(57)【要約】【課題】計算機システム内のウォッチドッグタイマを確実に機能させ、故障検知システムの信頼性を向上させることのできる故障検知システムを得る。【解決手段】システムの統括制御を行うＣＰＵモジュール２と、外部センサとのインタフェースをとるセンサＩＦモジュール３と、故障診断を外部もしくは内部の診断要求によって実行する故障検知モジュール４とを備えて構成される故障検知システムにおいて、ＣＰＵモジュール２とセンサＩＦモジュール３の両モジュールの内部にそれぞれ故障診断の経過時間を計数するウォッチドッグタイマ（２１１、３１１）を備え、故障検知モジュール４は、ウォッチドッグタイマ２１１、３１１の読み取り結果に基づいて、いずれのモジュールで故障が発生したかを特定する。【選択図】図１
2010287168.tif 000002
【特許請求の範囲】
【請求項１】
システムの統括制御を行うＣＰＵモジュールと、
外部センサとのインタフェースをとるセンサＩＦモジュールと、
故障診断を外部もしくは内部の診断要求によって実行する故障検知モジュールと
を備えて構成される故障検知システムにおいて、
前記ＣＰＵモジュールと前記センサＩＦモジュールの両モジュールの内部にそれぞれ故障診断の経過時間を計数するウォッチドッグタイマを備え、
前記故障検知モジュールは、前記ＣＰＵモジュール内のウォッチドッグタイマと、前記センサＩＦモジュール内のウォッチドッグタイマとの読み取り結果に基づいて、いずれのモジュールで故障が発生したかを特定する
ことを特徴とする故障検知システム。
【請求項２】
請求項１に記載の故障検知システムにおいて、
前記ＣＰＵモジュール内のウォッチドッグタイマは、外部から受信した故障検知用データを処理する経過時間を計数し、
前記センサＩＦモジュール内のウォッチドッグタイマは、外部に故障検知用データを送信するまでの経過時間を計数する
ことを特徴とする故障検知システム。
【請求項３】
請求項１または２に記載の故障検知システムにおいて、
前記ＣＰＵモジュールおよび前記センサＩＦモジュールは、２系統以上の冗長構成を有しており、
前記故障検知モジュールは、故障が発生したことが特定されたモジュールに対して、故障が発生した系統から正常な系統への切換を行うための冗長切換信号を出力する
ことを特徴とする故障検知システム。
【請求項４】
請求項１または２に記載の故障検知システムを有する衛星と、
前記ＣＰＵモジュール内のウォッチドッグタイマ、および前記センサＩＦモジュール内のウォッチドッグタイマとＧＰＳを用いて同期されたウォッチドッグタイマをそれぞれ有する１以上の他の衛星と
で構成され、複数衛星が協調制御して飛行する衛星群に適用されることを特徴とする故障検知システム。
【請求項５】
請求項４に記載の故障検知システムにおいて、
協調制御された前記複数衛星のそれぞれは、衛星群の中でリング状の転送経路を構築して故障検知用のデータを転送し、
前記故障検知モジュールは、冗長構成として前記他の衛星に設けられたそれぞれのウォッチドッグタイマをさらに利用して故障検知を行う
ことを特徴とする故障検知システム。
【請求項６】
請求項４または５に記載の故障検知システムにおいて、
前記ＣＰＵモジュールは、２系統以上の冗長構成を有しており、
前記故障検知モジュールは、前記ＣＰＵモジュールの現在の系統で故障が発生したことを判断した場合には、故障が発生した系統から正常な系統への切換を行う
ことを特徴とする故障検知システム。
【請求項７】
請求項６に記載の故障検知システムにおいて、
前記複数衛星のそれぞれは、ＣＰＵモジュールにおいて、自己の故障検知モジュールによって、もしくは他の衛星や地上局によって故障が検知され、自身のＣＰＵモジュールの冗長切換が行われたときに、冗長切換の状態を他の衛星に開示するための冗長切換状態信号を出力することを特徴とする故障検知システム。
【請求項８】
請求項５ないし７のいずれか１項に記載の故障検知システムにおいて、
前記複数衛星のそれぞれは、前記リング状の転送経路を介して故障検知用のデータを転送することで故障検知を行う衛星の中に、制御不能な故障衛星が生じた場合には、前記故障衛星を除く残りの複数衛星により前記転送経路を再構築することを特徴とする故障検知システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、計算機システムの故障診断を行うために適用され、故障状態の経過時間を計数するウォッチドッグタイマを備えた故障検知システムに関する。
【背景技術】
【０００２】
人工衛星搭載の計算機システムにおける従来の故障診断は、次のように行われていた。まず、故障診断要求時に故障診断モジュール内部で、計算機システムを構成する各モジュールごとのエラーフラグを故障状態に設定する。次に、ウォッチドッグタイマのタイミングにより発生する各モジュールからのエラーフラグのリセット信号がエラーフラグをリセットするか否かを判断することで、各モジュールの故障検知を行っていた（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開昭５９−１４０５６９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、従来技術には、以下のような課題がある。
特許文献１に示すような従来の故障検知システムでは、故障診断の経過時間を計数するウォッチドッグタイマが故障した場合には、故障検知回路で立てられたエラーフラグが各モジュールからのリセット信号によりリセットされないこととなる。この結果、このリセット信号が、そのまま冗長切換信号として出力され、正常なモジュールに対しても冗長切換を行う可能性があるという問題があった。
【０００５】
本発明は、前記のような課題を解決するためになされたものであり、計算機システム内のウォッチドッグタイマを確実に機能させ、故障検知システムの信頼性を向上させることのできる故障検知システムを得ることを目的とする。
【課題を解決するための手段】
【０００６】
本発明に係る故障検知システムは、システムの統括制御を行うＣＰＵモジュールと、外部センサとのインタフェースをとるセンサＩＦモジュールと、故障診断を外部もしくは内部の診断要求によって実行する故障検知モジュールとを備えて構成される故障検知システムにおいて、ＣＰＵモジュールとセンサＩＦモジュールの両モジュールの内部にそれぞれ故障診断の経過時間を計数するウォッチドッグタイマを備え、故障検知モジュールは、ＣＰＵモジュール内のウォッチドッグタイマと、センサＩＦモジュール内のウォッチドッグタイマとの読み取り結果に基づいて、いずれのモジュールで故障が発生したかを特定するものである。
【発明の効果】
【０００７】
本発明に係る故障検知システムによれば、故障診断の経過時間を計数するウォッチドッグタイマを２つのモジュールに個別に持たせ、読み取ったウォッチドッグタイマに基づいて故障が発生したモジュールを特定する回路を備えることにより、計算機システム内のウォッチドッグタイマを確実に機能させ、故障検知システムの信頼性を向上させることのできる故障検知システムを得ることができる。
【図面の簡単な説明】
【０００８】
【図１】本発明の実施の形態１における故障検知システムの全体構成図を示すものである。
【図２】本発明の実施の形態１における故障検知回路の内部構造を示す図である。
【図３】本発明の実施の形態１における故障検知回路での信号状態の関係を示す図である。
【図４】本発明の実施の形態２における故障検知システムを含む全体構成図を示すものである。
【図５】本発明の実施の形態２において、故障が疑われる衛星が生じたときの複数衛星による故障検知システムの構成を示す図である。
【図６】本発明の実施の形態２において、４機以上の衛星が協調して飛行する衛星群による故障検知システムの構成を示す図である。
【図７】本発明の実施の形態２において、複数の衛星が協調して飛行する衛星群と地上局による故障検知システムの構成を示す図である。
【図８】本発明の実施の形態３において、複数の衛星が協調して飛行する衛星間で冗長切換状態を他の衛星に知らせる方式を示す図である。
【図９】本発明の実施の形態４において、複数の衛星が協調して飛行する衛星群の中で故障した衛星が生じたときに、複数の衛星による故障検知システムを再構成する方式を示す図である。
【発明を実施するための形態】
【０００９】
以下、本発明の故障検知システムの好適な実施の形態につき図面を用いて説明する。
【００１０】
実施の形態１．
図１は、本発明の実施の形態１における故障検知システムの全体構成図を示すものであり、計算機システム１と故障検知モジュール４を備えている。図１における計算機システム１は、プログラムを実行するＣＰＵモジュール２、外部機器とのインタフェースをとるセンサＩＦモジュール３、および各モジュールに電力を供給するための電力制御回路５を備えて構成されている。
【００１１】
ＣＰＵモジュール２は、ＣＰＵボードＡ系２１とＣＰＵボードＢ系２２の２つの系統からなる冗長構成としている。このＣＰＵモジュール２は、衛星の姿勢・軌道制御機能、システム管理機能、データ処理機能、データレコード機能を有する。また、ＣＰＵモジュール２と同様に、センサＩＦモジュール３は、センサＩＦボードＡ系３１とセンサＩＦボードＢ系３２の２つの系統からなる冗長構成をとる。このセンサＩＦモジュール３は、外部センサとのインタフェースをとる機能を有する。
【００１２】
ＣＰＵボードＡ系２１およびＣＰＵボードＢ系２２のそれぞれは、故障診断時の経過時間を計数するＣＰＵボード内蔵ウォッチドッグタイマ（ＷＤＴ）２１１、ＣＰＵ２１２、および地上局もしくは他の衛星など外部との送受信データの処理を行う通信処理部２１３を備えている。また、センサＩＦボードＡ系３１およびセンサＩＦボードＢ系３２のそれぞれは、センサＩＦボード内蔵ＷＤＴ３１１を備えている。
【００１３】
一方、図１における故障検知モジュール４は、ボード単位での故障状態を判定する故障検知回路４１、および故障検知時にボードを切り換えるための冗長切換制御回路４２を備えて構成されている。
【００１４】
故障検知回路４１は、ＣＰＵボード内蔵ＷＤＴ２１１およびセンサＩＦボード内蔵ＷＤＴ３１１から、故障診断時において、故障診断開始直後に、それぞれパルス信号６ａ、６ｂを受信する。また、故障検知回路４１は、冗長切換タイミング信号１０としてパルス信号を発する。
【００１５】
図２は、本発明の実施の形態１における故障検知回路４１の内部構造を示す図である。図２において、ＣＰＵボード内蔵ＷＤＴ２１１からのパルス信号６ａと、センサＩＦボード内蔵ＷＤＴ３１１からのパルス信号６ｂは、故障状態判定部４１０に入力される。この故障状態判定部４１０は、故障診断開始直後のパルス信号に対し、立下りを検出することで、パルス信号６ａと６ｂが正常であるか異常であるかを判定する。そして、故障状態判定部４１０は、一定時間以上パルス信号が無く（すなわち、立下りを検出することができず）、Ｈｉｇｈ固定もしくはＬｏｗ固定の信号である場合には、異常とみなす。
【００１６】
故障状態判定部４１０は、パルス信号６ａに対する判定結果としてエラー判定信号４１ａを出力し、パルス信号６ｂに対する判定結果としてエラー判定信号４１ｂを出力する。なお、故障状態判定部４１０から出力されるエラー判定信号４１ａおよびエラー判定信号４１ｂは、正常なときにはＬｏｗ、異常なときはＨｉｇｈとなり、冗長切換要求信号として冗長切換制御回路４２に伝えられる。
【００１７】
さらに、故障状態判定部４１０は、受信したパルス信号６ａと６ｂを、そのまま異常信号処理部４１１に対して出力する。これに対して、異常信号処理部４１１は、受信したそれぞれのパルス信号６ａ、６ｂの状態に応じて、処理後の信号７ａ、７ｂを出力する。
【００１８】
具体的には、異常信号処理部４１１は、パルス信号６ａ、６ｂの状態が正常なパルス信号（すなわち、立下りを検出することができたもの）の場合には、入力したそのままの状態を、信号７ａ、７ｂとして出力する。一方、異常信号処理部４１１は、パルス信号６ａ、６ｂの状態が異常の場合には、その異常な信号が、Ｈｉｇｈ固定であればそのままＨｉｇｈ固定の状態を、Ｌｏｗ固定のであれば反転させてＨｉｇｈ固定の状態を、信号７ａ、７ｂとして出力する。
【００１９】
異常信号処理部４１１による処理後の信号７ａ、７ｂは、論理積回路４１２に入力され、ＡＮＤがとられる。
【００２０】
図３は、本発明の実施の形態１における故障検知回路４１での信号状態の関係を示す図である。より具体的には、ＷＤＴから出力されるパルス信号の状態別（正常／異常）に、故障検知回路４１の各部の信号（入力信号、処理信号、出力信号）を示す図である。この図３では、以下のような４つのパターンの信号状態について、まとめて示している。
［パターン１］信号６ａ、６ｂがどちらも正常なパルス信号の場合
［パターン２］信号６ａ、６ｂのうち、どちらか一方がＨｉｇｈ固定の異常信号の場合
［パターン３］信号６ａ、６ｂのうち、どちらか一方がＬｏｗ固定の異常信号の場合
［パターン４］信号６ａ、６ｂのうち、どちらもＨｉｇｈ固定もしくはＬｏｗ固定の異常信号の場合
【００２１】
各パターン別に、概要を説明する。
［パターン１］信号６ａ、６ｂがどちらも正常なパルス信号の場合
この場合、故障状態判定部４１０は、エラー判定信号４１ａおよび４１ｂをともに０として、冗長切換制御回路４２に対して出力する。また、異常信号処理部４１１は、信号６ａ、６ｂに対して何も処理を施さずに、信号７ａ、７ｂを出力する。この結果、論理積回路４１２の出力である冗長切換タイミング信号１０は、ＷＤＴから出力された信号と同じパルス信号となる。
【００２２】
［パターン２］信号６ａ、６ｂのうち、どちらか一方がＨｉｇｈ固定の異常信号の場合
この場合、故障状態判定部４１０は、Ｈｉｇｈ固定の異常信号を出力するボードの方に１を立ててエラー判定信号４１ａおよび４１ｂを生成し、冗長切換制御回路４２に対して出力する。また、異常信号処理部４１１は、信号６ａ、６ｂに対して何も処理を施さずに、信号７ａ、７ｂを出力する。この結果、論理積回路４１２の出力である冗長切換タイミング信号１０は、正常なＷＤＴから出力された信号と同じパルス信号となる。
【００２３】
［パターン３］信号６ａ、６ｂのうち、どちらか一方がＬｏｗ固定の異常信号の場合
この場合、故障状態判定部４１０は、Ｌｏｗ固定の異常信号を出力するボードの方に１を立ててエラー判定信号４１ａおよび４１ｂを生成し、冗長切換制御回路４２に対して出力する。また、異常信号処理部４１１は、Ｌｏｗ固定の異常信号をＨｉｇｈに反転させ、信号７ａ、７ｂを出力する。この結果、論理積回路４１２の出力である冗長切換タイミング信号１０は、正常なＷＤＴから出力された信号と同じパルス信号となる。
【００２４】
［パターン４］信号６ａ、６ｂのうち、どちらもＨｉｇｈ固定もしくはＬｏｗ固定の異常信号の場合
この場合、故障状態判定部４１０は、エラー判定信号４１ａおよび４１ｂをともに１として、冗長切換制御回路４２に対して出力する。また、異常信号処理部４１１の出力信号７ａ、７ｂ、および論理積回路４１２の出力である冗長切換タイミング信号１０は、ともにＨｉｇｈ固定の信号となる。従って、パターン４の場合だけは、冗長切換のタイミング信号としてのパルス信号が冗長切換制御回路４２に入力されないこととなり、両ボードとも冗長切換を行う結果となる。
【００２５】
冗長切換制御回路４２は、故障検知回路４１からの出力信号であるＣＰＵボードのエラー判定信号４１ａ、センサＩＦボードのエラー判定信号４１ｂ、および冗長切換タイミング信号１０を読み取る。そして、冗長切換制御回路４２は、エラー判定信号４１ａ、４１ｂのいずれか一方が１である場合には、ＣＰＵモジュール２またはセンサＩＦモジュール３のいずれか一方のＷＤＴが故障したことを特定できる。
【００２６】
そして、このような特定をした場合には、冗長切換制御回路４２は、冗長切換タイミング信号１０に基づく冗長切換信号を生成する。さらに、冗長切換制御回路４２は、ＣＰＵモジュール２のＷＤＴが故障していると判断した場合には、ＣＰＵモジュール２の冗長切換を行うために、生成した冗長切換信号をＣＰＵボードの冗長切換信号４２ａとして出力する。一方、冗長切換制御回路４２は、センサＩＦモジュール３のＷＤＴが故障していると判断した場合には、センサＩＦモジュール３の冗長切換を行うために、生成した冗長切換信号をセンサＩＦボードの冗長切換信号４２ｂとして出力する。
【００２７】
このようにして、冗長切換制御回路４２から出力された冗長切換信号４２ａは、ＣＰＵモジュール２および電力制御回路５に送られる。一方、冗長切換制御回路４２から出力された冗長切換信号４２ｂは、センサＩＦモジュール３および電力制御回路５に送られる。
【００２８】
電力制御回路５は、冗長切換信号の入力があると、該当モジュールの電源供給を、故障が発生したＡ系から、該当モジュール内で待機冗長としているＢ系に切り換える。
【００２９】
従来の故障検知システムは、本発明のようにＷＤＴを冗長構成としていない。このため、ＷＤＴが故障したときには、各モジュールからのリセット信号によりエラーフラグをリセットするタイミング信号を発することができない。この場合、エラーフラグをリセットしないまま、正常なモジュールに対しても冗長切換の指令を発する可能性があり、故障検知の判定の信頼性は、低かった。
【００３０】
これに対して、本発明の故障検知システムは、ＣＰＵモジュール２とセンサＩＦモジュール３の２つのモジュールにより、ＷＤＴを冗長構成としている。このため、一方のモジュールのＷＤＴが故障したとしても、もう一方のＷＤＴを用いて、故障したモジュールに対してだけ確実に冗長切換用のタイミング信号を発生することができる。この結果、正常なモジュールを切り換えることなく、故障したモジュールの系統のみを切り換えることができ、故障検知システムの信頼性を向上させることができる。
【００３１】
さらに、故障検知モジュール４は、ＣＰＵボードとセンサＩＦボードの両ボードからＷＤＴの信号を受けることで、故障したボードを特定することができる。このため、リセット信号を各モジュールから出力させることが不要となり、モジュール側の機能からこのようなリセット処理を削除することができる。
【００３２】
以上のように、実施の形態１によれば、ＣＰＵモジュールとセンサＩＦモジュールのそれぞれから読み取ったＷＤＴに基づいて、ＷＤＴの故障が発生したモジュールを特定することができる。さらに、故障したモジュール側だけ、冗長系統に切り換えることができる。この結果、正常なモジュールに関しては系統を切り換えることがなくなり、故障検知システムの信頼性を向上させることができる。
【００３３】
さらに、ＣＰＵモジュールとセンサＩＦモジュールのそれぞれからＷＤＴを読み取ることで、故障が発生したモジュールを、故障検知モジュール内で判断できる。この結果、それぞれのモジュール側から故障検知のリセット信号を出力する必要がなくなり、システム構成を簡素化することができる。
【００３４】
実施の形態２．
本実施の形態２では、先の実施の形態１で説明した故障検知モジュールを、複数の衛星が協調して飛行する衛星群に対して適用する場合について、具体的に説明する。
本発明を構成する故障検知モジュールは、地上局や他衛星など外部からの故障検知要求コマンドがない限り、作動することはない。本実施の形態２においては、故障検知の頻度を高めた、先の実施の形態１とは異なる構成に対する一例であり、さらに信頼性を高めた故障検知システムを実現している。
【００３５】
図４は、本発明の実施の形態２における故障検知システムを含む全体構成図を示すものである。具体的には、衛星ａ、衛星ｂ、衛星ｃの３機の衛星が互いに協調制御しながら飛行しており、各衛星には、計算機システム５０、５１、５２が具備されている。図４においては、衛星ａの計算機システム５０内の内部構成を詳細に記載している。
【００３６】
衛星ａに搭載されている計算機システム５０は、ＣＰＵモジュール５０４、センサＩＦモジュール５０５、および故障検知モジュール５０６を含んで構成されている。ＣＰＵモジュール５０４は、外部との送受信データの処理を行う通信処理部５００、およびＣＰＵボード内蔵ＷＤＴ５０１を備えている。また、センサＩＦモジュール５０５は、センサＩＦボード内蔵ＷＤＴ５０２を備えている。さらに、故障検知モジュール５０６は、先の図２における故障検知回路４１と同様の構成をとる故障検知回路５０７を備えている。
【００３７】
通信処理部５００に入力される信号５０３は、地上局や他の衛星などの外部からデータを受信して、また外部にデータを送信するまでの経過時間を計数するためのタイミング信号である。故障検知回路５０７は、ＣＰＵボード内蔵ＷＤＴ５０１からのパルス信号８ａと、センサＩＦボード内蔵ＷＤＴ５０５からのパルス信号８ｂとの入力に基づいてこの信号５０３を発生させる。よって、先の実施の形態１と同様に、一方のモジュールのＷＤＴからのパルス信号が異常であったとしても、もう一方の正常なモジュールのＷＤＴからのパルス信号を用いることができ、確実に通信処理部５００へタイミング信号を送ることができる。
【００３８】
同様に、衛星ｂにおいては、通信処理部５１０と冗長構成をとるＷＤＴ５１１を備えた計算機システム５１が搭載されている。また、衛星ｃにおいては、通信処理部５２０と冗長構成をとるＷＤＴ５２１を備えた計算機システム５２が搭載されている。
【００３９】
衛星ａのＷＤＴ５０１およびＷＤＴ５０２と、衛星ｂのＷＤＴ５１１と、衛星ｃのＷＤＴ５２１のそれぞれは、ＧＰＳの衛星時刻を用いてすべて同期させている。そして、同時刻に、衛星ａから衛星ｂに故障検知用データａ１を、衛星ｂから衛星ｃに故障検知用データｂ１を、衛星ｃから衛星ａに故障検知用データｃ１を送信する。すなわち、３台の衛星間で、図４に示すように、リング状の転送経路を構築し、故障検知用データを転送している。
【００４０】
各衛星は、故障検知用データ（ａ１、ｂ１、ｃ１）を受信すると、通信処理部（５００、５１０、５２０）にてデータの確認を行う。そして、通信処理部（５００、５１０、５２０）は、受信した故障検知用データ（ａ１、ｂ１、ｃ１）が正常なデータであれば、送信元の衛星にレスポンスデータ（ａ２、ｂ２、ｃ２）を返す。このサイクルを一定周期で行う。
【００４１】
すなわち、衛星ａの場合は、衛星ｃから故障検知用データｃ１を受信し、通信処理部５００により正常なデータであると判断されれば、レスポンスデータｃ２を返す。同様に、衛星ｂの場合は、衛星ａから故障検知用データａ１を受信し、通信処理部５１０により正常なデータであると判断されれば、レスポンスデータａ２を返す。さらに、衛星ｃの場合は、衛星ｂから故障検知用データｂ１を受信し、通信処理部５２０により正常なデータであると判断されれば、レスポンスデータｂ２を返す。
【００４２】
このときの故障検知用データａ１、ｂ１、ｃ１は、常に全て同じデータでもよく、異なるデータでもよい。また、送信元が元データを暗号化したデータを送信し、受信した衛星が復号化して元データとの相異を確認するという方式でもよい。
【００４３】
この故障検知用データを転送するサイクル中に、衛星ａは、次のようにして他の衛星ｂ、ｃの異常を検知できる。衛星ａの通信制御部５００は、もしＷＤＴのタイミング信号５０３が来ているにもかかわらず、衛星ｃから故障検知用データｃ１を受信できなかった場合には、衛星ｃの通信処理部５２０を含むＣＰＵモジュールに何らかの不具合が生じた可能性があることを確実に検知できる。
【００４４】
同様に、衛星ａの通信制御部５００は、もしＷＤＴのタイミング信号５０３が来ているにもかかわらず、衛星ｂからのレスポンスデータａ２を受信できなかった場合は、衛星ｂの通信処理部５１０を含むＣＰＵモジュールに何らかの不具合が生じた可能性があることを確実に検知できる。
【００４５】
通信処理部が故障した場合、前述の外部との故障検知用データもしくはレスポンスデータが送受信されないという状態のほかにも、通信処理部からデータが発せられるが、そのデータが異常データである状態が考えられる。例えば、衛星ａから発せられた故障検知用データａ１が正常なデータではないことを、衛星ｂが認識した場合を考える。この場合、送信元の衛星ａの通信処理部５００を含むＣＰＵモジュールか、もしくは正常なデータではないと判断した衛星ｂの通信処理部５１０を含むＣＰＵモジュールのいずれが故障したのかを、判断する必要がある。
【００４６】
図５は、本発明の実施の形態２において、故障が疑われる衛星が生じたときの複数衛星による故障検知システムの構成を示す図である。図４と同様に、衛星ａ、ｂ、ｃの３機の衛星が協調制御を行いながら飛行している場合を一例として示している。衛星ａは、Ａ系のＣＰＵモジュール５０ａとＢ系のＣＰＵモジュール５０ｂとの２系統による冗長構成を有している。そして、Ａ系のＣＰＵモジュール５０ａは、通信処理部５００ａ、およびＷＤＴ５０１ａを備えており、Ｂ系のＣＰＵモジュール５０ｂは、通信処理部５００ｂ、およびＷＤＴ５０１ｂを備えている。
【００４７】
同様に、衛星ｂは、Ａ系の通信処理部５１０ａとＡ系のＷＤＴ５１１ａを備えたＡ系のＣＰＵモジュール５１ａと、Ｂ系の通信処理部５１０ｂとＢ系のＷＤＴ５１１ｂを備えたＢ系のＣＰＵモジュール５１ｂを、冗長構成として持っている。また、衛星ｃは、通信処理部５２０と冗長構成をとるＷＤＴ５２１を備えた計算機システム５２が搭載されている。
【００４８】
衛星ｂは、衛星ａからの故障検知用データａ１が正常でないと判断すると、衛星ａ以外の全衛星に（すなわち、図５の３機構成である場合には衛星ｃに）、衛星ａを対象とした故障検知の再確認要請コマンドｂ３を送信する。衛星ｃは、再確認要請コマンドｂ３を受信し、そのコマンドデータが正常であれば、衛星ａのＡ系の通信処理部５００ａとＢ系の通信処理部５００ｂの両方に、故障検知用データを送信してもらうための再確認要請コマンドｃ３およびｃ４を送信する。
【００４９】
再確認要請コマンドｃ３を受信した衛星ａのＡ系の通信処理部５００ａは、故障検知用データｃ５を衛星ｃに送信する。一方、再確認要請コマンドｃ４を受信した衛星ａのＢ系の通信処理部５００ｂは、故障検知用データｃ６を衛星ｃに送信する。衛星ｃの通信処理部５２０は、故障検知用データｃ５およびｃ６が正常か否かを判定し、その判定結果ｂ４を衛星ｂに送信する。
【００５０】
衛星ｂは、衛星ｃからの判定結果ｂ４に基づいて、故障検知用データｃ５に異常があり、故障検知用データｃ６の方は正常であると判断した場合には、Ａ系のＣＰＵモジュール５１ａからＢ系のＣＰＵモジュール５１ｂに切り換えるための冗長切り替えコマンドａ３を、衛星ａに対して送る。
【００５１】
衛星ｃが衛星ｂからの再確認要請コマンドｂ３を受信した時に、そのコマンドデータが正常でなければ、衛星ｂの故障を疑うこととなる。この場合には、上記同様に、衛星ｂを除く全衛星が、衛星ｂのＡ系の通信処理部５１０ａとＢ系の通信処理部５１０ｂの両方に再確認要請コマンドを送り、衛星ｂのＡ系とＢ系から発せられる故障検知用データが正常であるか否かを確認する。
【００５２】
図６は、本発明の実施の形態２において、４機以上の衛星が協調して飛行する衛星群による故障検知システムの構成を示す図である。上述した本実施の形態２における故障検知システムは、図６に示すように、衛星Ｓ１〜Ｓｎ（ｎは４以上の整数）の４機以上の衛星が協調して飛行する衛星群にも適用することができる。この場合にも、図４に示す３機の衛星の構成と同様に、リング状に構築された転送経路を介して、定期的に故障検知用データを送信していく。
【００５３】
また、図７は、本発明の実施の形態２において、複数の衛星が協調して飛行する衛星群と地上局による故障検知システムの構成を示す図である。図７に示すように、複数機衛星の内の１機を地上局に置き換えた構成に対しても、上述した本実施の形態２における故障検知システムを適用することができる。
【００５４】
以上のように、実施の形態２によれば、複数の衛星が協調して飛行する衛星群に対して、ウォッチドッグタイマ機能の冗長構成を適用するとともに、衛星群内の衛星間でリング状に転送経路を構築し、定期的に故障検知用データを送受信することで、故障検知を確実に行うことができる。
【００５５】
実施の形態３．
先の実施の形態２のように、複数の衛星で協調して飛行する衛星群のうち、任意の衛星の故障検知システムが何らかの原因で故障を検知した場合には、二重冗長構成であればＡ系からＢ系へと冗長切換を行うことができる。しかし、冗長切換後に、Ｂ系のモジュールにおいても故障を検知した場合には、その衛星は、衛星としての機能を失い、軌道制御が不能な状態となる。このような状態となってしまった衛星は、他の衛星と衝突するなど、正常な衛星に危害を加える可能性がある。そこで、本実施の形態３では、制御不能な故障衛星が他の正常な衛星に危害を加えることを未然に防ぐ方式について説明する。
【００５６】
任意の衛星が冗長切換を行うのは、先の実施の形態１、２で説明したように、次の２つのケースがある。まず第１のケースは、先の実施の形態１のように、衛星自身の故障検知システムにより、ＷＤＴの信号による判定結果に応じて冗長切換を行う場合である。また、第２のケースは、先の実施の形態２のように、他衛星および地上局が故障を検知し、外部から冗長切換コマンドを受信して冗長切換を行う場合である。
【００５７】
冗長切換を行った衛星は、冗長切換直後に現在の切り替え状態を示す、冗長切換状態信号１５を他衛星および地上局に送信する。図８は、本発明の実施の形態３において、複数の衛星が協調して飛行する衛星間で冗長切換状態を他の衛星に知らせる方式を示す図である。図８に示すように、衛星Ｓ１が一度Ａ系からＢ系に冗長切換を行った場合には、現在Ｂ系モジュールで運用中であり、二重冗長構成であれば、これ以上冗長切換は行えない状態を意味する。
【００５８】
そこで、冗長切換を行った衛星Ｓ１は、このような状態を冗長切換状態信号１５により他衛星および地上局に開示する。これにより、冗長切換状態信号１５を受信した他の衛星Ｓ２〜衛星Ｓｎは、Ｂ系モジュールで運用中の衛星Ｓ１に対して、警戒することができる。
【００５９】
例えば、Ｂ系モジュールで運用中の衛星と、その他の衛星との相対距離を変える、あるいは、Ｂ系モジュールで運用中の衛星のみ高度を変えるといったように、複数機の衛星群の運用方法を変えることが考えられる。このように、冗長切換状態信号１５に基づいて複数機の衛星群の運用方法を変えることで、万一Ｂ系モジュールで運用中の衛星（すなわち、これ以上冗長切換が行えない衛星）において、さらにＢ系で故障検知された場合にも、その他の正常な衛星に危害を加えることを未然に防ぐことができる。
【００６０】
以上のように、実施の形態３によれば、冗長切換を実施した衛星から送信される冗長切換状態信号に基づいて、これ以上の冗長切換が行えない衛星を把握でき、複数機の衛星群の運用方法を変更することが可能となる。この結果、制御不能な故障衛星が他の正常な衛星に危害を加えることを未然に防ぐことができる。
【００６１】
実施の形態４．
先の実施の形態２のように、複数の衛星間でリング状の転送経路を構築し、定期的に故障検知用データを転送することで故障検知を行うという運用においては、任意の衛星が何らかの原因によって制御不能となった場合、リング状の転送経路が途切れてしまう。この場合には、このままの転送経路では、複数衛星による故障検知システムが機能しなくなる。そこで、本実施の形態４では、複数の衛星群の中で故障した衛星が生じたとしても、複数衛星による故障検知システムを維持させるための方式について説明する。
【００６２】
図９は、本発明の実施の形態４において、複数の衛星が協調して飛行する衛星群の中で故障した衛星が生じたときに、複数の衛星による故障検知システムを再構成する方式を示す図である。図９に示すように、衛星Ｓ１が故障した場合、衛星Ｓｎから衛星Ｓ１への故障検知用データへの転送、また衛星Ｓ１から衛星Ｓ２への故障検知用データへの転送が困難となる。
【００６３】
そこで、衛星Ｓ１が故障したことを他の衛星が検知した時点で、衛星Ｓ１と隣り合う衛星間、すなわち、衛星Ｓ２と衛星Ｓｎを結ぶ経路を新たに作ることが考えられる。このように、リング状の新たな転送経路を再構築することで、衛星Ｓ１を除く複数の衛星間で、故障検知用データを転送して複数衛星による故障検知を行う状態を維持することができ、故障検知システムの信頼性を向上させることができる。
【００６４】
以上のように、実施の形態４によれば、或る衛星が故障した場合には、その故障した衛星を除いた他の衛星間で、リング状の新たな転送経路を再構築する機能を備えている。これにより、複数衛星による故障検知機能を維持することができ、故障検知システムの信頼性を向上させることができる。
【符号の説明】
【００６５】
１  計算機システム、２  ＣＰＵモジュール、３  センサＩＦモジュール、４  故障検知モジュール、５  電力制御回路、２１  ＣＰＵボードＡ系、２２  ＣＰＵボードＢ系、３１  センサＩＦボードＡ系、３２  センサＩＦボードＢ系、４１  故障検知回路、４２  冗長切換制御回路、５０  衛星ａの計算機システム、５０ａ  衛星ａのＣＰＵボードＡ系、５０ｂ  衛星ａのＣＰＵボードＢ系、５１  衛星ｂの計算機システム、５１ａ  衛星ｂのＣＰＵボードＡ系、５１ｂ  衛星ｂのＣＰＵボードＢ系、５２  衛星ｃの計算機システム、２１１  ＣＰＵボード内蔵ウォッチドッグタイマ（ＷＤＴ）、２１２  ＣＰＵ、２１３  通信処理部、３１１  センサＩＦボード内蔵ＷＤＴ、４１０  故障状態判定部、４１１  異常信号処理部、５００  衛星ａの通信処理部、５００ａ  衛星ａのＣＰＵボードＡ系の通信処理部、５００ｂ  衛星ａのＣＰＵボードＢ系の通信処理部、５０１  衛星ａのＣＰＵボード内蔵ＷＤＴ、５０１ａ  衛星ａのＣＰＵボードＡ系内蔵ＷＤＴ、５０１ｂ  衛星ａのＣＰＵボードＢ系内蔵ＷＤＴ、５０２  衛星ａのセンサＩＦボード内蔵ＷＤＴ、５０４  衛星ａのＣＰＵモジュール、５０５  衛星ａのセンサＩＦモジュール、５０６  衛星ａの故障検知モジュール、５０７  衛星ａの故障検知回路、５１０  衛星ｂの通信処理部、５１０ａ  衛星ｂのＣＰＵボードＡ系の通信処理部、５１０ｂ  衛星ｂのＣＰＵボードＢ系の通信処理部、５１１  衛星ｂのＷＤＴ、５１１ａ  衛星ｂのＣＰＵボードＡ系内蔵ＷＤＴ、５１１ｂ  衛星ｂのＣＰＵボードＢ系内蔵ＷＤＴ、５２０  衛星ｃの通信処理部、５２１  衛星ｃのＷＤＴ。
【図１】
2010287168.tif 000003
【図２】
2010287168.tif 000004
【図３】
2010287168.tif 000005
【図４】
2010287168.tif 000006
【図５】
2010287168.tif 000007
【図６】
2010287168.tif 000008
【図７】
2010287168.tif 000009
【図８】
2010287168.tif 000010
【図９】
2010287168.tif 000011