JP2014146197A - システム管理装置およびシステム - Google Patents

Abstract

【課題】複数の機器を通信可能に接続して構成されるシステムを簡易に実現すること。
【解決手段】１つの態様において、システム管理装置は、システムを構成する複数の機器２０ａ〜２０ｃが接続される複数のインターフェース部１０１〜１０６と、インターフェース部１０１〜１０６を介して複数の機器２０ａ〜２０ｃのそれぞれから受信するメッセージに含まれる情報に基づいて、システムを構成する複数の機器の構成を判定する制御部１２０とを備える。
【選択図】図１Ａ

Description

本発明は、システム管理装置およびシステムに関する。

複数の機器を通信可能に接続して構成されるシステムが知られている。例えば、特許文献１は、分散配置された複数の通信局を情報伝送路を介して互いに接続してなる分散システムが開示されている。特許文献１は、さらに、各通信局が、他の通信局から送信された時刻情報の中から多数決で選択したシステム時刻と、自局の時刻とを比較して時刻の修正を行うことを開示している。

特開平３−７７１１４号公報

上記のように、システムを構成する機器が、システムを動作させるために多数決判定のような処理をそれぞれ行うと、それぞれの機器の構成が複雑化するおそれがある。本発明は、上記に鑑みてなされたものであって、複数の機器を通信可能に接続して構成されるシステムを簡易に実現することができるシステム管理装置およびそのシステム管理装置を用いたシステムを提供することを目的とする。

１つの態様において、システム管理装置は、システムを構成する複数の機器が接続される複数のインターフェース部と、前記インターフェース部を介して前記複数の機器のそれぞれから受信するメッセージに含まれる情報に基づいて、前記システムを構成する前記複数の機器の構成を判定する制御部とを備える。

他の態様において、システムは、宇宙機に搭載されるシステムであって、複数の機器と、前記複数の機器が接続されるシステム管理装置とを含む。前記システム管理装置は、前記複数の機器が接続される複数のインターフェース部と、前記インターフェース部を介して前記複数の機器のそれぞれから受信するメッセージに含まれる情報に基づいて、前記システムを構成する前記複数の機器の構成を判定する制御部とを備える。

本発明に係るシステム管理装置およびシステムは、複数の機器を通信可能に接続して構成されるシステムを簡易に実現することができるという効果を奏する。

図１Ａは、システム管理装置とそれを含むシステムの例を示す図である。 図１Ｂは、システム管理装置が有する制御部のブロック図である。 図１Ｃは、システム管理装置が有する記憶部のブロック図である。 図２は、システムの起動時の動作の例を示す図である。 図３は、構成テーブルの例を示す図である。 図４は、システム管理装置の動作の例を示すフローチャートである。 図５は、複数のシステム管理装置を含むシステムの例を示す図である。 図６は、システム管理装置の動作の他の例を示すフローチャートである。 図７は、システム管理装置を含まないシステムの例を示す図である。

以下に、システム管理装置およびシステムの実施例を図面に基づいて詳細に説明する。なお、この実施例によりこの発明が限定されるものではない。また、この実施例における構成要素には、当業者が容易に想定できるもの、実質的に同一のもの、いわゆる均等の範囲のものが含まれる。

図１Ａ、図１Ｂ、および図１Ｃを参照しながら、本実施例に係るシステム管理装置１０とそれを含むシステムについて説明する。図１Ａは、システム管理装置１０とそれを含むシステムの例を示す図である。図１Ｂは、システム管理装置１０が有する制御部１２０のブロック図である。図１Ｃは、システム管理装置１０が有する記憶部１３０のブロック図である。図１Ａに示す例において、システム管理装置１０は、２台の機器２０ａ（機器Ａ）と、２台の機器２０ｂ（機器Ｂ）と、２台の機器２０ｃ（機器Ｃ）と接続され、これらの機器の間での情報の送受信を仲介するように構成されている。

システム管理装置１０、機器２０ａ、機器２０ｂ、および機器２０ｃは、システムを構成する。例えば、機器２０ａは、センサとして機能する機器であり、機器２０ｂは、センサの検出する値に基づいて動作部の動作を制御する制御機器であり、機器２０ｃは、動作部を有する被制御機器である。すなわち、機器２０ａ、機器２０ｂ、および機器２０ｃは、機器間で情報を送受信することによって、システムの動作を実現させる。

機器２０ａ、機器２０ｂ、および機器２０ｃは、信頼性を高めるために冗長化されている。具体的には、機器２０ａ、機器２０ｂ、および機器２０ｃは、それぞれ、２台が並行して動作するように構成されている。２台の機器２０ａは、略同じ周期で同じ処理を実行する。２台の機器２０ｂは、略同じ周期で同じ処理を実行する。２台の機器２０ｃは、略同じ周期で同じ処理を実行する。

システム管理装置１０を介さずに機器２０ａ、機器２０ｂ、および機器２０ｃを接続する場合、これらの機器は、例えば、図７に示すように接続される。図７に示す例では、一方の機器２０ｂは、２台の機器２０ａおよび２台の機器２０ｃと接続されている。もう一方の機器２０ｂも同様に、２台の機器２０ａおよび２台の機器２０ｃと接続されている。このように、システム管理装置１０を介さずに機器２０ａ、機器２０ｂ、および機器２０ｃを接続する場合、接続経路が多くなり構成が複雑化する。例えば、機器２０ａと機器２０ｃとの間での情報のやりとりが必要になった場合、冗長度をさらに高めることが必要になった場合、あるいは他の機器を追加することが必要になった場合には、接続経路が増加し、構成がさらに複雑になる。加えて、接続経路の増加に対応するために、個々の機器の改修が必要になる場合もある。

システム管理装置１０を介して機器２０ａ、機器２０ｂ、および機器２０ｃを接続することにより、このような問題は解決される。システム管理装置１０を介してこれらの機器を接続することにより、個別の接続経路を設けることなく、任意の機器間で情報を伝送することが可能になる。冗長度をさらに高めることが必要になった場合、あるいは他の機器を追加することが必要になった場合でも、新たな機器をシステム管理装置１０に接続すれば、新たな機器と既存の機器の間の通信が可能になる。

システム管理装置１０を介して機器２０ａ、機器２０ｂ、および機器２０ｃを接続することにより、冗長構成の実現も容易になる。例えば、図７に示した構成の場合、冗長化された機器が正常に動作しているか否かの監視、冗長化された機器から送信された情報のいずれを採用するかを決定するための多数決処理等を、個々の機器が行わなければならない。一方、システム管理装置１０を介して機器２０ａ、機器２０ｂ、および機器２０ｃを接続する構成の場合、監視および多数決判定の機能をシステム管理装置１０に集約することができる。

図１Ａに示すように、システム管理装置１０は、インターフェース部１０１〜１０６（ＩＦ＃１〜ＩＦ＃６）と、バス１１１〜１１３とを有する。

インターフェース部１０１〜１０６には、それぞれ、２台の機器２０ａ、２台の機器２０ｂ、および２台の機器２０ｃが接続される。インターフェース部１０１〜１０６のそれぞれは、データ信号を送受信するためのポート（ポート＃１Ｄ〜ポート＃６Ｄ）と、リセットまたは再起動のための信号を送受信するためのポート（ポート＃１Ｒ〜ポート＃６Ｒ）とを有する。このように、リセットまたは再起動のための信号を送受信するためのポートを独立して設けることにより、データ信号を送受信するための接続経路に一時的な障害が発生した場合に、対応する機器をリセットまたは再起動させて障害を解消することができる。

ポートの種別は、インターフェース部毎に異なってもよい。ポートの種別は、データ信号を送受信するためのポートと、リセットまたは再起動のための信号を送受信するためのポートとで異なってもよい。すなわち、複数の種別のポートがシステム管理装置１０に混在していてもよい。例えば、シリアル通信に対応した機器が接続されるインターフェース部は、ＵＳＢ（Universal Serial Bus）、ＲＳ−２３２Ｃ等のポートを有してもよい。例えば、パラレル通信に対応した機器が接続されるインターフェース部は、ＳＣＳＩ（Small Computer System Interface）等のポートを有してもよい。

バス１１１〜１１３は、インターフェース部１０１〜１０６を相互に電気的に接続する。バス１１１〜１１３のそれぞれは、同じ信号を伝送する。すなわち、システム管理装置１０の内部において、インターフェース部１０１〜１０６間の接続経路は、３重に冗長化されている。このように、内部の接続経路を冗長化することにより、システム管理装置１０の信頼性を向上することができる。

インターフェース部１０１〜１０６のそれぞれは、さらに、制御部１２０と、記憶部１３０とを有する。制御部１２０は、各種の制御を実行する。制御部１２０が行う制御には、例えば、システムに含まれる機器の構成の管理、インターフェース部が機器から受信した情報の送信先の判定、機器およびバスのエラーの検出、エラーの検出にともなう異常処理等に関する制御が含まれる。

図１Ｂに示すように、制御部１２０は、構成管理部１２１と、多数決判定部１２２と、異常処理部１２３とを有する。構成管理部１２１および異常処理部１２３は、１つのインターフェース部に含まれるものが有効化され、他のインターフェース部に含まれるものは無効化される。どの構成管理部１２１および異常処理部１２３が有効化されるかは、例えば、予め定められたインターフェース部１０１〜１０６の優先順位に基づいて判定される。有効化されている構成管理部１２１および異常処理部１２３を有するインターフェース部に異常が生じた場合、優先順位が次に高いインターフェース部が有する構成管理部１２１および異常処理部１２３が有効化される。

構成管理部１２１は、システム管理装置１０に接続されている機器の構成を管理する。機器の構成は、システム管理装置１０にどのような機器が接続され、それぞれの機器がどのような状態にあるかを示す。機器の構成には、どの機器とどの機器が冗長構成を成しているかに関する情報が含まれる。構成管理部１２１は、それぞれの機器が起動中にシステム管理装置１０へ送信する起動通知メッセージ等のメッセージに含まれる情報に基づいて、機器の構成に関する初期の情報を作成する。さらに、構成管理部１２１は、異常処理部１２３による機器のリセット、再起動、または切り離し、機器からの通知等に応じて、機器の構成に関する情報を更新する。機器の構成に関する情報は、各インターフェース部に配信され、各インターフェース部の記憶部１３０に、構成テーブル１３１として記憶される。

多数決判定部１２２は、多数決判定によって、冗長構成を成している機器から送信された複数の情報のうちのいずれを採用するかを判定する。多数決判定を実現するための手法については、任意の公知の各種の手法を用いてよい。例えば、冗長構成を成している機器が２台の場合、多数決判定部１２２は、予め定められた基準（例えば、起動通知メッセージが受信された順序等）に基づく優先度を用いて、採用する情報を決定してもよい。

さらに、多数決判定部１２２は、バス１１１〜１１３のいずれを経由した情報を、送信元の機器から送信された情報として採用するかを判定するための多数決判定を、機器から送信された情報毎に実行する。この多数決判定は、冗長構成を成している機器から送信された複数の情報に対する多数決判定の前に行われる。すなわち、多数決判定部１２２は、バス１１１〜１１３のいずれかに障害が発生していても、それぞれの機器から送信された情報を高い確率で正しく受信できるように構成されている。

このように、多数決判定部１２２は、外部の冗長構成に関する多数決判定と、内部の冗長構成に関する多数決判定という２重の多数決判定を行う。多数決判定を２重に実行することによって、システム管理装置１０の信頼性を高めることができる。

異常処理部１２３は、インターフェース部１０１〜１０６のいずれかにおいてエラーが検出された場合に、エラーに対する対処を実行する。例えば、異常処理部１２３は、ある機器のエラーが検出された場合、その機器のエラーが検出された回数に応じて、その機器のリセット、再起動、または切り離しを実行する。

制御部１２０の機能は、ソフトウェアによって実現されてもよい。この場合、制御部１２０は、例えば、ＣＰＵ（Central Processing Unit）等の演算装置と、ＲＡＭ（Random Access Memory）等の記憶装置を有する。そして、制御部１２０は、予め用意されているプログラムを記憶装置上に割り当てられた記憶領域に展開し、演算装置によって実行することにより、各種の機能を実現する。プログラムは、記憶部１３０に記憶されていてもよい。制御部１２０の機能がソフトウェアによって実現される場合、構成管理部１２１、多数決判定部１２２、および異常処理部１２３は、ソフトウェアが実行されたときに実体化する。構成管理部１２１および異常処理部１２３は、有効化されるときに実体化されてもよい。

記憶部１３０は、ソリッドステートドライブ、ハードディスクドライブ等の非一過的（ｎｏｎ−ｔｒａｎｓｉｔｏｒｙ）な記憶媒体を有する。記憶部１３０は、データおよびプログラムを記憶することができる。図１Ｃに示すように、記憶部１３０に記憶されるデータには、構成テーブル１３１と、状態データ１３２とが含まれる。構成テーブル１３１は、機器の構成に関する情報を保持する。

状態データ１３２は、インターフェース部に接続されている機器の状態を示す情報を保持する。機器の状態を示す情報には、例えば、対応する機器から最後に受信した情報、対応する機器へ最後に送信した情報等が含まれる。状態データ１３２は、異常処理部１２３が機器のリセットまたは再起動を実行するときに利用される。リセット前または再起動前の状態を示す情報を機器に伝えることにより、機器がリセット前または再起動前の状態から処理を再開することができる。

システム管理装置１０の構成は、図１Ａに示す例に限定されない。例えば、システム管理装置１０が有するインターフェース部の数は、６個に限定されない。各インターフェース部が有するポートは、データ信号を送受信するためのポートと、リセットまたは再起動のための信号を送受信するためのポートとを兼ねていてもよい。バスの冗長度は、３に限定されない。

図２および図３を参照しながら、構成管理部１２１による機器の構成の管理について説明する。図２は、システムの起動時の動作の例を示す図である。図３は、構成テーブル１３１の例を示す図である。

図２に示すように、機器２０ａ、機器２０ｂ、および機器２０ｃは、起動中に、機器の種別を示す値を含むメッセージをシステム管理装置１０へ送信する。機器の種別とは、機器の役割（用途）も含めて決定される種別であり、物理的に同一の装置であっても役割が異なれば異なる種別が割り当てられることもある。起動中とは、起動が開始してから、定常的な処理が開始されるまでの期間を意味する。

図２に示す例において、２台の機器２０ａは、機器の種別が「Ａ」であることを示すメッセージをシステム管理装置１０へ送信する。２台の機器２０ｂは、機器の種別が「Ｂ」であることを示すメッセージをシステム管理装置１０へ送信する。２台の機器２０ｃは、機器の種別が「Ｃ」であることを示すメッセージをシステム管理装置１０へ送信する。

こうして送信されたメッセージに基づいて、構成管理部１２１は、ＩＦ＃１およびＩＦ＃２には、種別が「Ａ」の機器が接続され、これらが冗長構成を成していることを検出することができる。さらに、構成管理部１２１は、ＩＦ＃３およびＩＦ＃４には、種別が「Ｂ」の機器が接続され、これらが冗長構成を成していることを検出することができる。さらに、構成管理部１２１は、ＩＦ＃５およびＩＦ＃６には、種別が「Ｃ」の機器が接続され、これらが冗長構成を成していることを検出することができる。

構成管理部１２１は、メッセージに含まれる種別を、メッセージを受信したインターフェース部と対応付けて、構成テーブル１３１を作成する。構成テーブル１３１の例を図３に示す。図３に示すように、構成テーブル１３１は、ＩＦ番号、種別、ステータス、エラー回数、リセット回数、再起動回数、エラー発生時間といった項目を有する。構成テーブル１３１には、インターフェース部毎に情報が格納される。

ＩＦ番号の項目には、インターフェース部を識別するための番号が設定される。種別の項目には、インターフェース部に接続されている機器の種別を示す値が設定される。種別の項目に同じ値が設定され、ステータスの項目に「ａｃｔｉｖｅ」が設定されているインターフェース部に接続されている機器は、冗長構成を成している機器とみなされる。

ステータスの項目には、インターフェース部に接続されている機器の現在の状態を示す値が設定される。機器の現在の状態を示す値には、例えば、「ｓｔａｒｔｉｎｇ ｕｐ」、「ａｃｔｉｖｅ」、および「ｄｅｔａｃｈｅｄ」が含まれる。「ｓｔａｒｔｉｎｇ ｕｐ」は、機器が起動中であることを意味する。「ａｃｔｉｖｅ」は、機器が定常的な処理を実行可能であることを意味する。「ｄｅｔａｃｈｅｄ」は、機器が故障したと判定され、システムから論理的または物理的に切り離されたことを意味する。

エラー回数の項目には、インターフェース部に接続されている機器のエラーが検出された回数が設定される。リセット回数の項目には、インターフェース部に接続されている機器がリセットされた回数が設定される。再起動回数の項目には、インターフェース部に接続されている機器が再起動された回数が設定される。エラー発生時間の項目には、インターフェース部に接続されている機器のエラーが最後に検出された日時が設定される。

リセットは、再起動よりも簡易的に機器を起動し直す方式で実現され、システムの動作に及ぼす影響がより小さい。例えば、再起動では、機器全体の電源が一旦ＯＦＦにされるのに対して、リセットでは、機器の一部の電源がＯＮに保たれる。あるいは、再起動では、機器全体が初期化されるのに対して、リセットでは、機器の一部が初期化されずにそのまま保たれる。あるいは、再起動では、機器の電源がＯＦＦにされた状態が一定期間継続するのに対して、リセットでは、機器の電源がＯＦＦにされた後に即座にＯＮにされる。

エラー回数、リセット回数、再起動回数、およびエラー発生時間の項目の値は、エラーの検出、または異常処理部１２３による異常処理に応じて更新される。いずれかのインターフェース部が、機器のエラーを検出すると、その情報が、有効化されている構成管理部１２１に伝えられる。構成管理部１２１は、構成テーブル１３１の対応する行のエラー回数の項目の値に１を加算し、その行のエラー発生時間の項目に現在の日時を設定する。そして、エラー回数の項目の値が、閾値ｎを超えた場合には、異常処理部１２３は、対応する機器をリセットする。

異常処理部１２３によって機器がリセットされると、構成管理部１２１は、構成テーブル１３１の対応する行のリセット回数の項目の値に１を加算する。そして、リセット回数の項目の値が、閾値ｍを超えた場合には、異常処理部１２３は、対応する機器を再起動する。異常処理部１２３によって機器が再起動されると、構成管理部１２１は、構成テーブル１３１の対応する行の再起動回数の項目の値に１を加算する。そして、再起動回数の項目の値が、閾値ｋを超えた場合には、異常処理部１２３は、対応する機器を論理的または物理的に切り離す。

本実施例において、構成管理部１２１は、機器がリセットまたは再起動されるときに、エラー回数の項目の値を０に設定し直す。構成管理部１２１は、機器が再起動されるときに、リセット回数の項目の値を０に設定し直す。システム管理装置１０は、エラー回数の項目の値を０に設定し直さずに、エラー回数の項目の値を閾値で除算した余りに基づいて、機器をリセットまたは再起動するタイミングを判定してもよい。システム管理装置１０は、リセット回数の項目の値を０に設定し直さずに、リセット回数の項目の値を閾値で除算した余りに基づいて、機器を再起動するタイミングを判定してもよい。閾値は、機器の種別毎に異なってもよい。

構成管理部１２１は、更新した構成テーブル１３１を他のインターフェース部に配信する。構成管理部１２１は、機器のエラーが最後に検出されてから所定の期間が経過した場合に、エラー回数、リセット回数、および再起動回数の項目の値を０に戻してもよい。具体的には、構成管理部１２１は、構成テーブル１３１のエラー発生時間の項目に設定されている日時から所定の期間が経過した場合に、同じ行のエラー回数、リセット回数、および再起動回数の項目の値を０に戻してもよい。このように構成することにより、一時的な理由で生じたエラーの影響を低減することができる。一時的な理由で生じたエラーには、例えば、宇宙線の影響で生じたエラーが含まれる。

このように、異常処理部１２３は、機器のエラーが検出された場合に、段階的に機器の復旧を試みる。このため、異常処理部１２３は、復旧可能な機器が切り離される可能性を低減することができる。異常処理部１２３による異常処理の詳細については、後述のシステム管理装置１０の動作と併せて、記述する。

図４を参照しながら、システム管理装置１０の動作について説明する。図４は、システム管理装置１０の動作の例を示すフローチャートである。システムが起動されると、システム管理装置１０は、図４に示すように、ステップＳ１０１〜ステップＳ１０２で、初期処理を実行する。具体的には、有効化されている構成管理部１２１は、ステップＳ１０１で、構成情報を収集する。すなわち、構成管理部１２１は、インターフェース部１０１〜１０６が接続された機器から受信したメッセージを取得し、メッセージに含まれる情報に基づいて機器の種別を判定する。そして、制御部１２０は、ステップＳ１０２で、構成テーブル１３１を作成し、他のインターフェース部に配信する。

この段階において、構成テーブル１３１の種別の項目には、対応するインターフェース部に接続されている機器の種別を示す値が設定される。エラー回数、リセット回数、および再起動回数の項目の値は、０に設定される。エラー発生時間の項目は、空欄に設定される。ステータスの項目には、対応するインターフェース部に接続されている機器の起動が完了した後に、「ａｃｔｉｖｅ」が設定される。

続いて、システム管理装置１０は、ステップＳ１０３〜ステップＳ１０６で、定常処理を実行する。具体的には、システム管理装置１０に接続されている機器が、それぞれの周期に従って処理を実行し、他の機器へ送信すべき情報を、送信先の機器の種別を示す値と共にシステム管理装置１０へ送信する。情報を送信した機器が接続されたインターフェース部の制御部１２０は、ステップＳ１０３で、情報を受信し、送信先の機器の種別を示す値に基づいて、情報を他のインターフェース部に転送する。制御部１２０は、構成テーブル１３１のステータスの項目に「ａｃｔｉｖｅ」以外の値が設定されているインターフェース部を転送先として無視する。情報を転送されたインターフェース部の制御部１２０は、ステップＳ１０４で、多数決判定処理を行う。

システム管理装置１０およびインターフェース部１０１〜１０６に接続された機器は、時刻同期して動作する。具体的には、システム管理装置１０および機器は、同期した基準クロックに基づいて、所定の周期で処理を実行する。周期は、機器の種別毎に異なってもよい。インターフェース部１０１〜１０６に接続された機器は、同じ種別の機器が、ほぼ同じタイミングで同じ処理を独立して実行するように制御される。このため、システム管理装置１０は、ステップＳ１０３では、同じ種別の機器がほぼ同じタイミングで送信した情報を受信する。そして、システム管理装置１０は、ステップＳ１０４では、同じ種別の機器がほぼ同じタイミングで送信した情報から、採用すべき情報を、多数決判定によって判定する。

例えば、２台の機器２０ａは、情報を、送信先の機器の種別を示す値「Ｂ」と共にシステム管理装置１０へ送信する。機器２０ａは、「Ｂ」の種別に対応する機器がシステム管理装置１０に何台接続されているかを知らなくてよい。この場合、機器２０ａが接続されているインターフェース部１０１および１０２の制御部１２０は、それぞれ、構成テーブル１３１を参照し、インターフェース部１０３および１０４を情報の転送先として選択する。そして、インターフェース部１０１および１０２の制御部１２０は、バス１１１〜１１３のそれぞれを介して、情報をインターフェース部１０３および１０４へ転送する。

インターフェース部１０３および１０４の制御部１２０は、この場合、それぞれ、計６個の情報を受信する。そして、それぞれの制御部１２０は、まず、送信元のインターフェース部毎に、バス１１１〜１１３を介して転送された３つの情報から多数決判定によって１つの情報を選択し、さらに、送信元のインターフェース部毎に選択された２つの情報から多数決判定によって１つの情報を選択する。

システム管理装置１０とインターフェース部１０１〜１０６に接続された機器とを時刻同期させるための処理は、初期処理および定常処理の少なくとも一方で実行される。時刻同期させるための処理は、システム管理装置１０が主導してもよいし、インターフェース部１０１〜１０６に接続された機器のいずれかが主導してもよい。

システム管理装置１０は、ステップＳ１０５で、ステップＳ１０３からステップＳ１０４でエラーが検出されたかを判定する。例えば、制御部１２０は、冗長構成を成している機器の一方から情報を受信したが他方から情報を受信しない場合、他方の機器のエラーを検出する。あるいは、制御部１２０は、冗長構成を成している機器のうち、多数決判定によって採用した情報と異なる情報を送信した機器がある場合、その機器のエラーを検出する。

エラーが検出されない場合（ステップＳ１０５，Ｎｏ）、システム管理装置１０は、ステップＳ１０６に進む。情報を転送されたインターフェース部の制御部１２０は、ステップＳ１０６で、多数決判定で採用した情報を、送信先の機器へ送信する。

ステップＳ１０６で情報が送信された後、システム管理装置１０は、ステップＳ１０３に戻り、次の情報の処理を行う。

ステップＳ１０５でエラーが検出された場合（ステップＳ１０５，Ｙｅｓ）、有効化されている異常処理部１２３を有する制御部１２０は、ステップＳ１０７〜ステップＳ１１８で、構成テーブル１３１に基づいて異常処理を実行する。異常処理において更新された構成テーブル１３１は、他のインターフェース部に配信される。具体的には、制御部１２０は、ステップＳ１０７で、エラー回数の項目の値に１を加算し、加算後の値が閾値ｎよりも多いかを判定する。加算後の値が閾値ｎよりも多くない場合（ステップＳ１０７，Ｎｏ）、制御部１２０は、ステップＳ１１８に進む。

制御部１２０は、ステップＳ１１８で、エラーが検出された機器に再処理を指示する。再処理を指示された機器は、システム管理装置１０へ送信した情報を得た処理を再実行してもよいし、情報をシステム管理装置１０へ送信する処理のみを再実行してもよい。エラーが検出された機器が他の機器と冗長構成を成している場合、制御部１２０は、エラーが検出された機器と冗長構成を成している機器にも再処理を指示してもよい。エラーが検出された機器が他の機器と冗長構成を成しており、かつ、多数決処理で他の機器から送信された情報を採用した場合、制御部１２０は、エラーが検出された機器に再処理を指示しなくてもよい。

その後、システム管理装置１０は、ステップＳ１０３に戻る。

加算後のエラー回数の項目の値が閾値ｎよりも多い場合（ステップＳ１０７，Ｙｅｓ）、有効化されている異常処理部１２３を有する制御部１２０は、ステップＳ１０８に進む。この場合、制御部１２０は、エラー回数の項目の値を０に戻す。制御部１２０は、ステップＳ１０８で、エラーが検出された機器を含む冗長系統の数が１より多いか、すなわち、エラーが検出された機器が冗長構成を成しているかを判定する。

エラーが検出された機器を含む冗長系統の数が１より多い場合（ステップＳ１０８，Ｙｅｓ）、制御部１２０は、ステップＳ１０９に進む。制御部１２０は、ステップＳ１０９で、必要に応じて、冗長系統の切り替えを行う。例えば、エラーが検出された機器が、主系と従系とを有する冗長構成の主系に設定されている場合、制御部１２０は、エラーが検出された機器を従系に設定する。あるいは、冗長構成に含まれる機器に設定されている優先度を用いて多数決判定が行われる場合、制御部１２０は、エラーが検出された機器の優先度を下げる。このように、制御部１２０は、エラーが検出された機器にその後もエラーが継続して検出されてもエラーの影響が小さくなるように、冗長系統の切り替えを行う。

その後、制御部１２０は、ステップＳ１１０に進む。エラーが検出された機器を含む冗長系統の数が１の場合、すなわち、エラーが検出された機器が冗長構成を成していない場合（ステップＳ１０８，Ｎｏ）、制御部１２０は、ステップＳ１０９を実行せずに、ステップＳ１１０に進む。

制御部１２０は、ステップＳ１１０で、リセット回数の項目の値に１を加算し、加算後の値が閾値ｍよりも多いかを判定する。加算後の値が閾値ｍよりも多くない場合（ステップＳ１１０，Ｎｏ）、制御部１２０は、ステップＳ１１１に進む。制御部１２０は、ステップＳ１１１で、エラーが検出された機器へリセット信号を送出し、機器にリセットを実行させる。そして、制御部１２０は、ステップＳ１１２で、リセットが完了したことを示すために機器から送信されるリセット完了通知が受信されるのを待ち受ける。リセット完了通知が受信されるまで、機器に対応するステータスの項目の値は、「ｓｔａｒｔｉｎｇ ｕｐ」に設定される。

ステップＳ１１１からステップＳ１１２において、制御部１２０は、リセットした機器に対応するインターフェース部の状態データ１３２から、リセットした機器の状態を示す情報を取得し、リセットした機器に送信する。情報を送信するタイミングは、例えば、リセット完了通知が受信されたときである。このように、状態を示す情報を機器に送信することにより、機器がリセット前と同じ状態から処理を再開することが可能になる。制御部１２０は、エラーが検出された機器へリセット信号を送出する前に、機器に最新の状態を示す情報を送信するように要求し、送信された情報をリセット完了後に機器に送信してもよい。

リセット完了通知を受信した後、制御部１２０は、ステップＳ１１８に進む。制御部１２０は、ステップＳ１１８で、リセットした機器に再処理を指示し、その後、ステップＳ１０３に戻る。システム管理装置１０は、ステップＳ１１１が実行された後、ステップＳ１１２およびステップＳ１１８を実行しつつ、これと並行して、ステップＳ１０３以降の処理を実行してもよい。すなわち、システム管理装置１０は、リセット完了通知が受信される前に、次の情報の処理を開始してもよい。

加算後のリセット回数の項目の値が閾値ｍよりも多い場合（ステップＳ１１０，Ｙｅｓ）、有効化されている異常処理部１２３を有する制御部１２０は、ステップＳ１１３に進む。この場合、制御部１２０は、リセット回数の項目の値を０に戻す。制御部１２０は、ステップＳ１１３で、再起動回数の項目の値に１を加算し、加算後の値が閾値ｋよりも多いかを判定する。

加算後の再起動回数の項目の値が閾値ｋよりも多くない場合（ステップＳ１１３，Ｎｏ）、制御部１２０は、ステップＳ１１４に進む。制御部１２０は、ステップＳ１１４で、エラーが検出された機器へ再起動信号を送出し、機器に再起動を実行させる。そして、制御部１２０は、ステップＳ１１５で、再起動が完了したことを示すために機器から送信される再起動完了通知が受信されるのを待ち受ける。再起動完了通知が受信されるまで、機器に対応するステータスの項目の値は、「ｓｔａｒｔｉｎｇ ｕｐ」に設定される。

ステップＳ１１４からステップＳ１１５において、制御部１２０は、再起動した機器に対応するインターフェース部の状態データ１３２から、再起動した機器の状態を示す情報を取得し、再起動した機器に送信する。情報を送信するタイミングは、例えば、再起動完了通知が受信されたときである。このように、状態を示す情報を機器に送信することにより、機器が再起動前と同じ状態から処理を再開することが可能になる。制御部１２０は、エラーが検出された機器へ再起動信号を送出する前に、機器に最新の状態を示す情報を送信するように要求し、送信された情報を再起動完了後に機器に送信してもよい。

再起動完了通知を受信した後、制御部１２０は、ステップＳ１１８に進む。制御部１２０は、ステップＳ１１８で、再起動した機器に再処理を指示し、その後、ステップＳ１０３に戻る。システム管理装置１０は、ステップＳ１１４が実行された後、ステップＳ１１５およびステップＳ１１８を実行しつつ、これと並行して、ステップＳ１０３以降の処理を実行してもよい。すなわち、システム管理装置１０は、再起動完了通知が受信される前に、次の情報の処理を開始してもよい。

加算後の再起動回数の項目の値が閾値ｋよりも多い場合（ステップＳ１１３，Ｙｅｓ）、有効化されている異常処理部１２３を有する制御部１２０は、ステップＳ１１６に進む。制御部１２０は、ステップＳ１１６で、エラーが検出された機器を含む冗長系統の数が１より多いか、すなわち、エラーが検出された機器が冗長構成を成しているかを判定する。

エラーが検出された機器を含む冗長系統の数が１より多い場合（ステップＳ１１６，Ｙｅｓ）、制御部１２０は、ステップＳ１１７に進む。制御部１２０は、ステップＳ１１７で、エラーが検出された機器が今後使用されないように、切り離し処理を実行する。切り離し処理において、制御部１２０は、エラーが検出された機器に対応するステータスの項目の値を「ｄｅｔａｃｈｅｄ」に変更する。制御部１２０は、さらに、エラーが検出された機器を停止させるための停止信号の送出等の他の処置を行ってもよい。

その後、制御部１２０は、ステップＳ１１８に進む。この場合、制御部１２０は、切り離した機器には再処理を指示しない。エラーが検出された機器を含む冗長系統の数が１の場合、すなわち、エラーが検出された機器が冗長構成を成していない場合（ステップＳ１１６，Ｎｏ）、制御部１２０は、ステップＳ１１４に進む。

上述してきたように、システム管理装置１０を用いることにより、複数の機器を接続するための接続経路を減少させることができ、さらに、冗長構成に関する各種の機能をシステム管理装置１０に集約することができる。このため、複数の機器を通信可能に接続して構成されるシステムを簡易に実現することが可能になる。

なお、上記の実施例で示した本発明の態様は、本発明の要旨を逸脱しない範囲で任意に変更することができる。例えば、上記の実施例では、機器のエラーを検出した回数に応じて機器をリセットし、機器をリセットした回数に応じて機器を再起動し、機器を再起動した回数に応じて機器を切り離す例について説明したが、異常処理の制御は、これに限定されない。システム管理装置は、機器のリセットまたは再起動の一方を行わなくてもよい。

上記の実施例では、制御部１２０および記憶部１３０がインターフェース部毎に設けられる例を示したが、システム管理装置の構成はこれに限定されない。制御部１２０の機能の一部または全部は、インターフェース部から独立して設けられてもよい。記憶部１３０に記憶されるデータの一部または全部は、インターフェース部から独立して設けられた記憶部に記憶されてもよい。

上記の実施例では、１つのシステム管理装置を含むシステムの例を示したが、システムは、複数のシステム管理装置を含んでもよい。図５は、複数のシステム管理装置を含むシステムの例を示す図である。図５に示すシステムは、システム管理装置１１およびシステム管理装置１２を含む。システム管理装置１１およびシステム管理装置１２は、システム管理装置１０と同様の構成を有する。システム管理装置１１のインターフェース部１０７および１０８は、それぞれ、システム管理装置１２のインターフェース部の１つと接続されている。このように複数のシステム管理装置が接続される場合、１つのシステム管理装置が主系となり、他は従系となる。構成管理部１２１および異常処理部１２３は、主系のシステム管理装置において有効にされ、有効にされた構成管理部１２１および異常処理部１２３が、従系のシステム管理装置に関する制御も担当する。

このように、システム管理装置を相互に接続することにより、システム管理装置の構成を複雑にすることなく、システムに接続可能な機器の数を増やすことができる。さらに、遠方に設置されている機器をシステムに含めることができる。さらに、複数のインターフェース部を用いてシステム管理装置間を複数の経路で接続することにより、システムの信頼性を向上させることができる。システム管理装置を相互に接続する場合、バス同士を直接接続してもよい。

システム管理装置は、システム全体の動作を制御する機能を有してもよい。この場合、システム管理装置に接続された機器は、システム管理装置の指示に応じて各種処理を実行する。システム全体の動作を制御する機能を有するシステム管理装置の動作について、図６を参照しながら説明する。図６におけるステップＳ２０１〜ステップＳ２０２の初期処理と、ステップＳ２０７〜ステップＳ２１８の異常処理は、図４に示した例と同様であるので、説明を省略する。

システム管理装置は、ステップＳ２０３で、どの種別の機器にどの処理を実行させるかを判定し、判定した機器に判定した処理の実行を指示する。どの種別の機器にどの処理を実行させるかは、例えば、予め設定されたスケジュール、それ以前に機器から受信した情報、予め設定された判定ロジック等に基づいて決定される。システム管理装置は、ステップＳ２０４で、機器から処理結果を示す情報を受信し、ステップＳ２０５で、多数決判定処理を行って、採用する情報を判定する。

続いて、システム管理装置は、ステップＳ２０６で、ステップＳ２０４からステップＳ２０５でエラーが検出されたかを判定する。エラーが検出されない場合（ステップＳ２０６，Ｎｏ）、システム管理装置は、ステップＳ２０３に戻り、どの種別の機器にどの処理を実行させるかを再び判定する。この判定は、ステップＳ２０５で採用した情報に応じて変動することがある。エラーが検出された場合（ステップＳ２０６，Ｙｅｓ）、システム管理装置は、ステップＳ２０７〜ステップＳ２１８で、異常処理を実行する。

上記のシステム管理装置１０〜１２は、例えば、ロケットおよび宇宙船等の宇宙機に搭載されるシステムに適用することができる。この場合、宇宙機に搭載される各種のアビオニクスが機器２０ａ〜２０ｃに相当する。宇宙機に搭載されるシステムは、高度な信頼性が要求されるが、接続される機器の構成を簡易にしつつ冗長構成を容易に実現することができるシステム管理装置１０〜１２は、そのようなシステムの構築に好適である。

１０、１１、１２ システム管理装置
１０１〜１０８ インターフェース部
１１１〜１１３ バス
１２０ 制御部
１２１ 構成管理部
１２２ 多数決判定部
１２３ 異常処理部
１３０ 記憶部
１３１ 構成テーブル
１３２ 状態データ
２０ａ〜２０ｃ 機器

Claims (8)

1. システムを構成する複数の機器が接続される複数のインターフェース部と、
   前記インターフェース部を介して前記複数の機器のそれぞれから受信するメッセージに含まれる情報に基づいて、前記システムを構成する前記複数の機器の構成を判定する制御部と
   を備えるシステム管理装置。
2. 前記制御部は、前記メッセージに含まれる前記情報に基づいて、前記複数の機器のそれぞれが冗長構成を成しているか否かを判定する請求項１に記載のシステム管理装置。
3. 前記制御部は、冗長構成を成していると判定した機器から受信した情報を多数決判定し、当該多数決判定によって選択した情報を他の機器へ送信する請求項２に記載のシステム管理装置。
4. 前記制御部は、前記複数のインターフェース部の１つに接続される前記機器のエラーを検出した場合に、当該機器のエラーを検出した回数に応じて、当該機器のリセット、再起動、または切り離しを行う請求項１から３のいずれか１つに記載のシステム管理装置。
5. 前記制御部は、前記機器のエラーを検出した回数が第１の閾値よりも多い場合に、前記インターフェース部を介して前記機器にリセットを指示する請求項４に記載のシステム管理装置。
6. 前記制御部は、前記インターフェース部に接続される前記機器にリセットを指示した回数が第２の閾値よりも多い場合に、当該インターフェース部を介して当該機器に再起動を指示する請求項５に記載のシステム管理装置。
7. 前記複数の機器は、センサとして機能する機器と、前記センサの検出する値に基づいて動作部の動作を制御する制御機器と、前記動作部を有する被制御機器とを含む請求項１から６のいずれか１つに記載のシステム管理装置。
8. 宇宙機に搭載されるシステムであって、
   複数の機器と、
   前記複数の機器が接続されるシステム管理装置とを含み、
   前記システム管理装置は、
   前記複数の機器が接続される複数のインターフェース部と、
   前記インターフェース部を介して前記複数の機器のそれぞれから受信するメッセージに含まれる情報に基づいて、前記システムを構成する前記複数の機器の構成を判定する制御部と
   を備えるシステム。

Images