JP5523443B2 - エレベータの信号伝送装置 - Google Patents

Description

この発明は、エレベータ装置等の安全システムに使用される信号伝送装置に係り、特にマスタノードとスレーブノード間でシステムの安全性に関わるデータのデータ伝送を行う信号伝送装置に関するものである。

従来の信号伝送装置として、エレベータの安全に関するデータとそれ以外のデータとに伝送データを分割し、少なくとも安全に関するデータを含む複数のデータを組み合わせたパケットを生成して送信するものが開示されている（例えば、特許文献１参照）。この装置では、上述した安全に関するデータ（以下、安全データと呼ぶ）にＣＲＣ（Cyclic Redundancy Code；巡回冗長符号）を付与し、ＣＲＣにより受信側で伝送エラーを検知して、送信側に対し再送を要求することによって、エレベータの安全データを確実かつ迅速に伝送できる。

特開２００４−４８４７４号公報

しかしながら、特許文献１に開示されるような従来の信号伝送装置では、受信側からの再送要求によってＣＰＵが再送処理を行う。このＣＰＵは、受信した安全データの処理も兼ねている。このため、安全データの送信間隔が短い場合等のように、安全データの送信において許容される遅延時間が短い場合、安全データの処理も行うＣＰＵが、安全データを確実に送信するために再送を行っていると、処理負荷から次に送信する安全データを遅延させ、許容遅延時間を超過させる可能性があるという課題があった。

この発明は、上記のような課題を解決するためになされたもので、安全データの連続送信（連送）と安全データの処理とをそれぞれ独立に行うことにより、安全データを迅速に伝送できるエレベータの信号伝送装置を得ることを目的とする。

この発明に係るエレベータの信号伝送装置は、エレベータの安全制御に関するスイッチ又はセンサの状態を示す情報が入力される入出力ノードと、エレベータの動作を制御する制御盤ノードとを備え、当該エレベータの安全に関するデータを、通信ネットワークを介して入出力ノード及び制御盤ノードのいずれか一方のノードが送信して他方のノードが受信する構成において、入出力ノード及び制御盤ノードは、異なるハードウェア上で並列に動作する安全データ処理部と通信処理部とをそれぞれ有し、安全データ処理部は、送信する場合には、安全に関するデータを取得するとともに、所定の誤り見逃し率を達成可能な誤り検出符号とランニング番号を付与して第１のデータを生成して通信処理部へ出力し、受信する場合には、通信処理部が受信した第１のデータを一定時間毎に取得するとともに、取得した第１のデータの誤り検出符号の正誤を検査して、誤りが検出されなかった第１のデータから取得した安全に関するデータに基づいてエレベータの安全に関する状態を解析し、通信処理部は、送信する場合には、安全データ処理部から出力された第１のデータを含む第２のデータを生成して、当該第２のデータを通信ネットワークを介して所定の複数回送信し、受信する場合には、同一内容の１つ以上の第２のデータが正常に受信されると、これら１つ以上の第２のデータのいずれか１つを有効な第２のデータとして保存するとともに、入出力ノードの安全データ処理部は、通信処理部から入力した第１のデータの誤り検出符号によって誤りを検出した場合、又は第１のデータを一定時間受信できなかった場合、安全に関するデータの送信を停止させ、制御盤ノードの安全データ処理部は、通信処理部から取得した第１のデータの誤り検出符号によって誤りを検出した場合、又は第１のデータを一定時間取得できなかった場合、エレベータを停止させるものである。

この発明によれば、上記のように構成することで、安全データ処理とは独立して安全データの連送処理を行うことができ、従来と比べてより短い間隔で安全データの連送処理が可能となり、より短い許容応答時間が求められる安全データであっても確実に伝送することができるという従来にない顕著な効果が得られる。

この発明の実施の形態１によるエレベータの信号伝送装置の構成を示すブロック図である。 実施の形態１によるエレベータの信号伝送装置におけるノードのハードウェア構成を示す図である。 図１中の安全データ処理部の構成を示すブロック図である。 図１中の高信頼通信部の構成を示すブロック図である。 実施の形態１によるエレベータの信号伝送装置でやり取りされる通信データパケットの構成を示す図である。 実施の形態１の入出力ノードの安全データ処理部による動作の流れを示すフローチャートである。 実施の形態１の制御盤ノードの安全データ処理部による動作の流れを示すフローチャートである。 実施の形態１の入出力ノードの高信頼通信部による動作の流れを示すフローチャートである。 実施の形態１の制御盤ノードの高信頼通信部による動作の流れを示すフローチャートである。 この発明の実施の形態２による安全データ処理部の構成を示すブロック図である。 実施の形態２の入出力ノードの安全データ処理部による動作の流れを示すフローチャートである。 実施の形態２の制御盤ノードの安全データ処理部による動作の流れを示すフローチャートである。 この発明の実施の形態３による安全データ処理部の構成を示すブロック図である。 実施の形態３によるエレベータの信号伝送装置でやり取りされる通信データパケットの構成を示す図である。 実施の形態３の入出力ノードの安全データ処理部による動作の流れを示すフローチャートである。 この発明の実施の形態４による安全データ処理部及び高信頼通信部の構成を示すブロック図である。 実施の形態４の入出力ノードの安全データ処理部による動作の流れを示すフローチャートである。 実施の形態４の入出力ノードの高信頼通信部による動作の流れを示すフローチャートである。 この発明の実施の形態５による高信頼通信部の構成を示すブロック図である。 実施の形態１によるエレベータの信号伝送装置の送受信処理の動作の流れを示すシーケンス図である。 実施の形態５によるエレベータの信号伝送装置の送受信処理の動作の流れを示すシーケンス図である。

以下、この発明をより詳細に説明するために、この発明を実施するための形態について、添付の図面に従って説明する。
実施の形態１．
以降、この発明の信号伝送装置についてエレベータを例として実施の形態を記述する。
図１は、この発明の実施の形態１によるエレベータの信号伝送装置の構成を示すブロック図である。図１において、実施の形態１によるエレベータの信号伝送装置１は、マスタノードとして、エレベータ制御装置に設けられた制御盤ノード２、スレーブノードとして、昇降路や乗り場や乗りカゴに少なくとも１つ設けられた入出力ノード３、各ノード２，３を通信接続する安全ネットワーク（通信ネットワーク）４、センサ・スイッチ類５、及びエレベータ停止装置６を備える。実施の形態１によるエレベータの信号伝送装置１において、制御盤ノード２と入出力ノード３との間で安全ネットワーク４を介してエレベータの安全に関するデータ（以下、安全データと呼ぶ）の伝送が行われる。安全ネットワーク４は、安全データを伝送する媒体となる有線若しくは無線の通信網から構成される。

センサ・スイッチ類５は、昇降路や乗り場や乗りカゴに設けられる。ここで、センサ・スイッチ類とは、非常止めスイッチ、ゲートスイッチ、ドアゾーンセンサ、リレベル（床合わせ）ゾーンセンサ、終点スイッチ、ファイナルリミットスイッチ、調速機エンコーダーや巻上機エンコーダー等のエレベータの状態を表すセンサやスイッチである。センサ・スイッチ類５が出力するセンサやスイッチの状態信号は、一般的には入力信号のオンオフあるいはアナログ量をデジタル化した数値データによって表されるが、センサやスイッチの接続方法や信号の入力方法はエレベータシステムにより様々なものが考えられる。エレベータ停止装置６は、エレベータ制御装置の制御盤ノードからの制御に従って、エレベータの動作を停止する装置であり、ブレーキやその駆動装置及び巻上機の動力を遮断する装置から構成される。

各ノード２，３は、安全データ処理部７及び高信頼通信部（通信処理部）８を備える。安全データ処理部７は、安全データの伝送処理とは独立して安全データを処理する構成要素である。ここで、安全データとは、エレベータの乗客あるいは保守員の安全に関するデータであり、センサ・スイッチ類５を構成するセンサやスイッチ類のうち、その状態によってはエレベータの事故に繋がる可能性があるものの状態情報をデジタルデータで表現したものである。すなわち、安全データは、入力データやその生成処理の健全性が確認されたデータであり、異常値になると、エレベータの乗客あるいは保守員の安全が損なわれる危険な状態になったことを認識することができる。

高信頼通信部８は、安全データの送受信処理を行う構成要素であり、安全データの通信の信頼性に関わる機能を有する。高信頼通信部８では、安全データ自体の処理とは独立して、ノード間での安全データの伝送処理を実行する。伝送処理としては、同一内容の安全データを所定の回数、連続して送信する（以下、連送と呼ぶ）。高信頼通信部８は、安全データ自体の処理とは独立して伝送処理のみを実行するため、安全データ処理も兼ねたＣＰＵが実行する場合と比べて連送間隔を短くすることができる。このように、データの信頼性を確保する連送処理を、安全データ処理を行うＣＰＵとは別のハードウェアで行うことで、より短い許容応答時間が求められる安全データであっても、確実な伝送を実現できるという効果が得られる。

図２は、実施の形態１によるエレベータの信号伝送装置におけるノードのハードウェア構成を示す図であり、安全データ処理部７となるハードウェア構成が２系統ある場合を示している。図２において、ノード２，３は、通信チップ８ａ、ＣＰＵ９−１（ＣＰＵ９−２）、安全データ処理用プログラム等を格納したＲＯＭ１０−１（ＲＯＭ１０−２）、ＲＡＭ１１−１（ＲＡＭ１１−２）、ＤＰＲＡＭ１３、入力回路１４−１，１４−２及び出力回路１５−１，１５−２がバス１２を介してそれぞれ接続されて構成されている。

安全データ処理部７は、ＣＰＵ９−１（ＣＰＵ９−２）、ＲＯＭ１０−１（ＲＯＭ１０−２）及びＲＡＭ１１−１（ＲＡＭ１１−２）で構成され、ＣＰＵ９−１（ＣＰＵ９−２）が、ＲＯＭ１０−１（ＲＯＭ１０−２）の安全データ処理用プログラムを実行することにより、ハードウェアとソフトウェアとが協働した手段として実現される。ＤＰＲＡＭ１３は、２つの安全データ処理部７のＣＰＵ９−１，９−２間でデータをやり取りする際の共用メモリとなる。

通信チップ８ａは、安全ネットワーク４を介した安全データの伝送処理を実行する高信頼通信部８を構成するチップであり、安全データ処理部７のＣＰＵ９−１，９−２とは独立して伝送処理に関する演算処理を行う演算部を備える。安全データ処理部７は、通信チップ８ａが受信した安全データを、バス１２を介して取得し処理を行うとともに、入力回路１４−１，１４−２及び出力回路１５−１，１５−２を介して接続する後続の装置との間でデータのやり取りを行う。

このように、この実施の形態１によるノード２，３では、安全データ処理部７と高信頼通信部８とがそれぞれ別個の演算部を有して、安全データ処理とその連送処理とが独立して実行される。このため、処理負荷が集中することがないことから、従来と比べて、より短い間隔で安全データの連送処理を行うことが可能であり、より短い許容応答時間が求められる安全データであっても、確実に伝送することができる。つまり、データの信頼性を確保する連送処理を、安全データ処理を行うＣＰＵとは別のハードウェアで行うことで、より短い許容応答時間が求められる安全データであっても、確実な伝送を実現できる。

図３は、図１中の安全データ処理部の構成を示すブロック図である。図３において、安全データ処理部７は、安全データ生成部１６、安全データパケット生成部（第１のデータ生成部）１７、安全データパケットチェック部（第１のデータチェック部）１８及び安全データ解析部（解析部）１９を備える。安全データ生成部１６は、センサ・スイッチ類５から入力したセンサやスイッチ類（状態によってエレベータの事故に繋がる可能性があるセンサやスイッチ類）の状態情報から安全データを生成する手段である。安全データ生成部１６では、複数のセンサやスイッチ類の状態情報を予め定義された所定のフォーマットでデジタル化することにより、安全データが生成される。安全データパケット生成部１７は、安全データ生成部１６で生成された安全データにランニング番号及び誤り検出符号を付与して安全データパケットを生成する手段である。

安全データパケットチェック部１８は、高信頼通信部８で通信データパケットが受信されたか否かの確認をするとともに、高信頼通信部８で受信された安全データパケットの誤り検出符号とランニング番号とをチェックすることにより、受信データパケットの誤りや欠落を検出する手段である。安全データ解析部１９は、安全データパケットチェック部１８で正常に受信されたと判断された安全データパケットの安全データを解読してエレベータの安全に関する状態を解析し、解析結果に基づいてエレベータの危険判断等を実行する手段である。

安全データ処理部で処理されるデータは、ＣＰＵ、ＲＯＭ、ＲＡＭといった主たる演算回路を多重化し、それぞれの入出力データ及び演算結果を照合することで、当該安全データや機器の健全性を診断する。
なお、安全データ処理部によって実現される安全性とは、通信されたデータが誤っていた場合に、その誤りを検出できない場合や、安全データ処理を実行する機器が故障した場合に、その故障を検出できない場合など、エレベータを停止させるべき時に停止できない可能性がある状態（危険側故障）の発生件数を、１時間当たりの発生頻度で示した値（故障見逃し率）によって表される。
ある安全システムが故障見逃し率として満たさなければならない値については、国際安全規格ＩＥＣ６１５０８に示されており、例えばＦＡ用工作機械やエレベータに適用されるＳＩＬ３と呼ばれる安全度水準を満足するためには、故障見逃し率として１０^-7／ｈ（１０，０００，０００時間に１回）未満を達成する必要がある。
このように、安全データ処理部では安全性を高めるために、機器の自己診断やデータの誤り検出といった負荷の大きい処理を行っている。
なお、前記安全データ処理部で付与する誤り検出符号は、この故障見逃し率を達成するように設計される。この単位時間当たりの故障見逃し率Λは、以下の式で算出される。
Λ＝３６００×Ｒ（ｐ）×ｖ×（ｍ−１）
ここで、ｖは１秒当たりのメッセージ数、ｍは送信装置を含めた接続台数を指す。
Ｒ（ｐ）は、伝送路のビット誤り率ｐの時の１メッセージ当たりの伝送誤り未検出確率を指し、通常は以下の式によって算出される。
Ｒ（ｐ）
＝Σ（ｅ＝ｄ ｔｏ ｎ）｛Ａ（ｎ，ｅ）×ｐ＾ｅ×（１−ｐ）＾（ｎ−ｅ）｝
Σ（ｅ＝ｄ ｔｏ ｎ）は後に続く中括弧内の計算式について、ｅの値がｄからｎまでの総和を意味する。ここで、ｄは誤り検出符号の最小ハミング距離を指す。
Ａ（ｎ，ｅ）は、二項計算式を表し、下記計算式となる。
Ａ（ｎ，ｅ）＝ｎ！×ｅ！／（ｎ−ｅ）！
ｎはメッセージ長、ｎ！はｎの階乗を指す。ｐ＾ｅはｐのｅ乗を指す。
また、Ｒ（ｐ）には、ＣＲＣのような誤り検出符号の特性を考慮した値を使用することもできる。このとき、通信処理部のビット誤り率を実際の値ではなく、十分に悪い値（例えば１．０×１０−２など）で計算することにより、伝送路の品質が保証できない場合であっても常に高い安全性を保証することができる。

図４は、図１中の高信頼通信部の構成を示すブロック図である。図４において、高信頼通信部８は、通信データパケット生成部（第２のデータ生成部）２０、連送制御部２１、通信データパケットチェック部（第２のデータチェック部）２２及び重複チェック部２３を備える。通信データパケット生成部２０は、エレベータ制御装置の制御盤ノード２と入出力ノード３との間における通信データの信頼性を確保するため、安全データ処理部７から入力した安全データパケットにパケット番号と誤り検出符号を付与して通信データパケットを生成する手段である。連送制御部２１は、通信データパケット生成部２０で生成された通信データパケットを、安全ネットワーク４を介して所定の回数、連送する手段である。

通信データパケットチェック部２２は、安全ネットワーク４を介して受信した通信データパケットの誤り検出符号をチェックし、誤りを検出すると当該受信データパケットを破棄する手段である。重複チェック部２３は、少なくとも１回以上、同一のパケット番号が付与された通信データパケットが正常受信された場合、これら通信データパケットのうちのいずれか１つのみを有効と判断する、あるいは正常受信された通信データパケットが１つのみの場合、当該通信データパケットを有効とする手段である。

また、実施の形態１によるエレベータの信号伝送装置１における通信処理に関する信頼性とは、機器が正常に動作する確率を示す指標であり、エレベータにおいては、機器の故障検知や通信誤り検知による非常停止発生件数を、単位時間当りの頻度で示した値で表される。

図５は、実施の形態１によるエレベータの信号伝送装置でやり取りされる通信データパケットの構成を示す図である。図５に示すように、安全データ生成部１６で生成された安全データ２４は、安全データパケット生成部１７によりデータ部２５１に格納され、ランニング番号２５０及び誤り検出符号２５２が付与されて安全データパケット（第１のデータ）２５となる。また、高信頼通信部８の通信データパケット生成部２０は、安全データパケット２５をデータ部２６１に格納し、パケット番号２６０及び誤り検出符号２６２を付与した通信データパケット（第２のデータ）２６を生成する。

次に動作について説明する。
（１）入出力ノード３の安全データ処理部７の動作
図６は、実施の形態１の入出力ノードの安全データ処理部による動作の流れを示すフローチャートである。先ず、入出力ノード３の安全データ生成部１６は、センサ・スイッチ類５から入力したセンサやスイッチ類（状態によってエレベータの事故に繋がる可能性があるセンサやスイッチ類）の状態情報から安全データを生成する（ステップＳＴ１）。安全データパケット生成部１７は、安全データ生成部１６から安全データを入力すると、当該安全データにランニング番号及び誤り検出符号を付与して安全データパケットを生成する（ステップＳＴ２）。

なお、この実施の形態１では、誤り検出符号として例えばＣＲＣを用い、ランニング番号は、０から順に送信毎に１インクリメントした値（最大値を超えた場合は０に戻る）を利用する。安全データパケット生成部１７は、安全データパケットを生成すると、高信頼通信部８に対して当該安全データパケットの送信を要求する（ステップＳＴ３）。送信要求が完了すると、入出力ノード３の安全データ処理部７は、ステップＳＴ１に戻って同様の処理を繰り返す。

また、上記の説明では、入出力ノード３の安全データ処理部７が、制御盤ノード２へ送信する安全データパケットを生成し、その送信要求を行う場合について示したが、制御盤ノード２の安全データ処理部７が、入出力ノード３へ送信する安全データパケットを生成しその送信要求をする場合も同様の手順で処理される。

（２）制御盤ノード２の安全データ処理部７の動作
図７は、実施の形態１の制御盤ノードの安全データ処理部による動作の流れを示すフローチャートである。先ず、制御盤ノード２の安全データパケットチェック部１８は、自身に内蔵された通信データパケットの受信間隔を監視するタイマ１８ａのカウント（初期状態はカウント０）を開始するとともに、制御盤ノード２の高信頼通信部８が通信データパケットを正常に受信したか否かを確認する（ステップＳＴ１ａ）。高信頼通信部８では誤りが検出された通信データパケットが破棄されるので、安全データパケットチェック部１８は、高信頼通信部８で受信データパケットがメモリ２３ａに保存されているか否かをチェックすることにより、正常な通信データパケットの受信を確認することができる。このチェックは、安全データパケットチェック部１８が高信頼通信部８のメモリ２３ａに直接アクセスするか、安全データパケットチェック部１８からの問い合わせに高信頼通信部８がメモリ２３ａをチェックして応答を返すようなインタフェースを提供することで行う。

正常な通信データパケットが受信されている場合（ステップＳＴ１ａ；ＹＥＳ）、安全データパケットチェック部１８は、高信頼通信部８から当該通信データパケットを入力して、当該通信データパケットのデータ部から安全データパケットを取得し、誤り検出符号の検査で誤り検出処理を行うとともに、ランニング番号によってメッセージの抜けや重複がないことを確認する（ステップＳＴ２ａ）。

誤り検出符号の検査で誤りが検出されず、ランニング番号が正しい場合（ステップＳＴ２ａ；ＹＥＳ）、安全データパケットチェック部１８は、当該通信データパケットのデータ部から取得した安全データパケットが有効であると判断し、安全データ解析部１９へ出力する（ステップＳＴ３ａ）。安全データ解析部１９では、入力した安全データパケットのデータ部から安全データを取得し、当該安全データを解析してエレベータが危険状態にあるか否かを判定する（ステップＳＴ４ａ）。

このとき、危険状態でなければ（ステップＳＴ４ａ；ＮＯ）、安全データ解析部１９は、その旨を安全データパケットチェック部１８へ通知する。この通知を受けると、安全データパケットチェック部１８は、タイマ１８ａをリセットする（ステップＳＴ５ａ）。この後、制御盤ノード２の安全データ処理部７は、ステップＳＴ１ａに戻って同様の処理を行う。

一方、高信頼通信部８で正常な通信データパケットが受信されていない場合（ステップＳＴ１ａ；ＮＯ）、安全データパケットチェック部１８は、タイマ１８ａがタイムアウトしているか否か、すなわち、所定の受信間隔を超過しているか否かを判定する（ステップＳＴ６ａ）。ここで、タイムアウトしていなければ（ステップＳＴ６ａ；ＮＯ）、ステップＳＴ１ａに戻って同様の処理を行う。

また、タイマ１８ａがタイムアウトしている場合（ステップＳＴ６ａ；ＹＥＳ）又は、通信データパケットに誤りが検出されるか、ランニング番号が誤っている場合（ステップＳＴ２ａ；ＮＯ）、若しくは、安全データの解析で危険状態であると判定された場合（ステップＳＴ４ａ；ＹＥＳ）、制御盤ノード２の安全データ解析部１９は、エレベータ停止装置６を制御してエレベータを非常制動させる（ステップＳＴ７ａ）。つまり、安全データが所定の受信間隔で送信されなかった場合、安全データを含む通信データパケットに誤りがある場合、一連のランニング番号が付与された安全データパケットを受信すべきときに当該ランニング番号に抜けがあった場合に、エレベータは非常制動される。

なお、上記の説明では、制御盤ノード２の安全データ処理部７が、入出力ノード３から受信した通信データパケットを処理する場合について示したが、入出力ノード３の安全データ処理部７が、制御盤ノード２から受信した通信データパケットを処理する場合も同様の手順で処理される。

ただし、入出力ノード３の安全データ処理部７（安全データ解析部１９）は、制御盤ノード２の安全データ処理部７と異なり、安全データからエレベータが危険状態にあるか否かを判断しない。入出力ノード３の安全データ解析部１９は、自身の安全データ処理部７にある安全データ生成部１６が生成した安全データに基づき自己診断に異常を検出したり、高信頼通信部８側で通信異常を検出すると、高信頼通信部８を介して制御盤ノード２へエラー通知するか、通信を停止させる。エラー通知は、上記段落００２４及び段落００２５に示したのと同様の手順で安全データパケットを送信することで行うが、安全データの内容はエラーを示すもの（例えば、エラーを意味する特定のビットをオンする）とする。これらを制御盤ノード２の安全データ処理部７が検出することにより、エレベータが危険状態にある旨を判断させる。

（３）入出力ノード３の高信頼通信部８の動作
図８は、実施の形態１の入出力ノードの高信頼通信部による動作の流れを示すフローチャートである。先ず、入出力ノード３の通信データパケット生成部２０は、入出力ノード３の安全データ処理部７からの送信要求が存在するか否かを確認する（ステップＳＴ１ｂ）。送信要求が存在する場合（ステップＳＴ１ｂ；ＹＥＳ）、通信データパケット生成部２０は、当該送信要求に対応する安全データパケットを安全データ処理部７から入力し、当該安全データパケットがデータ部に格納され、パケット番号及び誤り検出符号を付与した通信データパケットを生成する（ステップＳＴ２ｂ）。
なお、誤り検出符号として、例えば安全データ処理部７とは別のＣＲＣを用い、パケット番号は、０から順に送信毎に１インクリメントした値（最大値を超えた場合は０に戻る）を利用する。

入出力ノード３の連送制御部２１は、通信データパケット生成部２０で生成された通信データパケットを入力し、安全ネットワーク４を介して、エレベータ制御装置の制御盤ノード２に対して、当該通信データパケットを予め設定された送信回数だけ連送処理する（ステップＳＴ３ｂ、ステップＳＴ４ｂ）。所定の送信回数の連送が完了すると、入出力ノード３の高信頼通信部８は、ステップＳＴ１ｂに戻って同様の処理を行う。なお、上述の動作では、連送回数を予め設定する場合を示したが、安全データ処理部７が指定するようにしてもよい（例えば、送信要求時に連送回数も通知する）。

また、上記の説明では、入出力ノード３の高信頼通信部８が、制御盤ノード２へ通信データパケットを送信する場合について示したが、制御盤ノード２の高信頼通信部８が、入出力ノード３へ通信データパケットを送信する場合も同様の手順で処理される。

（４）制御盤ノード２の高信頼通信部８の動作
図９は、実施の形態１の制御盤ノードの高信頼通信部による動作の流れを示すフローチャートである。先ず、制御盤ノード２の通信データパケットチェック部２２は、入出力ノード３から通信データパケットを受信したか否かを確認する（ステップＳＴ１ｃ）。ここで、通信データパケットを受信していなければ（ステップＳＴ１ｃ；ＮＯ）、受信されるまでステップＳＴ１ｃの処理を繰り返し、通信データパケットを受信していた場合（ステップＳＴ１ｃ；ＹＥＳ）、通信データパケットチェック部２２は、当該通信データパケットに付与されている誤り検出符号を基に、受信した通信データパケットが誤りなく正常であるか否かを検査する（ステップＳＴ２ｃ）。

通信データパケットが誤りなく正常であると（ステップＳＴ２ｃ；ＹＥＳ）、通信データパケットチェック部２２は、当該通信データパケットのデータ部から取得した安全データパケットを重複チェック部２３へ出力する。重複チェック部２３では、入力した安全データパケットに付与されているパケット番号と、メモリ２３ａに記憶してある安全データパケットのパケット番号（直近の前回に受信されてメモリ２３ａに記憶された安全データパケットのパケット番号）とを比較し、両パケット番号が一致するか否かを判定する（ステップＳＴ３ｃ）。

両パケット番号が一致しなければ（ステップＳＴ３ｃ；ＮＯ）、重複チェック部２３は、通信データパケットチェック部２２から今回入力した安全データパケットとパケット番号とをメモリ２３ａに保存する（ステップＳＴ４ｃ）。

一方、通信データパケットに誤りが検出されるか（ステップＳＴ２ｃ；ＮＯ）、若しくは、今回と前回のパケット番号が一致する場合（ステップＳＴ３ｃ；ＹＥＳ）、重複チェック部２３は、今回受信された安全データパケットを破棄する（ステップＳＴ５ｃ）。ステップＳＴ４ｃ又はステップＳＴ５ｃの処理が完了すると、制御盤ノード２の高信頼通信部８は、ステップＳＴ１ｃに戻って同様の処理を行う。

なお、上記の説明では、制御盤ノード２の高信頼通信部８が、入出力ノード３から受信した通信データパケットの受信処理をする場合について示したが、入出力ノード３の高信頼通信部８が、制御盤ノード２から受信した通信データパケットの受信処理をする場合も同様の手順で処理される。

また、上記実施の形態１では、安全データパケットの受信確認を安全データ処理部７側で行う場合を示したが、高信頼通信部８が、安全データ処理部７に対して安全データパケットの受信を通知するようにしてもよい。

以上のように、この実施の形態１によれば、制御盤ノード２及び入出力ノード３が、安全データ処理部７と高信頼通信部８とをそれぞれ有し、安全データ処理部７が、送信する場合には、安全に関するデータを含む安全データパケットを生成して高信頼通信部８へ出力し、高信頼通信部８が、送信する場合には、安全データ処理部７から出力された安全データパケットを含む通信データパケットを生成して、当該通信データパケットを通信ネットワークを介して所定の複数回送信し、受信する場合には、同一内容の１つ以上の通信データパケットが正常に受信された場合、これら１つ以上の通信データパケットのいずれか１つを有効な通信データパケットとして、当該通信データパケットから取得した安全データパケットを安全データ処理部７に出力し、安全データ処理部７が、受信する場合には、高信頼通信部８から出力された安全データパケットから取得した安全に関するデータに基づいて、エレベータの安全に関する状態を解析する。
従来では、安全データを伝送する通信手段として、安全データ処理部としても機能するＣＰＵにより動作する汎用の通信回路を用いていたために、処理負荷が増大し、データの送信時間間隔が長くなっていた。しかし、上記のように構成することで、従来の安全データ処理部で行われていた再送や連送という安全データ通信の高信頼化のための処理を、専用の通信手段である高信頼通信部８が安全データ処理部７の処理とは独立して行うことができる。これにより、データをより短い時間間隔で送信することが可能となり、安全データを許容遅延時間内の短い間隔で連送することができる。

なお、上述のように連送を行うことにより、受信側のノードでは、同一の安全データを複数回受信することになるが、高信頼通信部８が、受信データパケットのパケット番号から受信データの同一性を確認し、重複して受信されたメッセージのいずれか１つを残して残りを破棄する。これにより、安全データ処理部７に通知されるメッセージは、同一内容については１つのデータとなるため、安全データ処理部７の処理量を低減でき、安全データの処理に要するＣＰＵの処理負荷を軽減することができる。

また、通信信頼性に関する機能を高信頼通信部８に任せることにより、安全データ処理部７が連送する場合に比べて、安全データ処理部７が扱うデータ量を実質的に低減でき、単位時間当たりの誤り検出の診断件数が少なくなるので、安全性を示す指標である故障見逃し率を改善できるという効果も得られる。

なお、上記実施の形態１では、エレベータを例として、その構成と動作について記述したが、本発明による信号伝送装置は、自動車や電車の機器等、複数の機器間で安全データをやりとりするシステムへの適用が可能である。

実施の形態２．
図１０は、この発明の実施の形態２による安全データ処理部の構成を示すブロック図である。図１０において、実施の形態２による安全データ処理部７Ａは、上記実施の形態１で図３を用いて示した構成に加え、安全データパケット連送部（連送処理部）２７及び連送パケット同一チェック部（連送チェック部）２８を備える。なお、図１０において、安全データパケット連送部２７及び連送パケット同一チェック部２８以外の構成は、図３と同一又はこれに相当する構成要素であるので説明を省略する。

安全データパケット連送部２７は、同一内容の安全データパケットを所定の回数、高信頼通信部８へ連送する手段である。連送パケット同一チェック部２８は、安全データパケット連送部２７によって複数回送信された同一のランニング番号の安全データパケットのメッセージを複数回受信し、かつ同一内容である場合にのみ、当該安全データパケットのメッセージが有効であると判断する手段である。つまり、安全データパケット連送部２７の連送処理は、高信頼通信部８による連送処理とは異なり、所定の複数回送信されるデータが全て正常であり、かつ同一内容である場合のみ有効とみなされる。

なお、この実施の形態２によるノード２，３においても、安全データ処理部７Ａと高信頼通信部８とがそれぞれ別個の演算部を有して、安全データ処理とその連送処理とが独立して実行される。このため、従来と比べて、より短い間隔で安全データの連送処理を行うことが可能であり、より短い許容応答時間が求められる安全データであっても、確実に伝送することができる。

次に動作について説明する。
（１）入出力ノード３の安全データ処理部７Ａの動作
図１１は、実施の形態２の入出力ノードの安全データ処理部による動作の流れを示すフローチャートである。先ず、入出力ノード３の安全データ生成部１６は、センサ・スイッチ類５から入力したセンサやスイッチ類（状態によってエレベータの事故に繋がる可能性があるセンサやスイッチ類）の状態情報から安全データを生成する（ステップＳＴ１ｄ）。安全データパケット生成部１７は、安全データ生成部１６から安全データを入力すると、当該安全データにランニング番号及び誤り検出符号を付与して安全データパケットを生成する（ステップＳＴ２ｄ）。

なお、この実施の形態２においても、誤り検出符号として例えばＣＲＣを用い、ランニング番号は０から順に送信毎に１インクリメントした値（最大値を超えた場合は０に戻る）を利用する。安全データパケット生成部１７は、安全データパケットを生成すると、安全データパケット連送部２７へ出力する。

安全データパケット連送部２７は、高信頼通信部８に対して、安全データパケット生成部１７から入力した安全データパケットを、予め設定された送信回数だけ、送信するよう送信要求を行う（ステップＳＴ３ｄ、ステップＳＴ４ｄ）。送信要求が完了すると、入出力ノード３の安全データ処理部７Ａは、ステップＳＴ１ｄに戻って同様の処理を繰り返す。

また、上記の説明では、入出力ノード３の安全データ処理部７Ａが、制御盤ノード２へ送信する安全データパケットを生成し、その送信要求を行う場合について示したが、制御盤ノード２の安全データ処理部７Ａが、入出力ノード３へ送信する安全データパケットを生成しその送信要求をする場合も同様の手順で処理される。

（２）制御盤ノード２の安全データ処理部７Ａの動作
図１２は、実施の形態２の制御盤ノードの安全データ処理部による動作の流れを示すフローチャートである。先ず、制御盤ノード２の安全データパケットチェック部１８は、自身に内蔵された通信データパケットの受信間隔を監視するタイマ１８ａのカウント（初期状態はカウント０）を開始するとともに、制御盤ノード２の高信頼通信部８が通信データパケットを正常に受信したか否かを確認する（ステップＳＴ１ｅ）。なお、安全データパケットチェック部１８は、高信頼通信部８に受信データパケットが保存されているか否かをチェックすることにより、正常な通信データパケットの受信を確認することができる。

正常な通信データパケットが受信されている場合（ステップＳＴ１ｅ；ＹＥＳ）、安全データパケットチェック部１８は、高信頼通信部８から当該通信データパケットを入力して、当該通信データパケットのデータ部から安全データパケットを取得し、誤り検出符号の検査で誤り検出処理を行うとともに、ランニング番号によってメッセージの抜けや重複がないことを確認する（ステップＳＴ２ｅ）。

誤り検出符号の検査で誤りが検出されず、ランニング番号が正しい場合（ステップＳＴ２ｅ；ＹＥＳ）、安全データパケットチェック部１８は、当該通信データパケットのデータ部から取得した安全データパケットが有効であると判断し、連送パケット同一チェック部２８へ出力する。

連送パケット同一チェック部２８では、安全データパケットチェック部１８から安全データパケットを入力すると、メモリ２８ａに安全データパケットが記憶されているか否かを判定する（ステップＳＴ３ｅ）。ここで、メモリ２８ａに安全データパケットが記憶されていなければ（ステップＳＴ３ｅ；ＮＯ）、連送パケット同一チェック部２８は、安全データパケットチェック部１８から今回入力した安全データパケットをメモリ２８ａに記憶する（ステップＳＴ４ｅ）。この後、ステップＳＴ１ｅへ戻って同様の処理を行う。

一方、メモリ２８ａに安全データパケットが記憶されている場合（ステップＳＴ３ｅ；ＹＥＳ）、連送パケット同一チェック部２８は、今回受信された安全データパケットと、メモリ２８ａに記憶されていた安全データパケットとを比較し（例えば、データ部に格納される安全データの値やランニング番号を比較する）、両パケットが同一であるか否かを判定する（ステップＳＴ５ｅ）。

連送パケット同一チェック部２８は、両パケットが同一である場合（ステップＳＴ５ｅ；ＹＥＳ）、今回受信された安全データパケットが、同一内容のものが所定の連送回数分だけ送信され、当該所定の連送回数分だけステップＳＴ５ｅのチェックを行ったか否かを判定する（ステップＳＴ６ｅ）。所定の連送回数分だけステップＳＴ５ｅのチェックを行っていた場合（ステップＳＴ６ｅ；ＹＥＳ）、連送パケット同一チェック部２８は、新たに受信された安全データパケットが、所定の複数回送信されても全て正常に受信されており、かつ同一内容であると判断し、当該安全データパケットを有効と判断して、当該安全データパケット１つのみ安全データ解析部１９へ出力する（ステップＳＴ７ｅ）。

安全データ解析部１９では、入力した安全データパケットのデータ部から安全データを取得し、当該安全データを解析してエレベータが危険状態にあるか否かを判定する（ステップＳＴ８ｅ）。このとき、危険状態でなければ（ステップＳＴ８ｅ；ＮＯ）、安全データ解析部１９は、その旨を安全データパケットチェック部１８及び連送パケット同一チェック部２８へ通知する。この通知を受けると、安全データパケットチェック部１８は、タイマ１８ａをリセットし、連送パケット同一チェック部２８は、メモリ２８ａに記憶してある安全データパケットを破棄する（ステップＳＴ９ｅ）。この後、制御盤ノード２の安全データ処理部７Ａは、ステップＳＴ１ｅに戻って同様の処理を行う。

高信頼通信部８で正常な通信データパケットが受信されていない場合（ステップＳＴ１ｅ；ＮＯ）、安全データパケットチェック部１８は、タイマ１８ａがタイムアウトしているか否か、すなわち、所定の受信間隔を超過しているか否かを判定する（ステップＳＴ１０ｅ）。ここで、タイムアウトしていなければ（ステップＳＴ１０ｅ；ＮＯ）、ステップＳＴ１ｅに戻って同様の処理を行う。

また、タイマ１８ａがタイムアウトしている場合（ステップＳＴ１０ｅ；ＹＥＳ）又は、通信データパケットに誤りが検出されるか、ランニング番号が誤っている場合（ステップＳＴ２ｅ；ＮＯ）、今回受信された安全データパケットとメモリ２８ａに記憶されていた安全データパケットとが同一でない場合（ステップＳＴ５ｅ；ＮＯ）、若しくは、安全データの解析で危険状態であると判定された場合（ステップＳＴ８ｅ；ＹＥＳ）、制御盤ノード２の安全データ解析部１９は、直ちにエレベータ停止装置６を制御してエレベータを非常制動させる（ステップＳＴ１１ｅ）。

なお、上記の説明では、制御盤ノード２の安全データ処理部７Ａが、入出力ノード３から受信した通信データパケットを処理する場合について示したが、入出力ノード３の安全データ処理部７Ａが、制御盤ノード２から受信した通信データパケットを処理する場合も同様の手順で処理される。

ただし、入出力ノード３の安全データ処理部７Ａ（安全データ解析部１９）は、制御盤ノード２の安全データ処理部７Ａと異なり、安全データからエレベータが危険状態にあるか否かを判断しない。入出力ノード３の安全データ解析部１９は、自身の安全データ処理部７にある安全データ生成部１６が生成した安全データに基づき自己診断に異常を検出したり、高信頼通信部８側で通信異常を検出すると、高信頼通信部８を介して制御盤ノード２へエラー通知するか、通信を停止させる。これらを制御盤ノード２の安全データ処理部７Ａが検出することにより、エレベータが危険状態にある旨を判断させる。

以上のように、この実施の形態２によれば、安全データ処理部７Ａが、高信頼通信部８に対して、安全データパケット生成部１７で生成された安全データパケットを所定の複数回伝送するよう要求する安全データパケット連送部２７と、高信頼通信部８で所定の複数回分の通信データパケットが全て正常に受信され、これら複数の通信データパケットから取得した安全データパケットの全てが同一内容であると、当該安全データパケットを有効なデータとする連送パケット同一チェック部２８とを備え、連送パケット同一チェック部２８で有効とされた安全データパケットから取得した安全データに基づいて、エレベータの安全に関する状態を解析する。
このように構成することで、制御盤ノード２の安全データ処理部７Ａと入出力ノード３の安全データ処理部７Ａとの間で同一内容の安全データパケットが複数回通信され、通信データパケットのいずれかが誤り、かつ安全データパケットチェック部１８がその誤りを検出できなかった場合（誤りを見逃した場合）でも、他で正常に受信した安全データパケットとの比較によって誤りを検出することが可能となる。これにより、エレベータの安全性を高めることが可能となる。

実施の形態３．
図１３は、この発明の実施の形態３による安全データ処理部の構成を示すブロック図である。図１３に示すように、実施の形態３による安全データ処理部７Ｂは、上記実施の形態１で図３を用いて示した構成に加え、送信データ数制御部１６Ｂａ及び送信データ結合部１７Ｂａを備える。なお、図１３において、送信データ数制御部１６Ｂａ及び送信データ結合部１７Ｂａ以外の構成は、図３と同一又はこれに相当する構成要素であるので説明を省略する。

図１３において、安全データ処理部７Ｂの、安全データ生成部１６Ｂは、１周期の間に複数の安全データを生成する。安全データの入力であるセンサ・スイッチ類５は、入力されるセンサの種別やデータの種類に応じて、いくつかの優先度に分類され、同一優先度のデータが一つの安全データとして生成される。
安全データ生成部１６Ｂは、送信データ数制御部１６Ｂａを有し、送信データ数制御部１６Ｂａは、１回の周期で生成する安全データの総データサイズが、高信頼通信部８Ｂのパケットサイズを超えないようにその個数を制御する。
送信データ量を制御する方法としては、予め高信頼通信部８Ｂのパケットサイズを超えないサイズとなるよう安全データを設計してもよいし、データの総量がパケットサイズを超える場合には、前記優先度に応じて、送信する頻度（何周期に１回送信するか）を調整するような優先度制御部を別途設けるようにしてもよい。
安全データパケット生成部１７Ｂは、安全データ生成部１６Ｂから通知された複数の安全データのそれぞれに対して、ランニング番号や誤り検出符号を付与し、送信データ結合部に渡す。送信データ結合部１７Ｂａは安全データパケット生成部によって生成された複数の安全データパケットをメモリ１７Ｂａａ上で連結する手段であって、その周期で送信すべき全ての安全データパケットが生成されたタイミングで連結したデータを高信頼通信部８Ｂに入力する。

図１４は、実施の形態３によるエレベータの信号伝送装置でやり取りされる通信データパケットの構成を示す図である。図１４に示すように、安全データパケット生成部１７Ｂにより生成された安全データパケット（第１のデータ）２５Ａ，２５Ｂはそれぞれ、高信頼通信部８Ｂの通信データパケット生成部２０によって生成される通信データパケット（第２のデータ）２６Ａのデータ部２６１Ａに格納される。

次に安全データ処理部の動作について説明する。
（１）入出力ノード３の安全データ処理部７Ｂの動作
図１５は、実施の形態３の入出力ノードの安全データ処理部の１周期分の動作の流れを示すフローチャートである。前述した全ての優先度に対して以下の動作を繰り返す（ステップＳＴ２ｆ）。
まず、安全データ生成部１６Ｂの送信データ数制御部１６Ｂａは、その優先度のデータが今回送信すべき安全データであるかを判断する（ステップＳＴ３ｆ）。送信可否を判断する方法としては、例えば各優先度毎に送信カウンタを用意し、送信間隔数で初期化して、送信判断毎に送信カウンタをデクリメントして０以下となった場合に送信すべきと判断し、１以上の場合は送信不要と判断する方法がある。
判断の結果、送信不要な場合は、次の優先度について処理を行い、送信必要と判断された場合は、その優先度に属するセンサ・スイッチ類から状態情報を取得し、安全データを生成する（ステップＳＴ４ｆ）。安全データパケット生成部１７Ｂは、安全データ生成部１６Ｂから安全データを入力すると、当該安全データにランニング番号及び誤り検出符号を付与して安全データパケットを生成する（ステップＳＴ５ｆ）。生成された安全データパケットは、送信データ結合部に渡され、送信用メモリに順次格納し（ステップＳＴ６ｆ）、ステップＳＴ７ｆ経由でステップＳＴ２ｆに戻って、次の優先度に対して同様の処理を繰り返す。
なお、ステップＳＴ２ｆで全ての優先度について処理を完了した場合は、送信用メモリのデータの健全性を確認（ステップＳＴ８ｆ）した後、高信頼通信部に対して送信用メモリに格納された安全データパケット群の送信を要求し（ステップＳＴ９ｆ）、この周期の処理を終了し、ステップＳＴ１ｆに戻って、次の周期の処理を繰り返す。

（２）制御盤ノード２の安全データ処理部７Ｂの動作
実施の形態３による制御盤ノード２の安全データ処理部７Ｂの動作においては、高信頼通信部８Ｂから入力されるデータが複数の安全データパケットを含んでいることが異なるのみであり、個々の安全データパケットの処理については、図８の処理と同等であるため省略する。

以上のように、この実施の形態３によれば、複数の安全データを連結し、単一の通信データパケットとして送信可能なため、安全データ種別が複数存在し、ここの安全データのサイズが安全ネットワークで伝送可能な最小サイズよりも小さい場合でも、より短い間隔で安全データの連送処理を行うことが可能であり、より短い許容応答時間が求められる安全データであっても、確実に伝送することができる。

実施の形態４．
図１６は、この発明の実施の形態４による高信頼通信部と安全データ処理部の構成を示すブロック図である。図１６において、実施の形態４による安全データ処理部７Ｃは、上記実施の形態１で図３を用いて示した構成に加え、送信データ数制御部１６Ｃａ及び出力完了通知部１７Ｃａを備え、高信頼通信部８Ｃは、上記実施の形態１で図４を用いて示した構成に加え、送信データ結合部２０Ｃａを備える。なお、図１６において、送信データ数制御部１６Ｃａ及び出力完了通知部１７Ｃａと送信データ結合部以外の構成は、図３及び図４と同一又はこれに相当する構成要素であるので説明を省略する。また、図１６において、安全データ処理部７Ｃの、安全データ生成部１６Ｃは、図１３における安全データ生成部１６Ｂと同一であるので説明を省略する。

安全データパケット生成部１７Ｃは、安全データ生成部１６Ｃから通知された複数の安全データのそれぞれに対して、ランニング番号や誤り検出符号を付与し、高信頼通信部８Ｃに送信を要求する手段である。また、安全データパケット生成部１７Ｃは、出力完了通知部１７Ｃａを有し、出力完了通知部１７Ｃａは、１周期の間に送信する安全データの全ての送信要求が完了した時点で、高信頼通信部８Ｃに対して、データの送信を指示する手段である。
一方、高信頼通信部８Ｃの送信データ結合部２０Ｃａは、安全データ処理部７Ｃから送信要求された複数の安全データパケットをメモリ２０Ｃａａ上で連結する手段であって、安全データ処理部７Ｃの出力完了通知部１７Ｃａからの出力完了通知を受信したタイミングで連結したデータを連送制御部２１に入力する。

次に動作について説明する。
（１）入出力ノード３の安全データ処理部７Ｃの動作
図１７は、実施の形態４の入出力ノードの安全データ処理部の１周期分の動作の流れを示すフローチャートである。前述した全ての優先度に対して以下の動作を繰り返す（ステップＳＴ２ｇ）。
まず、安全データ生成部１６Ｃの送信データ数制御部１６Ｃａは、その優先度のデータが今回送信すべき安全データであるかを判断する（ステップＳＴ３ｇ）。判断の結果、送信不要な場合は、次の優先度について処理を行い、送信必要と判断された場合は、その優先度に属するセンサ・スイッチ類から状態情報を取得し、安全データを生成する（ステップＳＴ４ｇ）。
安全データパケット生成部１７Ｃは、安全データ生成部１６Ｃから安全データを入力すると、当該安全データにランニング番号及び誤り検出符号を付与して安全データパケットを生成する（ステップＳＴ５ｇ）。安全データパケットを生成すると、安全データパケット生成部１７Ｃは、当該安全データパケットの健全性確認を行い（ステップＳＴ６ｇ）、高信頼通信部８Ｃに対して送信を要求する（ステップＳＴ７ｇ）。
送信要求が完了すると、入出力ノード３の安全データ処理部７Ｃは、ステップＳＴ８ｇ経由でステップＳＴ２ｇに戻って次の優先度に対して同様の処理を繰り返す。なお、ステップＳＴ２ｇで全ての優先度について処理を完了した場合は、出力完了通知部１７Ｃａが、高信頼通信部８Ｃに対して出力完了通知を通知し（ステップＳＴ９ｇ）、この周期の処理を終了して、ステップＳＴ１ｇに戻り、次の周期の処理を繰り返す。

（２）制御盤ノード２の安全データ処理部７Ｃの動作
実施の形態３による制御盤ノード２の安全データ処理部７Ｃの動作においては、高信頼通信部８Ｃから入力されるデータが複数の安全データパケットを含んでことが異なるのみであり、個々の安全データパケットの処理については、図８の処理と同等であるため省略する。

（３）入出力ノード３の高信頼通信部８Ｃの動作
図１８は、実施の形態４の入出力ノードの高信頼通信部の１周期分の動作の流れを示すフローチャートである。
先ず、送信データ結合部２０Ｃａは、安全データ処理部７Ｃからの出力完了通知が存在するか否かを確認する（ステップＳＴ１ｈ）。出力完了通知が存在しない場合（ステップＳＴ１ｈ；ＮＯ）、安全データ処理部７Ｃからの送信要求が存在するか否かを確認する（ステップＳＴ２ｈ）。送信要求が存在する場合（ステップＳＴ２ｈ；ＹＥＳ）、送信データ結合部２０Ｃａは、当該送信要求に対応する安全データパケットを安全データ処理部７Ｃから入力し、送信用メモリ２０Ｃａａに順に格納し（ステップＳＴ３ｈ）、ステップＳＴ１ｈに戻って処理を継続する。
一方、出力完了通知が存在する場合（ステップＳＴ１ｈ；ＹＥＳ）は、通信データパケット生成部２０Ｃが、送信用メモリ上の連結・蓄積した安全データパケット群をデータ部とした通信データパケットを生成する（ステップＳＴ４ｈ）。以後の動作は、図８のステップＳＴ３ｂ以降と同一なので省略する。

（４）制御盤ノード２の高信頼通信部８Ｃの動作
実施の形態４における制御盤ノード２の高信頼通信部８Ｃの動作は、実施の形態１の高信頼通信部８の動作と同一であるため省略する。

以上のように、この実施の形態４によれば、複数の安全データを連結し、単一の通信データパケットとして送信可能なため、安全データ種別が複数存在し、ここの安全データのサイズが安全ネットワークで伝送可能な最小サイズよりも小さい場合でも、より短い間隔で安全データの連送処理を行うことが可能であり、より短い許容応答時間が求められる安全データであっても、確実に伝送することができる。
また、処理の安全性を担保するため、アクセス速度が遅いＣＰＵ外部のメモリを使用しなければならない安全データ処理部側ではなく、アクセス速度が高速なＣＰＵ内部メモリを利用することができる高信頼通信部側で連結処理を行うことで、連結処理の際に必要となるコピーの処理を高速化することが可能となり、安全データの処理に要する処理負荷を全体として軽減することができる。また多重化が必要となる安全データ処理部のメモリ量の削減が可能となるといった効果も得られる。

実施の形態５．
図１９は、この発明の実施の形態５による高信頼通信部の構成を示すブロック図である。図１９に示すように、実施の形態５による高信頼通信部８Ｄは、上記実施の形態１で図３を用いて示した構成に加え、通信メモリ更新管理部２９を備える。なお、図１９において、通信メモリ更新管理部２９以外の構成は、図４と同一又はこれに相当する構成要素であるので説明を省略する。

図１９において、高信頼通信部８Ｄの、通信メモリ更新管理部２９は、安全データ処理部７に対して所定の間隔をあけて通信データパケットの到着を通知するための機能構成部であって、所定の間隔で重複チェック手段２３に対して通信データパケットの受信確認を行い、受信データを自身のメモリにコピーするとともに、安全データ処理部７からの通信データパケット受信確認に対して、自身の通知メモリ２９ａの更新状況を応答する。

図２０及び図２１は、それぞれ実施の形態１及び実施の形態５の構成による送受信処理の動作の流れを示すシーケンス図である。連送処理によって、高信頼通信部８Ｄの重複チェック部のメモリが更新されるタイミングは、処理周期内の前後にばらつく。このため、図１９に示す構成では、安全データ処理部７からの更新確認が、最後に連送されるデータの受信タイミングと次の最初の連送データの受信タイミングとの間の周期／連送回数時間内に行われなければ、図２０に示すように前回の更新確認以降に新たな正常データを受信しない場合（未更新）や、前回更新確認以降に複数個新たな正常データを受信してしまう場合（多重更新）が発生し、安全データ処理部で異常を検出してしまう。
そこで、実施の形態５では、図２１に示すように受信側の高信頼通信部８Ｄの通信メモリ更新管理部２９が、通知メモリ２９ａの更新間隔が一定間隔となるように制御する。これにより、安全データ処理部７は、通知メモリ２９ａの更新間隔（１周期）の間のいずれかのタイミングで更新確認を行えばよいため、安全データ処理部７の周期がより短い場合においても、未更新や多重更新を起こすことなく、安全データ処理を行うことができる。

この発明に係るエレベータの信号伝送装置は、安全データ処理とは独立して安全データの連送処理を行うことができ、従来と比べてより短い間隔で安全データの連送処理が可能となり、より短い許容応答時間が求められる安全データであっても確実に伝送することができるので、エレベータ装置等の安全システムに好適である。

Claims (5)

1. エレベータの安全制御に関するスイッチ又はセンサの状態を示す情報が入力される入出力ノードと、前記エレベータの動作を制御する制御盤ノードとを備え、当該エレベータの安全に関するデータを、通信ネットワークを介して前記入出力ノード及び前記制御盤ノードのいずれか一方のノードが送信して他方のノードが受信するエレベータの信号伝送装置において、
   前記入出力ノード及び前記制御盤ノードは、異なるハードウェア上で並列に動作する安全データ処理部と通信処理部とをそれぞれ有し、
   前記安全データ処理部は、送信する場合には、前記安全に関するデータを取得するとともに、所定の誤り見逃し率を達成可能な誤り検出符号とランニング番号を付与して第１のデータを生成して前記通信処理部へ出力し、受信する場合には、前記通信処理部が受信した前記第１のデータを一定時間毎に取得するとともに、取得した前記第１のデータの前記誤り検出符号の正誤を検査して、誤りが検出されなかった第１のデータから取得した前記安全に関するデータに基づいて前記エレベータの安全に関する状態を解析し、
   前記通信処理部は、送信する場合には、前記安全データ処理部から出力された前記第１のデータを含む第２のデータを生成して、当該第２のデータを前記通信ネットワークを介して所定の複数回送信し、受信する場合には、同一内容の１つ以上の前記第２のデータが正常に受信されると、これら１つ以上の第２のデータのいずれか１つを有効な第２のデータとして保存するとともに、
   前記入出力ノードの安全データ処理部は、通信処理部から入力した第１のデータの誤り検出符号によって誤りを検出した場合、又は前記第１のデータを一定時間受信できなかった場合、前記安全に関するデータの送信を停止させ、
   前記制御盤ノードの安全データ処理部は、通信処理部から取得した第１のデータの誤り検出符号によって誤りを検出した場合、又は前記第１のデータを一定時間取得できなかった場合、エレベータを停止させる
   ことを特徴とするエレベータの信号伝送装置。
2. エレベータの安全制御に関するスイッチ又はセンサの状態を示す情報が入力される入出力ノードと、前記エレベータの動作を制御する制御盤ノードとを備え、当該エレベータの安全に関するデータを、通信ネットワークを介して前記入出力ノード及び前記制御盤ノードのいずれか一方のノードが送信して他方のノードが受信するエレベータの信号伝送装置において、
   前記入出力ノード及び前記制御盤ノードは、異なるハードウェア上で並列に動作する安全データ処理部と通信処理部とをそれぞれ有し、
   前記安全データ処理部は、同一の安全データ処理を行う複数の演算回路を有し、それぞれの入出力データ及び演算結果を照合することにより、安全データ又は機器の健全性を診断するとともに、送信する場合には、前記安全に関するデータを取得するとともに、所定の誤り見逃し率を達成可能な誤り検出符号とランニング番号を付与して第１のデータを生成して前記通信処理部へ出力し、受信する場合には、前記通信処理部が受信した前記第１のデータを一定時間毎に取得するとともに、取得した前記第１のデータの前記誤り検出符号の正誤を検査して、誤りが検出されなかった第１のデータから取得した前記安全に関するデータに基づいて前記エレベータの安全に関する状態を解析し、
   前記通信処理部は、送信する場合には、前記安全データ処理部から出力された前記第１のデータを含む第２のデータを生成して、当該第２のデータを前記通信ネットワークを介して所定の複数回送信し、受信する場合には、同一内容の１つ以上の前記第２のデータが正常に受信されると、これら１つ以上の第２のデータのいずれか１つを有効な第２のデータとして保存するとともに、
   前記安全データ処理部は、前記安全に関わるデータが複数存在する場合、前記第１のデータ生成部によって、前記安全に関わるデータのそれぞれに誤り検出符号とランニング番号を付与した前記複数の第１のデータを生成して前記通信処理部に順次出力するとともに、１回の周期で送信する全てのデータを出力した場合に、前記通信処理部に対して出力完了を通知する出力完了通知部を備え、
   前記通信処理部は、前記複数の第１のデータを結合する送信データ結合部と、前記安全データ処理部の前記出力完了通知部から出力完了通知を受信したタイミングで、前記結合されたデータから前記第２のデータを生成して送信する送信制御部とを備えるとともに、
   前記制御盤ノードの安全データ処理部は、通信処理部から取得した第１のデータの誤り検出符号によって誤りを検出した場合、又は前記第１のデータを一定時間取得できなかった場合、エレベータを停止させる
   ことを特徴とするエレベータの信号伝送装置。
3. 前記安全データ処理部が出力完了通知を行うまでに前記通信処理部にデータを渡す個数が、前記通信処理部のパケットサイズ以下となるように送信データ数を制御する送信データ数制御部を備えたことを特徴とする請求項２記載のエレベータの信号伝送装置。
4. 前記送信データ数制御部は、情報の種別に応じて、通信層に渡す頻度を決定する優先度制御部を備えたことを特徴とする請求項３記載のエレベータの信号伝送装置。
5. エレベータの安全制御に関するスイッチ又はセンサの状態を示す情報が入力される入出力ノードと、前記エレベータの動作を制御する制御盤ノードとを備え、当該エレベータの安全に関するデータを、通信ネットワークを介して前記入出力ノード及び前記制御盤ノードのいずれか一方のノードが送信して他方のノードが受信するエレベータの信号伝送装置において、
   前記入出力ノード及び前記制御盤ノードは、異なるハードウェア上で並列に動作する安全データ処理部と通信処理部とをそれぞれ有し、
   前記安全データ処理部は、送信する場合には、前記安全に関するデータを取得するとともに、所定の誤り見逃し率を達成可能な誤り検出符号とランニング番号を付与して第１のデータを生成して前記通信処理部へ出力し、受信する場合には、前記通信処理部が受信した前記第１のデータを一定時間毎に取得するとともに、取得した前記第１のデータの前記誤り検出符号の正誤を検査して、誤りが検出されなかった第１のデータから取得した前記安全に関するデータに基づいて前記エレベータの安全に関する状態を解析し、
   前記通信処理部は、送信する場合には、前記安全データ処理部から出力された前記第１のデータを含む第２のデータを生成して、当該第２のデータを前記通信ネットワークを介して所定の複数回送信し、受信する場合には、正常受信したデータを前記安全データ処理部に通知するための通知メモリと前記通知メモリの更新をタイミングを管理する通信メモリ更新管理部とを備え、同一内容の１つ以上の前記第２のデータが正常に受信されると、これら１つ以上の第２のデータのいずれか１つを有効な第２のデータとして、前回の更新から前記安全データ処理部の実行周期をあけて前記通知メモリに保存するとともに、
   前記制御盤ノードの安全データ処理部は、通信処理部から取得した第１のデータの誤り検出符号によって誤りを検出した場合、又は前記第１のデータを一定時間取得できなかった場合、エレベータを停止させる
   ことを特徴とするエレベータの信号伝送装置。

Images