JP3206738B2 - 自律的故障検出、隔離、修復のための原位置法及びシステム - Google Patents

自律的故障検出、隔離、修復のための原位置法及びシステム

Info

Publication number
JP3206738B2
JP3206738B2 JP14589298A JP14589298A JP3206738B2 JP 3206738 B2 JP3206738 B2 JP 3206738B2 JP 14589298 A JP14589298 A JP 14589298A JP 14589298 A JP14589298 A JP 14589298A JP 3206738 B2 JP3206738 B2 JP 3206738B2
Authority
JP
Japan
Prior art keywords
fault
module
repair
spacecraft
failure
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP14589298A
Other languages
English (en)
Other versions
JPH10329799A (ja
Inventor
エル ハンソン マーク
エム フェスク ローレイン
エイチ ングイェン マイ
Original Assignee
ティアールダブリュー インコーポレイテッド
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ティアールダブリュー インコーポレイテッド filed Critical ティアールダブリュー インコーポレイテッド
Publication of JPH10329799A publication Critical patent/JPH10329799A/ja
Application granted granted Critical
Publication of JP3206738B2 publication Critical patent/JP3206738B2/ja
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B23/00—Testing or monitoring of control systems or parts thereof
    • G05B23/02—Electric testing or monitoring
    • G05B23/0205—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults
    • G05B23/0259—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults characterized by the response to fault detection
    • G05B23/0286—Modifications to the monitored process, e.g. stopping operation or adapting control
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B64—AIRCRAFT; AVIATION; COSMONAUTICS
    • B64G—COSMONAUTICS; VEHICLES OR EQUIPMENT THEREFOR
    • B64G1/00—Cosmonautic vehicles
    • B64G1/22—Parts of, or equipment specially adapted for fitting in or to, cosmonautic vehicles
    • B64G1/24—Guiding or controlling apparatus, e.g. for attitude control
    • B64G1/244—Spacecraft control systems
    • B64G1/245—Attitude control algorithms for spacecraft attitude control
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B64—AIRCRAFT; AVIATION; COSMONAUTICS
    • B64G—COSMONAUTICS; VEHICLES OR EQUIPMENT THEREFOR
    • B64G1/00—Cosmonautic vehicles
    • B64G1/22—Parts of, or equipment specially adapted for fitting in or to, cosmonautic vehicles
    • B64G1/24—Guiding or controlling apparatus, e.g. for attitude control
    • B64G1/244—Spacecraft control systems
    • B64G1/247—Advanced control concepts for autonomous, robotic spacecraft, e.g. by using artificial intelligence, neural networks or autonomous agents
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B9/00—Safety arrangements
    • G05B9/02—Safety arrangements electric
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B64—AIRCRAFT; AVIATION; COSMONAUTICS
    • B64G—COSMONAUTICS; VEHICLES OR EQUIPMENT THEREFOR
    • B64G1/00—Cosmonautic vehicles
    • B64G1/22—Parts of, or equipment specially adapted for fitting in or to, cosmonautic vehicles
    • B64G1/24—Guiding or controlling apparatus, e.g. for attitude control
    • B64G1/36—Guiding or controlling apparatus, e.g. for attitude control using sensors, e.g. sun-sensors, horizon sensors

Landscapes

  • Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Remote Sensing (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Aviation & Aerospace Engineering (AREA)
  • Radar, Positioning & Navigation (AREA)
  • Combustion & Propulsion (AREA)
  • Chemical & Material Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Artificial Intelligence (AREA)
  • Evolutionary Computation (AREA)
  • Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Robotics (AREA)
  • Testing And Monitoring For Control Systems (AREA)
  • Navigation (AREA)
  • Control Of Position, Course, Altitude, Or Attitude Of Moving Bodies (AREA)
  • Telephonic Communication Services (AREA)

Description

【発明の詳細な説明】
【０００１】
【産業上の利用分野】本発明は、宇宙機における故障の
検出、識別、修復全般に関し、特に、故障やその始まり
を自律的に検出、識別するだけでなく、自律的にこれを
訂正、修復するための支援を行う機上システムに関す
る。
【０００２】
【技術的背景】人工衛星、ロケット等の宇宙機の内部で
用いられている従来のソフトウェア及びハードウェアの
システムは、ますます複雑さの度合いを強めている。こ
の結果宇宙機のシステムは、地上から監視し制御するこ
とが、非常に困難となってきている。地上から従来の宇
宙機の動作を監視するためには、宇宙機から従来の地上
支援システムへ大量のデータを送信し続け、これを分析
しなければならない。制御や調整作業を行うために、地
上支援システムはリアルタイムでそのような分析を行
う。もし、宇宙機のデータ・ストリームを分析している
間に、故障或いは故障の始まりがその宇宙機のデータ・
ストリームの中に検出されれば、地上支援システムが反
応して、故障の原因をつきとめるように働き、故障の修
復を試みるために宇宙機への指示（以降「コマンド・シ
ーケンス」と呼ぶ）を選び伝達する。地上支援システム
は、宇宙機のデータ・ストリームを継続的に監視し、分
析することによって、選択したコマンド・シーケンスの
適否を判定する。
【０００３】故障（或いは故障の始まり）の原因の特定
が誤っている場合、伝達されたコマンド・シーケンス
は、故障の修正ができないばかりでなく、更なる故障を
合成したり、作り出したりする可能性もある。その結
果、地上支援システムは元々の故障の状態に加え、先に
伝達されたコマンド・シーケンスからの修復を試みるた
めに、新しいコマンド・シーケンスを生成することにな
る。従来の地上支援スタッフは、地上ベースの試験装置
（以降「試験台」と呼ぶ）で、地上に設置したシステム
のためのコマンド・シーケンスを作る。作り出されたコ
マンド・シーケンスは、稼働中の宇宙機システムに発生
していると思われる特定の故障を解決できるかどうか、
検証にかけられる。これらのコマンド・シーケンスは、
先に論じたように、検出された故障状態を修正するため
に必要という検証がとれた場合に使用される。しかしな
がら、如何に完全に行ったとしても、試験台で作り出し
た故障の状態は、宇宙機におけるあらゆる故障の可能性
を確認できるわけではない。そのため、多数の高度な訓
練を受けた地上ベースのスタッフが、故障状態の調査分
析を行い、問題を解決する希望を抱きながら、コマンド
・シーケンスを生成するために踏み込んだ活動をしなけ
ればならないことがよくある。また当然ながら、全ての
故障が修復されるわけではない。
【０００４】さらに厄介なことに、地上支援や宇宙機の
処理の回数が増えるに従って、通信伝達の回数や周波数
帯域幅の制限などが、安定させるのが非常に難しい制御
フィードバック・システムを作り出すことになる。その
ような問題と取り組む試みの中で、従来の宇宙機システ
ムは、重大な作動状況を感知したらすぐに、「安全状
態」に入るよう設計されている。安全状態においては、
宇宙機は、システムの（更なる）損害を最小限にするよ
う試みながら、地上ベースの診断とコマンド・シーケン
スを待つ。更にこの間、単に安全状態に入った結果とし
て、任務が果たせなくなる危険性もある。従来の宇宙機
に適応するためには、ベース支援システムは、リアルタ
イムで宇宙機のデータ・ストリームを受信し、処理する
ことのできる、非常に複雑で高価な処理システムを必要
とする。そのシステムはまた、故障を即座に識別し、隔
離し、その修復を試みなければならない。設計の目標と
して、従来のベース支援システムは宇宙機を発生する全
ての故障から修復させなければならない。従来の設計か
ら分かるように、この目標は容易には達成できない。
【０００５】
【発明の概要】本発明の様々な態様は、各々故障状態を
誘発する可能性のある複数の異なる構成要素を持つ宇宙
機において活用できる。宇宙機は、複数の異なる構成要
素のどれであれ、その故障状態の証拠となりうる作動特
性を呈する。加えて宇宙機は故障状態を自律的に検出し
隔離するため、宇宙機の作動特性を監視する故障検出、
隔離モジュールを含んでいる。それはまた、少なくと
も、故障検出、隔離モジュールによる故障状態の検出に
反応して、故障状態から宇宙機を自律的に修復しようと
試みる故障修復モジュールを含んでいる。ある実施例で
は、宇宙機は更に、重度の故障状態を検出するため、宇
宙機の作動特性を監視する安全モード・モジュールを含
んでいる。安全モード・モジュールはそのような状態を
検出すると直ちに、この宇宙機を安全作動状態に導くよ
う試みる。安全モード・モジュールは、故障修復モジュ
ールによって進行中の自律修復作業に優先するように配
置することもできる。
【０００６】本発明の他の実施例では、宇宙機に無線ト
ランシーバとコマンド処理装置を搭載しておくこともで
きる。コマンド処理装置は、無線トランシーバと故障修
復装置の両方と繋がっている。配置によっては、故障修
復モジュールがコマンド処理装置を介して故障状態の自
律的修復を行うこともできる。故障状態の自律的修復を
試みるため、故障修復モジュールが少なくとも一つの故
障修復スクリプトを選ぶようにすることもできる。故障
修復モジュールが故障修復スクリプトを利用する際、無
線トランシーバがコマンド処理装置のために設置された
地上支援ユニットからの送信を受信するようにすること
もできる。そのような伝送に、地上支援ユニットからの
補足的な故障修復スクリプトを含ませることもできる。
この補足的故障修復スクリプトは、引き続いて行われる
自律的故障修復のために直接使うこともできるし、或い
は故障修復モジュールに送ってもよい。
【０００７】本発明の更なる態様は、宇宙機と地上支援
ユニットから成るシステムに活用することもできる。宇
宙機と地上支援ユニット双方を、無線トランシーバによ
って通信できるように連結しておくこともできる。宇宙
機は、各々故障状態に陥る可能性のある複数の異なる構
成要素を有している。宇宙機は、複数の異なる構成要素
のどれであれ、その故障状態の形跡となりうる作動特性
を呈する。このシステムには又、地上ベースの試験台、
故障検出、隔離モジュール、故障修復モジュールが含ま
れている。地上ベースの試験台は、地上支援ユニットと
通信で繋がっている。故障検出、隔離モジュールは、宇
宙機に配置され、その作動特性を監視して、故障状態を
自律的に検出、隔離する。加えて、故障修復モジュール
も又宇宙機に配置され、少なくとも故障検出、隔離モジ
ュールによる故障状態の検出に反応し、複数の故障修復
スクリプトのうちの、少なくとも一つを使って、宇宙機
が故障状態から自律的に回復するよう試みる。
【０００８】様々な実施例において、先に言及した様態
の他のものも、このシステムに同様に適用される。更
に、幾つかの形態においては、故障検出、隔離モジュー
ルそのものが、階層的に配列された、複数の故障隔離サ
ブモジュールを含んでいる。代わりに、故障検出、隔離
モジュールは、故障修復モジュールが自律的修復を試み
る前に、隔離を確認するためのフィードバック経路を含
んでいることもある。更に、本発明の他の態様は、以下
の図や明細書の残り部分に言及する際に明らかになるで
あろう。
【０００９】
【実施例】図１は、故障検出、識別、修復を支援するた
めに、本発明に基づいて設置された宇宙機内部における
ハードウェア及びソフトウェアシステムの代表的実施例
の様々な機能的態様を説明する概略線図である。特に、
宇宙機１０１は、点線の囲みで示されているように、故
障の識別、隔離、修復を自律的に行うため、宇宙機の作
動システム１０５を監視するハードウェア及びソフトウ
ェアのモジュールで形成されている。ここで使われる
「自律的」という用語は、遠隔操作を行う地球ベースの
支援ステーション、すなわち「地上支援ステーション」
から独立して実行される宇宙機上での作動を意味する。
故障を検出し隔離するために、故障検出、隔離モジュー
ル１０９は、宇宙機の作動システム１０５を監視する。
もし故障が検出されれば、故障検出、隔離モジュール１
０９は直ちに、故障の正確な源を隔離、あるいは「識
別」するよう試みるが、故障原因は、宇宙機の作動シス
テム１０５に関する何れかのハードウェア及び／又はソ
フトウェアの構成要素かもしれないしサブシステムかも
しれない。もし故障が検出され、故障源が正しく隔離さ
れれば、故障検出、隔離モジュール１０９は、その情報
を故障修復モジュール１１３に送る。故障修復モジュー
ル１１３は、検出され隔離された故障の評価を行い、適
切な故障修復スクリプトを一つ（あるいは複数）認識し
て、これを宇宙機の作動システム１０５に送る。これに
反応して、宇宙機作動システム１０５は、修復スクリプ
トに従い、隔離された故障を克服するか、或いはこれに
対応しようと試みる。
【００１０】故障が検出され隔離されても、故障検出、
隔離モジュール１０９は、宇宙機作動システム１０５の
監視を続ける。このように、故障修復モジュール１１３
が宇宙機作動システム１０５へ故障修復スクリプトを送
った後、故障検出、隔離モジュールは修復スクリプトが
成功したかどうかを確認できるようになっている。成功
か失敗かの表示は、故障検出、隔離モジュール１０９に
よって、故障修復モジュール１１３に送られる。もし失
敗と表示されれば、故障修復モジュール１１３は、不成
功だった故障修復スクリプトの結果に対処しようとして
別の故障修復スクリプトを試し、それらが故障に与える
影響をチェックすることもある。この周期的なプロセス
は、別の修復スクリプトが入手可能なかぎり、自律的に
機上で行われ、（図に示されていない）ベース及び地上
支援ステーションからの介入は必要としない。もし別の
修復スクリプトが入手不可能であるか、或いはもう別の
修復スクリプトが残っていない場合、故障修復モジュー
ル１１３は、必要であれば宇宙機を安全モードに置く
が、そうしなければ、不完全な機能性の状態で宇宙機が
作動されることとなる。修復に成功したか否かに関する
情報は、ベースすなわち地上支援ステーションに伝達さ
れる。そこでは、そのような情報がより詳細に分析さ
れ、新しい、又は代わりとなる修復スクリプトが準備さ
れ宇宙機に送られることになる。
【００１１】重大な故障が検出される場合は常に宇宙機
の作動システム１０５を作動安全モードに移すようにす
ることもできる。安全モード優先化モジュール１２１も
又、宇宙機作動システム１０５の作動を監視する。重大
な故障として分類されるものが検出されるとすぐに、安
全モード優先化モジュール１２１は直ちに宇宙機作動シ
ステム１０５を安全作動状態に移行させる。安全モード
優先化モジュール１２１は、進行中の故障修復スクリプ
ト内で故障修復モジュール１１３によって規定されたも
のを含め、保留中の作動を抑制する。このように、もし
自律的故障修復スクリプトそのものが重大な故障を引き
起す場合や、警告なしに重大な故障が発生した場合、宇
宙機作動システム１０５又は任務への損害を、防止する
か、少なくとも最小限に抑えることができる。
【００１２】図２は、本発明に基づいた自律的故障検
出、識別、修復に対応し、これを支援するために、代表
的地上支援ステーションと、図１と同様の宇宙機システ
ムとの相互作用を説明する概略図である。特に、地上ベ
ース局２５１において、地上支援ユニット２５５と試験
台２６３は、宇宙機からの通信を監視し、必要な際には
トランシーバ２５９を介して、宇宙機２０１内で行われ
る自律的故障操作を支援するために使われる。ここで使
われているように、地上支援ユニットは、例えば監視シ
ステム、単一の計算装置、或いはネットワークを形成す
る複数の計算装置によって構成することができる。先に
論じたように、故障を検出し隔離するために、故障検
出、隔離モジュール２０９は、宇宙機作動システム２０
５を監視する。故障が検出されると、故障検出、隔離モ
ジュール２０９は、宇宙機作動システム２０５内の故障
原因の隔離を試みる。もし検出された故障が正しく隔離
されれば、故障検出、隔離モジュール２０９はその情報
を故障修復モジュール２１３に送る。故障修復モジュー
ル２１３は、検出、隔離された故障を評価し、適切な故
障修復スクリプトを確認し、これを宇宙機作動システム
２０５に送る。
【００１３】宇宙機作動システム２０５は、故障修復モ
ジュール２１３によって送られる故障修復スクリプトに
従って、隔離された故障を克服し、あるいはこれに対応
しようと試みる。故障修復スクリプトも又通常、故障の
情報、例えば故障検出データや隔離された故障原因、選
択された修復スクリプト等を、トランシーバ２１７とト
ランシーバ２５９の間の無線連絡を通して遠隔地の地上
支援ユニット２５５へ報告するために、宇宙機作動シス
テム２０５を必要とする。トランシーバ２１７及び２５
９は、例えば無線周波数或いはレーザーのトランシーバ
で構成することもできる。もし故障検出、隔離モジュー
ル２０９が、検出された故障を特定できない場合は、そ
の情報も又、故障修復モジュール２１３に送られる。た
とえ故障原因が特定されていない場合でも、故障修復モ
ジュール２１３は、検出された故障に対応し、そして／
又は、宇宙機作動システム２０５や任務に対する、潜在
的な損傷あるいは更なる損傷を最小限にするためのスク
リプトを確認できる場合もあるからである。
【００１４】故障検出、隔離モジュール２０９は、宇宙
機作動システム２０５を継続的に監視することにより、
修復スクリプトが成功したかどうかを確定する。成功あ
るいは失敗の表示は、故障検出、隔離モジュール２０９
によって故障修復モジュール２１３に送られる。もし成
功すれば、故障回復モジュール２１３は、それに関わる
作動パラメーターとともにその成功をトランシーバ２１
７及び２５９を通して地上支援ユニット２５５へ報告す
るよう宇宙機作動システム２０５に指示する。しかしな
がら、もし故障検出、隔離モジュール２０９が宇宙機作
動システム２０５に送られた故障修復スクリプトの失敗
を示せば、故障修復モジュール２１３は直ちに反応し、
先の故障修復スクリプトを正そうとする。故障修復モジ
ュール２１３は又、検出された最初の故障から回復する
ための、代替故障修復スクリプトを確認しようとする。
もし確認されれば、代替故障修復スクリプトが、先の故
障修復スクリプトを修正するための指示とともに、宇宙
機作動システム２０５に送られる。再び、成功かあるい
は失敗かが監視される。成功するか、或いは地上ベース
局２５１が介入するかしなければ、このプロセスは、故
障修復モジュール２１３がそれ以上に代替修復スクリプ
トを確認できなくなるまで続く。このプロセスの間、故
障確認、隔離、選択された修復スクリプト、及び対応す
る成功あるいは失敗に関する全ての情報が、トランシー
バ２１７及び２５９を通して、地上支援ユニット２５５
に中継される。
【００１５】もし故障修復モジュール２１３が、任意の
（或いは成功した）修復スクリプトを確認できないため
に、故障に対応するかこれを修正するのに失敗した場
合、故障修復モジュール２１３は必要ならば安全モード
に入り、地上支援ユニット２５５からの更なる指示を待
つよう指示する。もし宇宙機が安全モードに移されない
場合は、地上支援ユニット２５５より別の指示があるま
で、機能が限定された状態で作動する。受信した故障処
理情報に応えて、地上支援ユニット２５５は宇宙機作動
システムに、安全作動状態（あるいは「安全モード」）
に入るよう指示する一方で、地上スタッフ及びシステム
は、故障修復モジュール２１３にはその時点では入手で
きない、故障修復スクリプトの準備を検討することがで
きる。もし作成されれば、遠隔操作による故障修復スク
リプトを直接宇宙機作動システム２０５に送るか、或い
は故障修復モジュール２１３に送るかして、実行させる
ことができる。遠隔操作による故障修復スクリプトが、
監視し、適応させ、そして／又は自律的方法では使用禁
止にしなければならない場合には、後者の方法が望まし
い。同様に、遠隔操作による故障修復モジュール２１３
が、遠隔受信した故障修復スクリプトを自律的に実行す
るのを補助するため、故障検出と隔離の手順及び／又は
関連情報を、地上支援から故障検出、隔離モジュール２
０９に送ることもできる。
【００１６】地上支援ユニット及びスタッフは、宇宙機
に任務を遂行させながら、地上ベースの試験台で、更な
る故障修復スクリプトを確認し、検証することもでき
る。そのような故障修復スクリプトは、故障修復モジュ
ール２１３や、もし必要な場合は故障検出、隔離モジュ
ール２０９を補うために、宇宙機２０１に送ることもで
きる。このようにして、宇宙機２０１の自律的故障修復
能力は、任務遂行中そして新しく認識された潜在的な故
障が発生する前に、てこ入れすることができる。試験台
２６３は、送り出す前に地上スタッフが故障を識別し、
故障修復スクリプトを検証するための作業環境も提供す
る。その後、モジュール２０９及び２１３にロードされ
るこのような故障修復スクリプトは、送り出す前に確認
を取られるので、実行したときに宇宙機作動システム２
０５を重大な故障状態に陥らせるようなことはほとんど
ない。
【００１７】先に述べたように、故障によっては、故障
修復モジュール２１３が宇宙機作動システム２０５を、
直ちに操作安全モードに移行させなければならないこと
もある。このようなことは、故障からの自律的修復を可
能にするための手順の一部として、或いは、地上支援ユ
ニット２５５（及び／或いは地上支援スタッフ）が反応
するまでの単なる一時しのぎとして発生する。更に、安
全モード優先化モジュール２２１も又、宇宙機作動シス
テム２０５の作動を監視する。重大な故障と見なされる
ものを検出するとすぐに、安全モード優先化モジュール
２２１は、宇宙機作動システム２０５を安全操作状態に
置き、地上支援ユニットに故障発生を伝える。安全モー
ド優先化モジュール２２１は、宇宙機作動システム２０
５の保留中の操作に関して、故障修復モジュール２１３
の働きを抑制する。この方法のおかげで、もし自律的故
障修復そのものが重大な故障を引き起したり、警告なし
に重大な故障が起こったりしても、宇宙機作動システム
２０５や任務遂行に対する損害を防ぐか或いは最小限に
抑えることができる。
【００１８】安全モード優先化モジュール２２１が宇宙
機作動システム２０５を安全状態に移行させると、地上
支援ユニット２５５がモジュール２２１のリセットとシ
ステム２０５の通常作動状態への復帰を制御できるよう
になる。この替わりに、他の実施例においては、地上支
援ユニット２５５は、更なる自律的な故障修復の順序決
定に対応するために、試験台２６３を使ったりして地上
で作成され送信された故障修復スクリプトを通し、その
ような制御を故障修復モジュール２１３に委ねることも
ある。故障修復モジュール２１３は、自律的にモジュー
ル２２１をリセットしシステム２０５を回復させるため
の、予め定義済みの故障修復スクリプトを含んでいるこ
ともあるが、そのようなスクリプトを実行する前に、地
上支援によって重大な故障状態の再調査を要求するのが
有益なことがしばしばである。
【００１９】安全モード優先化モジュール２２１は、図
示されているように、モジュール２０９及び２１３とは
独立して作動する。優先化モジュール２２１の機能性
は、モジュール２０９及び２１３の中で組み合わせるこ
とも可能であるが、前述の性能と共に独立性が低下する
可能性がある。しかし、故障検出、隔離モジュール２０
９の故障検出部分と優先化モジュール２２１の故障検出
部分を結びつけ、しかも故障検出、隔離モジュール２０
９と故障修理モジュールの故障隔離部分の境界となる優
先化モジュール２２１の優先化部分が役に立つこともあ
る。代わりに、安全モード優先化モジュール２２１を宇
宙機２０１から完全に取り除くこともできる。故障検
出、隔離モジュール２０９と故障修復モジュール２１３
が適切な代替機能を、例えば冗長性と高速安全モード機
能などを通して提供する場合には、そのような除去が望
ましいと判明することもある。
【００２０】図解されている実施例において、故障修復
モジュール２１３と宇宙機作動システム２０５との間の
通信、及び地上支援ユニット２５５と宇宙機作動システ
ム２０５との間の通信は、高次のコマンド処理モジュー
ル２２５を通じて行われる。コマンド処理モジュール２
２５は、地上支援ユニット２５５からの指示を通信する
際、無線周波数帯域幅を最小にする高次コマンドを受信
し、これを処理する。故障修復モジュール２１３は、そ
のような高次コマンドを送る必要はない（替わりに、宇
宙機作動システム２０５を直接操作するか、或いは異な
るコマンド処理モジュールを通じて間接的に操作する）
のであるが、そのような操作には有利な点が幾つかあ
る。高次のコマンドは又、支援スタッフが、故障修復ス
クリプトを（送り出す以前か以降に）容易に作成できる
ようにし、そうでない場合は、宇宙機２０１と相互作用
できるようにしている。またそれは、宇宙機２０１又は
その構成部品との単一の標準インタフェースを通して、
全体システムの複雑性を最小限にし、他の故障状態発生
の可能性を低くする。
【００２１】そのため、試験台２６３で（例えば故障修
理スクリプト等の形で）作成された確認済みの一連の高
次コマンドは、トランシーバ２５９を通して、地上支援
ユニット２５５を経由して、変換なしに宇宙機２０１に
送ることができる。高次コマンドは受信されるとすぐ
に、直接的（自律的ではない）故障修復、或いは任務の
遅滞無き遂行を支援するために、宇宙機２０１を制御す
るためのコマンド処理モジュール２２５へ送られる。同
様に、同じ高次コマンドを使って、訓練されたスタッフ
は、故障と無関係の任務の目的を支援するため、宇宙機
作動システム２０５に記憶されており、そのシステムで
実行可能なスクリプトを作成することもできる。そうで
ない場合、先に述べたように、高次コマンドは、故障修
復モジュール２１３が記憶し使うために送られる、故障
修復スクリプトを構成することもできる。同様に、高次
スクリプトは、機能性を更に定義し、或いは故障検出、
隔離モジュール２０９のために情報を更に提供するため
に使うこともできる。
【００２２】図３は、図１、２の宇宙機システムの一部
の代表的実施例を説明し、更に、本発明に基づく自律的
故障処理の多様な作動を説明するための概略図である。
故障検出、隔離モジュール３０９と故障修復モジュール
３１３は、故障を確認、隔離し、故障修復スクリプトを
選択し、修復の成功／失敗を評価するために、共に作動
する。低次制御モジュール３５９は、ターゲット・ハー
ドウェア及びソフトウェア・サブシステム３５１、３５
３、３５５、３５７からデータ／測定値を受けとる。そ
のデータ／測定値は、ターゲット・サブシステム３５
１、３５３、３５５、３５７に関する故障発生を、適切
に検出するために必要なものである。図示されているよ
うに、ターゲット・システムは、例えば、センサー、作
動装置、動力源、及び（様々な他の回路やソフトウェア
・サブシステムを表す）操作エレクトロニクスから成り
立っている。低次制御モジュール３５９は、ターゲット
・サブシステム３５１、３５３、３５５、３５７からデ
ータ／測定値を集め、前処理装置３６１に中継する。前
処理装置３６１は、故障検出、隔離モジュール３０９と
の互換性を確実にするため、データ／測定値を前処理す
る。前処理装置３６１は、前処理されたデータ／測定値
を、故障検出、隔離モジュール３０９に送る。
【００２３】図説されている実施例においては、故障検
出、隔離モジュール３０９は、「制約サスペンション」
として知られる技術に基づいた、モデルベースの論理プ
ログラムを含んでいる。特に、モジュール３０９は、宇
宙機のＣＰＵ３０５に埋め込まれた、包括的エンジンと
複数のソフトウェア・モデルとから成っている。このモ
デルベースの論理プログラムについては、１９９３年に
ＵＣＬＡで出版された博士論文、「ＭＡＲＰＬＥ：隔離
システム・ハードウェアの故障のための自律的診断機」
に、更に詳細に述べられている。この実施例では制約サ
スペンション技術が使われているが、故障を検出、隔離
するためには、代わりに従来の他の多くのメカニズムを
使うこともできるであろう。故障検出、隔離モジュール
３０９は、複数のソフトウェア・モデルを通じて前処理
装置３６１から受けとった前処理済みデータ／測定値を
伝達し、ハードウェア・ユニットと低次コマンドの間に
不整合が存在しないかどうか確認するため、許容差チェ
ックを使うが、ここでは不整合は基準外れの動作として
規定される。そこで不整合が発見されれば、故障検出、
隔離モジュール３０９は、自律的に欠陥構成要素を隔離
するため、制約サスペンションの拡張部分を使用する。
【００２４】それ以降ある周期毎に、故障検出及び隔離
モジュール３０９は故障修復モジュール３１３にシステ
ムのステータスを示すメッセージを送る。故障を示すメ
ッセージは、隔離された故障構成要素に対応した識別番
号を含んでいる。故障修復モジュール３１３は、故障を
示すメッセージに反応して、二つの作業を実行する。ま
ず最初に、故障修復モジュール３１３は、故障修復コマ
ンド・スクリプトの何れかを、或いは通常の操作に関す
るコマンド・スクリプトの何れかを、欠陥構成要素のた
めに、使用禁止にしたり、修正したり、取り替えたりす
る必要があるかどうかを決定するため、予め定義済みの
構成要素破損／故障影響データベースにアクセスする。
必要な場合は、構成要素破損／故障影響データベース
は、構成要素と記憶されている故障修復コマンド・スク
リプトとの間の、機能的依存状態を抑制する。故障修復
モジュール３１３は、欠陥構成要素を必要とする全ての
故障修復コマンド・スクリプトを使用禁止にするため、
コマンド・スクリプト・データベース３６３の中の、使
用可能／禁止フラッグをセットする。可能な場合は、単
にコマンド・スクリプトを使用禁止にする代わりに、故
障修復モジュール３１３は、部分的な或いは代替操作機
能性を許可するために、コマンド・スクリプトを修正す
るか、或いは取り替えることとなる。このように、この
方法は、システム全体に及ぼす故障の影響を考慮してい
る。
【００２５】異なる作動モードにおける故障は異なる修
復手順を必要とするため、故障修復モジュール３１３は
次に、実施すべき適切な故障修復コマンド・スクリプト
を決めるため、故障修復論理サブルーチンを実行する。
それからこのスクリプト番号は、高次コマンド処理装置
３２５に伝達される。当然、伝達された故障修復コマン
ド・スクリプト（これ以降「故障修復スクリプト」と称
す）はしばしば、故障がシステムに引き起した多くの対
応する影響に取り組むのに必要な複数の高次スクリプト
から成っている。これに応えて、高次コマンド処理装置
３２５は、故障修理及び通常の操作スクリプト番号に対
応するロケーションで、コマンド・スクリプト・データ
ベース３６３にアクセスする。それから、必要とされる
故障修復スクリプトが何の規則も破っていないか確かめ
るため、高次及び低次のシステム及びハードウェアの制
約をチェックする。もし故障修復スクリプトが有効であ
れば、高次コマンド処理装置３２５は外部（遠隔）から
の介入を待つことなく、故障修復スクリプトを低次制御
モジュール３５９に送る。低次制御モジュール３５９
は、ターゲット・サブシステム３５１、３５３、３５
５、３５７のうち適切なものを通して、そのスクリプト
を実行する。
【００２６】コマンド・スクリプトを使う通常の操作の
間の、スクリプト・データベース３６３と高次コマンド
処理装置３２５との相互作用に関しては、「自律的宇宙
機制御のための方法とシステム」と題し、データ付きで
でハンソン他によって出願された合衆国特許出願明細書
に更に詳細に述べられている。この出願はこれにより、
参考文献としてそっくりここに組みこまれる。図４は、
図１、２に示された故障検出、隔離モジュールと、故障
修復モジュールの代替実施例の概略図である。故障検
出、隔離モジュール４０１と、故障修復モジュール４０
３は、宇宙機のような遠隔のシステムにおいて、例えば
図１に関して述べられた同等のモジュールに関連して先
に述べられたのと同じ方法で、自律的故障検出、隔離及
び修復を行うために作動する。
【００２７】より具体的には、故障検出、隔離モジュー
ル４０１において、一つのシステム・モデル４１１（あ
るいはその複数）が、比較器４１３に送るための予想シ
ステム挙動を生成する。比較器４１３は予想システム挙
動を、これも又比較器４１３が受信した実際のシステム
挙動と比較する。比較器４１３は比較の結果を評価のた
め帰納モジュール４１５に送る。例えば、個々の構成要
素やサブシステムに関する信頼性データのような、経験
的な宇宙機の知識を使って、帰納モジュール４１５は提
示された故障の型式を生成しようとする。それに応じ
て、問題解決モジュール４１７は、可能性の幅を狭め、
故障した構成要素を識別（隔離）するため、提示された
故障の型式を利用する。替わりに、もし帰納モジュール
４１５が故障のタイプを提示できなければ、問題解決モ
ジュール４１７は、故障を識別しようとする際、より広
範な一連の可能性に頼らなければならない。勿論どちら
の場合にしても、そのような認識は、システムが確認を
行わないため、実際には仮説を含んでいる。
【００２８】問題解決モジュール４１７が作り出す仮説
は、システム挙動を新しく予測するため、システム・モ
デル４１１に送られる。モジュール４１３、４１５、４
１７、４１１の間のこの循環プロセスは、比較器４１３
がその時の予想システム挙動と実際のそれとの間が適合
したと認識するまで続く。問題解決モジュール４１７
は、（モジュール４１５を通して）適合の結果に応じ
て、その仮説を故障修復モジュール４０３へ送る。そこ
で修正モジュール４１９がその送信に反応し、診断と履
歴にしたがって、宇宙機操作システムの修正を試みる。
理解頂けるように、帰納モジュール４１５は故障検出、
隔離モジュール４０１が正常に機能するのに欠かせない
ものではないが、操作の向上をもたらす。とりわけ、故
障隔離のプロセスを促進する。またこれは、無数にあ
る、可能性の非常に低い故障の型式に囲まれかねないと
ころで、非常に可能性の高い構成要素の故障の型式の隔
離検索に焦点を絞る助けとなる。
【００２９】図５ａと図５ｂは、図１、２に示された故
障検出、隔離モジュールの更なる実施例を説明する概略
図である。特に、図５ａは図４に見られる実施例の更な
るバリエーションを故障検出、隔離モジュール５０１の
形態で示している。先と同じく、システム・モデル・モ
ジュール５１１は予想システム挙動を生成する。比較器
５１３は、予想システム挙動を、実際の挙動と比較し、
その比較結果を、第一段階の故障検出、隔離モジュール
５１５に送る。第一段階モジュール５１５では、（図４
の）帰納モジュール４１５に関して先に述べられた帰納
的方法が可能性のある故障の領域に優先順をつけ、その
領域を狭めるために適用される。第一段階モジュール５
１５の結果は、第二段階の故障検出、隔離モジュール５
１６に送られ、このモジュール５１６はサブシステム・
レベルで故障検出を行い、可能性のある故障領域をさら
に狭めようと試みる。それから第二段階モジュール５１
６の結果が、第三段階の故障検出、隔離モジュール５１
７に送られるが、このモジュールは、第二段階モジュー
ル５１６に識別され提案されたサブシステム内の、実際
の故障構成要素を隔離しようと試みる。
【００３０】故障を検出するこの階層的なアプローチに
よって、少なくとも隔離プロセスにおけるスピードが向
上することが認められる。階層的アプローチは、故障検
出への異なった形式のアプローチによって提供される特
定の便宜を利用する一方、それらの限界を避けることが
できる。さらに、モジュール５１５から５１７までには
三つの特定の形式のアプローチしか図示されていない
が、多くの他の形式のアプローチ及びその様々な組合せ
を採用することもできる。図５ｂは、図４の故障検出、
隔離モジュールの更なるバリエーションを示している。
特に、（図４のような）比較器４１３とシステム・モデ
ル・モジュール４１１を使う代わりに、故障検出、隔離
モジュール５５１は、第一、第二、第三段階の故障検出
モジュール５５３−５５５で構成され、これらは機能性
において図５ａのモジュール５１５−５１７に対応す
る。しかしながら、モジュール５５５で生成された最後
の仮説は、（図示されていない）故障検出モジュールに
送信するに十分なものと判断できる。
【００３１】図６は、本発明に基づく図１から５ｂまで
の宇宙機システムの代表的な機能性を図示したフローチ
ャートの一例である。例えば、図１に見られる典型的な
モジュールに関して言えば、故障検出モジュールは、ブ
ロック６０１で故障を検出するため、宇宙機作動システ
ムの挙動を監視する。又ブロック６０１においては、安
全モード優先化モジュールもそのような挙動を監視す
る。もし安全モード優先化モジュールが重大な故障状態
を検出すれば、事象ブロック６０３に表されているよう
に、優先化モジュールは宇宙機作動システムを、安全モ
ード、すなわちブロック６０５の状態に移行させる。そ
の後、ブロック６０７において、重大な故障に関する情
報が無線で地上支援ユニットに送られるが、そこでは故
障識別、隔離及び修復に関する更なる命令を作ることも
できる。
【００３２】これとは別に、ブロック６０１においても
し故障検出、隔離モジュールが故障を検出すれば、ブロ
ック６１１で示されているように、故障検出、隔離モジ
ュールが、ブロック６１３において故障を隔離しようと
試みる。それが成功すれば、ブロック６１５で決められ
ているとおりに、故障修復モジュールがブロック６１７
において反応し、故障修復を試みる。例えば故障の形式
や、選択された故障検出スクリプト、或いは使われたス
クリプトなどを含む故障に関する情報は、ブロック６０
７において遠隔の地上支援ユニットに送られる。その
後、故障検出、隔離モジュールは、故障修復の試みの結
果を評価するためブロック６０１に戻る。同様に、ブロ
ック６１５で決められているように、故障検出、隔離モ
ジュールが故障の隔離に失敗した場合、故障情報がブロ
ック６０７においても送信される。
【００３３】故障検出、隔離モジュールと故障修復モジ
ュールは、共に安全モード優先化モジュールと独立して
機能しているため、事象の検出及びその処理が同時に行
われる場合がある。そのような状況下では、前述のよう
に、安全モード優先化モジュールが優先し、それによっ
て、故障修復モジュールが抑制される。他の利点のうち
でも、これは故障隔離に伴う処理の複雑さや遅れを待つ
必要もなく、重大な故障が発生した場合、直ちにシステ
ムの機能を停止するための高速メカニズムを提供してい
る。これは又、重大な故障を引き起す可能性のある不正
確な仮説のあらゆる結果を抑制する。ここで使われてい
る「モジュール」という用語の使用は、論議中の特定の
機能を実行する、単独のハードウェア及びソフトウェ
ア、あるいはこれらの組み合せを一般に指している。加
えて、「モジュール」という用語は、たとえそういう場
合が時にあったとしても、任意の各モジュールが、他の
全てのモジュールと、ハードウェア、ソフトウェア両方
の点で異なっているということを暗示するものではな
い。そうだとしても、多くの場合、一つのモジュールの
基礎をなすハードウェア（とおそらくはソフトウェア）
が、他の幾つかのモジュールのそれと重複する場合もあ
る。換言すれば、この用語は、物理的なモジュールでは
なく、機能面でのモジュールに言及するものである。
【００３４】更には、ここで使われているように、特定
の故障からの回復は、例えば以下の方法のうち、一つ或
いはそれ以上の方法を用いることで行われる場合があ
る。即ち、１）冗長ハードウェアの交換、２）冗長ソフ
トウェアの交換、３）故障中のハードウェアに対するソ
フトウェアの交換、４）標準以下ではあるが許容範囲内
の操作を提供するソフトウェア・パッチ、５）全てでは
なく特定の任務機能の停止、６）必要な仕事を実行する
ために入手可能なリソースへのその他の適応、等であ
る。本発明及び関連図面に関する上記の詳細な説明を考
慮すれば、他の修正やバリエーションが作れることは、
当業者には自明のことであろう。例えば、ここでは故障
検出及び修正に関連した機能が、宇宙機の実施例で説明
されているが、そのような機能は、例えば、航空機、潜
水艦、発電所等の、故障管理のための非自律的なアプロ
ーチに適合していない、宇宙機以外のどんな遠隔操作を
用いたシステムにも応用可能である。更に、本発明の意
図と範囲から離れることなく、請求の範囲で述べられて
いるような、或いはそれ以外の、修正やバリエーション
が実行されうることは明らかである。
【図面の簡単な説明】
【図１】自律的故障検出、識別、修復を支援するため
に、本発明に基づいて設られた宇宙機内部における、ハ
ードウェア及びソフトウェアシステムの代表的実施例
の、様々な機能的態様を説明する概略線図である。
【図２】図２は、本発明に基づき、自律的故障検出、識
別及び修復に対応し、これを支援するための、代表的な
地上支援ステーションと、図１の宇宙機システムとの相
互作用を説明する概略線図である。
【図３】図３は図１、２の宇宙機システムの一部の代表
的実施例を図示し、更に、本発明に基づく自律的故障処
理の作動を示すための概略線図である。
【図４】図１、２に示された故障検出、隔離モジュール
と、故障修復モジュールの代替実施例の概略線図であ
る。
【図５ａ】図１、２に示された故障検出、隔離モジュー
ルの更なる施例を示す概略線図である。
【図５ｂ】図１、２に示された故障検出、隔離モジュー
ルの更なる実施例を示す概略線図である。
【図６】本発明に基づく、図１から図５ｂまでの宇宙機
システムの機能を説明するフローチャートの一例であ
る。
【符号の説明】
１０５ 宇宙機作動システム １０９ 故障検出及び隔離 １１３ 故障修復 １１７ トランシーバ １２１ 安全モード優先化
───────────────────────────────────────────────────── フロントページの続き (72)発明者 ローレイン エム フェスク アメリカ合衆国 カリフォルニア州 90293 プラヤ デル レイ エスプラ ナーデ 6738 (72)発明者 マイ エイチ ングイェン アメリカ合衆国 カリフォルニア州 90025 ロサンゼルス アムハースト アベニュー 1222 (56)参考文献 特開 平７−84816（ＪＰ，Ａ) 特開 平９−246955（ＪＰ，Ａ) 電子情報通信学会誌、73〔11〕 （1990）、ｐ．1215−1221 (58)調査した分野(Int.Cl.7，ＤＢ名) B64C 13/00 B64G 1/52,1/66 B64G 3/00,5/00 G06F 11/00 G06F 11/16 - 11/20

Claims (14)

    (57)【特許請求の範囲】
  1. 【請求項１】 複数の異なる構成要素を有し、ある構成
    要素が故障状態に陥ったときそれを示す作動特性を提示
    する宇宙機システムにおける装置であって、 前記構成要素からデータを収集して確認された故障修復
    コマンドスクリプトを実行して前記故障状態を修正する
    ように接続された制御モジュールを備え、 前記制御モジュールにより収集されたデータを処理する
    ように接続されたデータ前処理装置を備え、 前記データ前処理装置により処理されたデータに応答し
    宇宙機システムの作動特性を監視するように接続された
    故障検出、隔離モジュールを備え、前記故障検出、隔離
    モジュールは、宇宙機システムの作動特性に基づいて自
    律的に故障状態を検出し故障状態に陥った構成要素を隔
    離し、 前記故障検出、隔離モジュールからの出力を受信する故
    障修復モジュールを備え、前記故障修復モジュールは、
    前記故障状態の修復を試みるため自律的に修復プロセス
    を実行し、このプロセスは、１つ以上の適当な故障修復
    コマンドスクリプトを決定するための故障修復サブルー
    チンの実行を含み、 コマンドスクリプトデータベースを備え、 前記故障修復モジュールにより決定された故障修復コマ
    ンドスクリプトを前記コマンドスクリプトデータベース
    から検索し、前記確認された故障修復コマンドスクリプ
    トを発生するために前記決定された故障修復コマンドス
    クリプトが１組の規則を破っていないかどうかをチェッ
    クし、前記確認された故障修復コマンドスクリプトを実
    行するために前記制御モジュールへ転送するように接続
    されたコマンド処理装置を備える、 ことを特徴とする装置。
  2. 【請求項２】 重大な故障として分類される状態を検出
    するため宇宙機システムの作動特性を監視し、重大な故
    障として分類される状態を検出すると直ちに宇宙機シス
    テムを安全操作状態に移行させる安全モード優先化モジ
    ュールを更に含むことを特徴とする、上記請求項１に記
    載の装置。
  3. 【請求項３】 安全モード優先化モジュールが、前記修
    復プロセスを抑制することを特徴とする、上記請求項２
    に記載の装置。
  4. 【請求項４】 無線トランシーバと、無線トランシーバ
    及び故障修復モジュールの両方に連結されたコマンド処
    理装置とを更に含むことを特徴とする、上記請求項１に
    記載の装置。
  5. 【請求項５】 無線トランシーバがコマンド処理装置に
    向けた地上支援ユニットからの送信を受信することを特
    徴とする、上記請求項４に記載の装置。
  6. 【請求項６】 無線トランシーバが地上支援ユニットか
    ら補足的な故障修復スクリプトを受信することを特徴と
    する、上記請求項５に記載の装置。
  7. 【請求項７】 自律的な故障修復を試みるため、補足的
    な故障修復スクリプトが故障修復モジュールに送られる
    ことを特徴とする、上記請求項６に記載の装置。
  8. 【請求項８】 複数の異なる構成要素を有し、ある構成
    要素が故障状態に陥ったときそれを示す作動特性を提示
    する宇宙機システムにおける装置であって、 宇宙機システムに配置された、宇宙機システムの作動特
    性を監視する故障検出、隔離モジュールを備え、前記故
    障検出、隔離モジュールは、故障状態を検出し故障状態
    に陥った構成要素を隔離し、 前記構成要素の予想される動作状態を発生するシステム
    モデルモジュールを備え、 前記構成要素の予想される動作状態を前記構成要素の実
    際の動作状態と比較して結果信号を発生する比較器モジ
    ュールを備え、 前記結果信号に応答し、且つ、前記故障状態で動作する
    前記構成要素の少なくとも１つを表す診断信号を発生
    し、前記診断信号を前記システムモデルモジュールに転
    送して前記システムモデルモジュールが前記構成要素の
    第２の予想される動作状態を発生するように接続された
    診断モジュールを備え、前記比較器モジュールが、前記
    構成要素の第２の予想される動作状態を前記構成要素の
    実際の動作状態と比較し、 宇宙機システムに配置され、前記故障検出、隔離モジュ
    ールからの出力を受信する故障修復モジュールを備え、
    前記故障修復モジュールは、故障状態からの修復を試み
    るため、複数の故障修復スクリプトの少なくとも一つに
    基づいて自律的に修復プロセスを実行する、 ことを特徴とする装置。
  9. 【請求項９】 前記診断モジュールは、 前記結果信号に応答し、提示された故障の型式を発生す
    るように接続された帰納モジュールを備え、 提示された故障の型式に応答し、前記故障状態で動作す
    る前記少なくとも１つの構成要素を表す前記診断信号を
    発生するように接続された問題解決モジュールを備え
    る、 ことを特徴とする、上記請求項８に記載の装置。
  10. 【請求項１０】 宇宙機システムの作動特性に基づいて
    重大な故障として分類される状態を検出し、重大な故障
    として分類される状態を検出すると直ぐに宇宙機システ
    ムを安全操作状態に移行させる安全モード優先化モジュ
    ールを更に含むことを特徴とする上記請求項８に記載の
    装置。
  11. 【請求項１１】 安全モード優先化モジュールが、自律
    的修復プロセスを実行する間に、故障修復モジュールを
    抑制することを特徴とする、上記請求項１０に記載の装
    置。
  12. 【請求項１２】 複数の異なる構成要素を有し、１つの
    構成要素が故障状態に陥ったときそれを示す作動特性を
    提示する宇宙機システムにおける前記故障状態からの修
    復を試みる方法であって、 前記構成要素の予想される動作状態を発生するステップ
    と、 前記構成要素の予想される動作状態を前記構成要素の実
    際の動作状態と比較するステップと、 前記比較に基づいて結果信号を発生するステップと、 前記結果信号に応答して前記故障状態で動作する前記構
    成要素の少なくとも１つを表す診断信号を発生するステ
    ップと、 予想される動作状態と実際の動作状態が一致するまで、
    前記構成要素の予想される動作状態を発生するステッ
    プ、前記構成要素の予想される動作状態を前記構成要素
    の実際の動作状態と比較するステップ、前記比較に基づ
    いて結果信号を発生するステップ、及び、前記結果信号
    に応答して前記故障状態で動作する前記構成要素の少な
    くとも１つを表す診断信号を発生するステップを継続す
    るステップ と、 前記一致に応答して、複数の故障修復スクリプトの少な
    くとも１つを使って故障状態から宇宙機システムを自律
    的に修復するステップと、を含む ことを特徴とする方法。
  13. 【請求項１３】 重大な故障として分類される状態を検
    出するため、宇宙機システムの作動特性を監視し、重大
    な故障として分類される状態を検出すると直ちに宇宙機
    システムを安全操作状態に移行させるステップを含む、
    上記請求項１２に記載の方法。
  14. 【請求項１４】 前記宇宙機システムを安全操作状態に
    移行させるステップは、進行中の自律的修復における試
    みを抑制することを特徴とする、上記請求項１３に記載
    の方法。
JP14589298A 1997-05-29 1998-05-27 自律的故障検出、隔離、修復のための原位置法及びシステム Expired - Fee Related JP3206738B2 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US08/865302 1997-05-29
US08/865,302 US6128555A (en) 1997-05-29 1997-05-29 In situ method and system for autonomous fault detection, isolation and recovery

Publications (2)

Publication Number Publication Date
JPH10329799A JPH10329799A (ja) 1998-12-15
JP3206738B2 true JP3206738B2 (ja) 2001-09-10

Family

ID=25345185

Family Applications (1)

Application Number Title Priority Date Filing Date
JP14589298A Expired - Fee Related JP3206738B2 (ja) 1997-05-29 1998-05-27 自律的故障検出、隔離、修復のための原位置法及びシステム

Country Status (4)

Country Link
US (1) US6128555A (ja)
EP (1) EP0881146B1 (ja)
JP (1) JP3206738B2 (ja)
DE (1) DE69812763T2 (ja)

Families Citing this family (47)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6463550B1 (en) * 1998-06-04 2002-10-08 Compaq Information Technologies Group, L.P. Computer system implementing fault detection and isolation using unique identification codes stored in non-volatile memory
KR100299025B1 (ko) * 1998-06-15 2001-09-06 윤종용 기지국에서송수신기의장애진단방법및장치
US6453265B1 (en) * 1999-12-28 2002-09-17 Hewlett-Packard Company Accurately predicting system behavior of a managed system using genetic programming
US6735501B1 (en) * 2000-03-30 2004-05-11 Space Systems/Loral, Inc Satellite commanding using remotely controlled modulation of satellite on-board telemetry parameters
US7065524B1 (en) * 2001-03-30 2006-06-20 Pharsight Corporation Identification and correction of confounders in a statistical analysis
US7203865B2 (en) * 2002-04-23 2007-04-10 Gateway Inc. Application level and BIOS level disaster recovery
US6909960B2 (en) * 2002-10-31 2005-06-21 United Technologies Corporation Method for performing gas turbine performance diagnostics
JP3654360B2 (ja) * 2002-12-02 2005-06-02 ソニー株式会社 制御システムおよび方法、情報処理装置および方法、情報処理端末および方法、記録媒体、並びにプログラム
US20040249914A1 (en) * 2003-05-21 2004-12-09 Flocken Philip A. Computer service using automated local diagnostic data collection and automated remote analysis
US7334028B2 (en) * 2003-05-21 2008-02-19 Hewlett-Packard Development Company, L.P. Tiered multi-source software support using automated diagnostic-data transfers
US20050097141A1 (en) * 2003-10-30 2005-05-05 International Business Machines Corporation Autonomic filesystem recovery
US20050165862A1 (en) * 2004-01-12 2005-07-28 International Business Machines Corporation Autonomic and fully recovering filesystem operations
US7312964B2 (en) * 2004-02-17 2007-12-25 Tchernobrivets Serguei Borissovitch Ground-fault monitor for multiple circuits
US7284155B2 (en) * 2004-03-29 2007-10-16 Hewlett-Packard Development Company, L.P. Remote software support agent system with electronic documents for troubleshooting
US7558192B1 (en) * 2004-05-03 2009-07-07 Cisco Technology, Inc. Method to increase system availability of critical hardware components
US7280941B2 (en) * 2004-12-29 2007-10-09 General Electric Company Method and apparatus for in-situ detection and isolation of aircraft engine faults
US7496790B2 (en) 2005-02-25 2009-02-24 International Business Machines Corporation Method, apparatus, and computer program product for coordinating error reporting and reset utilizing an I/O adapter that supports virtualization
US7480116B1 (en) 2006-01-20 2009-01-20 Western Digital Technologies, Inc. Disk drive employing coarse position feedback from mechanical position sensor to improve format efficiency
US8977252B1 (en) * 2006-07-06 2015-03-10 Gryphonet Ltd. System and method for automatic detection and recovery of malfunction in mobile devices
CN100390022C (zh) * 2006-07-07 2008-05-28 中国科学院力学研究所 卫星飞行参数在线修正方法
KR100867796B1 (ko) * 2006-10-31 2008-11-10 현대자동차주식회사 차량용 고장 정보 처리 방법
US7856294B2 (en) * 2007-12-14 2010-12-21 Sra International, Inc. Intelligent system and method for spacecraft autonomous operations
FR2927436A1 (fr) * 2008-02-12 2009-08-14 Ingenico Sa Procede de securisation d'un programme informatique, dispositif, procede de mise a jour et serveur de mise a jour correspondants.
US8155820B2 (en) * 2008-03-10 2012-04-10 Eklund Neil H Method, apparatus and computer program product for predicting and avoiding a fault
US8417432B2 (en) * 2008-04-30 2013-04-09 United Technologies Corporation Method for calculating confidence on prediction in fault diagnosis systems
US20100017092A1 (en) * 2008-07-16 2010-01-21 Steven Wayne Butler Hybrid fault isolation system utilizing both model-based and empirical components
KR101627132B1 (ko) * 2008-12-15 2016-06-13 삼성전자 주식회사 로봇 및 그 복구 방법
US8364338B2 (en) * 2009-03-13 2013-01-29 General Electric Company Method, system, and computer software code for wireless remote fault handling on a remote distributed power powered system
US8862433B2 (en) 2010-05-18 2014-10-14 United Technologies Corporation Partitioning of turbomachine faults
DK2418552T3 (en) * 2010-07-28 2017-02-27 Thales Sa CIRCUIT DEVICE FOR POWER ELECTRONICS CONTROL
KR101189697B1 (ko) 2010-08-31 2012-10-10 서울대학교산학협력단 우주비행체의 자세제어시스템을 위한 고장 검출기 및 고장 검출 방법
DE102011007049A1 (de) * 2011-04-08 2012-10-11 Siemens Ag Österreich Verfahren zur raschen Notabschaltung von verteilten Anlagen und zugehörige Vorrichtung
US8751071B2 (en) 2011-05-09 2014-06-10 General Electric Company System and method for controlling a vehicle
US9092566B2 (en) 2012-04-20 2015-07-28 International Drug Development Institute Methods for central monitoring of research trials
DE102012213228A1 (de) * 2012-07-27 2014-01-30 Deutsches Zentrum für Luft- und Raumfahrt e.V. Verfahren und Vorrichtung zum Betrieb eines Fahrzeugs
CN105253330B (zh) * 2015-10-30 2017-04-05 中国空间技术研究院 一种基于优化的信息融合geo卫星控制系统菜单式设计方法
JP2019513315A (ja) * 2016-02-29 2019-05-23 ウルグス ソシエダード アノニマ 惑星規模解析のためのシステム
US9940761B2 (en) * 2016-08-02 2018-04-10 International Business Machines Corporation Self-driving vehicle sensor fault remediation
CN106742067B (zh) * 2016-12-02 2019-06-21 上海航天控制技术研究所 基于参考模型的姿控发动机在轨故障诊断处理系统与方法
US10279816B2 (en) * 2017-03-07 2019-05-07 GM Global Technology Operations LLC Method and apparatus for monitoring an on-vehicle controller
CN108958989B (zh) * 2017-06-06 2021-09-17 北京猎户星空科技有限公司 一种系统故障恢复方法及装置
CN107340715B (zh) * 2017-06-27 2020-08-25 北京电子工程总体研究所 一种返回式飞行器离轨制动期间的轨控容错控制方法
CN108181917B (zh) * 2018-01-02 2021-07-13 佛山科学技术学院 一种航天器姿态控制系统故障可诊断性定量分析方法
CN112706947A (zh) * 2021-01-08 2021-04-27 北京空间飞行器总体设计部 组合体航天器系统级重构方法
CN113156999B (zh) * 2021-05-08 2022-11-11 一飞(海南)科技有限公司 一种集群编队飞机异常故障等级处理的方法、系统及应用
CN113722161A (zh) * 2021-08-09 2021-11-30 中国空间技术研究院 一种整星fdir调度策略的验证方法及系统
GB2623062A (en) * 2022-09-29 2024-04-10 Iceye Oy Control system for aircraft or spacecraft apparatus

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS5369563A (en) * 1976-12-03 1978-06-21 Fujitsu Ltd Monitor control system for information processor
US4654846A (en) * 1983-12-20 1987-03-31 Rca Corporation Spacecraft autonomous redundancy control
DE3432165A1 (de) * 1984-08-31 1986-03-06 Messerschmitt-Bölkow-Blohm GmbH, 8012 Ottobrunn Einrichtung zur automatischen rekonfiguration einer intakten geraetekombination
JP2590610B2 (ja) * 1990-12-25 1997-03-12 富士通株式会社 多重化システムにおける装置活性挿抜試験装置
JPH06274359A (ja) * 1993-03-19 1994-09-30 Fujitsu Ltd 階層型分散機器監視方式
JPH06337742A (ja) * 1993-05-31 1994-12-06 Toshiba Corp マルチプロセッサシステム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
電子情報通信学会誌、７３〔１１〕（１９９０）、ｐ．１２１５−１２２１

Also Published As

Publication number Publication date
EP0881146A3 (en) 1998-12-16
JPH10329799A (ja) 1998-12-15
EP0881146B1 (en) 2003-04-02
EP0881146A2 (en) 1998-12-02
US6128555A (en) 2000-10-03
DE69812763D1 (de) 2003-05-08
DE69812763T2 (de) 2003-10-16

Similar Documents

Publication Publication Date Title
JP3206738B2 (ja) 自律的故障検出、隔離、修復のための原位置法及びシステム
US7280941B2 (en) Method and apparatus for in-situ detection and isolation of aircraft engine faults
CN102841828B (zh) 逻辑电路中的故障检测和减轻
JPH10329800A (ja) 自律的宇宙機制御のための方法及びシステム
US20080249678A1 (en) Aircraft Failure Diagnostic Method and System
EP3422125A1 (en) Fault coverage for multiple failures in redundant systems
GB2395802A (en) Method, system and program product for establishing a self-diagnosing and self-repairing automated system.
US20080297333A1 (en) Method and apparatus for designing a health monitor system for a vehicle
KR20200128627A (ko) 자율주행 처리 시스템, 시스템 온 칩, 및 처리 모듈 모니터링방법
US20140214263A1 (en) Method, device and computer program for assisting the maintenance of an aircraft system using a diagnostic assistance tool and experience feedback data
Jacklin et al. Verification, validation, and certification challenges for adaptive flight-critical control system software
US20050223288A1 (en) Diagnostic fault detection and isolation
CN111694702A (zh) 用于进行安全的信号操纵的方法和系统
CN110824369A (zh) 一种卫星放电深度超限诊断与恢复测试方法
US6370659B1 (en) Method for automatically isolating hardware module faults
CN114968646A (zh) 一种功能故障处理系统及其方法
Hayden et al. Lessons learned in the Livingstone 2 on Earth Observing One flight experiment
CN111552584A (zh) 卫星一级故障诊断隔离及恢复功能的测试系统、方法及装置
CN115311837A (zh) 火箭遥测故障处理方法、装置和运载火箭
CN111552263B (zh) 用于检查工业设施的方法、计算机可读存储介质和系统
KR101418481B1 (ko) 무인기용 비행제어시스템의 bit처리장치 및 그 제어방법
KR101347748B1 (ko) 씨피에스에서의 자율 컴퓨팅 방법 및 장치
US20160014000A1 (en) Method and device for analyzing events in a system
CN114791830B (zh) 用于控制和自动重启技术装置的方法
Rivera et al. Implementation of a Robotic Control System for Fault Tolerance and Safety using Human Robot Interaction

Legal Events

Date Code Title Description
LAPS Cancellation because of no payment of annual fees