JP6173653B2 - エレベータ安全システム - Google Patents

Description

本発明は、通信の信頼性確保とコスト低減の両立を図るエレベータ安全システムに関する。

従来のエレベータ安全システムでは、スイッチやセンサ等の各種エレベータ設備が、個々に制御盤に接続されていた。この結果、配線量が膨大なものになっていた。

そこで、各種エレベータ設備の中でも、安全制御に関連する設備をバスノードに接続し、安全バスを介してバスノードと安全コントローラを接続し、誤り検出符号によって安全制御に関する信号の誤り検出を実施する従来技術がある（例えば、特許文献１参照）。このような特許文献１による従来技術を採用することで、配線量を低減することができる。

特表２００２−５３８０６１号公報

しかしながら、従来技術には、以下のような問題がある。
特許文献１に記載のエレベータ安全システムは、誤り検出符号によって全ての信号誤りを検出できるわけではない。また、通信にかかるノイズは、エレベータが設置される個別の物件環境によって、まちまちである。このため、誤り検出符号の設計値を超えるようなノイズ環境では、誤り検出が不十分となる、という問題があった。

あるいは、厳しいノイズ環境を想定するあまり、データ使用量（ユーザーデータ領域）を制限してしまうという問題、あるいは、過剰な誤り検出符号を用いて処理負荷が増大してしまうという問題、があった。

本発明は、前記のような課題を解決するためになされたものであり、配線量の低減化を図るとともに、個別の物件環境によらず安全性を担保できるエレベータ安全システムを得ることを目的とする。

本発明に係るエレベータ安全システムは、エレベータの設備に接続され、安全制御信号を含む複数種別の信号をネットワークにて通信する複数の通信コントローラと、複数の通信コントローラの１つである第１の通信コントローラに接続され、エレベータの運転制御を実行する制御装置とを備え、複数の通信コントローラのそれぞれは、ネットワークを介して受信したデータのビット誤りに基づいてネットワークのエラー率を測定するエラー率測定器を有し、制御装置は、安全制御信号の通信開始前において、エラー率が安全通信開始判定値未満である場合には、安全制御信号の通信を開始し、安全制御信号の通信開始前および通信中において、第１の通信コントローラが有するエラー率測定器によって測定されたエラー率に応じて、エレベータの運行状態を切り換えて運転制御を実行するものである。

本発明によれば、複数の通信コントローラ間でネットワーク通信を行うことで情報を共有するとともに、ネットワークのエラー率を測定し、エラー率の測定結果に応じてエレベータの運行状態を切り換えることのできる構成を備えている。この結果、配線量の低減化を図るとともに、個別の物件環境によらず安全性を担保できるエレベータ安全システムを得ることができる。

本発明の実施の形態１におけるエレベータ安全システムの構成を示すブロック図である。 本発明の実施の形態１における通信コントローラの内部構成を示すブロック図である。 本発明の実施の形態１における通信コントローラのハードウェア構成を示す図である。 本発明の実施の形態１における通信コントローラ間で通信されるメッセージのフレーム構成を示した図である。 本発明の実施の形態１におけるエラー率測定データの具体例を示した図である。 本発明の実施の形態１における送信側の通信コントローラと受信側の通信コントローラとの間で安全通信開始を判断するために実行される、エラー率測定部の診断処理を示すフローチャートである。 本発明の実施の形態１における通信コントローラから他の通信コントローラへの送信処理を示すフローチャートである。 本発明の実施の形態１における通信コントローラによる一連の受信処理に関するフローチャートである。 本発明の実施の形態１におけるエラー率測定部で実行される一連処理を示すフローチャートである。 本発明の実施の形態１における安全制御装置により実行される、エラー率に応じた制御の一連処理を示すフローチャートである。 本発明の実施の形態１における送信側の通信コントローラと受信側の通信コントローラとの間で実行される、エラー率測定部の診断処理を示すフローチャートである。 本発明の実施の形態２におけるエラー率測定部で実行される一連処理を示すフローチャートである。 本発明の実施の形態３におけるエレベータ安全システムの構成を示すブロック図である。

以下、本発明のエレベータ安全システムの好適な実施の形態につき、図面を用いて説明する。

実施の形態１．
図１は、本発明の実施の形態１におけるエレベータ安全システムの構成を示すブロック図である。本実施の形態１におけるエレベータ安全システムは、かご５と、かご５の運転を制御する制御盤４を備えている。

制御盤４は、通信コントローラ１ａを備えている。一方、かご５は、通信コントローラ１ａとネットワーク通信用の通信線２で接続された通信コントローラ１ｂを備えている。なお、通信コントローラ１ａと通信コントローラ１ｂとは、個別通信線３を介して、さらに接続されている。

また、ここでは、２つの通信コントローラ１ａ、１ｂについての実施例を示しているが、通信コントローラ１の数は、これに限定されず、３つ以上あってもよい。また、通信コントローラ１ｂがかご５に設置される実施例を示しているが、通信コントローラ１ｂは、かご５以外にも、昇降路もしくは乗場に設置される場合もある。

かご５には、安全スイッチ・センサ１５、通常制御に用いる通常制御スイッチ・センサ１６、音声の入出力を行うインターホン１３ｂ、監視カメラ１７、モニタ１８、セキュリティ機能を提供するシリアル通信装置のカードリーダー１９、ドアコントローラ２０、ドアモータ２１、セーフティシュー２２等の、各種のエレベータ設備が設置されている。

安全スイッチ・センサ１５は、安全制御に関連するかご５の状態を検出し、検出結果を安全制御信号として出力する。例えば、着床センサやドアスイッチ等が、この安全スイッチ・センサ１５に該当する。

通常制御スイッチ・センサ１６は、安全制御に関連しないかご５の状態を検出し、検出結果を通常制御信号として出力する。例えば、昇降路内に設置された位置プレート（図示せず）を検出する位置スイッチ等が、この通常制御スイッチ・センサ１６に該当する。

ドアコントローラ２０は、ドアモータ２１を駆動して、かご５のドア（図示せず）の開閉を制御するとともに、セーフティシュー２２を制御する。

一方、制御盤４内の通信コントローラ１ａに対しては、管理盤１０、録画装置１１、映像配信装置１２、インターホン１３ａ等の、各種のエレベータ設備が接続されている。

管理盤１０は、カードリーダー１９と連携して、セキュリティの管理を行う。このセキュリティ管理の一例としては、たとえば、行先階の登録許可等が含まれる。録画装置１１は、監視カメラ１７が撮影した映像を録画する。映像配信装置１２は、モニタ１８に表示する映像を出力する。インターホン１３ａは、音声の入出力を行い、かご５に設置されたインターホン１３ｂとの通話機能を有する。

また、制御盤４には、停電などで主電源が喪失した場合の補助電源となるバッテリ１４が設置されている。さらに、制御盤４には、制御装置７と安全制御装置６が設置されている。なお、制御装置７と安全制御装置６を併合して１台の制御装置として構成することも可能である。

制御盤４に設置されたこれらの構成要素は、全て独立して通信コントローラ１ａに接続される。なお、図１で示す制御盤４内の各種エレベータ設備のうち、制御装置７を除く各構成要素は、制御盤４外部の機械室や管理人室に設けられていてもよい。機械室や管理人室に設けられた各構成要素は、制御盤４内の通信コントローラ１ａと接続される。

安全制御装置６と制御装置７は、巻上機８とブレーキ９に接続されている。そして、安全制御装置６と制御装置７は、巻上機８とブレーキ９を駆動して、かご５の動きを制御する。制御装置７は、通信コントローラ１ａから受け取った各種エレベータ設備の情報を基に、通常時のかご５の運行を制御する。

一方、安全制御装置６は、通信コントローラ１ａから受け取った各種エレベータ設備の情報を基に、かご５の安全に関する制御を行う。ここで、安全制御装置６が行うかご５の安全に関する制御としては、例えば、過速度監視や戸開走行防止などが含まれる。そして、安全制御装置６は、かご５が異常状態にあると判断した場合には、かご５を最寄階停止もしくは非常停止させるべく、巻上機８とブレーキ９の少なくとも一方の電源を遮断する。

図２は、本発明の実施の形態１における通信コントローラ１ａの内部構成を示すブロック図である。なお、通信コントローラ１ｂの構成も、この図２に示した構成と同様である。

通信コントローラ１ａは、各種エレベータ設備等と接続するインターフェースとして、ネットワーク通信Ｉ／Ｆ３０、安全制御信号Ｉ／Ｆ３６、通常制御信号Ｉ／Ｆ３７、音声信号Ｉ／Ｆ３８、映像信号Ｉ／Ｆ３９、シリアル信号Ｉ／Ｆ４０を備える。

各インターフェースは、通信コントローラ１ａから各種エレベータ設備への信号をデジタル／アナログ変換するとともに、各種エレベータ設備から通信コントローラ１ａへの信号をアナログ／デジタル変換する。さらに、各インターフェースは、エンコード、デコード、プロトコル変換などを行う。

また、通信コントローラ１ａは、送信部３１、受信部３２、スケジューリング・統合部３３、分配部３４、安全通信部３５を備える。ここで、安全通信部３５は、送信段階では、安全制御信号Ｉ／Ｆ３６から受け取った安全制御信号に誤り検出情報を付加し、受信段階では、誤り検出情報による誤り検出を行う。

スケジューリング・統合部３３は、各信号の送信スケジュールを決定する。送信部３１は、スケジューリング・統合部３３が決定した送信スケジュールに従って、ネットワーク通信Ｉ／Ｆ３０から他方の通信コントローラへ信号を送信する。

受信部３２は、ネットワーク通信Ｉ／Ｆ３０を介して他方の通信コントローラから信号を受信する。分配部３４は、受信部３２が受信した信号を、安全制御信号Ｉ／Ｆ３６を除くいずれかのインターフェース３７〜４０へ、または安全通信部３５へ分配する。

通信コントローラ１ａは、さらに、エラー率測定データ作成部４１、エラー率測定部４２、およびエラー率測定診断部４３を備える。エラー率測定データ作成部４１は、送信データにエラー率測定用のデータを付加する。エラー率測定部４２は、受信データに含まれているエラー率測定データを検査することで、ネットワークのエラー率を測定する。さらに、エラー率測定診断部４３は、エラー率測定データを意図的に変更して、エラー率測定部４２が正しく機能しているか否かを検査する。

図３は、本発明の実施の形態１における通信コントローラ１ａのハードウェア構成を示す図である。なお、通信コントローラ１ｂのハードウェア構成も、この図３に示した構成と同様である。

安全通信部３５は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）５１、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）５２、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）５３、ＷＤＴ（Ｗａｔｃｈ Ｄｏｇ Ｔｉｍｅｒ）５４から構成される。

各種インターフェースは、ＤＡＣ（Ｄｅｇｉｔａｌ ｔｏ Ａｎａｌｏｇ Ｃｏｎｖｅｒｔｅｒ）５５、ＡＤＣ（Ａｎａｌｏｇ ｔｏ Ｄｅｇｉｔａｌ Ｃｏｎｖｅｒｔｅｒ）５６、エンコーダ５７、デコーダ５８、プロトコル変換チップ５９から構成される。ネットワーク通信Ｉ／Ｆ３０は、ＰＨＹ（ＰＨＹｓｉｃａｌ ｌａｙｅｒ；物理層）チップ６１から構成される。

送信部３１、受信部３２、分配部３４、スケジューリング・統合部３３は、ＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）６０から構成される。ただし、ＦＰＧＡ６０の代わりに、ＣＰＵやＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）またはＣＰＬＤ（Ｃｏｍｐｌｅｘ
Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ）を用いてもよい。

エラー率測定データ作成部４１、エラー率測定部４２、エラー率測定診断部４３は、前述のＣＰＵまたはＦＰＧＡから構成される。

なお、ＤＡＣ５５、ＡＤＣ５６、エンコーダ５７、デコーダ５８、プロトコル変換チップ５９は、ＦＰＧＡ６０に含まれていてもよい。各部品は、バス６２や接続線を通して相互に接続され、各種データおよび信号がやりとりされる。

次に、本実施の形態１におけるエレベータ安全システムで実行される通信誤り検出の手法について説明する。図４は、本発明の実施の形態１における通信コントローラ１ａ、１ｂ間で通信されるメッセージのフレーム構成を示した図である。メッセージは、宛先８３、送信元８４、長さ／タイプ８５、データ部８６、フレームＣＲＣ（Ｃｙｃｌｉｃ Ｒｅｄｕｎｄａｎｃｙ Ｃｈｅｃｋ：巡回冗長検査）８７からなる。

データ部８６には、データ種別８２と、シリアル通信データ８１や音声信号８０、映像信号７９や通常制御信号７８といったデータ本体が格納される。なお、データ種別８２は、長さ／タイプ８５で代用しても構わない。

安全制御信号を送信するメッセージでは、安全メッセージ７１がデータ部８６に格納される。安全メッセージ７１は、宛先７２、送信元７３、タイプ７４、シーケンス番号７５、安全制御信号７６、安全ＣＲＣ７７を含んでいる。

エラー率測定データ８８は、安全メッセージ７１が含まれるメッセージの空き領域にて伝送される。なお、エラー率測定データ８８と安全メッセージ７１は、それぞれ個別のメッセージにて伝送してもよい。

図５は、本発明の実施の形態１におけるエラー率測定データ８８の具体例を示した図である。図５に示すように、エラー率測定データ８８は、連送される同一メッセージには、同一の物を使用し、次に連送されるメッセージには、異なる物を使用する。なお、この連送されるメッセージについては後述する。

通信コントローラ１ａと通信コントローラ１ｂは、電源投入後等でエレベータの運行を開始するに当たり、安全通信を開始する前に、相互でエラー率測定データ８８を送受信し、エラー率を測定する。

安全メッセージは、安全通信前であることをヘッダで区別するか、あるいは、ダミーデータ（オールゼロ等）を用いるものであり、実際の安全制御信号は、含まれないようになっている。

測定したエラー率が、安全通信開始判定値未満となった場合には、通信コントローラ１ａと通信コントローラ１ｂは、安全通信を開始する。なお、通信コントローラ１ａと通信コントローラ１ｂは、安全通信開始前であっても、安全通信以外の通信は行なってもよい。

なお、エラー率測定の通信量が十分でなくエラーが観測されない場合に、一度のエラー観測でエラー率が大きく増加する可能性がある。このため、エラー率測定に十分な通信量を確保した後に、安全通信を開始する。

図６は、本発明の実施の形態１における送信側の通信コントローラ１と受信側の通信コントローラ１との間で安全通信開始を判断するために実行される、エラー率測定部４２の診断処理を示すフローチャートである。

まず、ステップＳ６０１において、通信コントローラ１内のエラー率測定部４２は、受信データからエラー率を測定し、測定結果を安全制御装置６に送信する。なお、エラー率に関する具体的な測定方法は、図９を用いて、後述する。

次に、ステップＳ６０２において、安全制御装置６は、エラー率が、あらかじめ設定された安全通信開始判定値未満であるか否かを判定する。そして、エラー率が安全通信開始判定値未満であると判定した場合には、ステップＳ６０３に進み、安全制御装置６は、安全通信を開始させるとともに、安全通信開始後、エレベータの運行を開始する。

一方、エラー率が安全通信開始判定値未満であると判定した場合には、ステップＳ６０１に戻り、エラー率測定部４２によるエラー率の測定からくり返すこととなる。

図７は、本発明の実施の形態１における通信コントローラ１ｂから通信コントローラ１ａへの送信処理を示すフローチャートである。通信コントローラ１ｂは、かご５の各種エレベータ設備からの信号を受け、これらを通信コントローラ１ａへ送信する。

ステップＳ７０１において、スケジューリング・統合部３３は、各種信号の優先度、信頼性、応答性を設定し、これに基づき、各種信号の送信スケジュールや連送回数を決定しておく。例えば、スケジューリング・統合部３３は、安全メッセージ７１に関しては、最優先かつ連送回数を多めに設定し、通常制御信号７８に関しては、連送回数を低めに設定する。

また、スケジューリング・統合部３３は、優先度が低い音声信号８０や映像信号７９に関しては、連送せず、かつ伝送路の帯域が不足するような場合には、間引くように設定する。

かご５に設置された各エレベータ設備は、通信コントローラ１ｂの安全制御信号Ｉ／Ｆ３６、通常制御信号Ｉ／Ｆ３７、音声信号Ｉ／Ｆ３８、映像信号Ｉ／Ｆ３９、シリアル信号Ｉ／Ｆ４０に接続されている。そして、これらのインターフェースに各エレベータ設備からの信号が入力される。

そこで、ステップＳ７０２において、通信コントローラ１ｂは、入力信号の種別を判断する。入力信号の種別は、安全制御信号、通常制御信号、音声信号、映像信号、シリアル通信に分類される。

安全制御信号は、安全スイッチ・センサ１５の状態を示す信号であり、ステップＳ７０３に進み、安全制御信号Ｉ／Ｆ３６に入力される。また、通常制御信号は、通常制御スイッチ・センサ１６の状態を示す信号であり、ステップＳ７０４に進み、通常制御信号Ｉ／Ｆ３７に入力される。

また、音声信号は、インターホン１３ｂからの信号であり、ステップＳ７０５に進み、音声信号Ｉ／Ｆ３８に入力される。また、映像信号は、監視カメラ１７からの信号であり、ステップＳ７０６に進み、映像信号Ｉ／Ｆ３９に入力される。さらに、シリアル信号は、カードリーダー１９からの信号であり、ステップＳ７０７に進み、シリアル信号Ｉ／Ｆ４０に入力される。

なお、各インターフェースにおいて入力信号を取り込む際に、入力信号の種別に応じて、以下の処理を行う。安全制御信号と通常制御信号に関しては、ステップＳ７０３またはステップＳ７０４において、Ａ／Ｄ変換を行う。音声信号と映像信号に関しては、ステップＳ７０５またはステップＳ７０６において、エンコードを行う。また、シリアル通信信号に関しては、ステップＳ７０７において、プロトコル変換を行う。

安全制御信号Ｉ／Ｆ３６で取り込んだ安全制御信号に関しては、ステップＳ７０３の後、ステップＳ７０８において、安全通信部３５によって、誤り検出情報が付加され、安全メッセージ７１が生成される。例えば、誤り検出情報として安全ＣＲＣ７７やシーケンス番号７５が付加され、先の図４に示したような安全メッセージ７１が生成される。

さらに、ステップＳ７０９に進み、安全メッセージ７１に関しては、エラー率測定データ作成部４１によって、エラー率測定データ８８が付加される。

これらの各入力信号７８〜８１と安全メッセージ７１およびエラー率測定データ８８は、スケジューリング・統合部３３に送られる。そして、ステップＳ７１０において、スケジューリング・統合部３３は、先のステップＳ７０１で決定された送信スケジュールに従って、各入力信号７８〜８１と安全メッセージ７１およびエラー率測定データ８８を、データ部８６に格納する。

さらに、スケジューリング・統合部３３は、宛先８３、送信元８４、長さ／タイプ８５で構成されるヘッダ、およびフレームＣＲＣ８７を付加することで、フレームを生成する。

次に、ステップＳ７１１において、スケジューリング・統合部３３は、ステップＳ７１０で生成したフレームを、先のステップＳ７０１で決定した連送回数分だけ複製して、連送されるメッセージを含むフレームを生成し、送信部３１に送る。そして、ステップＳ７１２において、送信部３１は、スケジューリング・統合部３３で生成されたフレームを、ネットワーク通信Ｉ／Ｆ３０を介してネットワーク２に伝送する。

このとき、複数の信号間でスケジュールと連送回数が共通している場合には、スケジューリング・統合部３３は、複数の信号を１つのメッセージにまとめて送信してもよい。また、スケジュールのみが共通している場合であっても、スケジューリング・統合部３３は、最も多い連送回数に合わせることで、複数の信号を１つのメッセージにまとめて送信することが可能である。

次に、ステップＳ７１３において、受信部３２は、フレームＣＲＣ８７による検査を実施して、通信エラー（ＣＲＣ異常）を監視する。具体的には、受信部３２は、単位時間当たりの通信エラー発生回数を通信エラー発生頻度として、通信エラー発生頻度から通信路の品質を決定する。

なお、通信品質と通信エラー発生頻度の関係は、あらかじめ設定されており、通信コントローラ１が保持しているものとする。そして、通信品質が変化すると、受信部３２は、通信品質の情報をスケジューリング・統合部３３に通知し、ステップＳ７１４に進む。一方、通信品質が変化していない場合には、先のステップＳ７０２に戻り、一連処理を繰り返すこととなる。

ステップＳ７１４に進んだ場合には、受信部３２から通知を受けたスケジューリング・統合部３３は、通信品質に応じてスケジュールを再設定する。例えば、通信品質が低下した場合には、スケジューリング・統合部３３は、優先度の高い信号の連送回数を増やすか、優先度の低い信号の連送回数を減らすか、あるいは、信頼性の必要のない信号を間引くようにするなどにより、スケジュールを再設定する。

逆に、通信品質が向上した場合には、スケジューリング・統合部３３は、優先度の高い信号の連送回数を減らすか、優先度の低い信号の連送回数を増やすか、間引いていた信号の送信を間引かないようにする、あるいは、間引く量を減らすなどにより、スケジュールを再設定する。

そして、ステップＳ７１４においてスケジュールを再設定した後は、先のステップＳ７０２に戻り、再設定したスケジューリングに従って、一連処理を繰り返すこととなる。

次に、通信コントローラ１ａの受信処理について説明する。図８は、本発明の実施の形態１における通信コントローラによる一連の受信処理に関するフローチャートである。

ステップＳ８０１において、通信コントローラ１ａの受信部３２は、ネットワーク通信Ｉ／Ｆ３０を通して、ネットワーク２からメッセージを受信する。次に、ステップＳ８０２において、分配部３４は、フレームＣＲＣ８７の検査を実施し、連送された複数の同一メッセージの中に正常なフレームがあるか否かを判断する。

そして、分配部３４は、ステップＳ８０２において、正常なフレームがあると判断した場合には、ステップＳ８０３に進み、正常なフレームが１つもないと判断した場合には、ステップＳ８１４に進む。

ステップＳ８１４に進んだ場合には、安全通信部３５は、規定時間に到達したか否かを判断する。そして、安全通信部３５は、規定時間に達していないと判断した場合には、ステップＳ８０１に戻り、一連処理を繰り返すこととなる。一方、安全通信部３５は、規定時間に達していると判断した場合には、ステップＳ８０９に進み、かご５を非常停止させる。

このステップＳ８０９では、通信コントローラ１ａから安全制御装置６にかご５を非常停止させる旨を通知し、安全制御装置６が巻上機８やブレーキ９の電源を遮断することにより、かご５を即座に停止させることができる。あるいは、通信コントローラ１ａ自身が巻上機やブレーキ９の電源を遮断することで、かご５を停止させてもよい。

非常停止後は、保守員による復旧作業が行なわれるまで、かご５の停止状態が維持される。

一方、先のステップＳ８０２において正常なフレームがあると判断されてステップＳ８０３に進んだ場合には、分配部３４は、正常と判断されたフレームの中から１つを取り出し、信号種別毎にデータを分配する。

次に、ステップＳ８０４において、分配部３４は、入力信号の種別を判断する。安全制御信号を受信していない場合には、ステップＳ８１４に進み、その旨を安全通信部３５へ通知する。そして、ステップＳ８１４において、安全通信部３５は、規定時間に到達したか否かを判断し、到達していると判断した場合には、ステップＳ８０９に進み、かご５を非常停止させる。

一方、規定時間に到達していないと判断した場合には、ステップＳ８０１に戻り、一連処理を繰り返すこととなる。なお、規定時間に到達していないと判断した場合には、後述するステップＳ８０８のように、かご５を最寄階に停止させる処理を行ってもよい。

かご５を最寄階に停止させる場合には、安全通信部３５から制御装置７へ、かご５を最寄階に停止させるように通知する。そして、通知を受けた制御装置７は、かご５を最寄階へ停止させる。

その後、再起動を行なってネットワーク２とかご５の運行の復旧を試みる。しかしながら、所定回数以上、再起動を行っても復旧しない場合には、かご５の停止を維持して保守員による復旧を待つ。

先のステップＳ８０４の処理に戻って、入力信号として安全制御信号を受信していた場合には、分配部３４は、安全メッセージ７１を安全通信部３５へ送信する。そして、安全通信部３５は、安全メッセージ７１中の誤り検出情報による誤り検出を行う。具体的には、安全通信部３５は、安全ＣＲＣ７７やシーケンス番号７５の検査を行うこととなる。

そして、ステップＳ８０５において、安全通信部３５は、誤りを検出しなかった場合には、ステップＳ８０６に進み、誤りを検出した場合には、ステップＳ８０７に進む。

ステップＳ８０６に進んだ場合には、安全通信部３５は、当該安全制御信号を安全制御信号Ｉ／Ｆ３６を通して安全制御装置６および制御装置７へ出力し、その後、ステップＳ８０１へ戻って、次のメッセージを受信することとなる。

一方、ステップＳ８０７に進んだ場合には、安全通信部３５は、誤り検出回数が規定回数に到達したか否かを判定する。そして、誤り検出回数が規定回数に到達していないと判定した場合には、ステップＳ８０８に進み、安全通信部３５から通知を受けた制御装置７は、かご５を最寄階に停止させる。一方、誤り検出回数が規定回数に到達していると判定した場合には、ステップＳ８０９に進み、上述したように、かご５の非常停止処理が実行される。

また、安全制御信号以外の信号については、ステップＳ８１０〜ステップＳ８１３により、各種信号のインターフェース３７〜４０を通して各種エレベータ設備への出力が実行される。

例えば、通常制御信号に関しては、ステップＳ８１０において、通常制御信号Ｉ／Ｆ３７でＤ／Ａ変換された後、制御装置７に出力される。また、音声信号に関しては、ステップＳ８１１において、音声信号Ｉ／Ｆ３８でデコードされた後、インターホン１３ａ等に出力される。

また、映像信号に関しては、ステップＳ８１２において、映像信号Ｉ／Ｆ３９でデコードされた後、録画装置１１等に出力される。また、シリアル信号に関しては、ステップＳ８１３において、シリアル信号Ｉ／Ｆ４０でプロトコル変換された後、管理盤１０等の各種エレベータ設備に出力される。

次に、受信したエラー率測定データからネットワークのエラー率を測定するエラー率測定部４２の処理について、まず始めにその概要を説明する。

エラー率測定部４２は、受信した安全メッセージについて、フレームＣＲＣ８７が一致するか否かを判定する。そして、一致すると判定した場合には、エラー率測定部４２は、当該メッセージのうち、ＣＲＣを除く領域の長さを受信ビット数カウンタへ加算する。

なお、フレームＣＲＣ８７を用いたＣＲＣ判定については、エラー率測定部４２内に判定処理機能を持たせる形式としてもよいが、エラー率測定部４２内には判定機能を持たせず、例えば、受信部３２のような他機能ブロックから、各メッセージの判定結果のみを取得する構成としてもよい。

一方、フレームＣＲＣ８７の判定が不一致であると判定した場合には、エラー率測定部４２は、当該メッセージについて、各ビットの正常／異常判定を行う。安全メッセージについては、前後に連送メッセージが必ず存在するため、前後いずれかの正常連送メッセージ（ＣＲＣ判定により正常と判定されたメッセージ）と比較することにより行う。

ただし、ＣＲＣ領域については、判定対象外とする。安全制御信号７６の連送メッセージは、送信完了するまで他種別メッセージの送信を行わないことで、必ず連続的に送信するものとする。

安全制御信号７６のメッセージに関しては、連送を行う回数の情報および当該メッセージが何番目の連送であるかの情報が、長さ／タイプ８５またはデータ種別８２に含まれている。そこで、エラー率測定部４２は、その情報から、同一の安全制御信号７６であるメッセージの範囲を特定する。

より具体的には、例えば、ある受信メッセージに含まれる情報が「連送回数が６、うち当該メッセージの番号が３」であった場合には、エラー率測定部４２は、以下のような処理を行う。すなわち、エラー率測定部４２は、当該メッセージ自身、および直前２メッセージと直後３メッセージの計６メッセージを、同一メッセージであるものと推定する。また、エラー率測定部４２は、計６メッセージの範囲において受信した異常メッセージに関しては、当該連送メッセージであったもの仮定する。

そして、エラー率測定部４２は、異常と判定したビット数を異常受信ビット数カウンタに加算するとともに、異常ビットを含む当該メッセージの全メッセージのうち、ＣＲＣを除く領域のサイズを、受信ビット数カウンタへ加算する。

次に、エラー率測定部４２による一連の詳細な処理手順について、フローチャートに従って説明する。図９は、本発明の実施の形態１におけるエラー率測定部４２で実行される一連処理を示すフローチャートである。

まず始めに、ステップＳ９０１において、エラー率測定部４２は、メッセージを受信すると、受信メッセージのＣＲＣ判定を行う。ＣＲＣ判定が一致した場合には、ステップＳ９０２に進み、ＣＲＣ判定が不一致の場合には、ステップＳ９１２に進む。

ＣＲＣ判定が一致し、ステップＳ９０２に進んだ場合には、エラー率測定部４２は、当該メッセージが安全メッセージであるか否かの判定を行う。そして、メッセージが安全メッセージであった場合には、ステップＳ９０３に進み、メッセージが安全メッセージでなかった場合には、ステップＳ９１０に進む。

メッセージが安全メッセージであり、ステップＳ９０３に進んだ場合には、エラー率測定部４２は、連送回数情報の更新を行う。連送回数情報には、当該メッセージの総連送回数、および当該メッセージの番号を含む。ステップＳ９０３による更新処理後、エラー率測定部４２は、ステップＳ９０４において、連送回数情報およびメッセージ一時保存の有無に従った判定処理として、以下の「判定１」を行う。

＜判定１＞
・前回と同一の安全メッセージを受信し、かつ、連送番号が連続していない場合
または、
・新たな安全メッセージを受信し、かつ、連送番号が１ではない場合
のいずれかを満たし、かつ、一時保存済のメッセージがある場合

ステップＳ９０４における「判定１」の条件を満たす場合には、エラー率測定部４２は、正常メッセージを順序通り受信できなかったと判定し、ステップＳ９０８に進む。一方、ステップＳ９０４における「判定１」の条件を満たさない場合には、エラー率測定部４２は、正常メッセージを順序通り受信したと判定し、ステップＳ９０５に進む。

そして、ステップＳ９０８に進んだ場合には、エラー率測定部４２は、エラービットの判定を行う。さらに、ステップＳ９０９において、エラー率測定部４２は、異常受信ビット数カウンタを更新し、ステップＳ９０５に進む。

そして、「判定１」の条件を満たさずにステップＳ９０５に進んだ場合、あるいは、ステップＳ９０９の後にステップＳ９０５に進んだ場合には、エラー率測定部４２は、一時保存メッセージの削除を行う。さらに、エラー率測定部４２は、ステップＳ９０６において、受信ビット数カウンタを更新し、ステップＳ９０７において、エラー率の再計算を行った後、一連処理を終了する。

また、先のステップＳ９０２において、ＣＲＣ判定が一致し、かつ受信メッセージが安全メッセージではないと判定することでステップＳ９１０に進んだ場合には、エラー率測定部４２は、安全制御信号であれば連続して送信されることから、連送が完了したものと見做し、連送回数情報をリセットする。さらに、ステップＳ９１１において、エラー率測定部４２は、一時保持していたメッセージを削除し、一連処理を終了する。

また、先のステップＳ９０１においてＣＲＣ判定が不一致であり、ステップＳ９１２に進んだ場合には、エラー率測定部４２は、保持している連送回数情報から、安全メッセージを連送中であるか否かを判定する。そして、連送中であると判定した場合には、ステップＳ９１３に進み、連送中でないと判定した場合には、ステップＳ９１４に進む。

連送中であると判定し、ステップＳ９１３に進んだ場合には、エラー率測定部４２は、ＣＲＣが不一致であったメッセージを、連送メッセージであると仮定して、受信済の連送メッセージ数に１を加算する。その後、エラー率測定部４２は、すでに説明したステップＳ９０８、ステップＳ９０９、ステップＳ９０５、ステップＳ９０６、ステップＳ９０７を順次実行後、一連処理を終了する。

また、非連送中である場合と判定し、ステップＳ９１４に進んだ場合には、エラー率測定部４２は、当該メッセージを一時保存し、一連処理を終了する。

なお、上述した図９のフローチャートに従うと、連送メッセージに１つも正常連送メッセージが存在しない場合には、安全制御信号を受信したこと自体を認識することができず、エラー判定を行うことはできない。しかしながら、このような場合には、先の図８のステップＳ８０２において、安全通信部３５は、安全メッセージ未受信により、エラーを認識可能である。

そこで、エラー率測定部４２は、安全通信部３５からエラー情報を取得し、エラー数に加算することができる。これにより、全連送メッセージが受信失敗の場合についても、エラー率測定結果に反映することができる。

次に、上述した図９のステップＳ９０７におけるエラー率の再計算処理について、説明する。エラー率測定部４２は、ステップＳ９０９において更新した異常受信ビット数カウンタの値と、ステップＳ９０６において更新した受信ビット数カウンタの値から、下式に従って、エラー率を計算することができる。
エラー率
＝異常受信ビット数カウンタ値／受信ビット数カウンタ値

なお、図９を用いた一連処理の説明においては、安全メッセージ７１を用いてエラー率を測定する場合について説明した。これに対して、エラー率測定データ８８として、エラー率測定専用のエラー率測定メッセージを使用してもよい。

その場合の処理おいては、図９の説明における安全メッセージを、エラー率測定メッセージに置き換えることになる。また、安全メッセージを用いたエラー率測定と、エラー率測定メッセージを用いたエラー率測定を混在させる構成としてもよい。

次に、エラー率の算出結果に応じたその後の制御について説明する。図１０は、本発明の実施の形態１における通信コントローラ１から指令を受けた安全制御装置６により実行される、エラー率に応じた制御の一連処理を示すフローチャートである。

まず、ステップＳ１００１において、通信コントローラ１内のエラー率測定部４２は、上述した図９の処理に従って、受信データからエラー率を測定し、測定結果を安全制御装置６に送信する。

次に、ステップＳ１００２において、安全制御装置６は、エラー率が、あらかじめ設定された非常停止判定値以上であるか否かを判定する。そして、エラー率が非常停止判定値以上であると判定した場合には、ステップＳ１００３に進み、安全制御装置６は、ノイズが頻発していると判断し、安全通信を停止させると同時に、かご５を非常停止させる。

一方、エラー率が非常停止判定値未満であると判定した場合には、ステップＳ１００４に進み、安全制御装置６は、エラー率が、非常停止判定値よりも小さい値としてあらかじめ設定された最寄階停止判定値以上であるか否かを判定する。そして、エラー率が最寄階停止判定値以上であると判定した場合には、ステップＳ１００５に進み、安全制御装置６は、一時的なノイズと見なして、かご５を最寄階に停止させる。ただし、この場合には、通信は、継続して行われる。

一方、エラー率が最寄階停止判定値未満であると判定した場合には、安全制御装置６は、特段の処理はせず、ステップＳ１００６に進み、通信も継続して行われる。

そして、ステップＳ１００６において、安全制御装置６は、エラー率が、最寄階停止判定値よりも小さい値としてあらかじめ設定された低速走行判定値以上であるか否かを判定する。そして、エラー率が低速走行判定値以上であると判定した場合には、ステップＳ１００７に進み、安全制御装置６は、エレベータの最高速度を規制する旨を制御装置７に通知し、低速運転に切替える。

一方、エラー率が低速走行判定値未満であると判定した場合には、安全制御装置６は、通信状態が正常であると判断し、通常運転を継続し、一連処理を終了する。

なお、図１０のフローチャートでは示していないが、安全制御装置６は、エラー率が低速走行判定値未満まで回復することで、通常運転に復帰させる旨を制御装置７に通知し、通常運転に復帰させることができる。
なお、運転切換（非常停止・最寄階停止・速度制限・通常運転）の判断は、通信コントローラ１にて実施し、その結果を安全制御装置６及び制御装置７に通知して運転切換を実施してもよい。

次に、エラー率測定部４２が正常に機能しているか否かを、一定時間ごとに診断する機能について説明する。図１１は、本発明の実施の形態１における送信側の通信コントローラ１と受信側の通信コントローラ１との間で実行される、エラー率測定部４２の診断処理を示すフローチャートである。

まず、ステップＳ１１０１において、送信側の通信コントローラ１内のエラー率測定診断部４３は、エラー率測定データ作成部４１が作成したエラー率測定データを変更する。例えば、エラー率測定診断部４３は、特定ビットを反転する、あるいは全ビットを固定データで置き換えることで、エラー率測定データ作成部４１が作成したエラー率測定データを変更する。

エラー率測定診断部４３により置換えられたビット数に関する情報は、データ種別８２または安全メッセージ７１のタイプ７４等に格納される。そして、ステップＳ１１０２において、送信側の通信コントローラ１は、エラー率測定部を診断するためのエラー率測定データを含むメッセージを、受信側の通信コントローラ１に送信する。

一方、受信側の通信コントローラ１は、ステップＳ１１０３において、受信側の通信コントローラ１から送信されたメッセージを受信する。そして、ステップＳ１１０４において、受信側の通信コントローラ１は、データ種別８２等からエラー率測定データが、受信したメッセージ内に含まれているか否かを判定する。

そして、受信側の通信コントローラ１は、受信したメッセージ内にエラー率測定データが含まれていると判定した場合には、ステップＳ１１０５に進む。一方、受信側の通信コントローラ１は、受信したメッセージ内にエラー率測定データが含まれていないと判定した場合には、一連処理を終了する。

そして、受信したメッセージ内にエラー率測定データが含まれていることでステップＳ１１０５に進んだ場合には、受信側の通信コントローラ１内のエラー率測定診断部４３は、エラー率測定部４２によるエラー率の算出結果が、置換えたビット数に応じたエラー率であるか否かを検査する。なお、このようなエラー率測定部４２の診断時に算出したエラー率は、通常のエラー率監視には含めないこととする。

そして、エラー率測定部４２によるエラー率の算出結果が正しい場合には、受信側の通信コントローラ１は、一連の処理を終了させる。一方、エラー率測定部４２によるエラー率の算出結果が正しくない場合には、ステップＳ１１０６に進む。

そして、ステップＳ１１０６に進んだ場合には、受信側の通信コントローラ１は、エラー率測定部４２によるエラー率の算出結果が正しくない旨を安全制御装置６に通知する。この通知を受けた安全制御装置６は、かご５を最寄階、または目的階に停止させ、サービスを停止する。そして、一連処理が終了する。

なお、送信側の通信コントローラが、診断データを含むメッセージをループバックすることで、自身のエラー率測定部４２の診断も実施可能である。

なお、本実施の形態１におけるエレベータ安全システムは、エラー率測定部４２の診断以外にも、以下のような自己診断を実施可能である。
安全通信部３５は、自己試験プログラムによるＣＰＵ５１の検査、ＷＤＴ５４による実行時時間監視、ＲＡＭ５３の読み書き検査、ＲＯＭ５２のＣＲＣ検査、二重系統の入出力信号の比較や出力信号の読み戻しによる入出力信号の監視、といった自己診断機能を有することができる。従って、本実施の形態１における通信コントローラ１は、安全制御に関する情報を扱うための高度な信頼性を持つことが可能となる。なお、安全通信部３５に冗長性を持たせてもよい。

安全通信部３５は、上述したような自己診断機能によって自己の故障を検出すると、安全制御装置６に故障を通知する。そして、通知を受けた安全制御装置６は、安全通信部３５の故障が一時的なビット化け等の軽微な故障であれば、かご５を最寄階に停止させ、出力信号の固着等の重大な故障であれば、かご５を非常停止させる。

なお、本実施の形態１では、かご５に設置されたエレベータ設備の情報を、通信コントローラ１ｂから通信コントローラ１ａに伝送し、制御盤４に接続されたエレベータ設備へ出力する場合について説明した。しかしながら、通信コントローラ１ａから通信コントローラ１ｂに情報を伝送する場合にも、同様の手法が適用できる。

例えば、制御装置７からドアコントローラ２０に制御信号を送信する場合、あるいは、映像配信装置１２からモニタ１８に映像信号を送信する場合のように、通信コントローラ１ａから通信コントローラ１ｂに情報を伝送する場合には、双方の通信コントローラ１ａ、１ｂにおける処理を逆にすればよい。

この場合には、通信コントローラ１ｂからネットワーク２または個別通信線３を使用して制御盤４側の通信コントローラ１ａに通信エラーの発生または通信エラー率もしくは運転切換指令を通知することができる。そして、安全制御装置６や制御装置７は、ネットワーク２または個別通信線３を介して通知された内容に応じて、かご５を運転継続させる、速度制限させる、最寄階停止させる、または非常停止させるといった適切な制御を実行できる。

あるいは、通信コントローラ１ｂが、ネットワーク２または個別通信線３を使用して、通信コントローラ１ａに接続された安全制御装置６や制御装置７に対して、運転継続、速度制限、最寄階停止、または非常停止を指示することも可能である。

また、かご５の運転を制御するかご５側の制御手段として、安全制御装置や制御装置を通信コントローラ１ｂと接続してかご５に設ける構成を採用することも可能である。このような構成であれば、通信コントローラ１ｂにおける通信エラーの内容や通信情報の種類に応じて、かご５の安全制御装置や制御装置によって、かご５を最寄階停止、または非常停止させることが可能である。

また、通信コントローラ１間は、ネットワーク２によって通信を行っている。しかしながら、通信回路の故障などでネットワーク２による通信が不可能な場合には、通信線３を用いた１対１通信を行うことが可能である。すなわち、通信線３を用いた１対１通信を行うことによって、一部の安全制御信号等、エレベータの正常運行に最低限必要な信号の通信を、ネットワーク２による通信が不可能な場合にも行うことが可能である。

なお、ネットワーク２による通信が正常な場合においても、通信線３による１対１通信を併用してもよい。また、ネットワーク２や通信線３はそれぞれ異なる方式の無線通信であってもよく、異なる周波数を採用することができる。

また、本実施の形態１のエレベータ安全システムでは、制御盤４、もしくは、機械室または管理人室等、に補助電源としてバッテリ１４を備えている。このため、停電等で主電源が喪失した場合にも、補助電源に切り替えて通信を継続することが可能である。

この時、補助電源を用いて、停電時のエレベータの機能維持に最低限必要な通信のみを継続する。ここで、「停電時のエレベータの機能維持に最低限必要な通信」とは、例えば、インターホン１３や非常通報装置等、閉じこめられた乗客を救出するのに必要な信号等の通信に相当する。そして、それ以外の通信に関係する機能については、電源を遮断するか、もしくは省電力モードへ移行させる。

主電源が復旧した場合には、補助電源から主電源に切り替えることで、全ての通信を復旧させる。なお、バッテリ１４は、各通信コントローラ１ａ、１ｂに個別に備える構成としてもよいし、通信コントローラ１ａ、１ｂ間に電源線を通して共用する構成としてもよい。

上述した本実施の形態１におけるエレベータ安全システムの特徴および効果をまとめると、以下のようになる。
（１）通信線の削減について
本実施の形態１に係るエレベータ安全システムは、各エレベータ設備に接続された第１の通信コントローラ（通信コントローラ１ｂに相当）と、かごの運転制御を行う制御装置に接続された第２の通信コントローラ（通信コントローラ１ａに相当）との間を、シリアル通信ネットワーク（ネットワーク２に相当）により接続する構成を備えている。この結果、かご等に設置された各エレベータ設備と制御盤とを夫々接続する場合に比べて、通信線の本数を削減することが可能である。

（２）ネットワーク故障時の通信機能確保について
本実施の形態１に係るエレベータ安全システムは、第１の通信コントローラと、第２の通信コントローラとの間を、シリアル通信ネットワークとは別に設けられた個別通信線（通信線３に相当）により接続する構成を備えている。この結果、通信回路の故障などでネットワークによる通信が不可能な場合にも、エレベータの正常運行に最低限必要な信号等の通信を、個別通信線を用いた１対１通信を行うことが可能である。
（３）エラー率の測定結果に応じたエレベータの運行制御について
本実施の形態１に係るエレベータ安全システムは、ネットワークを介して受信した連送メッセージに含まれる安全制御信号のエラービット数からエラー率を算出し、エラー率に応じてエレベータの運行状態を適切に切り換え可能な構成を備えている。この結果、個別の物件環境によらず、安全制御信号に対する安全性を担保できる。

すなわち、本実施の形態１に係るエレベータ安全システムによれば、個別の物件環境によらず、安全性を担保しながら、配線量の低減化を図ることができる。さらに、厳しいノイズ環境を想定するあまり、データ使用量、あるいはユーザーデータ領域、を制限することがなく、かつ、過剰な誤り検出符号を用いて処理負荷が増大することもない。

（４）優先度に応じた送信制御について
本実施の形態１に係るエレベータ安全システムは、ネットワークを介して送信する信号の優先度に応じた送信スケジュールに従って、送信制御を行う構成を備えている。この結果、安全制御に関する信号など、高い優先度を割り付けた信号の通信を、より確実に行うことができる。

（５）送信信号のスケジュールの動的な調整機能について
本実施の形態１に係るエレベータ安全システムは、ネットワークの通信状態を監視し、検出された通信エラーの頻度に基づき、送信信号のスケジュールを動的に決定する構成を備えている。この結果、通信品質に応じたネットワーク通信が可能である。さらに、ネットワークにおける通信路の使用可能帯域に応じて、送信信号のスケジュールを決定する構成を備えている。この結果、通信品質に応じたネットワーク通信が可能である。

（６）誤り検出機能について
本実施の形態１に係るエレベータ安全システムは、安全制御に関連する情報を通信する際に、送信時には安全制御に関連する情報に誤り検出情報を付加し、受信時には誤り検出情報を用いて誤り検出を行う構成を備えている。この結果、安全制御に必要な通信の信頼性を確保することができる。

（７）通信エラー状態と連動したかごの運行制御切り換えについて
本実施の形態１に係るエレベータ安全システムは、通信エラーが発生した場合に、当該通信エラーのレベルや通信情報の種類を判断し、通信エラー状態を識別できる構成を備えている。この結果、かごの動作を制御する制御装置は、エラー状態に応じた適切な運行制御を実行することができる。具体的には、通信エラー状態に応じて、非常停止、最寄階停止、または速度制限といった適切な運行制御を選択でき、通信エラー発生時においても、エレベータかごの安全を確保することができる。

そして、各エレベータ設備に接続された第１の通信コントローラによりエラー状態が検出された場合には、この第１の通信コントローラから個別通信線を介して、かごの運転制御を行う制御装置に接続された第２の通信コントローラに対して検出したエラー状態を通知することで、上述した適切な運行制御を行うことができる。

また、かごの運転を制御する制御装置が第１の通信コントローラに接続された構成を有している場合には、第１の通信コントローラによるエラー状態の判断結果をこの制御装置に通知することで、上述した適切な運行制御を行うことができる。
（８）主電源喪失時の信頼性確保について
本実施の形態１に係るエレベータ安全システムは、主電源喪失時に、補助電源を介して電源を供給できる構成を備えている。この結果、主電源喪失時においても、優先度の高い通信を、この補助電源を用いて行うことができ、エレベータ通信の最低限の信頼性を確保できる。

実施の形態２．
先の実施の形態１では、安全メーセージ７１に関するＣＲＣ判定に基づいてエラー率判定を行う場合について説明した。これに対して、本実施の形態２では、安全メッセージ７１の代わりに、エラー率測定データ８８を用いて、ＣＲＣ判定を用いずに、エラー率測定を行う場合について説明する。

先の実施の形態１における通信コントローラ１の構成と比較すると、本実施の形態２における通信コントローラ１は、エラー率測定データ作成部４１とエラー率測定部４２の処理内容が異なっている。そこで、これらの相違点を中心に、以下に説明する。

エラー率測定データ作成部４１は、安全メッセージのシーケンス番号に応じてあらかじめ定められたビットパターンにて、エラー率測定データ８８を作成する。具体的には、エラー率測定データ作成部４１は、一例として、先の図５に示したような４パターンのデータを送信するように、エラー率測定データ８８を作成する。

図１２は、本発明の実施の形態２におけるエラー率測定部４２で実行される一連処理を示すフローチャートである。まず、ステップＳ１２０１において、エラー率測定部４２は、安全メッセージ７１およびエラー率測定データ８８を受信する。

次に、ステップＳ１２０２において、エラー率測定部４２は、受信した安全メッセージのシーケンス番号に応じてあらかじめ定められたビットパターンと、受信したエラー率測定データ８８とを比較する。そして、両者が一致していない場合には、ステップＳ１２０３に進み、エラー率測定部４２は、異なるビットを誤りビット数としてカウント値に加算してから、ステップＳ１２０４に進む。一方、両者が一致している場合には、ステップＳ１２０３により加算処理を行わずに、ステップＳ１２０４に進む。

そして、ステップＳ１２０４において、エラー率測定部４２は、エラー率測定データの全ビット数を通信ビット数としてカウント値に加算する。さらに、ステップＳ１２０５において、エラー率測定部４２は、下式を用いて、エラー率を算出する。
エラー率＝誤りビット数／通信ビット数

上述した本実施の形態２におけるエレベータ安全システムの特徴および効果をまとめると、以下のようになる。
（１）エラー率算出に伴う計算負荷の軽減について
あらかじめ決められたエラー率測定データを連送して送信し、ＣＲＣ判定を行わずにエラー率を算出できる構成を備えている。この結果、ＣＲＣを突破されるようなエラーでもエラー率測定が可能となる。また、ＣＲＣ判定処理よりも、処理負荷を軽減することができる。

実施の形態３．
図１３は、本発明の実施の形態３におけるエレベータ安全システムの構成を示すブロック図である。本実施の形態３におけるエレベータ安全システムは、先の実施の形態１または２におけるエレベータ安全システムの構成と比較して、以下のような構成をさらに備えている点が異なっている。
・昇降路２３に設置された通信コントローラ１ｃ、昇降路スイッチ２５、乗場のドアスイッチ２４、および安全制御装置６ｃをさらに備える点
・かご５に設置された通信コントローラ１ｂに対して接続された安全制御装置６ｂ、および安全制御装置６ｂによって制御される非常止め２６をさらに備える点

換言すると、本実施の形態３におけるエレベータ安全システムは、制御盤４、かご５、昇降路２３の夫々に、通信コントローラ１ａ、１ｂ、１ｃと、安全制御装置６ａ、６ｂ、６ｃを備えている。

そして、これらの安全制御装置６ａ、６ｂ、６ｃが、別々の安全制御を実施する。この際に、各通信コントローラ１ａ、１ｂ、１ｃは、夫々に接続されたエレベータ設備の情報を、互いに通信することで共有することができる。従って、各通信コントローラ１ａ、１ｂ、１ｃに接続された安全制御装置６ａ、６ｂ、６ｃは、エレベータ設備の情報を共有しながら、安全制御を個別に実施することができる。

例えば、乗場のドアスイッチ２４や昇降路スイッチ２５の検出結果を、昇降路に設置された通信コントローラ１ｃから、かご５の通信コントローラ１ｂに対して送信する場合が考えられる。この場合には、通信コントローラ１ｂは、意図しないかご５の動きを検出した場合に、かご５に設置された非常止め２６を作動させる、というような安全制御を実施することができる。

また、安全制御装置６ａ、６ｂ、６ｃ間でデータをやりとりすることで、安全制御装置の状態も相互に監視することができる。この結果、いずれかの安全制御装置に故障が発生した場合に、他の安全制御装置によってかご５の動きを制止することが可能となる。従って、安全制御のバックアップを実行することができる構成を実現できる。

上述した本実施の形態３におけるエレベータ安全システムの特徴および効果をまとめると、以下のようになる。
（１）本実施の形態１に係るエレベータ安全システムは、制御盤、かご、昇降路の夫々に、通信コントローラと、安全制御装置を備え、各通信コントローラ後相互通信を行うことで、情報を共有化できる構成を備えている。この結果、安全制御のバックアップが可能となり、配線量の低減化を図りつつ、異常発生時における安全制御装置の機能を、さらに向上させることができる。

なお、いずれの実施の形態１〜３においても、通信コントローラ１ａ、１ｂ、１ｃの安全通信部３５および安全制御信号インターフェース３６は、安全制御装置６、６ａ、６ｂ、６ｃに含まれる構成としてもよい。

さらに、安全通信部３５が安全制御信号に付加する情報は、ＣＲＣ符号に限定されるものではない。ＣＲＣ以外にも、パリティビット、ＢＣＨ符号、リードソロモン符号、誤り訂正符号などを用いても、同様の効果を得ることができる。

Claims (8)

1. エレベータの設備に接続され、安全制御信号を含む複数種別の信号をネットワークにて通信する複数の通信コントローラと、
   前記複数の通信コントローラの１つである第１の通信コントローラに接続され、前記エレベータの運転制御を実行する制御装置と
   を備え、
   前記複数の通信コントローラのそれぞれは、前記ネットワークを介して受信したデータのビット誤りに基づいて前記ネットワークのエラー率を測定するエラー率測定器を有し、
   前記制御装置は、
   前記安全制御信号の通信開始前において、前記エラー率が安全通信開始判定値未満である場合には、前記安全制御信号の通信を開始し、
   前記安全制御信号の通信開始前および通信中において、前記第１の通信コントローラが有する前記エラー率測定器によって測定された前記エラー率に応じて、前記エレベータの運行状態を切り換えて前記運転制御を実行する
   エレベータ安全システム。
2. 前記第１の通信コントローラは、その他の通信コントローラのそれぞれと個別通信線によって接続され、前記個別通信線を介して１対１通信が可能であり、
   前記制御装置は、前記安全制御信号の通信開始前および通信中において、前記その他の通信コントローラが有する前記エラー率測定器によって測定された前記エラー率を前記ネットワークまたは前記１対１通信によって取得し、取得した前記エラー率に応じて、前記エレベータの運行状態を切り換えて前記運転制御を実行する
   請求項１に記載のエレベータ安全システム。
3. 前記第１の通信コントローラは、エレベータ制御盤に設置され、
   前記その他の通信コントローラのそれぞれは、かご、昇降路、もしくは乗場のいずれかに設置され、
   前記複数の通信コントローラは、
   それぞれの設置場所における前記エレベータの設備と接続されるとともに、それぞれの設置場所に設けられた安全制御装置と個別に接続されており、
   前記ネットワークを介した通信によりすべてのエレベータ設備の情報を共有し、共有した前記情報に基づいて、自身の通信コントローラに接続された安全制御装置による安全制御を個別に実行する
   請求項１または２に記載のエレベータ安全システム。
4. 前記制御装置は、エラー率に応じて、前記エレベータの運行状態を切り換えて前記運転制御を実行する際に、前記エラー率が第１閾値を超過した場合にはかごを最寄階停止させ、前記第１閾値よりも大きい値である第２閾値を超過した場合には前記かごを非常停止させる
   請求項１から３のいずれか１項に記載のエレベータ安全システム。
5. 前記複数の通信コントローラのそれぞれは、
   前記安全制御信号に既知のデータであるエラー率測定データを意図的に変更して前記ネットワークを介して送信し、
   変更後のエラー率測定データをループバックして受信し、前記エラー率測定器により測定された、前記エラー率測定データに対する前記変更後のエラー率測定データエラー率を確認することで前記エラー率測定器の自己診断を行う
   請求項１から４のいずれか１項に記載のエレベータ安全システム。
6. 前記複数の通信コントローラのうちの送信側の通信コントローラは、
   前記安全制御信号に既知のデータであるエラー率測定データを意図的に変更して前記ネットワークを介して送信し、
   前記複数の通信コントローラのうちの受信側の通信コントローラは、
   前記ネットワークを介して変更後のエラー率測定データを受信し、前記エラー率測定器により測定された、前記エラー率測定データに対する前記変更後のエラー率測定データエラー率を確認することで前記エラー率測定器の自己診断を行う
   請求項１から４のいずれか１項に記載のエレベータ安全システム。
7. 前記エラー率測定器は
   前記ネットワークを介して受信したメッセージに含まれる誤り検出符号により伝送誤りの有無を判定し、
   受信した前記メッセージの中の前記安全制御信号を含む安全メッセージに含まれる情報により前記安全メッセージが連送中であるか否かを判定し、
   受信した誤りを含む前記安全メッセージについて、正常な連送メッセージとの比較により誤りビット数を算出し、
   伝送誤りがあると判定した安全メッセージが、連送中のものではないと判定した場合には前記安全メッセージを一時的に保持しておき、次に伝送誤りのない正常な安全メッセージを受信した際に、一時的に保持しておいた前記安全メッセージについて、前記誤りビット数を算出し、
   連送された安全メッセージのすべてについて、総ビット数に対する誤りビット数の割合を前記エラー率として測定する
   請求項１から６のいずれか１項に記載のエレベータ安全システム。
8. 前記複数の通信コントローラのそれぞれは、シーケンス番号と関連付けられた既知のエラー率測定データを前記安全制御信号に含めて連送し、
   前記エラー率測定器は、
   連送された前記安全制御信号について、付加されたシーケンス番号に応じたエラー率測定データを検査し、総ビット数に対する誤りビット数の割合を前記エラー率として測定する
   請求項１から６のいずれか１項に記載のエレベータ安全システム。

Images