正を行い、また、訂正回数が所定の回数に達した場合は、所定の異常処理を行うものが知られている（例えば、特許文献１参照）。

また、エレベーターの制御分野においては、二重系の安全システムを構成したエレベーターの安全機能として、欧州規格＃Ｎ８１のＴａｂｌｅ１１「Ｉｎｖａｒｉａｎｔ ｍｅｍｏｒｙ ｒａｎｇｅｓ」にＲＯＭコンペアの要件がある（ＥＮ６１５０８−７ Ａ４．４、Ａ４．５等を参照）。

特開２００７−０１８４１４号公報

しかしながら、特許文献１に示された従来における二重系の安全システムを構成した制御装置においては、ＲＯＭデータとＲＡＭデータとの比較において不一致となった場合には、ＲＯＭは不揮発性のメモリでありビットエラーが発生しにくいことを前提として、ＲＯＭ内のデータを真値としてＲＡＭデータをＲＯＭデータでもって上書きするものである。
従って、ＲＯＭエラーの検出は行うことができないという課題があり、この場合、プログラムが格納されているＲＯＭの内容が正しくないということは、プログラムの暴走が発生してエレベーター制御が不能に陥る恐れがあるという課題がある。

また、ＲＯＭデータの異常はＲＯＭそのものの異常の他、ＲＯＭデータにアクセスするアドレスバスやデータバスといったＣＰＵ基盤の異常も発生要因となり得るため、ＲＯＭデータ異常が発生した場合にその検出が行えないとすると当該異常の原因究明が困難であり、故障の復旧に時間がかかるという課題もある。

なお、ＲＯＭの内容が正しいか否かを確認する方法として、各ＣＰＵのＲＯＭ内に同一のプログラム格納したブロックを２つ設け、これらのブロック同士のデータを比較するという方法も知られている。しかし、この方法においては、同一のプログラムを２ブロックに格納するため、ＲＯＭの容量が２倍必要となってしまいＲＯＭサイズを大きくせざるを得ず、コスト高にもなってしまうという課題がある。

この発明は、このような課題を解決するためになされたもので、制御プログラムが格納されているＲＯＭの異常発生を検出し、ＲＯＭ異常に起因するエレベーターの制御異常を未然に防止することができ、かつ、ＲＯＭサイズを小さく抑えてコスト高を抑制することができるエレベーターの制御装置を得るものである。

この発明に係るエレベーターの制御装置においては、エレベーターの制御に係る演算を行う第１のＣＰＵ及び第２のＣＰＵと、前記制御に必要な同一のプログラムをそれぞれ予め格納する第１のＲＯＭ及び第２のＲＯＭと、を有する二重系システムで構成されたエレベーターの制御装置であって、前記第１のＣＰＵ及び前記第２のＣＰＵの双方から読み書き可能であるデュアルポートＲＡＭを備え、前記第１のＣＰＵ及び前記第２のＣＰＵそれぞれの演算結果の妥当性を前記デュアルポートＲＡＭを介して確認しながら前記制御を行うとともに、同一の前記デュアルポートＲＡＭに前記第１のＲＯＭに格納された前記プログラムのデータと前記第２のＲＯＭに格納された前記プログラムのデータとをセットした上で、当該デュアルポートＲＡＭにセットされた前記第１のＲＯＭに格納された前記プログラムの内容と前記第２のＲＯＭに格納された前記プログラムの内容との比較を行うことにより、前記第１のＲＯＭ及び前記第２のＲＯＭの異常を検出し、異常が検出された時に所定の異常処理を行う構成とする。

この発明に係るエレベーターの制御装置においては、制御プログラムが格納されているＲＯＭの異常発生を検出し、ＲＯＭ異常に起因するエレベーターの制御異常を未然に防止することができ、かつ、ＲＯＭサイズを小さく抑えてコスト高を抑制することができるという効果を奏する。

この発明の実施の形態１に係るエレベーターの制御装置のマイコン制御部の構成を示すブロック図である。 この発明の実施の形態１に係るエレベーターの制御装置のマイコン制御部の処理を示すフロー図である。 この発明の実施の形態１に係るエレベーターの制御装置のＲＯＭコンペアの要領について模式的に説明する図である。 この発明の実施の形態１に係るエレベーターの制御装置のＲＯＭコンペアの処理を示すフロー図である。 この発明の実施の形態２に係るエレベーターの制御装置のＲＯＭコンペアの処理を示すフロー図である。 この発明の実施の形態２に係るエレベーターの制御装置のマイコン制御部の処理を示すフロー図である。

この発明を添付の図面に従い説明する。各図を通じて同符号は同一部分又は相当部分を示しており、その重複説明は適宜に簡略化又は省略する。

実施の形態１．
図１から図４は、この発明の実施の形態１に係るもので、図１はエレベーターの制御装置のマイコン制御部の構成を示すブロック図、図２はエレベーターの制御装置のマイコン制御部の処理を示すフロー図、図３はエレベーターの制御装置のＲＯＭコンペアの要領について模式的に説明する図、図４はエレベーターの制御装置のＲＯＭコンペアの処理を示すフロー図である。

図において１はエレベーターの制御装置のマイコン制御部において、ＣＰＵ等の電子部品が搭載されるＣＰＵ基盤であり、このＣＰＵ基盤１には、当該エレベーターのマイコン制御に係る演算を行う第１のＣＰＵ２ａが設けられている。
そして、マイコン制御に必要なプログラム等が予め格納されている不揮発性メモリである第１のＲＯＭ３ａ、及び、第１のＣＰＵ２ａの演算において実行するプログラムや変数等が格納される揮発性メモリである第１のＲＡＭ４ａが、この第１のＣＰＵ２ａと第１のバス５ａを介して結ばれている。
また、第１のＣＰＵ２ａは、第１のインターフェイス６ａを介して、制御対象の各種機器と接続されている。

当該マイコン制御部は、ＣＰＵ系統を２系統有する二重系システムとして構成されている。
すなわち、ＣＰＵ基盤１には、前述の第１のＣＰＵ２ａ、第１のＲＯＭ３ａ、第１のＲＡＭ４ａ、第１のバス５ａ及び第１のインターフェイス６ａのそれぞれと同様の構成を持つ、第２のＣＰＵ２ｂ、第２のＲＯＭ３ｂ、第２のＲＡＭ４ｂ、第２のバス５ｂ及び第２のインターフェイス６ｂが設けられている。

そして、第１のＣＰＵ２ａと第２のＣＰＵ２ｂとの間には、第１のＣＰＵ２ａ及び第２のＣＰＵ２ｂの双方と結ばれ、これらのＣＰＵ双方からのデータ読み書きが可能なデュアルポートＲＡＭであるＤＰＲＡＭ７が設けられている。第１のＣＰＵ２ａと第２のＣＰＵ２ｂとは、このＤＰＲＡＭ７を介して信号のやり取りが可能なように構成されている。
このように構成されたマイコン制御部において、第１のＲＯＭ３ａ及び第２のＲＯＭ３ｂには同一のプログラム等が予め格納されており、それぞれのＣＰＵにおける演算結果の妥当性をＤＰＲＡＭ７を介して確認しながら、当該エレベーターの制御が行われる（二重系システム）。

マイコン制御部におけるエレベーター制御処理は、図２に示すフローに従い、タイマー割込み制御によって所定の割込み演算をＣＰＵの演算周期内に処理することにより行われる。
まず、図２（ａ）に示すフローに従ってマイコン制御部の初期設定がなされる。
すなわち、ステップＳ１において割込み禁止部により割込み演算が禁止され、ステップＳ２においてマイコン設定部により所定のマイコン設定がなされ、続くステップＳ３においてＲＡＭ領域の０設定部により第１のＲＡＭ４ａ及び第２のＲＡＭ４ｂの格納内容がクリアされて０設定される。
そして、ステップＳ４においてタイマー割込み開始部によりタイマー割込みが開始され、ステップＳ５においてタイマー割込みがなされるまで待機する。

所定の割込み演算は、例えば、図２（ｂ）に示すフローに従って行われる。
すなわち、まず、ステップＳ１１において入力演算部により当該演算に必要な信号の入力が行われ、ステップＳ１２においてかご位置演算部により当該エレベーターのかごの現在位置が求められる。そして、ステップＳ１３において呼びスキャン演算部により呼びボタン操作等によるかご呼びや乗場呼びの登録有無を検出する。

続いてステップＳ１４において距離演算部によりかごの現在位置から呼び登録の目的階までの距離が求められ、ステップＳ１５において走行指令演算部により目的階までの距離に従ってかごの走行指令が求められる。
ステップ１６においてはモニター演算部により当該エレベーターの状態をモニター表示するための演算がなされ、次のステップＳ１７において出力演算部により当該エレベーターを走行させるために必要な信号の出力が行われる。その後ステップＳ１８へと至り一連の割込み演算処理は終了する。

このように構成されたエレベーターの制御装置のマイコン制御部においては、第１のＲＯＭ３ａ及び第２のＲＯＭ３ｂに格納されている制御プログラムの内容が正常であるか否かについての判断が、第１のＣＰＵ２ａ及び第２のＣＰＵ２ｂの双方から内容の読み書きが可能であるＤＰＲＡＭ７を介して、双方のＲＯＭに格納された内容を比較する（ＲＯＭコンペアを行う）ことにより行われる。

このＲＯＭコンペア実施の要領としては、図３に示すようにして行われる。
ここでは、例えば、ＲＯＭの格納領域が１００００Ｈ（アドレス：００００Ｈ〜ＦＦＦＦＨ）のサイズであり、ＲＯＭの格納内容の比較をＣＰＵの演算周期毎に比較単位サイズである１０Ｈずつ実施するとして説明する。
なお、数値末尾のＨはこの数値が１６進数（Ｈｅｘａｄｅｃｉｍａｌ Ｎｕｍｂｅｒ）で表現されていることを示している。以下についても同様である。

１００００Ｈのサイズについて比較単位サイズを１０Ｈとして１０Ｈずつ比較を行う場合、ＣＰＵ演算周期が５ミリ秒（ｍｓｅｃ）であるとすると、次のようにしてＲＯＭ全格納領域の比較が一巡するのに要する時間を求めることができる。
（１００００Ｈ／１０Ｈ）×５ｍｓｅｃ＝２０．４８ｓｅｃ
すなわち、ＲＯＭ全格納領域の比較が一巡するのには、２０．４８ｓｅｃの時間を要する。

ＲＯＭコンペアの実施時においては、ＤＰＲＡＭ７のメモリ領域は図３に示すように用いられる。
すなわち、比較対象となっているＲＯＭデータ（１０Ｈ分）の先頭アドレス及び当該比較対象データが、第１のＣＰＵ２ａ側の第１のＲＯＭ３ａ及び第２のＣＰＵ２ｂ側の第２のＲＯＭ３ｂのそれぞれについて、ＤＰＲＡＭ７の所定領域に、先頭アドレス、データの順で設定（格納）される。

そして、この際、それぞれのＲＯＭから比較対象データのＤＰＲＡＭ７への設定が完了したことを第１のＣＰＵ２ａ及び第２のＣＰＵ２ｂ間で確認するために、第１のＣＰＵ２ａ側及び第２のＣＰＵ２ｂ側のそれぞれについて、セットフラグが設けられており、これらのセットフラグはＤＰＲＡＭ７の前記先頭アドレスが格納された領域の前側の所定領域に設定されている。
これらのセットフラグは、対応するＣＰＵ側の比較対象ＲＯＭデータが設定されていない場合に０の値が、当該データがＤＰＲＡＭ７の所定領域に設定されると１の値がセットされる。

また、それぞれのＲＯＭからの比較対象データにおいて異常があるか否かを各ＣＰＵが認識するために、第１のＣＰＵ２ａ側及び第２のＣＰＵ２ｂ側のそれぞれについて異常フラグが設けられており、これらの異常フラグはＤＰＲＡＭ７の前記セットアドレスが格納された領域の前側の所定領域に設定されている。
これらの異常フラグは、対応するＣＰＵ側の比較対象ＲＯＭデータに異常がなく正常である場合に０の値が、ＲＯＭコンペアの結果当該データに異常があると判断されると１の値がセットされる。

この実施の形態にあっては、図４に示す一連のフローに従って、ＣＰＵの演算周期毎に、ＲＯＭコンペア処理が行われる。
なお、このＲＯＭコンペア処理は第１のＣＰＵ２ａ及び第２のＣＰＵ２ｂのいずれにおいても行われるもので比較対象データや当該データの先頭アドレス、各種フラグについては、前述のごとく、ＤＰＲＡＭ７の格納領域内において、各ＣＰＵ（側のＲＯＭ）に対応してそれぞれ設定（格納）されている。

そこで、以降の説明においては、一方のＣＰＵ側から見て、この一方のＣＰＵ側のＲＯＭかに係るアドレス、データやフラグについてそれぞれ自方アドレス、自方データ、自方フラグといい、他方のＣＰＵ側のＲＯＭに係るアドレス、データやフラグについてそれぞれ他方アドレス、他方データ、他方フラグということにする。

すなわち、第１のＣＰＵ２ａから見た場合、自方アドレス、自方データ、自方フラグとは、第１のＣＰＵ２ａ側の第１のＲＯＭ３ａに係るアドレス、データ、フラグをそれぞれ指し、他方アドレス、他方データ、他方フラグとは、第２のＣＰＵ２ｂ側の第２のＲＯＭ３ｂに係るアドレス、データ、フラグをそれぞれ指している。
また、逆に、第２のＣＰＵ２ｂから見た場合、自方アドレス、自方データ、自方フラグとは、第２のＣＰＵ２ｂ側の第２のＲＯＭ３ｂに係るアドレス、データ、フラグをそれぞれ指し、他方アドレス、他方データ、他方フラグとは、第１のＣＰＵ２ａ側の第１のＲＯＭ３ａに係るアドレス、データ、フラグをそれぞれ指している。

この図４で、まず、ステップＳ２１において、ＣＰＵはＤＰＲＡＭ７の内容を確認し、自方異常フラグ及び他方異常フラグの両方ともが０であって、ＲＯＭデータについて異常無しであるか否かについて確認を行う。この確認において、自方異常フラグ及び他方異常フラグの両方ともが０で異常無しであることが確認された場合には、ステップＳ２２へと移行して、自方セットフラグの値が０であるか否かについて確認を行う。

このステップＳ２２の確認において、自方セットフラグの値が０である場合には、自方比較対象データのＤＰＲＡＭ７への設定が未だ済んでいないということであるので、ステップＳ２３へと移り、自方の比較対象データのアドレス（自方アドレス）及び当該データ（自方データ）をＤＰＲＡＭ７へとセット（設定）する。
そして、ステップＳ２４へと進み、自方のデータセットが完了したことを示すため自方セットフラグの値に１を代入した後、ステップＳ２５へと進む。

一方、ステップＳ２２の確認において自方セットフラグの値が０でなく１である場合には、自方のデータセットは既に完了しているということなので、ステップＳ２３、２４を経ることなくステップＳ２２から直接ステップＳ２５へと移行する。
このステップＳ２５においては、他方セットフラグの値が１である否かについて確認を行う。この確認において、他方セットフラグの値が１でなく０である場合には、他方比較対象データのＤＰＲＡＭ７への設定が未だ済んでおらず、ＲＯＭコンペアができない状態であるので、ステップＳ３３へと移り、一連の処理を終了する。

一方、ステップＳ２５の確認において、他方セットフラグの値が１である場合には、他方比較対象データはＤＰＲＡＭ７へと設定済みであるため、ステップＳ２６へと進み、ＤＰＲＡＭ７に設定されている他方比較対象ＲＯＭデータ及び当該データに係る他方先頭アドレスの入力を行い、ステップＳ２７において、自方データと他方データとの比較によるコンペアチェックを行う。
そして、ステップＳ２８へと進み、ステップＳ２７のコンペアチェックの結果について、双方の比較対象データが一致してＲＯＭデータ異常無しであるか否かについて確認が行われる。

このステップＳ２８の確認において、双方の比較対象データが一致してＲＯＭデータ異常無しであることが確認された場合には、次の比較対象へと移行するため、ステップＳ２９へと移り他方セットフラグの値に０を代入した上で、ステップＳ２０において、自方の比較対象データの先頭アドレスである自方アドレスを比較単位サイズ（ここでは１０Ｈ）分だけインクリメントすることにより、次の比較対象データの先頭アドレスとなるよう更新する。そして、ステップＳ３３へと至り一連の処理は終了する。

一方、ステップＳ２８の確認において、双方の比較対象データが不一致であってＲＯＭデータに異常があることが確認された場合には、ステップＳ３１へと移行して自方異常フラグの値に１を代入する。そしてステップＳ３２へと移り、ＲＯＭコンペア異常につき所定の異常処理を行う。
このステップＳ３２での所定の異常処理においては、例えば、当該エレベーターを急停止させるための急停止演算、又は、当該エレベーターを最寄階に停止させるための最寄階停止演算が行われる。そして、ステップＳ３３へと至り一連の処理は終了する。
また、ステップＳ２１の確認において、自方異常フラグ及び他方異常フラグの少なくともいずれか一方の値が０でなく１であって異常があることが確認された場合には、このステップＳ２１から直接ステップＳ３２へと移行して、前述した所定の異常処理が行われる。

なお、以上のようなＲＯＭコンペア処理を実行するためのプログラムも予め第１のＲＯＭ３ａ及び第２のＲＯＭ３ｂに格納されている。

以上のように構成されたエレベーターの制御装置は、エレベーターの制御に係る演算を行う第１のＣＰＵ及び第２のＣＰＵと、制御に必要な同一のプログラムをそれぞれ予め格納する第１のＲＯＭ及び第２のＲＯＭと、を有する二重系システムで構成されたエレベーターの制御装置であって、第１のＣＰＵ及び第２のＣＰＵの双方から読み書き可能であるデュアルポートＲＡＭを備え、このデュアルポートＲＡＭを介して、第１のＲＯＭに格納されたプログラムの内容と第２のＲＯＭに格納されたプログラムの内容との比較を行うことにより、第１のＲＯＭ及び第２のＲＯＭの異常を検出し、異常が検出された時に所定の異常処理を行うものである。
また、この所定の異常処理は、エレベーターの運転を急停止する処理及びエレベーターを最寄階に停止させる処理のいずれか一方を含むものである。

このため、制御プログラムが格納されているＲＯＭの異常発生を検出し、ＲＯＭ異常に起因するエレベーターの制御異常を未然に防止することができ、かつ、ＲＯＭサイズを小さく抑えてコスト高を抑制することができる。

実施の形態２．
図５及び図６は、この発明の実施の形態２に係るもので、図５はエレベーターの制御装置のＲＯＭコンペアの処理を示すフロー図、図６はエレベーターの制御装置のマイコン制御部の処理を示すフロー図である。
ここで説明する実施の形態２は、前述した実施の形態１の構成において、ＲＯＭコンペア異常の状態を、エレベーターの運転に最低限必要であるプログラムが格納されたＲＯＭ領域において異常が検出された重異常と、無くともエレベーターの運転自体には支障が生じないプログラムが格納されたＲＯＭ領域において異常が検出された軽異常と、の２段階に分け、ＲＯＭコンペア異常が重異常と軽異常のどちらであるかにより異常処理の内容を変えるようにしたものである。

すなわち、実施の形態１と同様にＲＯＭの格納領域が１００００Ｈ（アドレス：００００Ｈ〜ＦＦＦＦＨ）のサイズであるとし、このうち所定の第１の領域（例えばアドレス００００Ｈ〜７ＦＦＦＨの領域）にはエレベーターの運転に最低限必要であるプログラムが格納されており、残りの所定の第２の領域（例えばアドレス８０００Ｈ〜ＦＦＦＦＨの領域）にはエレベーターの運転自体に無くとも支障が生じないプログラムが格納されているとする。

そして、ＲＯＭコンペアの実施時における、ＤＰＲＡＭ７のメモリ領域の使用状態については、基本的に実施の形態１の図３と同様であるが、異常フラグ領域が各ＣＰＵ側につき１つずつではなく、重異常フラグ領域と軽異常フラグ領域の２つずつ設定される点が異なっている。

この実施の形態にあっては、図５に示す一連のフローに従って、ＣＰＵの演算周期毎に、ＲＯＭコンペア処理が行われる。この図５中において、一点鎖線によって囲まれた部分が、実施の形態１の図４との相違点である。なお、このＲＯＭコンペア処理は第１のＣＰＵ２ａ及び第２のＣＰＵ２ｂのいずれにおいても行われるものである点は実施の形態１と同様である。

この図５で、まず、ステップＳ４１において、ＣＰＵはＤＰＲＡＭ７の内容を確認し、自方重異常フラグ及び他方重異常フラグの両方ともが０であって、ＲＯＭデータについて重異常無しであるか否かについて確認を行う。この確認において、自方重異常フラグ及び他方重異常フラグの両方ともが０で重異常無しであることが確認された場合には、ステップＳ４２へと移行する。

このステップＳ４２においては、今度は、自方軽異常フラグ及び他方軽異常フラグの両方ともが０であって、ＲＯＭデータについて軽異常無しであるか否かについて確認を行う。この確認において、自方軽異常フラグ及び他方軽異常フラグの両方ともが０で軽異常無しであることが確認された場合には、ステップＳ４３へと移行して、自方セットフラグの値が０であるか否かについて確認を行う。

このステップＳ４３の確認において、自方セットフラグの値が０である場合には、自方比較対象データのＤＰＲＡＭ７への設定が未だ済んでいないということであるので、ステップＳ４４へと移り、自方の比較対象データのアドレス（自方アドレス）及び当該データ（自方データ）をＤＰＲＡＭ７へとセット（設定）する。
そして、ステップＳ４５へと進み、自方のデータセットが完了したことを示すため自方セットフラグの値に１を代入した後、ステップＳ４６へと進む。

一方、ステップＳ４３の確認において自方セットフラグの値が０でなく１である場合には、自方のデータセットは既に完了しているということなので、ステップＳ４４、４５を経ることなくステップＳ４３から直接ステップＳ４６へと移行する。
このステップＳ４６においては、他方セットフラグの値が１である否かについて確認を行う。この確認において、他方セットフラグの値が１でなく０である場合には、他方比較対象データのＤＰＲＡＭ７への設定が未だ済んでおらず、ＲＯＭコンペアができない状態であるので、ステップＳ５７へと移り、一連の処理を終了する。

一方、ステップＳ４６の確認において、他方セットフラグの値が１である場合には、他方比較対象データはＤＰＲＡＭ７へと設定済みであるため、ステップＳ４７へと進み、ＤＰＲＡＭ７に設定されている他方比較対象ＲＯＭデータ及び当該データに係る他方先頭アドレスの入力を行い、ステップＳ４８において、自方データと他方データとの比較によるコンペアチェックを行う。
そして、ステップＳ４９へと進み、ステップＳ４８のコンペアチェックの結果について、比較対象データがＲＯＭの第１の領域（００００Ｈ〜７ＦＦＦＨ）内に格納されたものであってかつ双方の比較対象データが一致してＲＯＭデータ異常無しであるか否かについて確認が行われる。

このステップＳ４９の確認において、比較対象データがＲＯＭの第１の領域（００００Ｈ〜７ＦＦＦＨ）内に格納されたものであってかつ双方の比較対象データが一致してＲＯＭデータ異常無しすなわち重異常無しであることが確認された場合には、ステップＳ５０へと進み、今度は、ステップＳ４８のコンペアチェックの結果について、比較対象データがＲＯＭの第２の領域（８０００Ｈ〜ＦＦＦＦＨ）内に格納されたものであってかつ双方の比較対象データが一致してＲＯＭデータ異常無しであるか否かについて確認が行われる。

このステップＳ５０の確認において、比較対象データがＲＯＭの第２の領域（８０００Ｈ〜ＦＦＦＦＨ）内に格納されたものであってかつ双方の比較対象データが一致してＲＯＭデータ異常無しすなわち軽異常無しであることが確認された場合には、当該比較対象データにおいて重異常及び軽異常のいずれも検出されていないということなので、次の比較対象へと移行するため、ステップＳ５１へと移り他方セットフラグの値に０を代入した上で、ステップＳ５２において、自方の比較対象データの先頭アドレスである自方アドレスを比較単位サイズ（ここでは１０Ｈ）分だけインクリメントすることにより、次の比較対象データの先頭アドレスとなるよう更新する。そして、ステップＳ５７へと至り一連の処理は終了する。

一方、ステップＳ４９の確認において、比較対象データがＲＯＭの第１の領域（００００Ｈ〜７ＦＦＦＨ）内に格納されたものであってかつ双方の比較対象データが不一致であるすなわちＲＯＭデータに重異常があることが確認された場合には、ステップＳ５３へと移行して自方重異常フラグの値に１を代入する。そしてステップＳ５４へと移り、ＲＯＭコンペア重異常につき所定の重異常処理を行う。

このステップＳ５４での所定の重異常処理においては、例えば、実施の形態１の異常処理と同様の処理、すなわち、当該エレベーターを急停止させるための急停止演算、又は、当該エレベーターを最寄階に停止させるための最寄階停止演算が行われる。そして、ステップＳ５７へと至り一連の処理は終了する。
また、ステップＳ４１の確認において、自方重異常フラグ及び他方重異常フラグの少なくともいずれか一方の値が０でなく１であって重異常があることが確認された場合には、このステップＳ４１から直接ステップＳ５４へと移行して、前述した所定の重異常処理が行われる。

一方、ステップＳ５０の確認において、比較対象データがＲＯＭの第２の領域（８０００Ｈ〜ＦＦＦＦＨ）内に格納されたものであってかつ双方の比較対象データが不一致であるすなわちＲＯＭデータに軽異常があることが確認された場合には、ステップＳ５５へと移行して自方軽異常フラグの値に１を代入する。そしてステップＳ５６へと移り、ＲＯＭコンペア軽異常につき所定の軽異常処理を行う。

このステップＳ５６での所定の軽異常処理は前述の所定の重異常処理とは異なる異常処理であって、重異常は発生しておらずＲＯＭの第１の領域内に格納されたエレベーターの運転に最低限必要であるプログラムは正常に取得して実行できる状態にあるため、割込み演算をこのエレベーターの運転に最低限必要な処理のみとして運転を継続する。
例えば、詳細は後述するように、図２（ｂ）の割込み演算処理において、エレベーターの走行には直接必要のないモニター演算部による当該エレベーターの状態をモニター表示するための演算を行わないようにして、エレベーターの運転を継続させる。

そして、ステップＳ５７へと至り一連の処理は終了する。また、ステップＳ４２の確認において、自方軽異常フラグ及び他方軽異常フラグの少なくともいずれか一方の値が０でなく１であって軽異常があることが確認された場合には、このステップＳ４２から直接ステップＳ５６へと移行して、前述した所定の軽異常処理が行われる。

図６のフロー図に基づいて、図５のステップＳ５６における所定の軽異常処理についてさらに説明する。
すなわち、タイマー割込みによる割込み演算処理においては、まず、ステップＳ６１で、ＲＯＭについて軽異常無しであるか否かを、例えば、ＤＰＲＡＭ７に設定された、自方軽異常フラグ及び他方軽異常フラグの両方の値が０であるか否かを見ること等により確認する。
そして、この確認において、軽異常無しであることが確認された場合には、通常通りの演算処理であるステップＳ６２からステップＳ６８までの演算処理を実行する。なお、これらの各ステップにおける内容については、実施の形態１の図２（ｂ）におけるステップＳ１１からステップＳ１７までの内容と同一であるので、その詳細説明は省略する。
ステップＳ６８の後はステップＳ７５へと至り一連の処理は終了する。

一方、ステップＳ６１の確認において、軽異常ありであることが確認された場合には、ステップＳ６９へと移行する。
このステップＳ６９においては入力演算処理が行われ、続いてステップＳ７０のかご位置演算処理、ステップＳ７１の呼びスキャン演算処理、ステップＳ７２の距離演算処理、ステップＳ７３の走行指令演算処理が行われる。これらのステップの内容は、ステップＳ６２からステップＳ６６まで、すなわち、図２（ｂ）のステップＳ１１からステップＳ１５までのものと同一である。

そして、ステップＳ７３の次は、エレベーターの走行には直接必要のないモニター演算処理を飛ばして、ステップＳ７４の出力演算処理が行われる。このステップＳ７４の内容は、ステップＳ６８すなわち図２（ｂ）のステップＳ１７のものと同一である。
ステップＳ７４の後はステップＳ７５へと至り一連の処理は終了する。
ここで、以上の構成においては、各ＲＯＭの第１の領域に、入力演算部、かご位置演算部、呼びスキャン演算部、距離演算部、走行指令演算部及び出力演算部を構成するプログラムが格納されており、第２の領域に、モニター演算部をはじめとするエレベーターの走行には直接必要のない各種機能を構成するプログラムが格納されている。
なお、以上説明した以外の他の構成等については実施の形態１と同様である。

以上のように構成されたエレベーターの制御装置は、実施の形態１の構成において、さらに、第１のＲＯＭ及び第２のＲＯＭは、第１の領域においてプログラムのうちエレベーターの運転に最低限必要不可欠であるプログラムを格納するとともに第２の領域においてプログラムのうち第１の領域に格納されたもの以外のプログラムを格納するようにし、制御装置本体は、第１の領域に格納されたプログラムの内容の比較において異常を検出した場合に重異常を検出し、重異常が検出された時に所定の重異常処理を行い、重異常を検出せず、かつ、第２の領域に格納されたプログラムの内容の比較において異常を検出した場合に軽異常を検出し、軽異常が検出された時に所定の重異常処理とは異なる所定の軽異常処理を行うものである。

また、所定の重異常処理は、エレベーターの運転を急停止する処理及びエレベーターを最寄階に停止させる処理のいずれか一方を含むものであり、所定の軽異常処理は、第１の領域に格納されたプログラムを実行することによりエレベーターの運転を継続するとともに、第２の領域に格納されたプログラムの実行を停止する処理である。

このため、実施の形態１と同様の効果を奏することができるのに加えて、異常が検出されたＲＯＭの格納領域に応じて、可能であれば最低限必要不可欠な処理のみにして当該エレベーターの運転を継続することができ、サービスを維持して運転効率が低下することを抑制することが可能である。

１ ＣＰＵ基盤
２ａ 第１のＣＰＵ
２ｂ 第２のＣＰＵ
３ａ 第１のＲＯＭ
３ｂ 第２のＲＯＭ
４ａ 第１のＲＡＭ
４ｂ 第２のＲＡＭ
５ａ 第１のバス
５ｂ 第２のバス
６ａ 第１のインターフェイス
６ｂ 第２のインターフェイス
７ ＤＰＲＡＭ

Claims (5)

1. エレベーターの制御に係る演算を行う第１のＣＰＵ及び第２のＣＰＵと、
   前記制御に必要な同一のプログラムをそれぞれ予め格納する第１のＲＯＭ及び第２のＲＯＭと、を有する二重系システムで構成されたエレベーターの制御装置であって、
   前記第１のＣＰＵ及び前記第２のＣＰＵの双方から読み書き可能であるデュアルポートＲＡＭを備え、
   前記第１のＣＰＵ及び前記第２のＣＰＵそれぞれの演算結果の妥当性を前記デュアルポートＲＡＭを介して確認しながら前記制御を行うとともに、同一の前記デュアルポートＲＡＭに前記第１のＲＯＭに格納された前記プログラムのデータと前記第２のＲＯＭに格納された前記プログラムのデータとをセットした上で、当該デュアルポートＲＡＭにセットされた前記第１のＲＯＭに格納された前記プログラムの内容と前記第２のＲＯＭに格納された前記プログラムの内容との比較を行うことにより、前記第１のＲＯＭ及び前記第２のＲＯＭの異常を検出し、異常が検出された時に所定の異常処理を行うことを特徴とするエレベーターの制御装置。
2. 前記所定の異常処理は、前記エレベーターの運転を急停止する処理及び前記エレベーターを最寄階に停止させる処理のいずれか一方を含むことを特徴とする請求項１に記載のエレベーターの制御装置。
3. 前記第１のＲＯＭ及び前記第２のＲＯＭは、第１の領域において前記プログラムのうち前記エレベーターの運転に最低限必要不可欠であるプログラムを格納するとともに第２の領域において前記プログラムのうち前記第１の領域に格納されたもの以外のプログラムを格納しており、
   前記第１の領域に格納されたプログラムの内容の比較において異常を検出した場合に重異常を検出し、重異常が検出された時に所定の重異常処理を行い、
   前記重異常を検出せず、かつ、前記第２の領域に格納されたプログラムの内容の比較において異常を検出した場合に軽異常を検出し、軽異常が検出された時に前記所定の重異常処理とは異なる所定の軽異常処理を行うことを特徴とする請求項１に記載のエレベーターの制御装置。
4. 前記所定の重異常処理は、前記エレベーターの運転を急停止する処理及び前記エレベーターを最寄階に停止させる処理のいずれか一方を含むことを特徴とする請求項３に記載のエレベーターの制御装置。
5. 前記所定の軽異常処理は、前記第１の領域に格納されたプログラムを実行することにより前記エレベーターの運転を継続するとともに、前記第２の領域に格納されたプログラムの実行を停止する処理であることを特徴とする請求項３又は請求項４のいずれかに記載のエレベーターの制御装置。

Images