JP4946459B2

JP4946459B2 - 衛星搭載用制御装置

Info

Publication number: JP4946459B2
Application number: JP2007016294A
Authority: JP
Inventors: 功小田木
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2007-01-26
Filing date: 2007-01-26
Publication date: 2012-06-06
Anticipated expiration: 2027-01-26
Also published as: JP2008183912A

Description

本発明は、人工衛星の制御を行うための、冗長系で構成された衛星搭載用制御装置に関する。

人工衛星は、その衛星の姿勢および軌道の制御を行うため、ＡＯＣＥ（ＡｔｔｉｔｕｄｅａｎｄＯｒｂｉｔＣｏｎｔｒｏｌＥｌｅｃｔｒｏｎｉｃｓ）と呼ばれる制御装置を備える。人工衛星は、通信や地球観測などのサービスを提供するために、常に自身の姿勢、軌道を特定し、所定の状態に保つ制御を行う必要がある。所定の状態に保つため、センサから取得した最新の情報により特定した姿勢，軌道情報と、前回特定した姿勢，軌道情報とを用いて、ＡＯＣＥが制御情報を算出してアクチュエータを制御している。ＡＯＣＥは、稼動中の系（以下、稼動中の系を主系と呼ぶ。）とバックアップ系の２系の冗長構成を取り、主系の装置で故障が検出された場合、主系の装置から自動的にバックアップ系の装置に切り替えが行われる。

従来、２系の冗長系を有する衛星搭載用機器として、複数のユーザインタフェース装置にそれぞれコマンド受信カウンタを設け、統合制御装置から送られるコマンド数をそのコマンド受信カウンタにて計数し、統合制御装置にてその計数値を送信したコマンド数と比較し、比較結果に基づいてユーザインタフェース装置の動作不良を判定して、ユーザインタフェース装置を切り替え制御するものが知られている（例えば、特許文献１参照。）。

特開２０００−２８０９９８号公報

一般に、主系、バックアップ系を持つ２系の冗長システムにおいて、主系からバックアップ系に移行する際に主系で処理していた情報を引き継ぐ方法としてホットスタンバイ方式と呼ばれるものがある。ホットスタンバイ方式は、主系およびバックアップ系の両系で同時に処理を行う。しかし、１５年以上の寿命を要求される衛星放送や衛星通信用の人工衛星では、恒常的な通電による部品の劣化および部品の劣化に伴う信頼性の低下が発生する可能性の高いホットスタンバイ方式は採用が難しい。

従って、衛星放送や衛星通信用の人工衛星では、通常はバックアップ系の電源を切断し、故障発生後、バックアップ系を起動させる方式とせざるを得ない。このため、故障発生時に主系からバックアップ系に自身の姿勢，軌道情報を引き継ぐ必要がある。

しかしながら、ＡＯＣＥの系の切り替えにおいては、誤制御を防ぐため、系の切り替え時にバックアップ系が主系の電源を切断する構成を取ることが一般的である。センサから取得した情報を処理して得た人工衛星の姿勢，軌道情報は、揮発性メモリを使用しているメモリーエリアに保持される。このため、系の切り替え時に主系の電源が切断されると、これらの情報は失われる。従って、バックアップ系のＡＯＣＥは、立ち上がり後（起動後）に、前回の姿勢，軌道情報無しに姿勢の制御を行わなくてはならない。このため、系の切り替え時は、精度の高い姿勢制御を行うことができない、精度を高めるために時間のかかる複雑な処理を行う、などの問題がある。そして、この間、それに伴い、搭載衛星における放送や通信などの衛星のミッション機能に依存したサービスの質が低下する、最悪の場合、サービスが中断する、などの事態が発生している。

本発明は、上記事情に鑑みてなされたもので、主系の制御装置からバックアップ系の制御装置への切り替え時において、搭載衛星におけるサービスの質を維持することを目的とする。

本発明による衛星搭載用制御装置は、
同一構成から成る主系の制御装置とバックアップ系の制御装置とを、切り替え可能な冗長系を成す衛星搭載用制御装置であって、
上記主系およびバックアップ系の制御装置は、衛星の状態を示す情報を格納する第１のメモリと、上記第１のメモリに格納される衛星の状態を示す情報のうち特定の情報を格納する第２のメモリと、上記衛星の状態を示す情報に基づいて、衛星の動態制御を行うための制御指令情報を算出するともに、上記第１のメモリおよび第２のメモリに対するデータの書込みを制御する制御部と、上記第２のメモリに格納される特定の情報を、上記バックアップ系に出力するインターフェース回路と、制御装置内部の異常を検知する監視部と、
をそれぞれ備え、
上記主系の監視部は、上記主系の制御装置内部での異常の発生を検知した場合に上記バックアップ系の制御装置を起動し、上記バックアップ系のインターフェース回路は、上記バックアップ系の制御装置の起動後に上記主系の第２のメモリへの特定の情報の書込みを禁止するとともに、上記主系の第２のメモリから特定の情報を読み出し、上記バックアップ系の制御部は、上記主系の第２のメモリから読み出された特定の情報を受けた後、上記主系の制御装置の電源を切断し、上記主系の第２のメモリから読み出された特定の情報に基づいて制御指令情報の算出を開始する、ことを特徴としたものである。

また、本発明による衛星搭載用制御装置は、同一構成から成る主系の制御装置とバックアップ系の制御装置と、上記主系およびバックアップ系の制御装置の外部に設けられたメモリユニットとを有し、主系の制御装置とバックアップ系の制御装置とを切り替え可能な冗長系を成す衛星搭載用制御装置であって、
上記主系およびバックアップ系の制御装置は、衛星の状態を示す情報を格納する第１のメモリと、上記衛星の状態を示す情報に基づいて、衛星の動態制御を行うための制御指令情報を算出するともに、上記第１のメモリに対するデータの書込みを制御する制御部と、制御装置内部の異常を検知する監視部と、をそれぞれ備え、
上記メモリユニットは、上記第１のメモリに格納される衛星の状態を示す情報のうち特定の情報を格納する第２のメモリと、上記第２のメモリに格納される特定の情報を、上記バックアップ系に出力するインターフェース回路と、を備え、
上記主系の監視部は、上記主系の制御装置内部での異常の発生を検知した場合に上記バックアップ系の制御装置を起動し、上記バックアップ系の制御部は、上記バックアップ系の制御装置の起動後に上記メモリユニットの第２のメモリへの特定の情報の書込みを禁止するとともに、上記メモリユニットの第２のメモリから特定の情報を読み出した後、上記主系の制御装置の電源を切断して、上記主系の第２のメモリから読み出された特定の情報に基づいて制御指令情報の算出を開始する、ものであっても良い。

本発明によれば、主系からバックアップ系への移行時に、バックアップ系での制御情報の算出が容易となり、主系の故障により系の移行を行わなければならない場合、衛星通信や衛星放送などのサービスの中断や、質の低下を防ぐことができる。

実施の形態１．
以下、図面を用いて、本発明に係る実施の形態１について説明する。図１は、本実施の形態におけるＡＯＣＥのハードウェア構成を示す図である。本実施の形態のＡＯＣＥは、ＡＯＣＥ１００とＡＣＯＥ２００との２つの同じ構成を有する系を備える。

以下、代表してＡＯＣＥ１００を取り上げて説明する。図において、ＡＯＣＥ２００については、冗長系の切り替え動作を説明するための主な構成のみ記載し、区別する必要がある場合は、ＡＯＣＥ２００の構成についてはＡＯＣＥ１００の同じ構成要素の符号にｂを付している。現在動作している側を主系と呼び、待機している側をバックアップ系と呼ぶ。ＡＯＣＥ１００とＡＯＣＥ２００は、その何れか一方が主系で他方がバックアップ系となる。

図において、ＡＯＣＥ１００は、各種プログラムを保持するプログラムメモリ１０２と、プログラムメモリ１０２に保持されている各種プログラムを実行するＣＰＵ１０１とを備える。また、ＡＯＣＥ１００は、衛星に搭載された外部のセンサ１１１および外部のアクチュエータ１１０との間で情報の授受を行うインターフェースであるＩ/Ｏ１０３と、ＴＬＭ（Ｔｅｌｅｍｅｔｏｒｙ；テレメトリー）信号を出力するためのインターフェースであるＩ/Ｏ１０４と、ＣＰＵ１０１の処理情報や各Ｉ/Ｏとの間の入出力情報を読み書きするためのワーク領域であり揮発性メモリから成るメモリーエリアＡ１０５と、を備える。また、ＡＯＣＥ内部での故障の箇所の検知と当該箇所の切り離し処理を行う監視部を構成するＦＤＩＲ（ＦａｉｌｕｒｅＤｅｔｅｃｔｉｏｎａｎｄＩｓｏｌａｔｉｏｎＲｅｃｏｖｅｒｙ）１０６と、バックアップ系への切り替え時に切り替えを指示する信号を送出するインターフェースであるＩ／Ｏ１０７と、逆に切り替えを指示する信号を受けた場合に他系をＯＦＦする信号を出力するＩ／ＦであるＩ／Ｏ１０８と、を備える。

さらに、ＡＯＣＥ１００は、主系もしくはバックアップ系から他の系の切り替え時に必要な制御情報を保持するための一時格納メモリであるメモリーエリアＢ２０４と、Ｉ／Ｏ２０１と、トランシーバ２０３とを備える。メモリーエリアＢ２０４は不揮発性メモリから成り、バックアップ系が、系への切り替え直後に、自身の姿勢、軌道を算出するために必要な情報を保持する。また、トランシーバ２０３は、後述するMｅｍｏｒｙａｃｃｅｓｓｄｉｓａｂｌｅ信号（以後、書込禁止信号と呼ぶ。）を受け取ると、ＣＰＵ１０１からメモリーエリアＢ２０４への書込み処理のためのアクセスを遮断する。Ｉ／Ｏ２０１は、バックアップ系に書込禁止信号を出力するためのインターフェースである。Ｉ／Ｏ２０１とトランシーバ２０３とデータバス１０９は、他の系のＡＯＣＥと自系のメモリーエリアＢ２０４との間における、メモリーエリアＢ２０４へのアクセス制御のためのインターフェース回路を構成する。

次に、ＡＯＣＥ２００については、ＡＯＣＥ１００と同一構成であるので、上述したとおり詳細な記載及び図示を省略する。図１においては、ＣＰＵ１０１ｂ、メモリーエリアＡ１０５ｂ、Ｉ／Ｏ１０７ｂ、Ｉ／Ｏ１０８ｂ、メモリーエリアＢ２０４ｂ、Ｉ／Ｏ２０１ｂ、トランシーバ２０３ｂ、データバス１０９ｂのみ図示している。

次に、ＡＯＣＥ１００のＣＰＵ１０１がプログラムメモリ１０２に格納されているプログラムを実行することにより実現される機能について説明する。図２は、本実施の形態におけるＡＯＣＥ１００の機能構成を説明するための図である。
図に示すように、本実施の形態のＡＯＣＥ１００は、姿勢，軌道情報書込部５０２と、格納情報特定部５０３と、書込禁止信号出力部５０４と、他系情報取得部５０５と、ＡＯＣＥ全体の動作を制御する制御部５０１と、を構成する。なお、これらの機能は、プログラムのみでなくハードウェアにより実現するよう構成してもよい。

制御部５０１は、ＡＯＣＥ１００全体の動作の制御に加え、衛星に搭載されたセンサ１１１が取得した情報の処理を行う。制御部５０１は、衛星に搭載されたセンサ１１１が周期的に取得した太陽角（太陽のセンサ面に対する角度を意味する）、地球角（地球のセンサ面に対する角度を意味する）などのセンサ情報をＩ／Ｏ１０３を介して受け取る。そして、受け取った情報を用いて、慣性座標系に対する衛星の現在の姿勢角を表現するパラメータ（オイラー角やブレイトン角など）や、パドル角度や、現在の軌道上での衛星の存在位置を表現する軌道六要素から成る姿勢，軌道情報を算出する（以下、姿勢および軌道決定処理）。軌道六要素は、軌道長半径、離心率、軌道傾斜角、昇交点赤径、真近点離角、近地点引数から成る。

制御部５０１は、センサ１１１が取得したセンサ情報と算出した姿勢，軌道情報を、当該情報を取得した時刻の情報（以下、時刻情報）および衛星のステータス情報とともに、制御情報として格納情報特定部５０３に受け渡す。ステータス情報は、動作させる機器として選択した動作中の衛星搭載機器の情報や故障であることが確定している部位の情報などを含む。また、制御部５０１は、制御情報における新たに算出した姿勢，軌道情報と、制御情報における前回算出した姿勢，軌道情報とからアクチュエータの目標回転角度、アクチュエータの目標角速度などの制御指令情報を算出し、Ｉ／Ｏ１０３を介して衛星に搭載された複数のアクチュエータ１１０に出力する。各アクチュエータ１１０としては、モーメンタムホイールや、スラスターや、磁気トルカなどが用いられる。

格納情報特定部５０３は、制御部５０１から受け取った制御情報の中で、メモリーエリアＢ２０４へ記録すべき情報を特定した後、特定された情報を姿勢軌道情報書込部５０２に受け渡す。このメモリーエリアＢ２０４に記録すべき特定された情報は、系が切り替わった際、バックアップ系で制御指令情報を算出するために必要な制御情報であり、予めプログラム内で特定するよう構成してもよいし、地上からコマンドにより指示するよう構成してもよい。特定された情報とは、姿勢，軌道情報と当該情報を取得した時刻の情報や、パドル角度や、ステータス情報を含んだものであり、少なくとも姿勢，軌道情報を有する必要がある。

姿勢，軌道情報書込部５０２は、格納情報特定部５０３から受け取った姿勢，軌道情報、時刻情報を少なくとも含む制御情報をメモリーエリアＡ１０５およびメモリーエリアＢ２０４に格納する。このとき、メモリーエリアＡ１０５には、受け取った全ての姿勢，軌道情報を時刻情報に対応づけて格納し、メモリーエリアＢ２０４には、格納情報特定部５０３において特定された情報およびその時刻情報のみを対応付けて格納する。また、メモリーエリアＡ１０５には、センサ１１１で取得されたセンサ情報、制御指令情報などが含まれていても良い。なお、自系のメモリーエリアＢ２０４に制御情報を格納したり、自系のメモリーエリアＢ２０４から制御情報を読み出す際は、トランシーバ２０３を介してデータの記録や読み出しを行う。

格納情報特定部５０３と姿勢，軌道情報書込部５０２とにより、メモリーエリアＢ２０４には、メモリーエリアＡ１０５に保持されている情報のうち、格納情報特定部５０３において特定された情報として、上述したように系が切り替わった際にバックアップ系で制御指令情報を算出するために必要な情報のみが保持されている。この際、メモリーエリアＢ２０４には、最新の情報のみが記録されるよう構成してもよい。この場合は、時刻情報は記録しなくてもよい。

書込禁止信号出力部５０４は、他系から処理が移行される際、まず、移行前に制御部５０１からの指示に従って、書込禁止信号を生成し、他系に向けて送出する。すなわち、ＡＯＣＥ２００が主系として稼動中に故障が発生し、ＡＯＣＥ１００に系が切り替わる際、ＡＯＣＥ１００の書込禁止信号出力部５０４はＡＯＣＥ１００のＩ／Ｏ２０１を介してＡＯＣＥ２００のトランシーバ２０３ｂに向けて書込禁止信号を出力する。書込禁止信号を受け取ったＡＯＣＥ２００のトランシーバ２０３ｂは、ＡＯＣＥ２００のＣＰＵ１０１ｂからＡＯＣＥ２００のメモリーエリアＢ２０４ｂへのアクセスを遮断する。

続いて、ＡＯＣＥ２００からＡＯＣＥ１００への移行時に、後述するＡＯＣＥ１００の他系情報取得部５０５がＩ／Ｏ２０１を介してＡＯＣＥ２００のメモリーエリアＢ２０４ｂにアクセスし、トランシーバ２０３ｂを介在して格納されている情報を読み出す。このようにして、ＡＯＣＥ２００からＡＯＣＥ１００への移行時に、移行元である他系のメモリーエリアＢ２０４ｂの情報が、誤作動を生じた他系のＣＰＵ１０１ｂにより書き換えられないような処置が施された後、移行先である自系のＩ／Ｏ２０１が他系のメモリーエリアＢ２０４ｂからの情報の読み出しを行う。この際、他系のトランシーバ２０３ｂは、他系のＣＰＵ１０１ｂの制御を受けず、独立して動作することが可能となっている。

他系情報取得部５０５は、他系から処理が移行される際、制御部５０１の指示に従って、他系のメモリーエリアＢから情報を取得する。すなわち、ＡＯＣＥ２００が主系として稼動中に故障が発生しＡＯＣＥ１００に系が切り替わる際、他系であるＡＯＣＥ１００の情報取得部５０５は、Ｉ／Ｏ２０１を介してＡＯＣＥ２００のメモリーエリアＢ２０４ｂにアクセスし、データバス１０９を通じてメモリーエリアＢ２０４ｂから直接、特定された情報およびその時刻情報を含む制御情報を取得する。次いで、この取得した情報を自身のメモリーエリアＡ１０５およびメモリーエリアＢ２０４に格納する。このような構成により、バックアップ系であるＡＯＣＥ１００は、主系として稼動していたＡＯＣＥ２００が取得していた姿勢，軌道情報を含む制御情報を得ることができる。そして、この情報を用いて、系の移行後、自身の制御情報を容易に算出することができる。

以上、本実施の形態におけるＡＯＣＥ１００の機能構成を説明した。なお、主系からバックアップ系に移行する際に必要となるＩ／Ｏ２０１、トランシーバ２０３は、一点故障により機能を喪失することを防ぐため、二重化してもよい。

次に、上記機能構成を有するＡＯＣＥの動作について説明する。
まず、ＡＯＣＥの定常時の動作について説明する。以下、ＡＯＣＥ１００が主系として稼動している場合を例に挙げて説明する。図３は、定常処理中のＡＯＣＥ１００の動作を示す図である。

制御部５０１は、所定の時間毎に、Ｉ／Ｏ１０３を介して衛星に搭載されたＡＯＣＥ外部のセンサ１１１が取得したセンサ情報およびアクチュエータ１１０のステータス情報を読み出す（ステップ３０１）。制御部５０１は、読み出した情報を用いて、姿勢および軌道決定処理を実行して、姿勢，軌道情報を含む制御情報を算出し、時刻情報とともに格納情報特定部５０３に受け渡す（ステップ３０２）。このとき、制御部５０１は、前回算出した姿勢，軌道情報と新たに算出した姿勢，軌道情報をもちいて、制御情報から制御指令値情報を算出する。

格納情報特定部５０３は、受け取った姿勢，軌道情報および時刻情報を含む制御情報の中から、メモリーエリアＢ２０４に保存すべき姿勢，軌道情報を含む制御情報を特定する（ステップ３０３）。そして、格納情報特定部５０３は、姿勢，軌道情報を含む制御情報を、姿勢，軌道情報書込部５０２に受け渡す。

姿勢，軌道情報書込部５０２は、格納情報特定部５０３から受け取った制御情報における、姿勢，軌道情報および時刻情報を対応づけてメモリーエリアＡ１０５に書き込むとともに、制御情報の内、ステップ３０３で特定された情報をその時刻情報に対応づけてトランシーバ２０３経由でメモリーエリアＢ２０４に書き込む（ステップ３０４）。

一方、制御部５０１は、ステップ３０２で算出した制御情報を、Ｉ／Ｏ１０３を経由して衛星に搭載されたＡＯＣＥ外部の各アクチュエータ１１０に指令値として出力する（ステップ３０５）。各アクチュエータ１１０は、受け取った制御指令値に従って、姿勢制御を行う。

以上の処理を、系が切り替わるまでの間、継続して行う。以上の処理により、メモリーエリアＢ２０４には、常に姿勢，軌道情報の中で、抽出情報特定部５０３により選択抽出された必要十分な特定された情報のみが保存されることになる。

メモリーエリアＢ２０４への情報の保存は、メモリ内でのビット反転などに備え複数のメモリ空間に同一情報を保存することで、情報を使用する場合に多数決をとり正常なデータを使用する。また、切り替わった系にて姿勢、軌道を決定する際に最新情報以外に過去にさかのぼった情報を利用できるように、メモリーエリアＢ２０４の情報格納領域を時系列に複数の情報を保存可能とし、リングバッファとして使用する。

次に、本実施の形態の、故障検出時の主系からバックアップ系への移行処理について説明する。以下、ＡＯＣＥ１００が主系として稼動中に故障が発生し、ＡＯＣＥ２００に移行する場合を例にあげて説明する。図４は、本実施の形態における故障検出時の移行処理例を示す処理フローである。

まず、ＦＤＩＲ１０６は、衛星に搭載されたセンサ１１１が周期的に取得した太陽角（太陽のセンサ面に対する太陽センサで検出した角度を意味する）、地球角（地球のセンサ面に対する地球センサで検出した角度を意味する）などのセンサ情報に基づいて、衛星のあるべき姿勢が適切な状態であるか否かを判定する。例えば、センサ１１１として地球センサを用いて、地球センサが地球を所定の視野範囲内に捉えている場合には衛星の姿勢や軌道が適切に制御されていると判定し、地球センサの所定の視野範囲から地球が外れた場合には衛星の姿勢及び軌道制御に異常が発生していると判定する。この場合、何らかの外乱の影響を受けて衛星の姿勢及び軌道に狂いを生じている可能性もあるので、太陽センサやスターセンサなどの他の姿勢角を検出するためのセンサの情報に基づいてアクチュエータを操作し、地球センサが地球を捉えることができるように衛星の姿勢や軌道を変化させる制御を行う。この際、所定時間内もしくは所定回数のトライを実行しても地球を全く捉えることが出来ない場合には、ＣＰＵ１０１の動作やプログラムメモリ１０２などの格納情報に障害が発生し、衛星の姿勢や軌道の制御が不可能であると判定する。勿論、特許文献１のように、コマンド受信カウンタを設けてＣＰＵ１０１の機能が正常動作しているか否かをモニタしたり、ＣＰＵ１０１に所定の演算を実行させて、演算結果が常に規定値になるか否かをソフトウェア的にモニタすることによって、ＡＯＣＥの動作異常を検知するようにしても良い。

主系であるＡＯＣＥ１００の制御部５０１がＦＤＩＲ１０６から故障を意味する信号を受信すると(ステップ４０１)、制御部５０１は、バックアップ系ＡＯＣＥ２００の電源を投入する（ステップ４０２）。ＡＯＣＥ２００の電源の投入は、Ｉ／Ｏ１０７を介して、電源ＯＮ信号をＡＯＣＥ２００へ送信することにより行う。

これによって、ＡＯＣＥ２００は、電源がＯＮされる（ステップ４２１）。
そして、ＡＯＣＥ２００の電源がＯＮされると、ＡＯＣＥ２００の制御部５０１ｂは、書込禁止信号出力部５０４ｂにＡＯＣＥ２００のＩ／Ｏ２０１ｂからＡＯＣＥ１００のトランシーバ２０３に対し、書込み禁止信号（ｍｅｍｏｒｙａｃｃｅｓｓｄｉｓａｂｌｅ）を出力させる（ステップ４２２）。この際、ＡＯＣＥ２００が正常動作するか否かの動作確認が適宜実施されても良い。

ＡＯＣＥ１００のトランシーバ２０３は、ＡＯＣＥ１００のＣＰＵ１０１における制御部５０１や姿勢軌道情報書込部５０２などの他の機能からメモリーエリアＢ２０４へのアクセスを遮断する（ステップ４０３）。

ＡＯＣＥ２００の制御部５０１ｂは、他系情報取得部５０５ｂに対し、データバス１０９ｂおよびＩ／Ｏ２０１ｂを介してＡＯＣＥ１００のメモリーエリアＢ２０４に保持されているデータを読み出す。その後、読み出したデータを自身のメモリーエリアＡ１０５ｂおよびメモリーエリアＢ２０４ｂに格納させる（ステップ４２３）。

ＡＯＣＥ２００の制御部５０１ｂは、ＡＯＣＥ１００の電源を切断する（ステップ４２４、４０４）。電源の切断は、Ｉ／Ｏ１０８ｂを介して電源ＯＦＦ信号をＡＯＣＥ１００に送信することにより行う。

ＡＯＣＥ２００の制御部５０１ｂは、自身のメモリーエリアＡ１０５ｂに保持された情報を用いて、現時点の姿勢、軌道を算出する。これによってＡＯＣＥ２００が主系に切り替わって定常時の動作へ移行する。

以上、本実施の形態による故障時の切り替え処理について説明した。
上述のように、本実施の形態によれば、常に、人工衛星の姿勢を所定の状態に保つために必要十分な情報が一旦、メモリーエリアＢ２０４に保持され、故障時に系の移行前に当該情報がメモリーエリアＢ２０４を介してバックアップ系に移行される。従って、移行時にバックアップ系での制御情報の算出が容易となり、主系の故障により系の移行を行わなければならない場合、衛星通信や衛星放送などのサービスの中断、質の低下を防ぐことができる。

なお、上記の実施形態では、メモリーエリアＢ２０４の電源は、ＡＯＣＥの全体の電源系から供給されていてもよいし、メモリーエリアＢ２０４の電源系を独立させるよう構成してもよい。独立させることにより、ＡＯＣＥの電源系が故障した場合であっても、メモリーエリアＢ２０４に姿勢，軌道情報を保持することが可能となり、装置全体の信頼性が高まり、故障時の移行がスムーズに行われ、サービスの中断、質の低下を最小限に抑える可能性が高まる。

実施の形態２．
本実施の形態は、実施の形態１の他の形態を示すものであり、メモリーエリアＢ２０４を、主系のＡＯＣＥとバックアップ系のＡＯＣＥの外に配設するよう構成したことを特徴とする。以下の説明では、ＡＯＣＥ１００が主系、ＡＯＣＥ２００がバックアップ系の場合を例に説明する。なお、実施の形態１の説明と同様、図において、冗長系の切り替え動作を説明するための主な構成のみ記載し、区別する必要がある場合は、ＡＯＣＥ２００の構成については、ＡＯＣＥ１００と同じ構成要素の符号にｂを付している。

図５に実施の形態２によるＡＯＣＥの全体構成図を示す。この全体構成図に示すように、本実施の形態では、独立したメモリーエリアＢ２０４を収納するバックアップメモリユニット８００が設置される。また、ＡＯＣＥ１００、２００は、主系、バックアップ系ともに同一構成であるため、図１の構成に加えて、さらにバックアップメモリへのデータ出力とバックアップメモリからのデータ入力を行うことができるインターフェース部８０１、８０１ｂを持つ。図において、ＡＯＣＥ２００については、ＡＯＣＥ１００と同一構成であるので、ＣＰＵ１０１ｂ、Ｉ／Ｏ１０８ｂ、メモリーエリアＡ１０５ｂ、入力インターフェース部６０３ｂ、インターフェース部８０１ｂのみ図示している。

図の例では、主系のＡＯＣＥ１００から通常動作時の姿勢，軌道情報を含む制御情報を出力し、この出力情報をバックアップメモリユニット８００が受信する。受信したデータは、メモリーエリアＢ２０４に格納していく。ＦＤＩＲ１０６がＡＯＣＥ内部の故障を検知し、主系のＡＯＣＥ１００からバックアップ系のＡＯＣＥ２００への切り替えが発生すると、バックアップ系のＡＯＣＥ２００より書込み禁止信号（ｍｅｍｏｒｙａｃｃｅｓｓｄｉｓａｂｌｅ）が出力され、主系のＡＯＣＥ１００からの姿勢，軌道情報の出力を禁止する。そして、バックアップ系のＡＯＣＥ２００は、バックアップメモリユニット８００のメモリーエリアＢ２０４から格納された特定の制御情報を読み出す。

図６に実施の形態２によるＡＯＣＥ１００、２００と、バックアップメモリユニット８００の構成例を示す。図中、同一符号のものは、実施の形態１と同様の構成および機能を有する。インターフェース部８０１は、出力インターフェース部６０１と、タイミング発生部６０２と、入力インターフェース部６０３を備えて構成される。メモリユニット８００は、アクセス制御部７０２と、入力インターフェース部７０１と、データ出力部７０３と、メモリーエリアＢ２０４を備えて構成される。

図において、ＡＯＣＥ１００から姿勢，軌道情報が出力される際、まず、出力インターフェース部６０１へ姿勢，軌道情報が入力されセットされる。次いで、ＡＯＣＥ１００のＣＰＵ１０１からの命令で、タイミング発生部６０２に出力のトリガが入力される。

続いて、タイミング発生部６０２で生成される出力タイミング情報および制御信号に基づいて、所望のタイミングでタイミング発生部６０２から制御信号が出力され、出力インターフェース部６０１から姿勢，軌道情報が出力される。この制御信号がメモリユニット８００の有するアクセス制御部７０２で受信されると、受信に応じて入力インターフェース部７０１へタイミング信号を出力し、入力インターフェース部７０１では姿勢，軌道情報のデータの受信が行われる。

また、アクセス制御部７０２は、メモリーエリアＢ２０４に対してアドレスの生成とアクセス制御信号を出力し、これに応じて、入力インターフェース部７０１が受信したデータをメモリーエリアＢ２０４へ書き込む処理が行われる。

次に、ＡＯＣＥが主系のＡＯＣＥ１００からバックアップ系のＡＯＣＥ２００へ切り替わると、ＡＯＣＥ２００のタイミング発生部６０２ｂからデータ読み出しのための制御信号が生成され、生成された制御信号がバックアップメモリユニット８００へ出力される。

バックアップメモリユニット８００はこの出力された制御信号を受信すると、アクセス制御部７０２によってメモリーエリアＢ２０４からのデータの読み出し動作が起動される。このデータの読み出し動作が開始されると、ＣＰＵ１０１ｂにおける制御情報の計算に必要な情報がすべてＡＯＣＥ２００へ出力される。メモリーエリアＢ２０４から出力されるデータは、データ出力部７０３を介してバックアップ系のＡＯＣＥ２００へ出力され、出力データがＡＯＣＥ２００のデータ入力部６０３ｂで受信される。

そして、ＡＯＣＥ２００のＣＰＵ１０１ｂは、受信したデータをＡＯＣＥ２００のメモリーエリアＡ１０５ｂに格納する。その後、ＡＯＣＥ２００のＣＰＵ１０１ｂは、ＡＯＣＥ１００の電源を切断（ＯＦＦ）する。この電源の切断は、ＣＰＵ１０１ｂが出力インターフェース部１０８ｂを介して、電源ＯＦＦ信号をＡＯＣＥ１００に送信することにより行う。この際、ＡＯＣＥ２００がバックアップメモリユニット８００からメモリーエリアＢ２０４のデータを読み出す前に、事前にＡＯＣＥ１００の電源をＯＦＦしておく。
なお、実施の形態１と同様に、ＡＯＣＥ１００の故障検知後、故障したＡＯＣＥ１００からの誤アクセスを防止するために、ＡＯＣＥ２００が、ＡＯＣＥ１００からメモリーエリアＢ２０４へのデータの書込みを禁止するための書込禁止信号を、バックアップメモリユニット８００に送信しても良い。

ＡＯＣＥ２００のＣＰＵ１０１ｂは、メモリーエリアＡ１０５ｂに保持された情報を用いて、現時点の姿勢、軌道を算出する。これによってＡＯＣＥ２００が主系として定常時の動作へ移行する。

以上のように、本実施の形態では、実施の形態１のように主系からバックアップ系への移行前に、バックアップ系からメモリーエリアＢ２０４内の情報を取得する処理は不要となり、衛星放送や衛星通信などのサービスの中断、質の低下を最小限に抑えることができる。

この発明の実施の形態１によるＡＯＣＥの構成を示す図である。この発明の実施の形態１によるＡＯＣＥの制御部の構成を示す図である。この発明の実施の形態１によるＡＯＣＥの正常時の動作フローを示す図である。この発明の実施の形態１によるＡＯＣＥの主系からバックアップ系への移行時の動作フローを示す図である。この発明の実施の形態２によるＡＯＣＥとバックアップメモリユニットの接続構成を示す図である。この発明の実施の形態２によるＡＯＣＥとバックアップメモリユニットの構成を示す図である。

符号の説明

１００ＡＯＣＥ、１０１ＣＰＵ、１０５メモリーエリアＡ、１０６ＦＤＩＲ、１０７Ｉ/Ｏ、１０８Ｉ/Ｏ、２００ＡＯＣＥ、２０１Ｉ/Ｏ、２０３，２０３ｂトランシーバ、２０４，２０４ｂメモリーエリアＢ、８００バックアップメモリユニット、８０１，８０１ｂインターフェース部。

Claims

同一構成から成る主系の制御装置とバックアップ系の制御装置とを、切り替え可能な冗長系を成す衛星搭載用制御装置であって、
上記主系およびバックアップ系の制御装置は、
衛星の状態を示す情報を格納する第１のメモリと、
上記第１のメモリに格納される衛星の状態を示す情報のうち特定の情報を格納する第２のメモリと、
上記第２のメモリのデータの読み出しまたは書き込みを行うトランシーバと、
上記衛星の状態を示す情報に基づいて、衛星の動態制御を行うための制御指令情報を算出するともに、上記第１のメモリに対するデータの書込みを制御し、上記トランシーバを介した上記第２のメモリに対するデータの書込みを制御する制御部と、
上記第２のメモリに格納される特定の情報を上記主系およびバックアップ系のそれぞれの他系に出力するインターフェース回路と、
制御装置内部の異常を検知する監視部と、
をそれぞれ備え、
上記主系の監視部は、上記主系の制御装置内部での異常の発生を検知した場合に上記バックアップ系の制御装置を起動し、
上記バックアップ系のインターフェース回路は、上記バックアップ系の制御装置の起動後に、上記主系のトランシーバに対して上記主系の第２のメモリへの特定の情報の書込みを禁止し、
上記バックアップ系の制御部は、上記インターフェース回路を介して上記主系の第２のメモリから特定の情報を読み出し、当該主系の第２のメモリから読み出した特定の情報を上記バックアップ系のトランシーバを介して上記バックアップ系の第２のメモリへ書き込んだ後、上記主系の制御装置の電源を切断し、上記バックアップ系の第２のメモリから特定の情報を読み出して当該特定の情報に基づいて制御指令情報の算出を開始する、
ことを特徴とした衛星搭載用制御装置。
上記衛星の状態を示す情報は、衛星に搭載された太陽センサもしくは地球センサにより得られた角度情報と、衛星の軌道六要素、パドル角度、および時刻の情報とを有し、
上記特定の情報は、上記衛星に搭載された太陽センサもしくは地球センサにより得られた角度情報を除き、少なくとも上記衛星の軌道六要素、パドル角度、および時刻の情報を有したことを特徴とした請求項１記載の衛星搭載用制御装置。
上記制御部は、上記制御指令情報に基づいてアクチュエータを駆動し、衛星の姿勢および軌道位置を制御することを特徴とする請求項１記載の衛星搭載用制御装置。