JP7132837B2 - 独立連動冗長システム - Google Patents

Description

本発明は、独立連動冗長システムに関する。

従来から、航空機等には飛行制御等のために複数のプロセッサを備えるシステムが搭載されており、１つのプロセッサで故障が生じても、航空機の飛行等に影響が生じないようにするためにシステムの冗長化が図られている。
そして、複数のプロセッサを備えるシステムを冗長化する際の手法として、従来から、種々の手法が考案されている。

例えば、特許文献１では、複数のプロセッサと冗長系のプロセッサとを備えたシステムにおいて、プロセッサが故障した際に、冗長系のプロセッサが故障したプロセッサの論理的設定を受け継ぐことで、論理的な接続を変更せずに運用が継続されるようにした技術が開示されている。
また、特許文献２では、複数のプロセッサと冗長系のプロセッサとを備えたシステムにおいて、プロセッサが故障した際に、プロセッサ間でメモリ内容を比較して故障したプロセッサを特定し、冗長系のプロセッサが故障していないプロセッサからメモリ内容をコピーしてシステムを復元する技術が開示されている。

特開２００４－２８０８５３号公報 特開平８－２５５０９１号公報

ところで、上記のいずれのシステムも、プロセッサが故障してから冗長系のプロセッサに切り替わるまでの間に、プロセッサによる制御対象に対する制御が行われなくなる期間が発生したり、制御対象に対する制御のタイミングが遅れてしまう場合がある。
しかしながら、このようにプロセッサによる制御対象の制御が行われなくなったり（すなわちプロセッサによる制御が中断したり）制御のタイミングが遅れたりすると、例えば航空機が飛行不能に陥るなど、航空機等の安全性等に重大な問題が生じる可能性がある。

本発明は、上記の問題点を鑑みてなされたものであり、複数のプロセッサを備えるシステムにおいて、プロセッサが故障しても、プロセッサによる制御対象に対する制御が行われなくなったり制御のタイミングが遅れたりすることなく制御を継続して行うことが可能なシステム（独立連動冗長システム）を提供することを目的とする。

前記の問題を解決するために、請求項１に記載の発明は、独立連動冗長システムにおいて、
単数又は複数の制御対象と、
前記制御対象に対して、互いに独立に、かつ、交代で制御指令を送信する複数の作動プロセッサと、
単数又は複数の待機プロセッサと、
を備え、
前記待機プロセッサは、
前記作動プロセッサのうちの１つが故障すると、待機状態からウォーミングアップ状態に遷移し、
ウォーミングアップ状態では、故障していない前記作動プロセッサが前記制御対象に送信した前記制御指令と同じ制御指令を、故障した前記作動プロセッサが前記制御指令を送信するはずであったタイミングで前記制御対象に送信し、
ウォーミングアップが完了した後は、制御指令を自ら割り出して、故障していない前記作動プロセッサとは互いに独立に、かつ、交代で制御指令を送信することを特徴とする。

請求項２に記載の発明は、請求項１に記載の独立連動冗長システムにおいて、システム内にｎ個の前記作動プロセッサが存在する場合、前記待機プロセッサは、前記作動プロセッサのうちの１つが故障したタイミングに続く１番目からｎ－１番目の各タイミングでは制御指令を送信せず、ｎ番目のタイミングで制御指令を送信することを特徴とする。

請求項３に記載の発明は、請求項１又は請求項２に記載の独立連動冗長システムにおいて、前記待機プロセッサは、前記故障していない作動プロセッサが送信した前記制御指令と、ウォーミングアップ状態で独自に割り出した制御指令との差異が、所定の誤差範囲内に収まった場合に、ウォーミングアップが完了したと判断することを特徴とする。

本発明によれば、複数のプロセッサを備えるシステムにおいて、プロセッサが故障しても、プロセッサによる制御対象に対する制御が行われなくなったり制御のタイミングが遅れたりすることなく制御を継続して行うことが可能となる。

本実施形態に係る独立連動冗長システムの構成の一例を表す図である。 図１の独立連動冗長システムにおいて作動プロセッサ３αが故障したことを表す図である。 管理装置を備える独立連動冗長システムの構成の一例を表す図である。

以下、本発明に係る独立連動冗長システムの実施の形態について、図面を参照して説明する。
なお、以下では、独立連動冗長システム１が、２個の作動プロセッサ３α、３βと１個（単数）の待機プロセッサ３γとを備えて構成されており、制御対象２が１個（単数）である場合について説明するが、本発明はこの場合に限定されず、作動プロセッサが３個以上であったり、待機プロセッサが２個以上（すなわち複数）であったり、制御対象が２個以上（すなわち複数）であるような場合にも適用される。

また、以下では、制御対象２がコントローラ２ａを有しており、コントローラ２ａが制御対象２を制御するために必要なパラメータを作動プロセッサ３α、３βや待機プロセッサ３γから制御対象２のコントローラ２ａに送信することで、作動プロセッサ３α、３βや待機プロセッサ３γが制御対象２を制御する場合を例示して説明する。

しかし、作動プロセッサ３α、３βや待機プロセッサ３γによる制御対象の制御のしかたはこれに限定されず、例えばデータや命令、信号等を送信することで制御するように構成されていてもよく、制御対象の態様やシステムの構築のしかた等によって種々の制御のしかたがあり得る。
以下、作動プロセッサや待機プロセッサが制御対象を制御するために制御対象に送信するパラメータやデータ、命令、信号等をまとめて制御指令という。

さらに、作動プロセッサや待機プロセッサから制御対象に制御指令を送信するタイミングは、例えば、制御対象から作動プロセッサ等に送信される送信要求に基づいて作動プロセッサ等が制御指令を送信する場合には、制御対象から作動プロセッサ等に送信要求が送信されるタイミングである。
また、例えば、作動プロセッサや待機プロセッサ、制御対象等を同期させるための外部クロックに基づいて作動プロセッサ等から制御対象に制御指令が送信される場合には、外部クロックが発信されるタイミングということになる。
このように、作動プロセッサや待機プロセッサから制御対象に制御指令を送信するタイミングは、システムの構築のしかた等によって種々のケースがあり得る。

図１は、本実施形態に係る独立連動冗長システムの構成の一例を表す図である。
独立連動冗長システム１は、制御対象２と、制御対象２に対して、互いに独立に、かつ、交代で制御指令を送信する複数の作動プロセッサ３α、３βと、待機プロセッサ３γとを備えている。

本実施形態では、制御対象２と作動プロセッサ３α、３β、待機プロセッサ３γは通信ネットワークＮを介して接続されており、以下、このように構成されている場合について説明するが、それらが通信ネットワークＮを介さずに互いに直接接続されていてもよく、それらの接続のしかたは通信ネットワークＮを介する場合には限定されない。
また、以下では、作動プロセッサ３α、３βが通信ネットワークＮに制御指令を送信する等の表現を用いる場合があるが、その場合は、制御対象２は通信ネットワークＮからその制御指令を受信することになり、結局、作動プロセッサ３α、３βから制御対象２に制御指令が送信されることになる。

前述したように、制御対象２は、コントローラ２ａを有しておる。そして、コントローラ２ａは、通信ネットワークＮから（すなわち通信ネットワークＮを介して作動プロセッサ３α、３βから）制御指令を受信すると、それに基づいて制御対象２の制御を行うようになっている。
なお、制御対象２は、必ずしもコントローラ２ａを有するものでなくてもよく、作動プロセッサによる制御を受けることができるものであればどのような構成であってもよい。

作動プロセッサ３α、３βや待機プロセッサ３γは、例えばコンピュータ等で構成されている。
まず、作動プロセッサ３α、３βについて説明すると、本実施形態では、作動プロセッサ３α、３βは、システム内に複数設けられている。そして、本実施形態では、作動プロセッサ３α、３βは、所定のタイミングが到来すると、制御対象２に送信するべき制御指令（この場合はパラメータ）を割り出して通信ネットワークＮに送信し、制御指令の送信が終了すると通信ネットワークＮに終了信号を送信するようになっている。

このように、本実施形態では、各作動プロセッサは、他の作動プロセッサと連絡を取り合うことはなく、前述したように制御対象から送信要求が送信されてくるタイミングや同期を取るための外部クロックのタイミング等を各自で監視し、それに基づいて互いに独立に制御指令を送信するようになっている。
本実施形態に係る独立連動冗長システム１の「独立」は、このように、各作動プロセッサが互いに独立に制御対象２に対して制御指令を送信することを表すものである。

また、作動プロセッサ３α、３βは、通信ネットワークＮに対して（すなわち制御対象２に対して）、交代で制御指令を送信するようになっている。図１の場合は作動プロセッサ３α、３βが２個であるため交互に制御指令を送信するようになっている。
そのため、制御対象２から見た場合、各タイミングで作動プロセッサ３α、３βから適切に制御指令が送信されてくる。

本実施形態に係る独立連動冗長システム１の「連動」は、このように、制御対象２に対する制御としては各作動プロセッサが交代しながら制御指令を送信し、あたかも連動しているように制御対象２の制御が行われることを表すものである。なお、「連動」は各作動プロセッサが他の作動プロセッサと連絡を取り合って制御を行うことを意味するものではない。
本実施形態では、このように、複数の作動プロセッサは（通信ネットワークＮを介して）制御対象２に対して、互いに独立に、かつ、交代で制御指令を送信するように構成されている。

具体的に説明すると、独立連動冗長システム１のｎ個の各作動プロセッサは、上記のタイミングをそれぞれ個別に監視しており、あるタイミングで制御指令を割り出して送信すると、続く１番目からｎ－１番目の各タイミングでは制御指令の割り出しを行わず、ｎ番目のタイミングで制御指令を割り出して送信する。
そして、各作動プロセッサがこの動作を１タイミングずつずらして互いに独立に行うことで、各タイミングごとに作動プロセッサが交代で制御指令を制御対象２に送信する状態が形成されるようになっている。

この場合、各作動プロセッサに、独立連動冗長システム１内の作動プロセッサの個数ｎを予め入力しておく。
そして、各作動プロセッサに最初に処理を行うタイミングをそれぞれ指示すれば、その後は、各作動プロセッサが自動的に自らが処理を行うべきタイミングで制御指令を割り出して送信するようになるため、各作動プロセッサが交代で制御指令を送信する状態が形成される。

例えば、本実施形態に係る独立連動冗長システム１のように、作動プロセッサが３α、３βの２個存在する場合には、各タイミングで３α、３β、３α、３β、…の順番に交代で（交互に）制御指令を送信する状態になる。
また、例えば、独立連動冗長システム１中に作動プロセッサがＡ、Ｂ、Ｃの３個存在する場合には、各タイミングごとにＡ、Ｂ、Ｃ、Ａ、Ｂ、Ｃ、…の順番に交代で制御指令を送信する状態になる。

なお、上記のように、各作動プロセッサは上記のタイミングをそれぞれ個別に監視し、タイミングに基づいて制御指令の割り出しや送信を行う。
そのため、本実施形態に係る独立連動冗長システム１では、複数の作動プロセッサのうちの１つの作動プロセッサが故障しても、故障した作動プロセッサが行っていた処理を他の作動プロセッサが引き継いで行うようなことはなく、各作動プロセッサは、それまで行っていた自らの処理をそれぞれ淡々と継続して行うようになっている。

次に、待機プロセッサ３γについて説明する。
本実施形態に係る独立連動冗長システム１では、複数の作動プロセッサのうちの１つの作動プロセッサが故障した場合に、故障した作動プロセッサが行っていた処理を待機プロセッサが引き継いで行うようになっている。

なお、待機プロセッサによる処理の引き継ぎが一時的なものか（この場合は故障した作動プロセッサを修理したり別の作動プロセッサに交換する等した後、作動プロセッサに処理を戻す。）、あるいは永続的なものか（この場合は処理を引き継いだ待機プロセッサをその後も作動プロセッサとして使用する。）は、独立連動冗長システム１の使用状況等に基づいて適宜決められる。

待機プロセッサ３γは、作動プロセッサのうちの１つが故障すると、待機状態からウォーミングアップ状態に遷移するようになっている。
そして、ウォーミングアップ状態では、故障していない作動プロセッサ３βが制御対象２に送信した制御指令と同じ制御指令を、故障した作動プロセッサ３αが送信するはずであったタイミングで制御対象２に送信する。
また、ウォーミングアップが完了した後は、作動プロセッサと同等なものとなり、故障していない作動プロセッサ３βとは互いに独立に、かつ、交代で制御指令を送信するようになっている。

以下、待機プロセッサ３γの動作等について具体的に説明する。
以下では、図２に示すように、独立連動冗長システム１において、作動プロセッサ３αが故障した場合（図中の×印参照）を例示して説明する。

なお、待機プロセッサ３γは、構成としては作動プロセッサ３α、３βと全く同等であり、待機プロセッサ３γとして特別な構成を有しているわけではない。
また、待機プロセッサ３γが待機状態やウォーミングアップ状態であるという場合、制御対象２の制御に関しては待機状態やウォーミングアップ状態にあるということであり、その間、待機プロセッサ３γは、制御対象２の制御以外の他の処理を行っていてもよく、また、他の処理を行わずに待機していてもよい。

本実施形態では、待機プロセッサ３γは、独立連動冗長システム１内の作動プロセッサの個数ｎ（この場合はｎ＝２）の情報を予め有している。
そして、待機プロセッサ３γは、作動プロセッサ３α、３βと同様に上記のタイミングを監視するとともに、各タイミングごとに終了信号が通信ネットワークＮから送られてきたか否かを監視する。この場合、終了信号が作動プロセッサ３α、３βのいずれから送信されたものかを待機プロセッサ３γが認識する必要はない。

そして、本実施形態では、待機プロセッサ３γは、タイミングが到来したにもかかわらずそれに対応する終了信号が通信ネットワークＮから送られてこない場合に、作動プロセッサのうちの１つが故障したと判断し、その時点で待機状態からウォーミングアップ状態に遷移するようになっている。
なお、その際、待機プロセッサ３γは、故障した作動プロセッサがどの作動プロセッサであるかを認識する必要はない。

そして、待機プロセッサ３γは、故障した作動プロセッサ３αを引き継いで、故障した作動プロセッサ３αが送信するはずであったタイミングで通信ネットワークＮに（すなわち制御対象２に）制御指令を送信するようになっている。
すなわち、待機プロセッサ３γは、終了信号が通信ネットワークＮから送られてこなかったタイミングの次のタイミングでは制御指令の割り出しを行わず（このタイミングでは作動プロセッサ３βが制御指令を送信する。）、その次のタイミングで制御指令を割り出して送信する。

すなわち、この場合は、待機プロセッサ３γは、作動プロセッサ３βと交互のタイミングで制御指令を制御対象２に送信することになる。
なお、一般的に、独立連動冗長システム１内にｎ個の作動プロセッサが存在する場合には、待機プロセッサは、終了信号が送られてこなかったタイミング（すなわち作動プロセッサのうちの１つが故障したタイミング）に続く１番目からｎ－１番目の各タイミングでは制御指令の割り出しを行わず（これらのタイミングでは作動プロセッサが制御指令を送信する。）、ｎ番目のタイミングで制御指令を割り出して送信することになる。

しかし、待機プロセッサ３γは、ウォーミングアップ状態では、プログラムを起動させたりモードを変更したり内部パラメータの積分等の必要な演算処理等を行う必要があり、その間、制御指令（この場合はパラメータ）を割り出すことができなかったり、割り出した制御指令が適切なものでなかったりする場合がある。
そこで、本実施形態では、待機プロセッサ３γは、ウォーミングアップ状態では、故障していない作動プロセッサ３βが制御対象２に送信した制御指令と同じ制御指令を、故障した作動プロセッサ３αが制御指令を送信するはずであったタイミング（すなわち上記のｎ番目のタイミング）で送信するようになっている。

すなわち、上記の例では、待機プロセッサ３γは、ウォーミングアップ状態では、あるタイミングで作動プロセッサ３βが送信した制御指令が通信ネットワークＮから送られてくると、それを一旦メモリに保存し、次のタイミングでその制御指令（すなわち作動プロセッサ３βが送信した制御指令と同じ制御指令）をメモリから読み出して通信ネットワークＮを介して制御対象２に送信する。

そのため、例えば、仮に作動プロセッサ３αが故障していないとしたときに作動プロセッサ３βと作動プロセッサ３αから各タイミングで交互に１、２、３、４、５、…の各制御指令（パラメータ）を送信するような場合、同じ状況で、作動プロセッサ３αが故障しており待機プロセッサ３γがまだウォーミングアップ状態である場合には、作動プロセッサ３βと待機プロセッサ３γから各タイミングで交互に１、１、３、３、５、…の各制御指令（パラメータ）が送信されることになる。

本実施形態に係る独立連動冗長システム１では、このように、本来、各タイミングごとに制御指令（パラメータ）が１ずつ増加するようなケースでも、同じ制御指令（パラメータ）が繰り返されて制御対象２に送信されたり制御指令（パラメータ）が２ずつ増加する状態になる場合があり、制御対象２に対する制御が滑らかでなくなる可能性がある。
しかし、少なくとも制御対象２に制御指令を送信するべきタイミングで制御指令が送信されなかったり制御指令を送信するタイミングが遅れたりすることなく、各タイミングで制御指令を確実に制御対象２に送信することが可能となる。

そのため、本実施形態に係る独立連動冗長システム１では、前述した従来のシステムのように、作動プロセッサの１つが故障した場合に、作動プロセッサによる制御対象２の制御が行われなくなったり制御のタイミングが遅れたりするといった問題が生じることはなく、制御対象２に対する制御を適切なタイミングで継続して行うことが可能となる。

なお、独立連動冗長システム１内に作動プロセッサが３個以上ある場合は（ｎ≧３）、例えば、待機プロセッサは、終了信号が通信ネットワークＮから送られてこなかったタイミングに続く１番目からｎ－１番目の各タイミングでは制御指令の割り出しを行わないが、ｎ－１番目のタイミングで通信ネットワークＮから送られてきた制御指令を一旦メモリに保存する。
そして、ｎ番目のタイミングすなわち待機プロセッサが制御指令を送信するタイミングでその制御指令（すなわち故障していない作動プロセッサがｎ－１番目に送信した制御指令と同じ制御指令）をメモリから読み出して通信ネットワークＮを介して制御対象２に送信するように構成することが可能である。

一方、ウォーミングアップ状態の待機プロセッサ３γで内部パラメータの積分等の必要な演算処理等が進んでウォーミングアップが完了すると、制御指令（この場合はパラメータ）を適切に割り出すことができる状態になる。
そのため、本実施形態では、待機プロセッサ３γは、ウォーミングアップが完了した後は、制御指令を自ら割り出して、故障していない作動プロセッサ３βとは互いに独立に、かつ、交代で制御指令を送信するようになっている。

その場合、例えば、待機プロセッサ３γは、上記のように他の作動プロセッサ３βが送信した制御指令（待機プロセッサ３γのメモリに保存された制御指令）と、ウォーミングアップ状態の待機プロセッサ３γが独自に割り出した制御指令との差異が、所定の誤差範囲内に収まった場合に、待機プロセッサ３γのウォーミングアップが完了し、他の作動プロセッサ３βと同様に制御指令を適切に割り出すことができる状態になったと判断するように構成することが可能である。
本実施形態に係る独立連動冗長システム１では、以上のようにして、１つの作動プロセッサが故障しても、他の作動プロセッサや待機プロセッサが適切なタイミングで、互いに独立に、かつ、交代で制御対象２に対して制御指令を送信する状態を復元することが可能となる。

以上のように、本実施形態に係る独立連動冗長システム１によれば、作動プロセッサのうちの１つが故障すると、待機プロセッサが待機状態からウォーミングアップ状態に遷移する。そして、待機プロセッサは、ウォーミングアップ状態では、故障していない作動プロセッサが制御対象に送信した制御指令と同じ制御指令を、故障した作動プロセッサが制御指令を送信するはずであったタイミングで制御対象に送信する。そして、ウォーミングアップが完了した後は、作動プロセッサとして、故障していない作動プロセッサとは互いに独立に、かつ、交代で制御指令を送信する。

そのため、本実施形態に係る独立連動冗長システム１では、作動プロセッサが故障しても、作動プロセッサによる制御対象に対する制御が行われなくなったり制御のタイミングが遅れたりすることなく、適切なタイミングで制御を継続して行うことが可能となる。
そのため、作動プロセッサが故障しても、作動プロセッサによる制御対象の制御が行われなくなったり（すなわちプロセッサによる制御が中断したり）制御のタイミングが遅れたりする事態は生じず、航空機が飛行不能に陥るなど、航空機等の安全性等に重大な問題が生じることを的確に回避することが可能となる。

なお、本発明が上記の各実施形態等に限定されず、本発明の趣旨を逸脱しない限り、適宜変更可能であることは言うまでもない。
例えば、上記の実施形態では、待機プロセッサが、故障した作動プロセッサがどの作動プロセッサであるかを特定せずに処理を行うように構成されている場合について説明したが、故障した作動プロセッサを特定するように構成することも可能である。

また、例えば、図３に示すように、独立連動冗長システム１に管理装置４を設けておき、作動プロセッサのうちの１つが故障した際に、管理装置４が待機プロセッサ３γを待機状態からウォーミングアップ状態に遷移させる等の処理を行うように構成することも可能である。
すなわち、待機プロセッサ３γが、管理装置４の指示に従って上記の各処理を行うように構成することも可能である。

そして、故障した作動プロセッサの処理を引き継いだ待機プロセッサ３γをその後も作動プロセッサとして使用する場合には、待機プロセッサ３γのウォーミングアップが完了した時点で、管理装置４は待機プロセッサ３γに対する管理を停止するように構成することも可能である。
この場合、待機プロセッサ３γは、ウォーミングアップ後は、もはや管理装置４の管理を受けず、１個の独立した作動プロセッサとして、制御対象２の制御を継続して行うようになる。

１ 独立連動冗長システム
２ 制御対象
３α、３β 作動プロセッサ
３α 故障した作動プロセッサ
３β 故障していない作動プロセッサ
３γ 待機プロセッサ

Claims (3)

1. 単数又は複数の制御対象と、
   前記制御対象に対して、互いに独立に、かつ、交代で制御指令を送信する複数の作動プロセッサと、
   単数又は複数の待機プロセッサと、
   を備え、
   前記待機プロセッサは、
   前記作動プロセッサのうちの１つが故障すると、待機状態からウォーミングアップ状態に遷移し、
   ウォーミングアップ状態では、故障していない前記作動プロセッサが前記制御対象に送信した前記制御指令と同じ制御指令を、故障した前記作動プロセッサが前記制御指令を送信するはずであったタイミングで前記制御対象に送信し、
   ウォーミングアップが完了した後は、制御指令を自ら割り出して、故障していない前記作動プロセッサとは互いに独立に、かつ、交代で制御指令を送信することを特徴とする独立連動冗長システム。
2. システム内にｎ個の前記作動プロセッサが存在する場合、前記待機プロセッサは、前記作動プロセッサのうちの１つが故障したタイミングに続く１番目からｎ－１番目の各タイミングでは制御指令を送信せず、ｎ番目のタイミングで制御指令を送信することを特徴とする請求項１に記載の独立連動冗長システム。
3. 前記待機プロセッサは、前記故障していない作動プロセッサが送信した前記制御指令と、ウォーミングアップ状態で独自に割り出した制御指令との差異が、所定の誤差範囲内に収まった場合に、ウォーミングアップが完了したと判断することを特徴とする請求項１又は請求項２に記載の独立連動冗長システム。

Images