JP7279836B1 - 制御装置、制御方法、および乗客搬送制御装置 - Google Patents

Abstract

【課題】ウォッチドッグタイマの機能喪失と誤検出との両方を検出する。【解決手段】ＣＰＵ（１６０）によって演算が行われる制御部（１２０）と、ＣＰＵからのクロック信号を受信する時間間隔が所定期間以上となった場合に、制御部に異常を通知するウォッチドッグタイマ（１３０）と、を備え、制御部は、クロック信号の定期的な送信を中止するテストモードにおいて、ウォッチドッグタイマに対してクロック信号を１回送信してからの経過時間をカウンタ変数にカウントし、カウンタ変数が所定の上限値を超過した際にウォッチドッグタイマが機能喪失したと判断し、ウォッチドッグタイマによってＣＰＵが再起動された際のカウンタ変数が所定の下限値未満である場合にウォッチドッグタイマを誤検出したと判断する。【選択図】図１

Description

本発明はウォッチドッグタイマに関する。

従来、エレベータの運行制御において、通常制御を行う通常制御装置とは別に、エレベータの運行が異常になったことを検出して運行を停止する安全装置が設けられている。この安全装置としては、例えば戸開走行保護装置や終端階強制減速装置が挙げられる。

戸開走行保護装置は、エレベータのかごの戸が開いた状態でかごの異常な移動速度を検知した場合に、エレベータを制動する。これにより、意図せずにかごが移動することを防止できる（ＵＣＭＰ（Unintended Car Movement Protection））。また、終端階強制減速装置は、昇降路の終端領域で、かごの異常な移動速度を検知した場合に、エレベータを制動する。これにより、かごが昇降路の上端や下端に衝突することを防止できる（ＥＴＳ（Emergency Terminal Stopping））。

このような安全装置に用いられるＣＰＵ（Central Processing Unit）の動作が健全かどうかをチェックするために、ＷＤＴ（Watch Dog Timer：ウォッチドッグタイマ）が用いられている。ＷＤＴは、ＣＰＵから定期的に送られてくるクロック信号を監視することによって、ＣＰＵの異常を検出してＣＰＵに通知する。

以上のように、ＷＤＴはＣＰＵの異常を検知してＣＰＵに通知するものであるため、ＷＤＴ自身も正常に動作していることを確認することが重要である。特許文献１には、ＣＰＵに通常のプログラム処理を実行させる期間である通常期間と、ＣＰＵの通常のプログラム処理に支障を来たさない期間であるテスト期間とを有し、ＣＰＵは、テスト期間において、ＷＤＴから異常通知を出力させるべくＷＤＴにテスト信号を出力し、ＷＤＴから異常通知が取得できない場合にＷＤＴの異常を検出する検査装置が開示されている。この異常通知によってＣＰＵはリセットされない。

特許第５３８６４０３号公報

ＷＤＴは、ＣＰＵからのクロック信号が「所定期間」以上受信できない場合にＣＰＵに異常が発生したと判定することになるが、この「所定期間」には下限値と上限値とが設けられている。特許文献１に開示されている検査装置では、クロック信号の受信から所定期間の上限値が経過してもＷＤＴがＣＰＵの異常として検出しない機能喪失の不具合を検出することは可能である。しかしながら、ＷＤＴが、クロック信号の受信から所定期間の下限値よりも短いタイミングでＣＰＵの異常として検出してしまう誤検出の不具合を検出することはできない。

本発明の一態様は、ウォッチドッグタイマの機能喪失と誤検出との両方を検出することができる制御装置を提供することを目的とする。

上記の課題を解決するために、本発明の一態様に係る制御装置は、プロセッサによって演算が行われる制御部と、前記プロセッサからのクロック信号を受信する時間間隔が所定期間以上となった場合に、該プロセッサを再起動させるウォッチドッグタイマと、を備え、前記制御部は、前記クロック信号の定期的な送信を中止するテストモードにおいて、前記ウォッチドッグタイマに対して前記クロック信号を１回テスト送信してからの経過時間を経過時間変数として記憶部に記録し、前記経過時間変数の値が前記所定期間の上限値を超過した場合に、前記ウォッチドッグタイマの機能喪失異常を検知するとともに、前記テスト送信の後に前記ウォッチドッグタイマによって前記プロセッサが再起動した時の、前記記憶部に記憶されている前記経過時間変数の値が前記所定期間の下限値未満である場合に、前記ウォッチドッグタイマの誤検出異常を検知する。

上記の課題を解決するために、本発明の一態様に係る制御装置の制御方法は、プロセッサによって演算が行われる制御部と、前記プロセッサからのクロック信号を受信する時間間隔が所定期間以上となった場合に、該プロセッサを再起動させるウォッチドッグタイマと、を備えた制御装置の制御方法であって、前記クロック信号の定期的な送信を中止するテストモードにおいて、前記ウォッチドッグタイマに対して前記クロック信号を１回テスト送信してからの経過時間を経過時間変数として記憶部に記録する記録ステップと、前記経過時間変数の値が前記所定期間の上限値を超過した場合に、前記ウォッチドッグタイマの機能喪失異常を検知する機能喪失異常検知ステップと、前記テスト送信の後に前記ウォッチドッグタイマによって前記プロセッサが再起動した時の、前記記憶部に記憶されている前記経過時間変数の値が前記所定期間の下限値未満である場合に、前記ウォッチドッグタイマの誤検出異常を検知する誤検出異常検知ステップとを含む。

上記の構成によれば、テスト送信の後にウォッチドッグタイマによってプロセッサが再起動した際に、テスト送信されてからの経過時間が経過時間変数として記憶部に記憶されているので、再起動後のプロセッサは、記憶部に記憶されている前記経過時間変数の値を確認することによって、ウォッチドッグタイマの誤検出異常を検知することが可能となる。すなわち、上記の構成によれば、ウォッチドッグタイマの機能喪失と誤検出との両方を的確に検出することができる。

また、ウォッチドッグタイマからのリセット信号でもってプロセッサがリセットされる。このため、リセット処理をテストモードと通常動作時とで同じにすることができるので、テストモードと通常動作時とを切り替えるためのプログラムを不要とすることができる。また、テストモードと通常動作時とでリセット動作が異なることによる不具合の発生を防止することができる。

前記制御部は、前記経過時間を３個以上の経過時間変数として前記記憶部に記録するとともに、所定時間間隔で順次前記経過時間変数を切り替えて記録してもよい。

ウォッチドッグタイマによってプロセッサが再起動した場合、前記制御部による前記経過時間変数への経過時間の書き込みにエラーが発生する可能性が考えられる。これに対して、上記の構成によれば、１つの経過時間変数への書き込みにエラーが発生した場合でも、残りの２つ以上の経過時間変数の値は温存されていることになる。ここで、残りの２つ以上の経過時間変数の値は、所定時間間隔で順次切り替えて記録された値であるため、エラーが発生している経過時間変数の値と区別することができる。すなわち、エラーが発生していない２つ以上の経過時間変数の値によって、再起動前の経過時間を制御部が認識することができる。

前記制御部は、前記プロセッサの起動がコールドスタートによって行われた場合、前記テストモードを開始してもよい。

上記の構成によれば、コールドスタートが行われた場合には、テストモードが実行されるので、電源の異常発生時や、通常の最初の電源投入時にウォッチドッグタイマの動作検証を確実に実行することができる。

別の態様に係る乗客搬送制御装置は、エレベータである乗客搬送装置を制御する乗客搬送制御装置であって、前記乗客搬送装置の動作が異常になったことを検出する異常時動作制御部を、前記乗客搬送装置の通常動作を制御する通常制御部とは独立に備え、前記異常時動作制御部は、上述した態様の制御装置によって処理を行う。

上記の構成によれば、ウォッチドッグタイマの機能喪失と誤検出との両方を的確に検出することができる制御装置によって異常時動作制御部が動作するので、安全性の高い乗客搬送制御装置を提供することができる。

本発明の各態様に係る制御装置は、コンピュータによって実現してもよく、この場合には、コンピュータを前記制御装置が備える各部（ソフトウェア要素）として動作させることにより前記制御装置をコンピュータにて実現させる制御装置の制御プログラム、およびそれを記録したコンピュータ読み取り可能な記録媒体も、本発明の範疇に入る。

本発明の一態様によれば、ウォッチドッグタイマの機能喪失と誤検出との両方を検出することができる。

エレベータ制御システムの要部の構成を示すブロック図である。 乗客搬送制御装置におけるリセット処理の概要を示す図である。 異常時動作制御部の動作例を示すフローチャートである。 ３個のカウンタ変数のカウントアップの仕方を示す表である。 ４個のカウンタ変数のカウントアップの仕方を示す表である。 ４個のカウンタ変数の別のカウントアップの仕方を示す表である。

〔実施形態１〕
以下、本発明の一実施形態について、詳細に説明する。

（エレベータ制御システム１の構成）
図１は、エレベータ制御システム１の要部の構成を示すブロック図である。エレベータ制御システム１は、乗客搬送制御装置１０と、乗りかご２と、エレベータ駆動部３と、複数の乗場呼び装置４と、駆動電源３１と、第１遮断回路３２と、第２遮断回路３３と、を備える。

乗りかご２は、乗客が乗るかごである。当該乗りかご２が上下動することによって、乗場呼びが行われた階床から行先階として登録された階床に乗りかご２が動作して、乗客を異なる階床に搬送することができる。

乗りかご２にはかご操作盤２１０が設けられている。かご操作盤２１０には、当該乗りかご２の行先階の設定、乗りかご２の戸の開閉、および緊急連絡などを行うための複数の押しボタンスイッチが設けられている。

エレベータ駆動部３は、乗りかご２を駆動する装置である。エレベータ駆動部３は、第１遮断回路３２および第２遮断回路３３を介して、駆動電源３１から供給される電力で動作する。エレベータ駆動部３としては、乗りかご２を上下動させるワイヤーを巻き上げまたは巻き下ろすモータと、乗りかご２の上下動を制動するブレーキとを備えている。

駆動電源３１は、エレベータ駆動部３に電力を供給する電源である。第１遮断回路３２および第２遮断回路３３は、外部の指令に基づき、回路を閉路する直列に接続された遮断器であり、動作指令がない場合は開路している。そのため、外部の指令が無いときは、開路しており、エレベータ駆動部３が動作できないため、安全が担保される。

ブレーキとしては安全を考慮して、電源が供給されていない状態では制動が行われ、電源供給された状態で制動を開放するブレーキを用いる。つまり、停電などによって電源が遮断された場合は、自動的に乗りかご内の上下動が停止されることになり、乗りかご２の落下や危険な上下動を防ぐことができる。

乗場呼び装置４は、各階床に設けられた操作部であり、乗りかご２を呼ぶ機能が備わっている。乗場呼び装置４には、上方に向かうのか、下方に向かうのかを指定する押しボタンスイッチが設けられており、行先階が上方なのか、下方なのかを指定することができる。

乗客搬送制御装置１０は、エレベ－タ制御システム１の各部を統括して制御する制御装置である。

（乗客搬送制御装置１０の構成）
乗客搬送制御装置１０は、制御電源（共通）１１と、通常制御部１２と、異常時動作制御部（制御装置）１００とを備える。

制御電源（共通）１１は、乗客搬送制御装置１０の各部に電力を供給する。

通常制御部１２は、乗客が操作する乗場呼び装置４およびかご操作盤２１０の操作に従って、エレベータ駆動部３を操作し、乗りかご２を上下動させる。すなわち、乗客の操作に従って、乗りかご２を乗場呼びが行われた階床から行先階として登録された階床に移動させる制御を行う。

異常時動作制御部１００は、エレベータ制御システム１において異常が発生していないかを監視し、異常が発生した際には、乗客の安全を確保するためのエレベータ駆動停止制御を行う。

（異常時動作制御部１００の構成）
異常時動作制御部１００は、記憶部１１０と、制御部１２０と、ウォッチドッグタイマ（以降、ＷＤＴと省略）１３０と、電源監視回路１４０と、制御電源（個別）１５０と、を備える。また、図２は、異常時動作制御部１００のハードウェア構成を示すブロック図である。

制御電源（個別）１５０は、制御電源（共通）１１から供給された電力に基づいて、電圧を降下させて異常時動作制御部１００の各部に電力供給する電源である。

記憶部１１０は、異常時動作制御部１００で用いる各種変数、パラメータ、およびプログラムを記憶している。記憶部１１０は、プログラム処理の一時記憶を担う揮発性メモリ１１１と、パラメータまたは記録を残したいデータを格納する第１不揮発性メモリと、プログラムを格納する第２不揮発性メモリと、に大別される。第１不揮発性メモリおよび第２不揮発性メモリは同一の不揮発性メモリ１１２を用いてもよい。以降は、同一の不揮発性メモリ１１２を用いているものとして記載する。

制御部１２０は、エレベータ制御システム１の安全を担保する制御部であり、専用のＣＰＵ１６０が各種プログラムを実行することによって実現される。ＣＰＵ１６０は、クロック信号をＷＤＴ１３０に出力する。また、ＣＰＵ１６０は、ＷＤＴ１３０または電源監視回路１４０が出力するリセット信号によって再起動する。制御部１２０に関する詳細は後述する。ＣＰＵ１６０は、制御電源（個別）１５０からの電力供給によって動作する。

ＷＤＴ１３０は、ＣＰＵ１６０から入力されるクロック信号を監視し、ＣＰＵ１６０に対してリセット信号を出力する。具体的には、クロック信号が所定期間以上出力されない場合に、ＷＤＴ１３０は、ＣＰＵ１６０に対してリセット信号を出力する。つまり、ＷＤＴ１３０は、ＣＰＵ１６０が正常にクロック信号を出力しているかを確認することにより、ＣＰＵ１６０が正常動作をしているか否かを監視している。

電源監視回路１４０は、制御電源（個別）１５０の出力電圧が第１所定電圧を下回った場合に、制御部１２０に対してリセット信号を出力する。また、ＣＰＵ１６０は、制御電源（共通）１１の出力電圧を監視し、記憶部１１０の不揮発性メモリにおける電圧低下フラグを定期的に更新する。電圧低下フラグは、電圧が第２所定電圧より低くなった際にオンになり、第２所定電圧以上の場合はオフになる。なお、ＣＰＵ１６０は、制御電源（共通）１１の出力電圧を分圧回路によって降圧した電圧（ＣＰＵ１６０で扱うことができる電圧）に基づいて認識すればよい。

制御電源（共通）１１の出力電圧が低下した場合、まず電圧低下フラグがオンになり、その所定時間後にリセット信号が出力されるように、第１所定電圧および第２所定電圧が設定されている。これにより、電圧低下フラグが確実にオンになった状態でリセット信号による再起動が実行される。

（制御部１２０の構成）
制御部１２０は、ＷＤＴ管理部１２１と、戸開走行保護制御部１２２と、終端階強制減速制御部１２３と、を備える。

戸開走行保護制御部１２２は、エレベータの乗りかご２の戸が開いた状態で乗りかご２の異常な移動速度を検知した場合に、第２遮断回路３３によってエレベータ駆動部３への電力を遮断する。つまり、乗客が乗り降りしている可能性がある際に、乗りかご２が上下動せず安全に乗り降りできるようにエレベータ駆動部３を制御している。

終端階強制減速制御部１２３は、エレベータの最上階または最下階の近傍において、乗りかご２の異常な移動速度を検知した場合に、第２遮断回路３３によってエレベータ駆動部３への電力を遮断し、強制的にブレーキを作動させ減速する。つまり、乗りかご２が上下動できる乗りかご２の昇降路の上端または下端に衝突することを防止できる。

なお、通常制御部１２が異常を検知する場合もあり、この場合には第１遮断回路３２によってエレベータ駆動部３への電力が遮断される。すなわち、通常制御部１２および異常時動作制御部１００の少なくともどちらか一方が異常を検知した場合に、エレベータ駆動部３への電力が遮断される。

ＷＤＴ管理部１２１は、ＷＤＴ１３０が正常に機能しているか否かを管理する。つまり、ＣＰＵ１６０の異常を検出するＷＤＴ１３０自身も正常に動作していることを確認することが重要であり、この確認をＷＤＴ管理部１２１が行う。

ＷＤＴ管理部１２１は、テストモード処理部１２４と、時間記録制御部１２５と、異常検知部１２６と、を備える。

テストモード処理部１２４は、ＷＤＴ１３０のテストモードを処理する機能ブロックである。テストモード処理部１２４は、ＷＤＴ１３０に対し、通常の定期的なクロック信号の送信を停止するとともに、クロック信号を１度送信（テスト送信）する。

時間記録制御部１２５は、テストモード処理部１２４がＷＤＴ１３０に対してクロック信号を送信してからの時間を少なくとも３個のカウンタ変数でもってカウントする。カウンタ変数のカウント方法の詳細は後述する。

異常検知部１２６は、テストモードにおいて、ＷＤＴ１３０からリセット信号が出力されることなく、カウンタ変数の値が所定期間の上限値を超過した場合に、ＷＤＴ１３０に異常が発生していると判定する。また、異常検知部１２６は、テストモード実行中にＷＤＴ１３０からリセット信号が出力され、制御部１２０が再起動した場合に、再起動後にカウンタ変数の値が所定期間の下限値未満である場合に、ＷＤＴ１３０に異常が発生していると判定する。

（コールドスタートおよびホットスタート）
ここで、本明細書におけるコールドスタートおよびホットスタートという用語の定義を説明する。

コールドスタートは、ＣＰＵ１６０に対する制御電源（個別）１５０からの電力供給が行われていない状態から、ＣＰＵ１６０が起動することである。そのため、コールドスタートでは、記憶部１１０およびＣＰＵ１６０の初期化作業が行われ、かつハードウェアの不具合の有無が確認される。コールドスタートは、電圧低下フラグがオンの状況において、リセット信号が出力から非出力に変化した際に、開始される。つまり、コールドスタートは、乗客搬送制御装置１０の通常の電源投入時や、電源監視回路１４０による制御電源（個別）１５０の異常（停電やバックアップ電池の電圧降下など）を検出した場合に実行され、これらは上述した同じ条件で発生する。本実施形態では、ＷＤＴ１３０の不具合の有無を確認する処理が、コールドスタートにおいて行われる。

対して、ホットスタートは、ＣＰＵ１６０に対する制御電源（個別）１５０からの電力供給が行われている状態で、ソフトウェア処理だけをリセットする形式の再起動である。ホットスタートは、電圧低下フラグがオフの状況において、リセット信号が出力から非出力に変化した際に、開始される。

なお、リセット信号が出力である間、ＣＰＵ１６０は動作を停止する。

本明細書では、ＣＰＵ１６０は、制御電源（共通）１１の電圧を監視し、電圧低下を検出することで記憶部１１０の不揮発性メモリ１１２に電圧低下フラグをセットする。ＣＰＵ１６０は、リセット信号が入力されて再起動した場合に、電圧低下フラグがセットされている際（オンの場合）に、コールドスタートを行い、電圧低下フラグがクリアされている際（オフの場合）に、ホットスタートを行う。つまり、電源監視回路１４０によるリセット信号ではコールドスタートを行い、ＷＤＴ１３０によるリセット信号ではホットスタートを行う。

（制御部１２０の動作）
図３は、制御部１２０の動作例を示すフローチャートである。なお、ＣＰＵ１６０は前述のように、制御電源（共通）１１の出力電圧を監視して電圧低下フラグを定期的に更新している。

制御部１２０が起動すると、まずＳ１０において、エレベータ駆動部３のモータおよびブレーキへの給電を不可とする（Ｓ１０）。これにより、安全が確認できるまで乗りかご２の運転は停止される。

制御部１２０は、ＣＰＵ１６０の起動時に不揮発性メモリ１１２を確認し、電圧低下フラグがオンか否かを確認する（Ｓ１１）。つまり、Ｓ１１では、ＣＰＵ１６０の起動がコールドスタートなのか（Ｓ１１でＹｅｓ）、ホットスタート（Ｓ１１でＮｏ）なのかが判定されている。

コールドスタートしていた場合（Ｓ１１でＹｅｓ）、制御部１２０は、異常時動作制御部（制御装置）１００の初期化処理を行う（Ｓ１２）。

また、テストモード処理部１２４は、記憶部１１０の揮発性メモリ１１１における３個のカウンタ変数に初期値を記録し、ＷＤＴ１３０にクロック信号を１度送信する（Ｓ１３）。ここで、カウンタ変数（経過時間変数）は、記憶部１１０の揮発性メモリ１１１に記憶されるデータである。カウンタ変数の詳細に関しては後述する。

時間記録制御部１２５は、所定時間間隔で更新するタイマー値でもって各カウンタ変数を順番に更新する（Ｓ１４）。その後、異常検知部１２６は、カウンタ値（各カウンタ変数の値の最大値）が、所定の上限値を超過していないかを判断する（Ｓ１５）。異常検知部１２６は、カウンタ値が、所定の上限値を超過していない場合（Ｓ１５においてＮｏ）、Ｓ１４に戻りカウントアップを継続する。

対して、異常検知部１２６は、カウンタ値が、所定の上限値を超過していた場合（Ｓ１５においてＹｅｓ）、ＷＤＴ１３０がＣＰＵ１６０の監視機能を喪失している状態（ＷＤＴ機能喪失）であると判断する（Ｓ１６）。これは、ＷＤＴ１３０が正常に動作していた場合、カウンタ変数が所定の上限値までカウントアップする前に、ＷＤＴ１３０は制御部１２０に対してリセット信号を出力しているはずである。それにも関わらず、所定の上限値までカウントアップしたことから、異常検知部１２６は、ＷＤＴ１３０が機能を喪失していると判断している。これは、例えば、（１）ＷＤＴ１３０の判断処理が異常となっている、（２）制御部１２０とＷＤＴ１３０との間の接続状態や、ＷＤＴ１３０の出力回路で何等かの異常が発生しており、ＣＰＵ１６０へのリセット信号をＷＤＴ１３０が正常に出力できなくなっている、などの原因が考えられる。

一方、ホットスタートしていた場合（Ｓ１１でＮｏ）、テストモード処理部１２４は、カウンタ変数がリセット値かどうかを判断する（Ｓ１７）。カウンタ変数がリセット値であった場合（Ｓ１７においてＹｅｓ）、テストモード中ではなく、戸開走行保護制御部１２２または終端階強制減速制御部１２３の稼働中にホットスタートが行われたことになるので、安全を確保するために、エレベータ駆動部３のモータおよびブレーキへの給電を許可することなく処理を終了する。

対して、カウンタ変数がリセット値ではなかった場合（Ｓ１７においてＮｏ）は、Ｓ１５においてＮｏと判断されてループしている期間にリセット信号が入力されることによって推移したものである。この場合異常検知部１２６は、異常検知部１２６は、カウンタ変数を参照することで、カウンタ変数に異常な値がないかを調べる（詳細は後述）。異常な値があった場合に、異常検知部１２６は正常な現在のカウンタ値を所定のプロセス（詳細は後述）によって認識する（Ｓ１８）。異常な値がなかった場合は、現在のカウンタ値は各カウンタ変数の値の中の最大の値である。

異常検知部１２６は、現在のカウンタ値が所定の下限値未満かを判断する（Ｓ１９）。カウンタ変数が所定の下限値未満の場合（Ｓ１９においてＹｅｓ）、異常検知部１２６はＷＤＴ１３０が誤検出をしている状態（ＷＤＴ誤検出状態）であると判断する（Ｓ２０）。

ＷＤＴ１３０が所定のタイミングよりも早くリセット信号を出力したと判断され、ＣＰＵ１６０が正常であるにもかかわらず、ＷＤＴ１３０が過剰にＣＰＵ１６０の異常を検知する、という誤検出が発生しているものと考えられる。よって、異常検知部１２６は、Ｓ１９の判断によりＷＤＴ誤検出状態であると判断している。これは、例えば、（１）ＷＤＴ１３０の判断処理が異常となっている、（２）制御部１２０とＷＤＴ１３０との間の接続状態またはＷＤＴ１３０の入力回路において何等かの異常が発生しており、ＣＰＵ１６０からのクロック信号をＷＤＴ１３０が正常に受信できなくなっている、などの原因が考えられる。

異常検知部１２６は、ＷＤＴ機能喪失またはＷＤＴ誤検出状態と判断した場合、カウンタ変数にリセット値を記録する（Ｓ２１）。その後、乗りかご２内の表示装置や乗場における表示装置に、異常事態が発生したため動作を停止している旨の通知表示が行われるように、異常時動作制御部１００が制御を行ってもよい。また、異常時動作制御部１００が、異常検知時にその旨をエレベータ管理会社に自動的に通知する機能を有していても良い。

一方、カウンタ変数が所定の下限値未満ではない場合（Ｓ１９においてＮｏ）、異常検知部１２６は、正常にＣＰＵ１６０のリセット動作が行われたと判断し、ＷＤＴ１３０の機能が正常である（ＷＤＴ正常）と判断する（Ｓ２３）。

異常検知部１２６は、ＷＤＴ正常と判断した場合、カウンタ変数にリセット値を記録する（Ｓ２４）。その後、ＷＤＴ管理部１２１は、エレベータ駆動部３のモータおよびブレーキへの給電を可とする（Ｓ２５）。そのため、通常制御部１２がエレベータ駆動部３への給電を可としていた場合、乗りかご２は通常動作することができる。

以後、制御部１２０は、戸開走行保護制御部１２２、終端階強制減速制御部１２３を稼働させる（Ｓ２６）。そして、クロック信号が所定期間以上出力されない場合にＷＤＴ１３０がリセット信号を出力することのないように、ＣＰＵ１６０はクロック信号を出力する。なお、この間も制御部１２０およびＷＤＴ１３０は動作を続け、乗りかご２の運行中にエレベータ駆動部３を安全停止させること、または制御部１２０を再起動させることもある。

つまり、異常時動作制御部は次の４通りの処理を行っている。

（１）コールドスタートで機能喪失の判断（Ｓ１１でＹＥＳの場合の処理）
（２）ホットスタートで誤検出状態の判断（Ｓ１１でＮＯ、Ｓ１７でＮＯ、Ｓ１９でＹＥＳの場合の処理）
（３）ホットスタートで正常の判断（Ｓ１１でＮＯ、Ｓ１７でＮＯ、Ｓ１９でＮＯの場合の処理）
（４）戸開走行保護制御部１２２、終端階強制減速制御部１２３の稼働中にホットスタート（Ｓ１１でＮＯ、Ｓ１７でＹＥＳの場合の処理）
ここで、Ｓ１５においてＮｏと判断されてループしている期間（（１）のコールドスタートした場合）に、リセット信号が入力されることによって、（２）（３）の処理に推移する。また、Ｓ２６において通常動作を行っている期間（（３）のホットスタートで正常な場合）に、リセット信号が入力されることによって、（４）の処理に推移する。

（カウンタ変数のカウントアップ）
図４は、揮発性メモリ１１１における３個のカウンタ変数のカウントアップの仕方を示す表である。

時間記録制御部１２５は、所定時間間隔（「１ｍｓ」）でカウンタ変数を順番に更新していく。この更新に用いるカウントの増分は「１」である。

Ｓ１３においてカウンタ変数に初期値を記録する際に、０ｍｓにおいて、第１カウンタ変数（ＣＮＴ１）に－２を、第２カウンタ変数（ＣＮＴ２）に－１を、第３カウンタ変数（ＣＮＴ３）に０を、代入する。

Ｓ２１およびＳ２４のリセット値は、例えば、第１カウンタ変数、第２カウンタ変数、および第３カウンタ変数全てを０とする。なお、リセット値はカウント中の発生値または初期値とは異なる値であれば、任意の値でよい。

その後、時間記録制御部１２５は、第１カウンタ変数、第２カウンタ変数、第３カウンタ変数の順番でその時のタイマー値でもってカウンタ変数を更新していく。第３カウンタ変数の次は第１カウンタ変数に戻り、カウントアップを続けていく。

つまり、１ｍｓにおいては第１カウンタ変数を「１」にし、２ｍｓにおいては第２カウンタ変数を「２」にし、３ｍｓにおいては第３カウンタ変数を「３」にし、４ｍｓにおいては第１カウンタ変数を「４」にする。対象のカウンタ変数を除いた他のカウンタ変数は変化させない。このように、順番にカウンタ変数が更新されていく。

ここで、カウントアップの途中でＷＤＴ１３０からリセット信号がＣＰＵ１６０に入力されることがある。この際、そのタイミングでカウントアップするはずだったカウンタ変数に間違った値で書き込まれていることがある。

例えば、図４における例では、７ｍｓにおいて、第１カウンタ変数に「７」が書き込まれるはずだったところ、このタイミングでリセット信号が入力されたために、第１カウンタ変数が「２６」という間違った値で書き込まれている。

（適切なカウンタ値の特定）
ここで、当該リセット信号でもって制御部１２０はホットスタートするが、ホットスタートした際にはＳ１８において、上述した例のような間違った値が書き込まれていないかを判断し、適切なカウンタ値を特定する必要がある。

３個のカウンタ変数は順番に更新しているため、それぞれのカウンタ値には所定の対応関係がある。具体的には、（ａ）第２カウンタ変数は第１カウンタ変数よりも増分だけ大きい。（ｂ）第３カウンタ変数は第２カウンタ変数よりも増分だけ大きい。（ｃ）第１カウンタ変数は第３カウンタ変数よりも増分だけ大きい。（ａ）～（ｃ）の対応関係のうち、１個が成り立たない場合（２個が同時に成り立つ場合）が正常である。異常検知部１２６は、この対応関係のうち１個のみだけ成り立つ場合（他２個は対応関係が成り立たない場合）、いずれかのカウンタ変数に間違った値が書き込まれたと判断する。

この対応関係を上述した例の７ｍｓにおいて確認する。第２カウンタ変数は第１カウンタ変数よりも増分だけ大きくない。第３カウンタ変数は第２カウンタ変数よりも増分だけ大きい。第１カウンタ変数は第３カウンタ変数よりも増分だけ大きくない。以上の３個の対応関係から、第３カウンタ変数の更新までは正常に処理が進んでいたことがわかる。したがって、異常検知部１２６は、現在のカウンタ値を正常に処理が進んでいた直近のタイミングのカウンタ値である「６」と特定する。

また、直近のタイミングのカウンタ値である「６」ではなく、本来正常に処理が進んでいた場合に書き込まれたであろうカウンタ値である「７」と特定してもよい。

Ｓ１８以降の処理では、この特定したカウンタ値でもって判断を行う。そのため、ホットスタートなどによって、カウンタ変数のいずれか１個に異常な値が書き込まれた場合であっても、少なくとも２個の連続したカウンタ変数が正常な場合、異常が発生したカウンタ値を特定することができる。

（小括）
したがって、カウンタ値が所定の上限値を超過した場合にＷＤＴ１３０の機能喪失と判断することができ、また、カウンタ値が所定の下限値未満である場合にＷＤＴ１３０の誤検出と判断することができる。すなわち、ＷＤＴ１３０の機能喪失と誤検出との両方を的確に検出することができる。

また、ＷＤＴ１３０によるリセット信号のタイミングによっては、カウンタ変数の更新において、異常なカウンタ値へと書き込まれてしまうことがある。このような際でも、直近で正常であったカウンタ値、または正常な場合でのカウンタ値を特定することができ、リセット前またはリセット時のカウンタ値をＷＤＴ管理部１２１が認識することができる。

さらに、テストモードによってＷＤＴ１３０の状態の診断に加え、制御部１２０とＷＤＴ１３０との間の接続状態と、ＷＤＴ１３０の入力回路の状態と、ＷＤＴ１３０の出力回路の状態と、をも合わせて診断することができる。

上記の構成によれば、テストモードにおいては経過時間変数の値は所定の初期値またはテストモードの実際の経過時間となる一方、テストモードが終了すると、経過時間変数の値は、カウント中の発生値または初期値とは異なるリセット値となる。よって、ＣＰＵ１６０の再起動が行われた場合に、テストモード中に実行された再起動であるのか、テストモードではない通常動作時の再起動であるのかを、経過時間変数を確認することによって制御部１２０は把握することができる。

なお、前記した特許文献１では、テストモードにおいては、ＷＤＴからＣＰＵに異常通知が行われても、ＣＰＵをリセットしない制御が行われている。すなわち、テストモードと通常動作時とで、ＷＤＴから異常通知が行われた場合の処理が異なることになり、それに対応できるようなプログラムを組んでおく必要がある。また、テストモードと通常動作時とでリセット動作が異なる場合、テストモードでは問題がなかったが通常動作時では適切なリセット動作ができないというような不具合が発生する虞もある。

一方、本実施形態における制御部１２０によれば、テストモード中であっても、ＷＤＴ１３０からのリセット信号でもって制御部１２０が再起動される。このため、リセット処理をテストモードと通常動作時とで同じにすることができるので、テストモードと通常動作時とを切り替えるためのプログラムを不要とすることができる。また、テストモードと通常動作時とでリセット動作が異なることによる不具合の発生を防止することができる。

〔実施形態２〕
本発明の他の実施形態について、以下に説明する。なお、説明の便宜上、上記実施形態にて説明した部位と同じ機能を有する部位については、同じ符号を付記し、その説明を繰り返さない。

（カウンタ変数が４個の場合）
記憶部１１０のカウンタ変数を４個設けても良い。図５は、４個のカウンタ変数のカウントアップの仕方を示す表である。

カウンタ変数に初期値を記録する際に、０ｍｓにおいて、第１カウンタ変数（ＣＮＴ１）に－３を、第２カウンタ変数（ＣＮＴ２）に－２を、第３カウンタ変数（ＣＮＴ３）に－１を、第４カウンタ変数（ＣＮＴ４）に０を代入する。

その後、時間記録制御部１２５は、第１カウンタ変数、第２カウンタ変数、第３カウンタ変数、第４カウンタ変数の順番でその時のタイマー値でもってカウンタ変数を更新していく。第４カウンタ変数の次は第１カウンタ変数に戻り、カウントアップを続けていく。

つまり、１ｍｓにおいては第１カウンタ変数を「１」にし、２ｍｓにおいては第２カウンタ変数を「２」にし、３ｍｓにおいては第３カウンタ変数を「３」にし、４ｍｓにおいては第４カウンタ変数を「４」にし、５ｍｓにおいては第１カウンタ変数を「５」にする。このように、順番にカウンタ変数が更新されていく。

また、４個のカウンタ変数は順番に更新されているため、それぞれのカウンタ変数には所定の対応関係がある。具体的には、（ｄ）第２カウンタ変数は第１カウンタ変数よりも増分だけ大きい。（ｅ）第３カウンタ変数は第２カウンタ変数よりも増分だけ大きい。（ｆ）第４カウンタ変数は第３カウンタ変数よりも増分だけ大きい。（ｇ）第１カウンタ変数は第４カウンタ変数よりも増分だけ大きい。この（ｄ）～（ｇ）の対応関係を、異常検知部１２６は確認し、カウンタ値の異常を判別する。判断の方法は上述した方法と同様であり、４個の対応関係のうち、３個が成り立つ場合に正常と判断する。

このように、カウンタ変数の個数は３個に限定されず、少なくとも３個以上、例えば４個であっても構わない。カウンタ変数の数が４個である場合は、カウンタ変数が３個である場合よりも信頼性を高めることができる。つまり、カウンタ変数の個数が３個の場合には、２個のカウンタ変数の値が所定の関係にある場合に、それらの値は適切な書き込みが行われた値であると判定するが、異常な書き込みが行われた場合でも偶然に所定の関係を満たす可能性があり、カウンタ値の認識を誤る可能性がある。これに対して、カウンタ変数の個数が４個の場合には、３個のカウンタ変数の値が所定の関係にある場合に、それらの値は適切な書き込みが行われた値であると判定することになるので、上記の判定誤りの可能性を大幅に低減することができる。ただし、カウンタ変数の個数は少ない方が、必要とされるメモリ容量を少なくすることができるので、信頼性とメモリ容量とのトレードオフの関係を考慮して、状況に応じた異常時動作制御部１００の設計が行われることが好ましい。

図６は、４個のカウンタ変数の別のカウントアップの仕方を示す表である。図６では、図５に対して、各カウンタ変数の初期値が異なっている。また、更新周期（所定の時間間隔）が１ｍｓではなく、２ｍｓになり、増分が１ではなく２になっている。このようにカウンタ変数のカウントアップの仕方は種々の変更を行うことができる。

〔変形例〕
（カウンタ変数の記憶形態）
実施形態１および２では、カウンタ変数を揮発性メモリに記憶したが、不揮発性メモリに記憶しても構わない。

（ホットスタートにおけるテストモード）
実施形態１および２では、コールドスタートにおいてテストモードが開始（ＷＤＴ１３０に対して制御部１２０がクロックを１度送信する）されたが、これに限定されない。例えば、ホットスタートした場合であっても、テストモードが開始されてもよい。

（スケジュールによるホットスタート）
通常制御部１２におけるスケジュール機能によって、テストモードを強制的に実施してもよい。例えば、異常時動作制御部１００は、ＷＤＴ１３０を一日に一度リセットする。これにより、テストモードが定期的に実行されることになるので、異常時動作制御部１００の信頼性を高めることができる。また、ユーザが、例えば点検時などにエレベータの通常稼働が行われていない状態で、手動でテストモードを実行することが可能になっていてもよい。

（不揮発性メモリ１１２のデータ）
記憶部１１０の不揮発性メモリ１１２に、カウンタ変数の更新周期、カウンタ変数に対する増分の値、およびカウンタ変数の上限値・下限値をパラメータとして記憶してもよい。また、これらパラメータの決定は、制御部１２０で用いるＣＰＵの仕様によって定まるカウンタ変数のカウント上限値と、ＷＤＴ１３０で監視すべき所定期間との関係で定まる。

（乗客コンベアに対する適用）
実施形態１および２におけるエレベータ制御システム１は、乗りかご２を上下動させるエレベータを制御対象とした。しかしながら、異常時動作制御部１００は、エレベータの制御に限定されない。具体的には、異常時動作制御部１００は、エスカレーターまたは動く歩道などの乗客コンベアを制御対象にしてもよい。これらの場合でも、テストモードにおいて、ＷＤＴ１３０の機能喪失および誤検出を検出した場合に、乗客コンベアのモータおよびブレーキの制御を行うことによって、安全停止動作を実現することができる。

〔ソフトウェアによる実現例〕
異常時動作制御部１００（以下、「装置」と呼ぶ）の機能は、当該装置としてコンピュータを機能させるためのプログラムであって、当該装置の各制御ブロック（特に制御部１２０に含まれる各部）としてコンピュータを機能させるためのプログラムにより実現することができる。

この場合、上記装置は、上記プログラムを実行するためのハードウェアとして、少なくとも１つの制御装置（例えばプロセッサ）と少なくとも１つの記憶装置（例えばメモリ）を有するコンピュータを備えている。この制御装置と記憶装置により上記プログラムを実行することにより、上記各実施形態で説明した各機能が実現される。

上記プログラムは、一時的ではなく、コンピュータ読み取り可能な、１または複数の記録媒体に記録されていてもよい。この記録媒体は、上記装置が備えていてもよいし、備えていなくてもよい。後者の場合、上記プログラムは、有線または無線の任意の伝送媒体を介して上記装置に供給されてもよい。

また、上記各制御ブロックの機能の一部または全部は、論理回路により実現することも可能である。例えば、上記各制御ブロックとして機能する論理回路が形成された集積回路も本発明の範疇に含まれる。この他にも、例えば量子コンピュータにより上記各制御ブロックの機能を実現することも可能である。

また、上記各実施形態で説明した各処理は、ＡＩ（Artificial Intelligence：人工知能）に実行させてもよい。この場合、ＡＩは上記制御装置で動作するものであってもよいし、他の装置（例えばエッジコンピュータまたはクラウドサーバ等）で動作するものであってもよい。

〔付記事項〕
本発明は上述した各実施形態に限定されるものではなく、請求項に示した範囲で種々の変更が可能であり、異なる実施形態にそれぞれ開示された技術的手段を適宜組み合わせて得られる実施形態についても本発明の技術的範囲に含まれる。

１ エレベータ制御システム
２ 乗りかご
３ エレベータ駆動部
４ 乗場呼び装置
１０ 乗客搬送制御装置
１１ 制御電源（共通）
１２ 通常制御部
３１ 駆動電源
３２ 第１遮断回路
３３ 第２遮断回路
１００ 異常時動作制御部（制御装置）
１１０ 記憶部
１１１ 揮発性メモリ
１１２ 不揮発性メモリ
１２０ 制御部
１２１ ＷＤＴ管理部
１２２ 戸開走行保護制御部
１２３ 終端階強制減速制御部
１２４ テストモード処理部
１２５ 時間記録制御部
１２６ 異常検知部
１３０ ウォッチドッグタイマ（ＷＤＴ）
１４０ 電源監視回路
１５０ 制御電源（個別）
１６０ ＣＰＵ
２１０ かご操作盤

Claims (5)

1. プロセッサによって演算が行われる制御部と、
   前記プロセッサからのクロック信号を受信する時間間隔が所定期間以上となった場合に、該プロセッサを再起動させるウォッチドッグタイマと、
   を備え、
   前記制御部は、前記クロック信号の定期的な送信を中止するテストモードにおいて、
   前記ウォッチドッグタイマに対して前記クロック信号を１回テスト送信してからの経過時間を経過時間変数として記憶部に記録し、
   前記経過時間変数の値が前記所定期間の上限値を超過した場合に、前記ウォッチドッグタイマの機能喪失異常を検知するとともに、
   前記テスト送信の後に前記ウォッチドッグタイマによって前記プロセッサが再起動した時の、前記記憶部に記憶されている前記経過時間変数の値が前記所定期間の下限値未満である場合に、前記ウォッチドッグタイマの誤検出異常を検知することを特徴とする制御装置。
2. 前記制御部は、前記経過時間を３個以上の経過時間変数として前記記憶部に記録するとともに、所定時間間隔で順次前記経過時間変数を切り替えて記録することを特徴とする、請求項１に記載の制御装置。
3. 前記制御部は、前記プロセッサの起動がコールドスタートによって行われた場合、前記テストモードを開始することを特徴とする、請求項１または２に記載の制御装置。
4. プロセッサによって演算が行われる制御部と、
   前記プロセッサからのクロック信号を受信する時間間隔が所定期間以上となった場合に、該プロセッサを再起動させるウォッチドッグタイマと、を備えた制御装置の制御方法であって、
   前記クロック信号の定期的な送信を中止するテストモードにおいて、
   前記ウォッチドッグタイマに対して前記クロック信号を１回テスト送信してからの経過時間を経過時間変数として記憶部に記録する記録ステップと、
   前記経過時間変数の値が前記所定期間の上限値を超過した場合に、前記ウォッチドッグタイマの機能喪失異常を検知する機能喪失異常検知ステップと、
   前記テスト送信の後に前記ウォッチドッグタイマによって前記プロセッサが再起動した時の、前記記憶部に記憶されている前記経過時間変数の値が前記所定期間の下限値未満である場合に、前記ウォッチドッグタイマの誤検出異常を検知する誤検出異常検知ステップとを含むことを特徴とする制御装置の制御方法。
5. エレベータである乗客搬送装置を制御する乗客搬送制御装置であって、
   前記乗客搬送装置の動作が異常になったことを検出する異常時動作制御部を、前記乗客搬送装置の通常動作を制御する通常制御部とは独立に備え、
   前記異常時動作制御部は、請求項１または２に記載の制御装置によって処理を行うことを特徴とする乗客搬送制御装置。

Images