(57)【要約】故障許容コンピューティングを適応化する方法およびシステム。この方法は、環境を表す環境条件を測定するステップを含む。測定された環境条件に対するオンボード処理システムの故障発生度が測定される。測定された環境条件に部分的に基づいて、オンボード処理システムの故障許容を再構成すべきか否か決定される。オンボード処理システムの故障許容は、測定された環境条件に部分に基づいて再構成され得る。
2008519321.tif 000002
【特許請求の範囲】
【請求項１】
環境を表す環境条件を測定するステップと、
測定された前記環境条件に対するオンボード処理システムの故障発生度を分析するステップと、
測定された前記環境条件に部分的に基づいて、前記オンボード処理システムの故障許容を再構成すべきか否か決定するステップと、
を含む故障許容コンピューティングを適応化する方法。
【請求項２】
測定された前記環境条件に部分的に基づいて、前記オンボード処理システムの前記故障許容を再構成するステップ
をさらに含む、請求項１に記載の発明。
【請求項３】
前記オンボード処理システムの前記故障許容は、前記環境と調和するように再構成される、請求項２に記載の発明。
【請求項４】
前記オンボード処理システムの前記故障許容は、履歴データに部分的に基づいて再構成される、請求項２に記載の発明。
【請求項５】
前記環境条件を測定する前記ステップは、前記オンボード処理システムが軌道位置にある間に発生する、請求項１に記載の発明。
【請求項６】
前記オンボード処理システムは、宇宙に装備の資産に含まれる、請求項１に記載の発明。
【請求項７】
環境条件を測定する前記ステップは、放射線状態を検出するステップを含む、請求項１に記載の発明。
【請求項８】
前記環境条件を測定する前記ステップは、単一事象反転を発生させる高エネルギー粒子の流束を監視するステップを含む、請求項１に記載の発明。
【請求項９】
環境的脅威を表すアラーム信号を提供するアラームスイートをさらに含む、請求項１に記載の発明。
【請求項１０】
宇宙に装備のスペースクラフトに関する前記環境条件に応答してアラームの測定値を収集するステップをさらに含む、請求項１に記載の発明。
【発明の詳細な説明】
【技術分野】
【０００１】
（優先権）
本願は、米国特許法第１２０条に基づき、２００４年１０月１９日に出願された仮出願第６０／６２００４７号「Ｅｎｖｉｒｏｎｍｅｎｔａｌｌｙ  Ａｄａｐｔｉｖｅ  Ｆａｕｌｔ  Ｔｏｌｅｒａｎｔ  Ｃｏｍｐｕｔｉｎｇ（環境適応故障許容コンピューティング：ＥＡＦＴＣ）：  Ａｎ  Ｅｎａｂｌｉｎｇ  Ｔｅｃｈｎｏｌｏｇｙ  ｆｏｒ  ＣＯＴＳ  Ｂａｓｅｄ  Ｓｐａｃｅ  Ｃｏｍｐｕｔｉｎｇ（ＣＯＴＳベースのスペースコンピューティング用の可能化技術）」、および２００５年８月１２日に出願された特許出願第１１／２０２４６７号「Ｍｅｔｈｏｄ  ａｎｄ  Ｓｙｓｔｅｍ  ｆｏｒ  Ｅｎｖｉｒｏｎｍｅｎｔａｌｌｙ  Ａｄａｐｔｉｖｅ  Ｆａｕｌｔ  Ｔｏｌｅｒａｎｃｅ  Ｃｏｍｐｕｔｉｎｇ（環境適応故障許容コンピューティング）」の優先権を主張する。
【０００２】
本発明は、放射線誘導故障を緩和することを対象とする。より詳細には、本発明は、単一事象反転（ＳＥＵ）に対する商業上の既製品（ＣＯＴＳ）コンポーネント固有の故障発生度を取り扱うための方法および／またはシステムを対象とする。本発明は特に、高信頼性動作を維持しながら性能および効率も高める一方で、故障許容の適応可能な構成レベルをサポートするＣＯＴＳベースのコンピュータアーキテクチャを利用して実時間の環境感知を提供することに特に有益である。しかしながら、本発明の諸態様は、他のシナリオにも等しく適用できる可能性がある。
【背景技術】
【０００３】
科学防衛上の任務では、宇宙に装備の資産（宇宙戦争兵器）からの返却データ需要が益々高まっている。最近、宇宙に配備される機器の能力は益々拡大している。例えば、このような能力の拡大は、参照によりそれらの内容全体が本明細書に組み込まれ、さらなる情報が読者に示される。次の参考文献、すなわち、「Ａｎ  Ｏｖｅｒｖｉｅｗ  ｏｆ  Ｅａｒｔｈ  Ｓｃｉｅｎｃｅ  Ｅｎｔｅｒｐｒｉｓｅ（地球科学エンタープライズの概観）」、ＮＡＳＡ  Ｇｏｄｄａｒｄ  Ｓｐａｃｅ  Ｆｌｉｇｈｔ  Ｃｅｎｔｅｒ、ＦＳ−２００２−３−０４０−ＧＳＦＣ（２００２年３月）、ならびにＷａｌｌａｃｅ  Ｍ．  ＰｏｒｔｅｒおよびＨａｒｒｙ  Ｔ．  Ｅｎｍａｒｋの「Ａ  Ｓｙｓｔｅｍ  Ｏｖｅｒｖｉｅｗ  ｏｆ  Ｔｈｅ  Ａｉｒｂｏｒｎｅ  Ｖｉｓｉｂｌｅ／Ｉｎｆｒａｒｅｄ  Ｉｍａｇｉｎｇ  Ｓｐｅｃｔｒｏｍｅｔｅｒ（空輸可視／赤外像形成分光計：ＡＶＩＲＩＳ）」、ＪＰＬ  Ｐａｓａｄｅｎａ、Ｃａｌｉｆｏｒｎｉａ、ならびにＨ．  Ｌ．  Ｈｕａｎｇの「Ｄａｔａ  Ｃｏｍｐｒｅｓｓｉｏｎ  ｏｆ  Ｈｉｇｈ−ｓｐｅｃｔｒａｌ  Ｒｅｓｏｌｕｔｉｏｎ  Ｍｅａｓｕｒｅｍｅｎｔｓ（高スペクトル解像度測定値のデータ圧縮）」、Ｓａｔｅｌｌｉｔｅ  Ｄｉｒｅｃｔ  Ｒｅａｄｏｕｔ  Ｃｏｎｆｅｒｅｎｃｅ  ｆｏｒ  ｔｈｅ  Ａｍｅｒｉｃａｓ（２００２年１２月）で論じられている。
【０００４】
データ収集に関する１つの典型的なアプローチでは、データ圧縮およびデータ伝送をこれ以上続けるのは無理なように思われる。使用可能なダウンリンクチャネルを介して膨大な量のデータを合理的な期間伝送することは困難である。このような状況に対して、地球上から離れ且つ宇宙に装備の資産に処理を移すことによってダウンリンクの需要を軽減する１つの解決策が提案されている。
【０００５】
しかしながら、このようなアプローチは、いくつかの制限を有する。例えば、このアプローチは、従来の卓上プロセッサの限られた能力によって妨げられる。このアプローチはまた、放射線硬化高性能エレクトロニクスの開発に基づく膨大なコストを禁じている。このような問題は、参照によりそれらの内容全体が本明細書に組み込まれ、さらなる情報が読者に示される次の参考文献：Ｊ．  ＭａｒｓｈａｌｌおよびＲ．  Ｂｅｒｇｅｒの「Ａ  Ｐｒｏｃｅｓｓｏｒ  Ｓｏｌｕｔｉｏｎ  ｆｏｒ  ｔｈｅ  Ｓｅｃｏｎｄ  Ｃｅｎｔｕｒｙ  ｏｆ  Ｐｏｗｅｒｅｄ  Ｓｐａｃｅ  Ｆｌｉｇｈｔ（次世代の増強宇宙飛行用のプロセッサ解法）」Ｄｉｇｉｔａｌ  Ａｖｉｏｎｉｃｓ  Ｓｙｓｔｅｍｓ  Ｃｏｎｆｅｒｅｎｃｅｓ（デジタル・エビオニクス・システムズ会議）  ２０００．  Ｐｒｏｃｅｅｄｉｎｇｓ．  ＤＡＳＣ．  Ｔｈｅ  １９ｔｈ、Ｖｏｌｕｍｅ：２、７−１３（２０００年１０月）、８．Ａ．２＿１頁〜８．Ａ．２＿８頁、ならびにＧａｒｙ  Ｒ．  Ｂｒｏｗｎの「Ｒａｄｉａｔｉｏｎ  Ｈａｒｄｅｎｅｄ  ＰｏｗｅｒＰＣ  ６０３ｅ  ＴＭ（登録商標）Ｂａｓｅｄ  Ｓｉｎｇｌｅ  Ｂｏａｒｄ  Ｃｏｍｐｕｔｅｒ（放射線硬化パワーＰＣ６０３ｅベースの単一ボードコンピュータ）」２０ｔｈ  Ｄｉｇｉｔａｌ  Ａｖｉｏｎｉｃｓ  Ｓｙｓｔｅｍｓ、２００１．（２００１年１０月）で論じられている。
【０００６】
このように認識される懸念に部分的に基づいて、関連産業は、ＣＯＴＳコンポーネントの使用を検討している。例えば、そのような検討事項の概要は、参照によりその内容全体が本明細書に組み込まれ、さらなる情報が読者に示される次の参考文献、すなわち、Ｅ．  Ｒ．  Ｐｒａｄｏらの「Ａ  Ｓｔａｎｄａｒｄ  Ａｐｐｒｏａｃｈ  ｔｏ  Ｓｐａｃｅｂｏｒｎｅ  Ｐａｙｌｏａｄ  Ｄａｔａ  Ｐｒｏｃｅｓｓｉｎｇ（宇宙装備のペイロードデータ処理に対する標準アプローチ）」ＩＥＥＥ  Ａｅｒｏｓｐａｃｅ  Ｃｏｎｆｅｒｅｎｃｅ（２００１年３月）に記載されている。さらに、ここ最近のＣＯＴＳ集積回路工場によるシリコン・オン・インシュレータ（「ＳＯＩ」）技術の採用により、デバイスが中程度の宇宙放射線耐性を有するようにもなっている。例えば、参照によりそれらの内容全体が本明細書に組み込まれ、さらなる情報が読者に示される次の参考文献、すなわち、Ｆ．  Ｉｒｏｍらの「Ｓｉｎｇｌｅ−Ｅｖｅｎｔ  Ｕｐｓｅｔ  ｉｎ  Ｅｖｏｌｖｉｎｇ  Ｃｏｍｍｅｒｃｉａｌ  Ｓｉｌｉｃｏｎ−ｏｎ−Ｉｎｓｕｌａｔｏｒ  Ｍｉｃｒｏｐｒｏｃｅｓｓｏｒ  Ｔｅｃｈｎｏｌｏｇｉｅｓ（発展する商業上の絶縁体上シリコン・マイクロプロセッサ技術における単一事象反転）」Ｎｕｃｌｅａｒ  ａｎｄ  Ｓｐａｃｅ  Ｒａｄｉａｔｉｏｎ  Ｅｆｆｅｃｔｓ  Ｃｏｎｆｅｒｅｎｃｅ（核および宇宙放射線影響会議）  ２００３、ならびにＸｉｌｉｎｘ  Ｃｏｒｐｏｒａｔｉｏｎの「ＱＰｒｏ  Ｖｉｒｔｅｘ  ２．５Ｖ  Ｒａｄｉａｔｉｏｎ  Ｈａｒｄｅｎｅｄ  ＦＰＧＡ」同社ウェブサイト（ｈｔｔｐ：／／ｗｗｗ．ｘｉｌｉｎｘ．ｃｏｍ／）（２００１年１１月）を参照されたい。
【０００７】
このような進歩にもかかわらず、ＣＯＴＳコンポーネントは依然として、ＳＥＵに対するやや高い故障発生度を有する。このようなＳＥＵを緩和する上で定評のある１つのアプローチは、固定されたコンポーネントレベルの冗長性を利用するものである。例えば、参照によりその内容全体が本明細書に組み込まれ、さらなる情報が読者に示されるＤａｎｉｅｌ  Ｐ．  ＳｉｅｗｉｏｒｅｋおよびＲｏｂｅｒｔ  Ｓ．  Ｓｗａｒｚの「Ｒｅｌｉａｂｌｅ  Ｃｏｍｐｕｔｅｒ  Ｓｙｓｔｅｍｓ  Ｄｅｓｉｇｎ  ａｎｄ  Ｅｖａｌｕａｔｉｏｎ  ３ｒｄ  ｅｄｉｔｉｏｎ（信頼性コンピュータステム設計および評価  第３版）」ＭＡ：ＡＫ  Ｐｅｔｅｒｓ  Ｌｔｄ．（１９９８年）を参照されたい。しかしながら、固定されたコンポーネントレベルの冗長性を利用する１つの欠点は、それ自体の効率が低く、それ自体のシステム容量がまだ実現されていないことである。
【０００８】
従来のある種のオンボード処理コンピュータは主に、ＣＯＴＳの等価物に基づく放射線硬化部品から成る。商用ソフトウェアの採用を含めてＣＯＴＳの互換性はいくつかの認識される利点を提供するが、典型的には、初期のシリコン実装のために、しばしば膨大な非反復性の工学技術（Ｎｏｎ−Ｒｅｃｕｒｒｉｎｇ  Ｅｎｇｉｎｅｅｒｉｎｇ：ＮＲＥ）が必要となる。さらに、放射線硬化部品は、市販競業品と比べると、それぞれの全体性能および能力が少なくとも１桁から２桁の大きさだけ遅れている。こうした欠点を生む要因は複数存在する。このような要因の１つは、放射線硬化技法に関するものであり、このようなマイクロエレクトロニクスの技法は、固定されたトランジスタレベルまたはゲートレベルの冗長性を必要とする。この追加的な論理は、同じ計算ユニットを実行するのに必要となる電力を増加させる。
【０００９】
改善に向けたアプローチでは、真のＣＯＴＳマイクロプロセッサおよび書換え可能ゲートアレイ（「ＦＰＧＡ」）の使用が検討されている。このようなアプローチは典型的には、放射線硬化等価物に関連するコストの増大および開発期間の長期化を回避する。しかしながら、真のＣＯＴＳデバイスは、典型的にはＳＥＵに非常に影響されやすい。定評のある１つのＳＥＵ緩和アプローチは、コンポーネントレベルのＮモジュール冗長を使用するものである。しかしながら、このようなＮモジュール冗長を用いると、しばしばオーバーヘッドが２／３以上に達することもある故に、効率も容量も低下することが多い。
【００１０】
さらに、冗長性のレベルは固定であり、しばしば不必要である。固定された冗長性の欠点を克服するために、宇宙任務の２つの特徴として、第１には、宇宙環境の変動性に焦点が当てられ、第２には、タスクレベルの臨界に焦点が当てられ得る。大部分の任務は、変動する臨界のプロセスの組合せを有するはずである。このような任務処理の特徴は、タスクレベルの冗長性を適用することによってシステム効率を高めるのに利用され得る。さらに、宇宙環境にはそれに関与する変動性が存在し、この変動性は、必要な冗長性に対する時間および軌道位置の従属性をもたらす。
【発明の開示】
【発明が解決しようとする課題】
【００１１】
したがって、放射線誘導故障（「ＳＥＵ」）を緩和する方法および／またはシステムが、一般に必要とされている。また、依然としてＳＥＵに対して影響され易いものの、許容可能な総ＴＩＤおよびラッチ・アップ特性を示すより低コストのＣＯＴＳコンポーネントを宇宙空間で利用することができる方法およびシステムも、一般に必要とされている。さらに、十分なレベルのシステム効率および容量を維持しながら、ＳＥＵが多く存在する環境でのＣＯＴＳコンポーネントの使用を容易にするシステムおよび／または方法も必要とされている。
【００１２】
さらに、任務環境および／または任務遂行上の要請に従ってシステムの故障許容レベルを適応的に構成することにより、このような十分なレベルのシステム効率および容量を実現するシステムおよび方法も必要とされている。したがって、高信頼性動作を維持しながら性能および効率も高める一方で、故障許容の適応可能な構成レベルをサポートするＣＯＴＳベースのコンピュータアーキテクチャを利用した実時間の環境感知が、一般に必要とされている。
【課題を解決するための手段】
【００１３】
例示的な一実施形態によれば、故障許容コンピューティングを適応化する方法は、環境を表す環境条件を測定するステップと、測定された前記環境条件に対するオンボード処理システムの故障発生度を分析するステップと、測定された前記環境条件に部分的に基づいて、前記オンボード処理システムの故障許容を再構成すべきか否か決定するステップとを含む。
【００１４】
一代替実施形態では、環境適応故障許容コンピューティングのためのシステムは、動的な環境の特性を感知し、前記特性に基づいて出力信号を生成するセンサーを備える。システム構成コントローラは、前記出力信号を受信し、前記出力信号に部分的に基づいて、前記システムのアベイラビリティに対する潜在的な環境的脅威を評価する。コンピューティングデバイスは、前記コントローラから入力を受信する。前記コンピューティングデバイスの構成は、前記システムのアベイラビリティに対する潜在的な環境的脅威を効果的に緩和するように適応化される。
【００１５】
本発明の様々な態様に関する上記ならびに他の利点は、以下の詳細な説明を該当する添付の図面と併せて読めば、当業者には明らかとなるであろう。
本明細書では、本発明の例示的な一実施形態を添付の図面を参照しながら説明する。
【発明を実施するための最良の形態】
【００１６】
Ａ．ＥＡＦＴＣシステムの概要
図１は、ＥＡＦＴＣベースシステム１０の第１の構成を示す例示的なブロック図である。ＥＡＦＴＣベースシステム１０は、履歴および／または環境条件に基づくシステムレベルの故障許容を利用することが好ましい。ＥＡＦＴＣシステム１０は、ＥＡＦＴＣコントローラ１２と、環境センサースイート１４と、ターゲットコンピュータ１６とを備える。ＥＡＦＴＣコントローラ１２は、履歴１８と、配備プラン２０とを含む。センサースイート１４は、それだけに限らないが、ＳＥＵアラーム２２、環境測定２４、およびスペースクラフト２６を含む複数のセンサーを備えることが好ましい。他のセンサースイート構成も可能である。
【００１７】
図１に示される構成によって実施される好ましいプロセスは、次の各ステップを含む。センサースイート１４はまず、環境条件を感知する方法を提供する。例えば、センサースイート１４は、ＳＥＵアラーム２２からエネルギーレベル表示３２を提供し、環境測定２４からセンサー応答３４を提供し、あるいはスペースクラフト２６から天体暦３６を提供することもできる。このような１つまたは複数の信号が受信されると、ＥＡＦＴＣコントローラ１２は、環境条件（システム１０のアベイラビリティに対する環境的脅威である可能性もある）を評価する。ＥＡＦＴＣコントローラ１２によってそのような環境的脅威が存在することが決定された場合は、システム１０は、（必要と見なされる場合は）ターゲットコンピュータ１６の構成を適応化する。このようにして、システム１０は、その環境から提示される潜在的な脅威を効果的かつ動的に緩和する。図１から分かるように、データフロー３８の方向は、センサースイート１４からＥＡＦＴＣコントローラ１２を経由してターゲットコンピュータ１６へと向かっている。
【００１８】
一般に、ＥＡＦＴＣコントローラ１２は、ペイロードコンピュータシステムなどのターゲットコンピュータ１６の故障を誘発する恐れがある、センサースイート１２からの異なる様々な環境入力を受け付けるように実装され得る。しかしながら、本明細書で現に論じられる特定の構成では、環境の監視は、在宇宙宇宙戦争兵器で生じ得る高エネルギー粒子束測定に焦点が当てられ得る。例えば、ＥＡＦＴＣシステム１０がスペースクラフト内に設けられる状況では、高エネルギー粒子束を監視することにより、ＳＥＵに対するシステム１０全体の故障発生度を評価することが可能となる。しかしながら、代替的な測定およびシステム構成および／または代替的な環境入力が利用され得ることが、当業者には理解されるであろう。
【００１９】
再び図１を参照すると、センサーの測定値（例えば温度や使用可能電力など）と、ターゲットコンピュータ１６の健康状態とは、健康状態信号４２を介してＥＡＦＴＣコントローラ１２によって継続的に監視される。このような情報およびデータ４２は、任務定義のアプリケーションタスク配備プランと組み合わされる。任務定義のアプリケーションタスク配備プランは、タスクレベルの臨界要件、ならびにＥＡＦＴＣコントローラ１２によって使用される他の関連情報を含むことが好ましい。ＥＡＦＴＣコントローラ１２は、当該入力に基づいて、信頼性および／またはアベイラビリティに対する脅威が存在するかどうか決定し、好ましくは、ターゲットコンピュータ１６上にある宇宙戦争兵器が置かれる現在の環境によってもたらされる脅威のレベルも決定する。
【００２０】
次いで、システム構成コントローラとして働くＥＡＦＴＣコントローラ１２は、プロセス配備を介して、後にターゲットコンピュータを適応化するのに必要な信号を生成し送信する。このようにして、プロセス配備４０は、コンピュータ１６にとって好ましくない潜在的な環境的脅威に対抗する。このような脅威の評価に基づいて、システム構成コントローラ１２は、オンボード処理システムの故障許容が当該脅威レベルに匹敵するように再構成する。オンボード処理システムは、それ自体が遭遇することになる様々な脅威に匹敵するように構成可能な故障許容を実装することが好ましい。これに応答して、ターゲットコンピュータ１６は、要求される故障許容メカニズムを最適な形で利用する。このプロセスは、システム１０の全体的な動作の内の不可欠な部分として実時間およびオンラインで実施される。
【００２１】
ハードウェア実装
図１から分かるように、ＥＡＦＴＣコントローラ１２は、健康状態信号４２を介してターゲットコンピュータ１６からいくつかのコマンドを受信する。好ましい一構成では、ターゲットコンピュータ１２用のハードウェアは、Ｈｏｎｅｙｗｅｌｌ社のＩｎｔｅｇｒａｔｅｄ  Ｐａｙｌｏａｄ  Ｓｙｓｔｅｍ（集積ペイロードシステム）を含むことができる。Ｈｏｎｅｙｗｅｌｌ社のＩｎｔｅｇｒａｔｅｄ  Ｐａｙｌｏａｄ  Ｓｙｓｔｅｍは本質的に、複数のデータプロセッサおよび１つのクラスタマネージャから成るクラスタコンピュータである。
【００２２】
図２は、図１に示されるＥＡＦＴＣシステム１０と共に利用され得るターゲットコンピュータ５０の一構成を示す。この構成では、ターゲットコンピュータ５０は、システムコントローラ５２ａおよび５２ｂ、複数のデータプロセッサ６４ａ、６４ｂ、６４ｃ、および６４ｄ、第１のパケット交換ファブリック６２ａ、第２のパケット交換ファブリック６２ｂ、ならびに環境センサースイート５８を含めた様々なハードウェア要素を備える。電源５６も設けられる。
【００２３】
Ａ．システムコントローラ
ターゲットコンピュータ５０用のシステムコントローラ５２は、冗長構成の放射線硬化型シングルボードコンピュータを使用して実装されることが好ましい。このような高信頼性の放射線硬化型システムコントローラ５２は、ＥＡＦＴＣコントローラのような極めて重要な制御ソフトウェアを配備するためのプラットフォームを提供する。例えば、一構成では、システムコントローラ５２の潜在的な候補は、Ｈｏｎｅｙｗｅｌｌ社の放射線硬化型ＲＨＰＰＣシングルボードコンピュータ（「ＳＢＣ」）を含むことができる。例えば、Ｇａｒｙ  Ｒ．  Ｂｒｏｗｎの「Ｒａｄｉａｔｉｏｎ  Ｈａｒｄｅｎｅｄ  ＰｏｗｅｒＰＣ  ６０３ｅ  Ｂａｓｅｄ  Ｓｉｎｇｌｅ  Ｂｏａｒｄ  Ｃｏｍｐｕｔｅｒ（放射線硬化パワーＰＣ６０３ｅベースの単一ボードコンピュータ）」ＩＥＥＥ  Ａｅｒｏｓｐａｃｅ  Ｃｏｎｆｅｒｅｎｃｅ，２００１（ｈｔｔｐ：／／ｃｉｓｍ．ｊｐｌ．ｎａｓａ．ｇｏｖ／ｅｖｅｎｔｓ／ｓｅｍｉｎａｒｄｏｃｓ／Ｂｉｇ＿ｓｋｙ＿０８＿０２＿０１．ｐｄｆ）の記載を参照されたい。
【００２４】
好ましい一構成では、放射線硬化型ＳＢＣは、Ｍｏｔｏｒｏｌａ社の６０３ｅマイクロプロセッサ技術に基づく。このような放射線硬化型ＳＢＣの概要は、引用により全体が本明細書に援用され、読者がさらなる情報を得られるＧａｒｙ  Ｒ．  Ｂｒｏｗｎの「Ｒａｄｉａｔｉｏｎ  Ｈａｒｄｅｎｅｄ  ＰｏｗｅｒＰＣ  ６０３ｅＴＭ（登録商標）Ｂａｓｅｄ  Ｓｉｎｇｌｅ  Ｂｏａｒｄ  Ｃｏｍｐｕｔｅｒ（放射線硬化パワーＰＣ６０３ｅベースの単一ボードコンピュータ）」２０ｔｈ  Ｄｉｇｉｔａｌ  Ａｖｉｏｎｉｃｓ  Ｓｙｓｔｅｍｓ、２００１（２００１年１０月）に記載されている。ＲＨＰＣＣ  ＳＢＣの使用は、いくつかの理由で好ましい可能性がある。これらの幾つかの理由は、以下の表１に要約されている。
【００２５】
【表１】
2008519321.tif 000003
【００２６】
Ｂ．データプロセッサ
図２に示されるように、ターゲットコンピュータ５０はさらに、複数のデータプロセッサ６４を備える。この好ましい一構成では、複数のデータプロセッサはそれぞれ、第１のデータプロセッサ６４ａ、第２のデータプロセッサ６４ｂ、第３のデータプロセッサ６４ｃ、および第４のデータプロセッサ６４ｄを含む。好ましい一構成では、これらのデータプロセッサは、ＣＯＴＳベースのプロセッサを含む。これらのデータプロセッサは、本明細書では適応処理コンピュータ（「ＡＰＣ」）と呼ばれるユニークなアーキテクチャを備えるＣＯＴＳベースのプロセッサを含むことがより好ましい。ＡＰＣは、ＣＯＴＳマイクロプロセッサとＦＰＧＡの使用を単一のプラットフォーム上で組み合わせるマルチモードデバイスである。一構成では、ＡＰＣは、市販品であるＩＢＭ  ＰｏｗｅｒＰＣ  ７５０ＦＸマイクロプロセッサと、Ｘｉｌｉｎｘ  ＶｉｒｔｅｘＩＩ  ６０００  ＦＰＧＡとを利用する。ＩＢＭ  ７５０ＦＸおよびＸｉｌｉｎｘ  ＶｉｒｔｅｘＩＩの各デバイスは、飛行実験に適したＣＯＴＳデバイスである。
【００２７】
Ｃ．適応処理コンピュータ
図３は、図２に示されるターゲットコンピュータ５０と共に利用され得る適応処理コンピュータ（「ＡＰＣ」）８０の一構成を示す。ＡＰＣ  ８０は、ＣＯＴＳ計算資源部分８２と、各支援機能を有する放射線硬化型構成マネージャ８４を含む部分とを備える。構成マネージャ８４は、それだけに限らないが、ＡＰＣ  ８０のモード変更、基本的なＦＰＧＡ構成、ＦＰＧＡ構成メモリのスクラビング、低レベルの健康状態の監視、およびパワーモードの制御を含めた様々な機能を取り扱う。
【００２８】
好ましい一構成では、ＡＰＣ  ８０は、操作上の複数の動作モードを実装することができる。例えば、ＡＰＣ  ８０は、マイクロプロセッサモードと、カスタムプロセッサモードと、ハイブリッドプロセッサモードとを実装することができる。この動作モードは、図３では処理要素／プロセッサコントローラ（「ＰＥ／ＰＣ」）８８という符号が付されたＦＰＧＡのアクティブ構成によって決定され得る。
【００２９】
１．マイクロプロセッサモード
ＡＰＣ  ８０は、マイクロプロセッサモードで構成されてもよい。このモードにある間は、ＡＰＣのＦＰＧＡは、プロセッサコントローラとして構成され、マイクロプロセッサがイネーブルされる。したがって、ＡＰＣは、ＳＢＣとほぼ同様の振る舞いをする。プロセッサコントローラのＦＰＧＡは、ＰＰＣに関するＩＯ、メモリコントローラ、割り込み、タイマなどを含めたすべてのサポート機能をホストする。
【００３０】
２．カスタムプロセス
カスタムプロセスとしてイネーブルされた場合には、マイクロプロセッサはディスエーブルされ、ソフトウェアの実行は行わない。ＡＰＣ  ８０がこのカスタムプロセッサモードにある間は、ＰＥ／ＰＣ  ８８のＦＰＧＡは、処理要素として構成され、すべてのＩＯおよび処理ロジックを含めたフルカスタムアプリケーションをホストする。処理要素の処理ロジックは、構成マネージャ８４によってＦＰＧＡの構成メモリにロードされるイメージによって定義される。構成マネージャ８４は、ターゲットコンピュータ１６（図２を参照）のシステムコントローラ５２上のソフトウェアからコマンドを受け取る。
【００３１】
３．ハイブリッドモード
第３のＡＰＣケイパビリティは、ハイブリッドモード動作である。ハイブリッドモードでは、ＦＰＧＡは、マイクロプロセッサならびにアプリケーションに特有のモジュールに関するプロセッサコントローラをホストする。この第３の代替モードは、コプロセッサシステムに例えられ得る。アプリケーションに特有のモジュールは、デジタル信号処理（「ＤＳＰ」）機能、データ圧縮、ベクトル処理などである可能性もある。カスタムモードの場合と同様に、アプリケーションに特有のモジュールを使用することによって、高い効率および性能の利益がもたらされる可能性がある。例えば、このような効率および性能の利益の概要に関する一般的な説明は、参照によりその内容全体が本明細書に組み込まれ、さらなる情報が読者に示されるＪ．Ｓ．  Ｄｏｎａｌｄｓｏｎの「Ｐｕｓｈ  ｔｈｅ  ＤＳＰ  Ｐｅｒｆｏｒｍａｎｃｅ  Ｅｎｖｅｌｏｐ（ＤＳＰ性能エンベロープを推進）」Ｘｉｌｉｎｘ  Ｘｃｅｌｌ  Ｊｏｕｒｎａｌ、Ｓｐｒｉｎｇ  ２００３に記載されている。この第３のモードは、プログラム可能なマイクロプロセッサを保持することによってさらなる柔軟性を提供し、カスタムハードウェアへのアクセスも提供する。ＡＰＣは、上記の各モード間を動的に切り換えることもできる。このような機能は、多くのアプリケーションで有益であることが証明される可能性がある。例えば、このような機能は、複数のデータチャネルが同じペイロードの一部である場合に有益であることが証明される可能性があり、したがって、ＡＰＣの動作モードは、アクティブ状態のデータチャネルの必要に、より良い形で応えられるよう切り換えられ得る。
【００３２】
ＡＰＣの柔軟性によって、様々な任務レベルの要件に見合うターゲットプロセッサを採用することが可能となる。単なる一例として、効率の向上は、ＦＰＧＡにおいてより多くのカスタムハードウェアモジュールを使用することによって達成され得る。同様に、処理性能の向上もＦＰＧＡモジュールの形で実現され得る。しかしながら、高いプログラム可能性を必要とし得るある種のアプリケーションについては、マイクロプロセッサモードの方が適切なアプリケーションである可能性がある。ＡＰＣを利用することにより、これらの必要性が高まる可能性もある。さらに、他の代替実装形態は典型的には、オンボードプロセッサモジュールで使用可能ではない。ＡＰＣの柔軟性の一例は、制御フロー処理とデータフロー処理が同じコンピュータ上に混在するような処理状況に見られる。データフローが並列的になる傾向が強い場合は一般に、制御フローアプリケーションが順次的である可能性の方が高い。順次的なアプリケーションの場合では、マイクロプロセッサが許容可能な性能結果を達成する可能性もある。しかしながら、並列的なアプリケーションは、ＦＰＧＡのコプロセッサを使用した方がそれぞれの処理を高速化することができる。
【００３３】
ＡＰＣ  ８０などの好ましいＡＰＣに関連するいくつかの特徴を、以下の表２に示す。
【００３４】
【表２】
2008519321.tif 000004
【００３５】
再び図２を参照すると、ターゲットコンピュータ５０はさらに、パケット交換ファブリックＡ  ６０と、パケット交換ファブリックＢ  ６２とを備える。システム５０を含む様々なモジュールは、ＲａｐｉｄＩＯ（「ＲＩＯ」）業界標準に基づく交換ファブリックを介して相互接続されることが好ましい。この業界標準の詳細情報については、参照によりその内容全体が本明細書に組み込まれ、さらなる情報が読者に示されるＲａｐｉｄＩＯトレードアソシエーションのウェブサイト（ｈｔｔｐ：／／ｗｗｗ．ｒａｐｉｄｉｏ．ｏｒｇ／）を参照されたい。
【００３６】
ＲＩＯは業界標準であるが、一般には、従来のＣＯＴＳ相互接続の内、より人気の高いＣＯＴＳ相互接続として認識されている。いくつかの従来のペイロードデータプロセッサ相互接続は、マルチドロップ構成に基づく。このようなマルチドロップ構成は、それだけに限らないが、ＭＯＤＵＬＥ  ＢＵＳ、ＰＣＩ、およびＶＭＥを含む。このようなマルチドロップシステムの１つの利点は、それらのシステムが各モジュールに使用可能な帯域幅を分配することである。しかしながら、このような分配によって参加ノード間のコンテンションが発生する可能性があり、しばしばシステムレベルのボトルネックとなることもある。
【００３７】
このようなマルチドロップシステムとは対照的に、ＲＩＯは、パケット交換型のポイント・ツー・ポイント相互接続を実装する。このような相互接続は、いくつかの欠点を有する。例えば、パケット交換型のポイント・ツー・ポイント相互接続を用いると、ネットワーク内のエンドノード間でフル帯域幅の複数のポイント・ツー・ポイント・リンクを同時に確立することが可能となる。パケット交換型のポイント・ツー・ポイント相互接続の別の利点は、それらがより広い帯域幅をアプリケーションに与えながらコンテンションも軽減することである。
【００３８】
図４は、図２に示されるターゲットコンピュータ５０と共に利用され得る高速ＩＯ（「ＲＩＯ」）システム１００の一構成を示す。ＲＩＯシステム１００は、センサーデータ１１６、２つのプロセッサ１０２および１０４、高速ＩＯスイッチ１０８、バルクメモリ１１０、汎用Ｉ／Ｏ  １１４、バックプレーン１０６、ならびに不揮発性メモリ１１２を備える。
【００３９】
ＲＩＯシステム１００は本質的に、２つのビルディングブロック、すなわちＲＩＯエンドノード１２０と、ＲＩＯスイッチ１２２とを備える。ＲＩＯシステム１００内の各エンドノード１２０、１２２は、ＲＩＯネットワークインターフェイスを備える。各ＲＩＯネットワークインターフェイスは、共用ＲＩＯスイッチ１０８との間のポイント・ツー・ポイント・リンクを備える。ＲＩＯスイッチ１０８は、パケットを受信し、バックプレーン１０６を介して該当する宛先に当該パケットを経路指定する。このようなＲＩＯの非ブロッキング性は、複数パケットの同時経路指定を可能にする。例えば、センサーデータ１１６は、プロセッサ１０２、１０４が汎用Ｉ／Ｏ  １１４にアクセスするのと同時にバルクメモリ１１０に記憶され得る。図４に示される複数のスイッチを使用することにより、図１のＥＡＦＴＣシステム１０では、数百または数千ものノードから成るトポロジが実現され得る。
【００４０】
好ましい一構成では、ＲＩＯインターフェイスは、ＬＶＤＳシグナリング技術に基づいており、アクティブ状態の各リンクに最大６０Ｇｂｉｔ／秒の帯域幅を達成することができる。アクティブ状態の２つのポイント・ツー・ポイント・リンクを有する１６ビットＲＩＯシステムは、３３ＭＨｚの３２ビット  コンパクトＰＣＩベースシステムの１２０倍を超える性能向上を実現する１２０Ｇｂｉｔ／秒を達成することができる。
【００４１】
ＲＩＯプロトコルの１つの利点は、当該プロトコルの誤り検出および復元メカニズムである。ＲＩＯは、アプリケーションの介入なしに、リトライプロトコル、巡回冗長符号（「ＣＲＣ」）、および単一／多重誤り検出を組み合わせることによってネットワーク内のすべての誤りに対処する。この固有の誤り対処能力および復元能力は、概して信頼性の高い相互接続を必要とし得る、スペースアプリケーションのようなある種のアプリケーションについて有益であることが証明される。
【００４２】
環境センサースイート
再び図２を参照すると、ターゲットコンピュータ５０はさらに、環境センサースイート５８を備える。したがって、ＥＡＦＴＣシステム１０は、ある程度それ自体の環境を感知する能力に依存する。再構成可能な環境適応コンピューティング技術（ＲＥＡＣＴ）、組込み式小型放射線モニタ、およびＳＥＵアラームは、ＰＳＩの一部として開発された。ＳＥＵアラームは、元々ＰＳＩの放射線診断計装用に開発されたある種の飛行証明技術に基づく。この放射線診断計装に関する一般的な背景情報は、参照によりその内容全体が本明細書に組み込まれ、さらなる情報が読者に示されるＰｈｙｓｉｃａｌ  Ｓｃｉｅｎｃｅｓ  Ｉｎｃ．社のウェブサイト（ｈｔｔｐ：／／ｗｗｗ．ｐｓｉｃｏｒｐ．ｃｏｍ／ｉｎｄｅｘ．ｓｈｔｍｌ）から取得され得る。従来のセンサーよりも優れたＳＥＵアラームの利点は、それ自体の占有スペースが比較的小さく、当該アラームがＳＥＵレート予測をサポートするように設計されていることである。
【００４３】
一構成では、ＳＥＵアラーム（図１に示されるアラーム２２）は、単一事象反転を引き起こす陽子および重イオンの流束を継続的に監視する。好ましい一構成では、ＳＥＵアラームは、光検出器に結合された複数のシンチレータから成る小ブロックを備える。例えば、図５は、このようなＳＥＵアラームモジュール１５０の一構成を示す。モジュール１５０は、それぞれ３つのコントローラエレクトロニクス１６０、１６２、１６４に結合された３つのセンサー１５２、１５４、１５６を備える。モジュール１５０はさらに、コントローラ１６６と、ネットワークインターフェイス１６８とを備える。コントローラ１６６は、センサーモジュールとのソフトウェアインターフェイスに相当する制御インターフェイスレジスタを提供する。ソフトウェアは、所与のアプリケーションに関して、アラームの閾値およびリフレッシュレートを設定することによって各センサーを構成する。ソフトウェアは、システムに対する脅威を評価する際に使用されるアラーム測定値にアクセスすることもできる。
【００４４】
ＳＥＵアラーム１５０は、センサー１５２、１５４、１５６を用いて、単一事象反転を引き起こす陽子および重イオンの流束を継続的に監視する。ＳＥＵアラームの基本的なコンポーネントは、光検出器に結合された複数のシンチレータから成る小ブロックである。好ましい一構成では、これらのいくつかのデバイスが単一のモジュールに統合され得る。
【００４５】
ソフトウェアフレームワーク
図６は、図１に示されるターゲットコンピュータ１６などのターゲットコンピュータに関する好ましいソフトウェアフレームワーク１８０を示す。ソフトウェアフレームワーク１８０は、オペレーティングシステム／システムソフトウェア、故障許容システムコントローラ／ノード、ＥＡＦＴＣコントローラ１９２、メッセージングミドルウェア２００、およびリライアブルプラットフォームミドルウェア２１６を備える。ターゲットコンピュータのソフトウェアフレームワークの一目的は、安定でありながらシステム開発者に馴染みのあるソフトウェアプラットフォームを提供することである。図６では、ソフトウェアは、任務特有のペイロードコントロール１９６を備え、通信は、システムコントローラ１９４上でホスティングされ、アプリケーションプロセスは、データプロセッサクラスタ１８１の全体に分散される。これらのソフトウェアコンポーネントは、ＣＯＴＳ環境と、関連するアプリケーションプログラムインターフェイス（「ＡＰＩ」）とを使用して開発され得る。
【００４６】
好ましい一構成では、本明細書で提案されるオペレーティングシステムは、システムコントローラ１９４用のＶｘＷｏｒｋｓ  ２０２と、データプロセッサクラスタ１８１用のＬｉｎｕｘである。本明細書で提案されるＶｘＷｏｒｋｓのオペレーティングシステムに関する情報は、参照によりその内容全体が本明細書に組み込まれ、さらなる情報が読者に示されるＷｉｎｄ  Ｒｉｖｅｒ  Ｓｙｓｔｅｍｓ社のウェブサイト（ｈｔｔｐ：／／ｗｗｗ．ｗｉｎｄｒｉｖｅｒ．ｃｏｍ／）で確認され得る。
【００４７】
ＶｘＷｏｒｋｓ  ＯＳ  ２０２は、ＥＡＦＴＣコントローラ１９２、故障許容システムコントローラ１９４、ペイロード制御および通信１９６などによって実装される実時間の制御プロセスの配備に必要なケイパビリティを提供する。ＶｘＷｏｒｋｓ  ＯＳ  ２０２は、これらのタイプのアプリケーションの開発者に馴染みのあるプラットフォームも提供する。データプロセッサクラスタ１８１は、システムコントローラ１９４とは異なり科学アプリケーション開発者のドメインである。この場合には、科学界でのそれ自体の人気の故にＬｉｎｕｘ  ＯＳ  ２２０が好ましいＯＳとなる。異機種混合型のオペレーティングシステムの相互作用に関連する懸念を緩和するために、ＣＯＴＳメッセージングミドルウェア２１４が導入されてもよい。例えば、ＧｏＡｈｅａｄ社のＳｅｌｆＲｅｌｉａｎｔ  Ｍｉｄｄｌｅｗａｒｅのメッセージングコンポーネントは、Ｌｉｎｕｘ  ＯＳ  ２２０とＶｘＷｏｒｋｓ  ＯＳ  ２０２との間の共通インターフェイスと共に、パブリッシュ／サブスクライブ型データベースやレプリケートデータベースなど、実用的な様々なメッセージングサービスを提供する。例えば、参照によりその内容全体が本明細書に組み込まれ、さらなる情報が読者に示されるＧｏＡｈｅａｄ社のウェブサイト（ｈｔｔｐ：／／ｗｗｗ．ｇｏａｈｅａｄ．ｃｏｍ／）を参照されたい。
【００４８】
データプロセッサクラスタ１８１内のメッセージングは、クラスタ内のＳＩＦＴ（Ｓｏｆｔｗａｒｅ  Ｉｍｐｌｅｍｅｎｔｅｄ  Ｆａｕｌｔ  Ｔｏｌｅｒａｎｃｅ：ソフトウェア実装故障許容度）の責任も負うリライアブルプラットフォーム（ＲＰ）ミドルウェア２１６を介して達成され得る。参照によりその内容全体が本明細書に組み込まれるＣ．  Ｊ．  Ｗａｌｔｅｒ、Ｐ．  Ｌｉｎｃｏｌｎ、およびＮ．  Ｓｕｎの「Ｆｏｒｍａｌｌｙ  ｖｅｒｉｆｉｅｄ  ｏｎ−ｌｉｎｅ  ｄｉａｇｎｏｓｉｓ」ＩＥＥＥ  Ｔｒａｎｓ．  ｏｎ  Ｓｏｆｔｗａｒｅ  Ｅｎｇｒ．、ｖｏｌ．２３、＃１１、６８４〜７２１頁（１９９７年１１月）を読めば、さらなる情報が読者に示される。上記のＯＳとミドルウェアとは連動して、他のソフトウェアが実装され得るベースプラットフォームを提供する。
【００４９】
ＥＡＦＴＣおよびＲＰミドルウェア
好ましい一構成では、ＥＡＦＴＣは本質的に、２つのソフトウェアコンポーネント、すなわち、リライアブルプラットフォームミドルウェア（ＲＰ）と、ＥＡＦＴＣコントローラとを備える。
【００５０】
１．ＥＡＦＴＣコントローラまたはシステム構成コントローラ
ＥＡＦＴＣコントローラまたはシステム構成コントローラは、図１に示されるＥＡＦＴＣベースシステムを制御する。ＥＡＦＴＣシステムの整合性および信頼性がこのコントローラに依存するので、当該コントローラは、高い信頼性をもって実現されなければならない。したがって、ＥＡＦＴＣは、高信頼性システムコントローラ上でホストされるソフトウェアコンポーネントとして実装されるように選択され得る。このようなシステムの１つの利点は、それを実装することによって将来の使用および適応化について高い柔軟性がもたらされることである。
【００５１】
図７は、システムコントローラ２７０の内部機能の概要２３０を、特徴的なシステム実装のコンテキストで示す。以下では、システムコントローラの好ましい一構成を含む様々なコンポーネントの概要が示される。
【００５２】
一構成では、システムコントローラ２７０は、環境サーバ２４２、アラートレベルジェネレータ２４４、配備プラン２５０、配備ジェネレータ２５２、ＦＰＧＡ構成コントローラ２５４、健康状態モニタ２５６、およびＣＰＵ構成コントローラ２５８を備える。発生し得る様々なセンサー入力が与えられた場合、機能は、センサー信号を収集し、他のＥＡＦＴＣコンポーネントと共用され得る抽象表現の形で当該センサー信号を編成するように定義される。環境サーバ２４２は、各信号のサンプリングを含めたシステム内の各センサーとの低レベルのインターフェイスをカプセル化する。図７に示される構成では、各信号は、スペースクラフト２３２およびＳＥＵアラーム２３４からのものである。
【００５３】
健康状態モニタ
健康状態モニタ２５６は、各ターゲットシステムコンピュータリソース２３６の状態２６６を監視する。ハートビートなどの信号、冗長出力の一貫性の不整合、ウォッチドッグのタイムアウトなどは、故障許容コントローラ／ノードコンポーネントを介して収集される。次いで、これらの信号が健康状態モニタ２５６に供給される。事前定義のポリシーが与えられた場合、健康状態モニタ２５６は、図２に示されるＡＰＣクラスタ６４や図６に示されるＡＰＣクラスタ１８１などのＡＰＣクラスタ内の、各データプロセッサに関する健康状態を決定する。この情報は後に、配備ジェネレータ２５２と共用され、配備プラン２５０に基づくシステムのタスク配備を決定する際に使用される。
【００５４】
履歴データベース
ある種のアプリケーションでは直近のセンサー入力に応答することが適切なこともあるが、ＥＡＦＴＣシステムに対する近い将来の脅威を予測する能力もいくつかの利点をもたらす。特に、予想される脅威に対処できるように故障許容を適応化することにより、システムが故障に見舞われることが少なくなる。履歴データベース２４８は、アラートレベルジェネレータ２４４内に実装される予測フィルタのコンポーネントである。単なる一例として、以前のスペースクラフト軌道に由来するセンサー測定値は、履歴データベース２４８内で維持され得、その後、配備ジェネレータ２５２の使用するアラートレベルジェネレータ２４４によって検索され得る。
【００５５】
アラートレベルジェネレータ
ＥＡＦＴＣシステムに対する環境的脅威を評価するプロセスは、アラートレベルジェネレータ２４４に実装される。スペースクラフト２３２および／またはＳＥＵアラーム２３４から受信された現時点のセンサー入力、履歴データベース２４８、ならびに１組のシステム特有の閾値が与えられた場合、アラートレベルジェネレータ２４４は、ＥＡＦＴＣシステムに関する離散的な脅威レベル２４５を出力する。アラートレベルジェネレータ２４４の重要なアルゴリズムは、適応線形予測フィルタである。この適応線形予測フィルタは、粒子の流束予測値を生成する。この粒子の流束予測値に基づいて、ＥＡＦＴＣシステムのプロセス配備を決定するために配備ジェネレータによって使用される現時点のシステムアラートレベルを決定するために、一連のユーザ定義閾値が評価され得る。
【００５６】
配備プラン
ＥＡＦＴＣコントローラのオンラインの振る舞いは、ターゲット環境、システムレベル要件、ターゲットアプリケーション、ターゲットシステムアーキテクチャ、および他の実装に特有の要因に基づいて変化する可能性がある。このアプリケーション特有の振る舞いは、ユーザ定義のパラメータセットとして捕捉され得る。特に、配備プランは、所与のスペースクラフト位置、脅威レベル、および時間に関する所望のシステム信頼性を記述する。配備プランは、個々の各アプリケーションプロセス要件によって定義され得る。
【００５７】
配備ジェネレータ
システムの脅威レベルが評価されると、配備ジェネレータ２５２は、脅威に対抗するように働く。特定の配備プラン２５０、ターゲットシステムの健康状態２６２、およびアラートレベル２４５が与えられた場合、配備ジェネレータ２５２は、新しいシステム配備を生成する。新しい配備を生成するプロセスは主に、使用可能なターゲットリソース全体にアプリケーションプロセス（いくつかのレプリカも含む）を分散させる最低コストを決定することに基づく。次いで、故障許容ノードソフトウェアによって実施されたローカルアクションが配備要求を満足する場合は、生成された配備がクラスタ内の各ノードに送信される。特に、一構成では、故障許容ノードは要求に応じて、以下で詳細に論じるようにＲＰミドルウェアと連動して故障許容を配備する。
【００５８】
構成コントローラ
ＣＰＵ構成コントローラ２５８は、特定のターゲットシステム２３６とインターフェイスをとり、プロセス配備２６４を提供するように設計される。２つ以上の構成コントローラ２５８が実装され、新しい配備が与えられた場合、各構成コントローラは、ターゲットシステムで必要とされる変更を有効化する低レベル信号を生成する。好ましい一構成では、２つのタイプの構成コントローラが実装される。第１の構成コントローラは、マイクロプロセッサモードで動作するＡＰＣノードと相互作用する責任を負う。第２の構成コントローラは、カスタムプロセッサモードで動作するＡＰＣノードと相互作用する。
【００５９】
リライアブルプラットフォーム（「ＲＰ」）ミドルウェア
ＥＡＦＴＣソリューション全体におけるＷＷ技術のＲＰの役割は、ソフトウェア実装故障許容（ＳＩＦＴ）の役割である。ＳＩＦＴは、プロセスレベルの冗長性を提供するソフトウェアに依存する故障許容技法である。（例えば、参照によりその内容全体が本明細書に組み込まれ、さらなる情報が読者に示されるＤａｎｉｅｌ  Ｐ．  ＳｉｅｗｉｏｒｅｋおよびＲｏｂｅｒｔ  Ｓ．  Ｓｗａｒｚの「Ｒｅｌｉａｂｌｅ  Ｃｏｍｐｕｔｅｒ  Ｓｙｓｔｅｍｓ  Ｄｅｓｉｇｎ  ａｎｄ  Ｅｖａｌｕａｔｉｏｎ  ３ｒｄ  ｅｄｉｔｉｏｎ（信頼性コンピュータシステム設計および評価の第３版）」ＭＡ：ＡＫ  Ｐｅｔｅｒｓ  Ｌｔｄ．（１９９８年）を参照されたい。）ＲＰは、当該システムが動作する一貫性のあるフレームワークおよび共通のコンテキストを確立することによって、プロセッサのクラスタ全体に分散されたアプリケーションおよびサービスの故障許容を管理する。
【００６０】
好ましい一構成では、ＲＰは、冗長／複製リソースに関する信頼性のある管理を使用して高信頼性システムの実装を容易にする１組のサービスから成る。ＲＰは、故障が存在する場合も割り込みが発生しないサービス配信を、ホストされる側のアプリケーションが提供することが可能となる、透過的な故障検出−隔離−除去（「ＦＤＩＲ」）サービスが提供されるソフトウェアベースのソリューションを提供するので、ＣＯＴＳハードウェアおよびソフトウェアコンポーネントを利用してシステムを構成する必要に応える。
【００６１】
図８は、図１に示されるＥＡＦＴＣコントローラと共に利用され得る高信頼性ミドルウェアの例示的なブロック図３００を示す。図８は、ＲＰと、システムの他のソフトウェア要素との間の関係を示すブロック図である。以下では、主なＲＰフレームワークコンポーネントについて説明する。
【００６２】
ローカルサービス３０２は、分散システム内の各プロセッサのローカルに所在するサービスである。これらのサービスは、プロセッサがクラスタ内で有効に作用する上で必要なローカル機能を提供する。これらのタイプのサービスの例は、それだけに限らないが、ネットワーキング、ローカルスケジューリング、タイミング、およびプロセス間通信を含む。
【００６３】
クラスタ同期化３０４は、システム全体で一貫性を有する信頼性のある分散タイムベースを確立する。このサービスは、メッセージの引渡し技法に基づくものであり、各コンポーネントの物理的なローカルクロックを使用して論理的なシステムクロックを形成する。クラスタ同期化３０４は、好ましくは拡張可能であり、プロセッサ全体のタイムベースを効率的に確立する。このタイムベースは、クラスタ全体に分散された各処理をスケジューリングするバックボーンとして使用されてもよい。
【００６４】
システム構成サービス３０６は、クラスタ構成を確立し制御する。クラスタ構成は、システムの物理的なリソースと、論理的なケイパビリティとを備える。システム構成サービスは、ＥＡＦＴＣの故障許容ノードコンポーネントと直接相互作用する。次に、システム構成サービスは、故障許容コントローラと通信する。ＥＡＦＴＣコントローラは、それ自体の生成した配備を、故障許容コントローラ／ノードを介して各プロセッサのシステム構成サービスに送信し、ここで配備の変更が最終的に有効化される。
【００６５】
システム監視サービス３１４は、クラスタの健康状態を動的に評価する能力をシステムに提供し、故障のあるプロセッサおよびアプリケーションプロセスを局所化する。
評価は、分散型意思決定およびクラスタ全体の統合的な監視情報を使用してクラスタ全体の観点から行われる。このサービスからの故障通知は、故障許容コントローラ／ノードコンポーネントを介してＥＡＦＴＣの健康状態モニタに転送され得る。
【００６６】
ペイロードアプリケーションのアベイラビリティおよび信頼性を高める好ましい一構成のプロセスグループ管理は、レプリケーションに依存する。１組の複製インスタンスが「プロセスグループ」として管理される。これは、各レプリカのサポートサービスがそれ自体のローカルレプリカの性能／振る舞いを、それ自体のリモートピアの性能／振る舞いと突き合わせて定期的にチェックすることになる、ピア・ツー・ピア・エンティティである。
【００６７】
スケジューリングは、ホストされる側のアプリケーションが使用可能なスケジューリングメカニズムを提供する。このメカニズムはまず、それ自体の実行サイクルを実施すべき時期、および他のサポートサービスを用いた相互作用が実施され得る時期を示す指示をアプリケーションプロセスに提供する。このスケジューリングメカニズムは、クラスタ同期化を介して確立される共通のタイムベースに基づく。このスケジューリングサービスによって制御される動作は、クラスタのすべての要素にわたって実時間で調整され得る。
【００６８】
データ保全性３０８は、レプリカ全体で一貫性を有するデータセットを提供する。この一貫性のあるデータからレプリカが逸脱した場合は、当該レプリカによるエラーと解釈されることになる。この機能を用いると、ホストされる側のアプリケーションが内部状態データを公開することが可能となり、その結果、追加的なリソースがオンライン状態になるときのウオームスタートを容易にすることが可能となる。既存のレプリカの内部状態を採用することによって確立されたグループに、追加的なレプリカが参加することもできる。
【００６９】
ＲＰ  ３１２は、それ自体のサービスを柔軟な形で提供し、その結果、物理的なクラスタの実現に必ずしも結びつけられないアプリケーション配信もサポートされる。好ましい一構成では、ＲＰは、あるクラスタリング手法を利用してクラスタプロセッサを管理する。アプリケーションレプリカは、ＲＰインターフェイス（ＲＰＩ）を介して、ＲＰによってイネーブルされた各リソース上でホストされる。これにより、アプリケーションは、それ自体が複製された事実またはその複製の程度に「気付かない」ことになる。ＲＰは、バックグラウンドで動作してアプリケーションの振る舞いを監視し、その結果、故障によってアプリケーションの逸脱が発生した時期を認識することになる。ＲＰは、ホストされる側のアプリケーションに信頼性をもたらすだけでなく、それ自体も信頼性を有することから、内部的には、ホストされる側のアプリケーションに伝達されるのと同じ技法および特性が利用される。
【００７０】
ＥＡＦＴＣシステムは、１組の革新的な技術を組み合わせて高性能のＣＯＴＳプロセッサを効率的に使用しながら、それらのプロセッサが概して厳しい宇宙環境で動作することを可能にするシステムおよび／または方法を可能にする。また、必要とされるある種のシステム能力も維持する一方で、性能レベルの向上も達成され得る。例えば、図８は、図１に示されるＥＡＦＴＣシステムを適用する一例を示す。図８の左側には、特定の衛星軌道３０４が１組の４つの領域を含むものとして示される。これらの領域は、第１の領域３０４と、第２の領域３０６と、第３の領域３０８と、第４の領域３１０とを含む。各領域３０４、３０６、３０８、３１０は、それぞれに関連する様々な放射線環境を有する。４つの領域と４つの放射線環境だけが示されているが、４つよりも多いまたは少ない領域が示されてもよいことが当業者には理解されるであろう。
【００７１】
ＥＡＦＴＣシステムがある領域から次の領域へと軌道内を移動するときに、システムは、放射線に対するＳＥＵアラーム応答の測定値を収集する。このＳＥＵアラーム応答３１４は、在スペースクラフトがある領域から次の領域へと移動するのに従って変動する軌道位置の関数として示される。ＥＡＦＴＣシステムは、これらの測定値に基づいて、また、放射線に対するオンボード処理システムの故障発生度に部分的に基づいて各領域を動的に作成する。
【００７２】
ＥＡＦＴＣシステムが特定の領域に入りその領域を離れるときに、システムは、当該環境と調和するように故障許容を動的に構成する。全体的な結果は、曲線３２０で示されるように、システムの性能の増加である。曲線３２０は、単位電力当たりのＥＡＦＴＣシステム命令、この場合では「ＭＩＰＳ／ワット」当たりのＥＡＦＴＣシステム命令を表す。第１の代替線３２２で示される最悪のシナリオを対象に設計された従来のシステムと比較した場合も、黒の破線３２４で示されるＥＡＦＴＣシステムの平均性能の方が高くなるはずである。全体的な性能利得は、特定の軌道ならびにオンボード処理システムの感度および適応性に依存するが、ＥＡＦＴＣは、従来の手法を上回る利点をもたらさない場合にも、従来の手法と同程度の利点をもたらすソリューションを提供する。
【００７３】
したがって、図１に示されるＥＡＦＴＣシステムは、故障を緩和し、特にＣＯＴＳデバイスのＳＥＵを軽減する。システムの全体的な効率および容量も高めながら、このような故障の緩和が達成される。ＥＡＦＴＣシステム１０は、任務の全期間をとおして、タスクの臨界および環境測定の需要に応じて故障許容を最適な形で適用することにより、このような偉業を達成する。
【００７４】
本明細書で提案されるＥＡＦＴＣシステムを用いると、オンボードペイロード処理のための新規な技術がもたらされる。本明細書に開示のＥＡＦＴＣは、ＣＯＴＳベースのコンピューティングシステムアーキテクチャであり、また、それと連動して高信頼性オンボード処理プラットフォームを提供する関連するシステム制御アルゴリズムである。本出願人らのＥＡＦＴＣシステムは、環境を感知し、環境から提示される故障の脅威を評価し、処理システムの故障許容を調整し、それによって環境から提示されるある種の脅威を効果的に緩和する。このようにして、ＥＡＦＴＣは、履歴状態および環境条件に基づいて故障許容を最適な形で利用する。したがって、ＥＡＦＴＣは、ワット当たりの計算単位の観点から全体的なシステム効率を高めることもできる。
【００７５】
以上、本発明の例示的な諸実施形態について説明した。しかしながら、これらの実施形態には、添付の特許請求の範囲で定義される本発明の真の範囲および趣旨から逸脱することなく様々な変更および修正が加えられ得ることが当業者には理解されるであろう。
【図面の簡単な説明】
【００７６】
【図１】本発明の諸態様が組み込まれたＥＡＦＴＣベースシステムの位置構成を示す図である。
【図２】図１に示されるＥＡＦＴＣベースシステムと共に利用され得るターゲットコンピュータの一構成を示す図である。
【図３】図２に示されるターゲットコンピュータと共に利用され得る適応処理コンピュータの一構成を示す図である。
【図４】図２に示されるターゲットコンピュータと共に利用され得る高速Ｉ／Ｏシステムの一構成を示す図である。
【図５】図２に示されるターゲットコンピュータと共に利用され得るアラームモジュールの一構成を示す図である。
【図６】図２に示されるターゲットコンピュータのソフトウェアフレームワークを示す図である。
【図７】図１に示されるＥＡＦＴＣコントローラの例示的なブロック図である。
【図８】図１に示されるＥＡＦＴＣコントローラと共に利用され得る高信頼性ミドルウェアの例示的なブロック図である。
【図９】図１に示されるＥＡＦＴＣシステムの１つの適用例を示す図である。
【図１】
2008519321.tif 000005
【図２】
2008519321.tif 000006
【図３】
2008519321.tif 000007
【図４】
2008519321.tif 000008
【図５】
2008519321.tif 000009
【図６】
2008519321.tif 000010
【図７】
2008519321.tif 000011
【図８】
2008519321.tif 000012
【図９】
2008519321.tif 000013
【国際調査報告】
2008519321.tif 000014
2008519321.tif 000015