(57)【要約】      （修正有）【課題】放射線非対応のプロセッサが高エネルギー放射線、あるいは高エネルギーの微粒子によって衝撃を受けるとき、シングル・イベント・アップセット（ＳＥＵ）による処理能力の損失や重要なデータの損失をなくす。【解決手段】関連した障害にさらされた際に特定の障害信号を提供する少なくとも１つの処理ユニットと、当該少なくとも１つの処理ユニットからの障害信号を受けた際に、特定の回復信号を生成する制御装置と、少なくとも１つの入力メモリユニットとを有する電子計算機装置において、前記回復信号は、前記少なくとも１つの処理ユニット内で特定の回復処理を起動し、前記入力メモリは、前記回復処理の期間、障害にさらされた前記少なくとも１つの処理ユニットへ入力する入力データ信号をバッファする。【選択図】図１
2008027426.tif 000002
【特許請求の範囲】
【請求項１】
関連した障害にさらされた際に、特定の障害信号を提供することに適合した少なくとも１つの処理ユニット（３０）と、
前記、少なくとも１つの処理ユニットからの障害信号を受けた際に、前記少なくとも１つの処理ユニット内で特定の回復処理を起動する特定の回復信号を生成することに適合した制御ユニット（４０）と、
前記回復期間中、前記障害にさらされた少なくとも１つの処理ユニットへの入力データ信号をバッファする少なくとも１つの入力メモリユニット（２０）と、
から構成される電子計算機装置（１０）。
【請求項２】
前記入力メモリユニット（２０）が更に、前記バッファされたシステム入力データ信号が選択された閾値を超えるとき、閾値信号を出力することに適合し、
前記制御ユニット（４０）が更に、前記受信した閾値信号に応答する速度係数因子によって回復処理のために名目的処理速度を増加させることに適合する
ことを特徴とする請求項１記載の電子計算機装置（１０）。
【請求項３】
更に、処理ユニット出力データ信号をバッファし、システム出力データ信号を外部装置（６０）へ送信することに適応した少なくとも１つの出力メモリユニット（５０）を含み、
前記制御ユニット（４０）が更に前記出力メモリユニットへフラッシュ信号を出力することに適合し、
前記出力メモリユニットが更に前記制御ユニットからのフラッシュ信号を受信し、受信されたフラッシュ信号に応答して前記出力メモリユニットから処理ユニット出力データ信号を削除することに適応する
ことを特徴とする請求項２記載の電子計算機装置（１０）。
【請求項４】
前記少なくとも１つの入力メモリユニット（２０）は、耐障害性メモリユニットであり、
前記制御ユニット（４０）は、耐障害性制御ユニットであり、
前記出力メモリユニット（５０）は、耐障害性出力メモリユニット
であることを特徴とする請求項３記載の電子計算機装置（１０）。
【発明の詳細な説明】
【技術分野】
【０００１】
高高度で飛行し、地球上空を周回し、又は宇宙空間を飛行する宇宙船内の計算機は、過酷な放射線への対応が課題である。飛行中の計算機内の電子機器への放射線の影響を和らげるために、冗長プロセッサが使用され、その計算機内の処理構成要素は、放射線対応となっている。放射線対応プロセッサは、商用オフ・ザ・シェルフ(ＣＯＴＳ)構成要素と関連し高価である。航空機に適した計算機におけるＣＯＴＳ構成要素を実現する１つの方法が、２００５年１１月２１日出願のハネウェル特許出願包袋番号Ｈ０００７１２７−１６２８、題名「ＭＥＴＨＯＤ  ＡＮＤ  ＳＹＳＴＥＭ  ＦＯＲ  ＥＮＶＩＲＯＮＭＥＮＴＡＬＬＹ  ＡＤＡＰＴＩＶＥ  ＦＡＵＬＴ  ＴＯＬＥＲＡＮＴ  ＣＯＭＰＵＴＩＮＧ」に述べられており、すべて本出願に編入される。
【特許文献１】２００５年１１月２１日出願のハネウェル特許出願包袋番号Ｈ０００７１２７−１６２８、題名「ＭＥＴＨＯＤ  ＡＮＤ  ＳＹＳＴＥＭ  ＦＯＲ  ＥＮＶＩＲＯＮＭＥＮＴＡＬＬＹ  ＡＤＡＰＴＩＶＥ  ＦＡＵＬＴ  ＴＯＬＥＲＡＮＴ  ＣＯＭＰＵＴＩＮＧ」
【発明の開示】
【発明が解決しようとする課題】
【０００２】
放射線非対応のプロセッサが高エネルギー放射線、あるいは高エネルギーの微粒子によって衝撃を受けるとき、シングル・イベント・アップセット（ＳＥＵ）による処理能力の損失や重要なデータの損失をなくするには、過酷な環境においてＣＯＴＳ処理コンポーネントを使用することが望ましい。
【課題を解決するための手段】
【０００３】
関連した障害にさらされた際に特定の障害信号を提供する少なくとも１つの処理ユニットと、当該少なくとも１つの処理ユニットからの障害信号を受けた際に、特定の回復信号を生成する制御装置と、少なくとも１つの入力メモリユニットとを有する電子計算機装置を提供する。前記回復信号は、前記少なくとも１つの処理ユニット内で特定の回復処理を起動する。前記入力メモリは、前記回復処理の期間、障害にさらされた前記少なくとも１つの処理ユニットへ入力する入力データ信号をバッファする。
【発明を実施するための最良の形態】
【０００４】
当業者が実践できるように、多様に記述された特徴は、一定の縮尺で記述されているのではなく、本発明に関係ある特徴を強調して描いている。同じ参照番号や符号は、図や文において同一の構成要素を意味する。
【０００５】
後述する詳細部分では添付図面の一部を参照している。図面では、本発明を実施できるように特定の実施形態を図によって示す。これらの実施形態は、当業者が本発明を実施できるように、十分に詳細に記述する。さらに本発明の趣旨および範囲を逸脱することなく、他の実施形態も利用でき、また論理的、機械的、電気的変更も本発明の範囲から逸脱することなしに実施されることが理解できる。したがって以下の詳細な説明は、限定を意味するものではない。
【０００６】
図１は、本発明による電子計算機装置１０の１つの実施形態のブロック図である。この電子計算機装置１０は、電子計算機装置１０中の参照番号３０として一般的に表す複数の処理装置に対する障害を、電子計算機装置１０へ入力、あるいは電子計算機装置１０から出力されたデータを一切損失することなく回復する。電子計算機装置１０は、少なくとも１つの処理ユニット３０、制御ユニット４０、入力メモリユニット２０、そして出力メモリユニット５０を有する。この実施形態における１つの実装において、制御ユニット４０、入力メモリユニット２０、そして出力メモリユニット５０は、フォールトトレラント（耐障害性）である。たとえば、電子計算機装置１０が放射線にさらされる飛行中の輸送体の中にあるならば、制御ユニット４０、入力メモリユニット２０、そして出力メモリユニット５０は、放射線対応である。処理ユニット３０は、クラスタベース処理システム３０からなっているが、それら処理ユニット自体はフォールトトレラントではない。このため、電子計算機装置１０は、フォールトトレラント処理ユニット３０を有する他の電子計算機装置に比べて高価にならない。この実施形態での１つの実装において、処理ユニット３０は、商用オフ・ザ・シェルフのコンポーネントである。フォールトトレラント入力メモリユニット２０と出力メモリユニット４０は、フォールトトレラント処理ユニット３０に比べると比較的安価である。
【０００７】
電子計算機装置１０は、関連障害にさらされると、特定の障害信号を与える少なくとも１つの処理ユニット３０を有する。この特定の障害信号は、ここで障害信号としても参照される。図１に示すように、少なくとも１つの処理ユニット３０は、処理ユニット３１と、その環境によって障害を受けた例示的な障害を有する処理ユニット３２を有する。障害を有する処理ユニット３２が障害を受けると、障害を有する処理ユニット３２は、通信リンク１２０を経由して、特定の障害信号を制御ユニット４０に送信する。制御ユニット４０は、障害を有する処理ユニット３２のような少なくとも１つの処理ユニットから特定の障害信号を受信した時点で、特定の回復信号を生成する。
【０００８】
制御ユニット４０は、通信リンク１２５を経由して特定の回復信号を障害を有する処理ユニット３２に出力する。さらに制御ユニット４０は、名目的処理速度で特定の回復処理を起動するために、通信リンク１４０を経由して名目的処理速度信号を障害を有する処理ユニット３２へ出力する。この実施形態の１つの実装において、通信リンク１４０と通信リンク１２５は、同じ通信リンクである。
【０００９】
障害を有する処理ユニット３２で受け取られた特定の回復信号は、障害を有する処理ユニット３２内の特定の回復処理を起動する。この回復処理のタイプは、送信された特定の回復信号の機能である。この実施形態の１つの実装において、回復処理は障害のある処理ユニット３２の再起動である。この実施形態におけるもう１つの実装は、回復処理は障害を有する処理ユニット３２の電源スイッチを切ってすぐに入れ直すことである。他の回復処理も可能である。
【００１０】
入力メモリユニット２０は、通信リンク１３０を経由し、図１中に示す外部装置６０のような外部システムあるいは装置から障害を有する処理ユニット３２を含む処理ユニット３０に向けて電子計算機装置１０へ入力する入力データ信号をバッファする。必要なものとして用意された一時ストレージの後段で、入力メモリユニット２０は、参照番号１５５によって一般的に表された通信リンクを経由して、処理ユニット３０それぞれに処理ユニット入力データ信号を出力する。各処理ユニット３０は、参照番号１６０によって一般的に表された通信リンクを経由して処理ユニット出力データ信号を出力メモリユニットへ出力する。
【００１１】
入力メモリユニット２０は、回復期間中、入力データ信号をバッファする。そしてその期間中、障害を有する処理ユニット３２は、その受け取った特定の回復信号に応答して自分自身を回復する。もしバッファするべきデータが入力メモリユニットの記憶容量を超えたり、あるいは入力メモリユニットの記憶容量を超えそうになったりすると、バッファされたシステム入力データ信号が、選択された閾値を超える際、入力メモリユニット２０は、通信リンク１３５を経由して閾値信号を出力する。制御ユニット４０は、閾値信号を受信し、受信した閾値信号に対応した速度係数因子により回復処理のできるよう名目的処理速度を増やす。増加した処理速度は、ここでは回復処理速度として定義される。制御ユニット４０は、名目的処理速度を回復処理速度へ増すために通信リンク１４０を経由して障害を有する処理ユニット３２へ速度信号を出力する。
【００１２】
この実施形態の１つの実装において、速度係数因子は制御ユニット４０内にストアされた選択された速度係数因子である。本実施例のもう１つの実装においては、その選択された閾値を超える（ビット内の）データの総量が入力メモリサイズであり、選択された閾値は、入力メモリユニット２０の内部に蓄積可能な容量のビット数となる。この場合、速度係数因数は、入力メモリサイズを障害間の平均時間と名目的処理速度の積で割ったものよりも大きい。この実施形態の１つの実装において、制御ユニット４０は電子計算機装置１０の最近の障害統計値を基本として障害間の平均時間を生成する。この実施形態のもう１つの実装において、選択される閾値は入力メモリユニット２０のメモリ容量の１００％未満である。例示的な場合、選択される閾値は入力メモリユニット２０のメモリ容量の９５％である。この実施形態のさらにもう１つの実装において、選択される閾値はゼロであり、制御ユニットは回復処理の開始時の速度係数因数によって名目的処理速度より大きい回復処理速度で回復処理を起動する。
【００１３】
出力メモリユニット５０は処理ユニット出力データ信号をバッファし、通信リンク１４５を経由してシステム出力データ信号を、図１に示す例示的な外部装置６０のような外部システムに送信する。制御ユニット４０が障害信号を受信すると、制御ユニット４０は、通信リンク１５０を経由して消去（flush）信号を出力メモリユニット５０へ出力する。出力メモリユニット５０が消去信号を制御ユニット４０から受け取ると、出力メモリユニット５０は、出力メモリユニットにある処理ユニット出力データ信号を削除する。このようにして障害データは外部装置に出力されることはない。どちらかといえばむしろ再計算された正しいデータのための余地を作りながら出力メモリ装置から削除（フラッシュ：一気に消去）される。
【００１４】
通信リンク１２０、１２５、１３５，１４０、１５０と１６０は、導電性の配線および、または銅製の金属線のような配線からなる。通信リンク１３０と１４５は、１つもしくはそれ以上の無線（たとえば、無線周波（ＲＦ）通信リンク）、結線された通信リンク（たとえば、光ファイバや銅線の通信リンク）、およびまたは導電性の配線からなる。
【００１５】
この実施形態の１つの実装において、外部装置６０は、ガンマ線、高エネルギー微粒子、およびまたは紫外線のような高レベルの放射線にさらされている環境の中にある電子計算機装置１０と共同設置のコンピュータである。この実施形態のもう１つの実装において、外部装置６０は、電子計算機装置１０から離れた場所にある、複数の電子計算機装置１０をコントロールする制御システムである。
【００１６】
図１に示すように、入力メモリユニットは単一の入力メモリユニットであり、出力メモリユニットは単一の出力メモリユニットである。図２は本発明に従った電子計算機装置１２の１つの実施例のブロック図である。電子計算機装置１２は、少なくとも１つの処理ユニット３０、制御ユニット４０、参照番号２１として一般的に示した複数の入力メモリ、参照番号５１として一般的に示した複数の出力メモリを包含する。制御ユニット４０、複数の入力メモリユニット２０と複数の出力メモリユニット５０に関していえば、制御ユニット４０、複数の入力メモリユニット２０と複数の出力メモリユニット５０の障害間の平均時間が、処理ユニットの障害間の平均時間よりもずっと大きいという意味でフォールトトレラントである。制御ユニット４０は、必要に応じて複数の入力メモリユニット２１のそれぞれから参照番号１３６として一般的に示す通信リンクを経由して閾値信号を受信し、そして必要に応じて複数の出力メモリユニット５１のそれぞれに通信リンク１５１を経由して消去信号を送信する。
【００１７】
複数の入力メモリユニット２１のそれぞれは、参照番号１５６として一般的に示す通信リンクを経由して処理ユニット入力データ信号を処理ユニット３０のそれぞれに出力する。処理ユニット３０のそれぞれは、参照番号１６１として一般的に示す通信リンクを経由して処理ユニット出力データ信号を出力メモリユニット５１のそれぞれに出力する。複数の入力メモリユニット２１のそれぞれは、参照番号１３１として一般的に示す通信リンクを経由してシステム入力データ信号を外部装置６０に出力する。複数の出力メモリユニット５１のそれぞれは、参照番号１４６として一般的に示す通信リンクを経由してシステム出力データ信号を外部装置６０に出力する。通信リンク１３６、１５１、１５６と１６１は、導電性の配線および、または銅製の金属線のような配線からなる。通信リンク１３１と１４６は、１つもしくはそれ以上の無線（たとえば、無線周波（ＲＦ）通信リンク）、結線された通信リンク（たとえば、光ファイバや銅線の通信リンク）、およびまたは導電性の配線からなる。
【００１８】
図３は本発明にしたがってクラスタベースの処理システムの可用性を増すための方法３００の１つの実施例の流れ図である。方法３００は、図２の電子計算機装置１２やそれ以外の電子計算機装置にも適用可能であるが、図１の電子計算機装置１０を参照しながら説明する。
【００１９】
ブロック３０２において、フォールトトレラント制御ユニットは、少なくとも１つの障害のある処理ユニットから特定の障害信号を受信する。この実施形態の１つの実装において、電子計算機装置１０のフォールトトレラント制御ユニット４０は、障害のある処理ユニット３２から通信リンク１２０を経由して特定の障害信号を受信する。ブロック３０４において、制御ユニットは、その受信した障害信号に応答してその障害のある処理ユニットで回復処理を起動する。この実施形態の１つの実装において、制御ユニット４０はその受信した障害信号に応答して、通信リンク１２５を経由して特定の回復信号を、通信リンク１４０を経由して名目的処理速度信号を障害を有する処理ユニット３２に送信することによって回復処理を起動する。この実施形態のもう１つの実装において、制御ユニット４０はその受信した障害信号に応答して、その名目的処理速度を超える回復処理速度で回復を起動するために、通信リンク１２５を経由して特定の回復信号を、さらに通信リンク１４０を経由して回復処理速度信号を障害を有する処理ユニット３２へ送信することによって回復処理を起動する。
【００２０】
ブロック３０６において、制御ユニットはその障害信号受信に応答して出力メモリユニットにメモリ内容を一気に消去（フラッシュ）する信号を出力する。この実施形態の１つの実装において、制御ユニット４０は、その障害信号受信に応答して、通信リンク１５０を介し、出力メモリユニット５０にメモリ内容を一気に消去する信号を出力する。ブロック３０８において、出力メモリユニットは、その制御ユニットからの消去信号受信に応答してその出力メモリユニット内にあるデータを削除する。この実施形態の１つの実装において、出力メモリユニット５０は、制御ユニット４０からの消去信号受信に応答して、出力メモリユニット５０内のメモリ内容を一気に削除する。
【００２１】
ブロック３１０において、入力メモリユニットは、あるシステム入力データ速度でシステム入力データ信号を受信する。この実施形態の１つの実装において、入力メモリユニット２０は、通信リンク１３０を経由して外部装置６０からシステム入力データ速度で入力データ信号を受信する。ブロック３１２において、その入力メモリユニットは、その回復処理の期間、受信したシステム入力データ信号をバッファする。この実施形態の１つの実装において、入力メモリユニット２０は、回復処理の期間、受信したシステム入力データ信号をバッファする。
【００２２】
ブロック３１４において、その入力メモリユニットは、バッファしたシステム入力データ信号が選択された閾値を超過したとき、その制御ユニットへある閾値信号を送信する。この実施形態の１つの実装において、入力メモリユニット２０は、バッファしたシステム入力データ信号が選択された閾値を超過したとき、制御ユニット４０へ閾値信号を送信する。
【００２３】
図４は、本発明による障害を有する処置ユニットで回復処理を起動するための方法４００の１つの実装の流れ図である。方法４００は、図２の電子計算機装置１２やそれ以外の電子計算機装置にも適用可能であるが、図１の電子計算機装置を参照して説明する。
【００２４】
ブロック４０２において、制御ユニットはその回復処理を起動するために、その特定の障害信号の受信に応答して障害のある処理ユニットへ特定の回復信号を送信する。この実施形態の１つの実装において、制御ユニット４０は、障害を有する処理ユニット３２からの障害信号受信に応答して障害を有する処理ユニット３２へ通信リンク１２５を経由して特定の回復信号を送信する。
【００２５】
ブロック４０４において、制御ユニットは、名目的処理速度と等価な処理速度で回復処理を起動するために、その特定の障害信号受信に応答して名目的処理速度信号を障害を有する処理ユニットへ送信する。この実施形態の１つの実装において、制御ユニット４０は、その特定の障害信号受信に応答して名目的処理速度信号を通信リンク１４０を経由して、障害を有する処理ユニット３２へ送信し、その障害を有する処理ユニット３２のための回復処理は、名目的処理速度と等価な処理速度で起動される。
【００２６】
ブロック４０６において、制御ユニットは、バッファされたシステム入力データ信号が選択された閾値を超過するとき、入力メモリユニットから閾値信号を受信する。この実施形態の１つの実装において、制御ユニット４０は、入力メモリユニット２０内にバッファされたシステム入力データ信号が選択された閾値を超過するとき、入力メモリユニット２０から閾値信号を受信する。
【００２７】
ブロック４０８において、制御ユニットはその閾値信号受信に応答して回復処理速度信号を障害を有する処理ユニットへ送信することによって、処理速度を回復処理速度へ増加する。その回復処理速度は、名目的処理速度と速度係数因数の積よりも大きい。この実施形態の１つの実装において、制御ユニット４０は、入力メモリユニット２０からの閾値信号受信に応答して、通信リンク１４０を経由して回復処理速度信号を障害を有する処理ユニット３２へ送信することによって、処理速度を回復処理速度へ増加する。
【００２８】
本明細書において、特定の実施形態が示され、記載されてきたが、示された特定の実施形態の代わりに、同じ目的を達成するために計算された任意の構成が使用されてもよいことを当業者は理解されよう。本出願は、本発明の任意の改変または変形を含むものとする。したがって、本発明は、請求範囲ならびにそれと同等なものによってのみ、範囲限定されることを明確にしておく。
【図面の簡単な説明】
【００２９】
【図１】図１は本発明による電子計算機装置の１つの実施形態のブロック図である。
【図２】図２は本発明による電子計算機装置の１つの実施形態のブロック図である。
【図３】図３は本発明によるクラスタベース処理システムの可用性を向上するための方法の１つの実施形態の流れ図である。
【図４】図４は本発明による障害のある処理ユニットに対して回復処理を起動するための方法の１つの実施形態の流れ図である。
【図１】
2008027426.tif 000003
【図２】
2008027426.tif 000004
【図３】
2008027426.tif 000005
【図４】
2008027426.tif 000006
【外国語明細書】
2008027426000001.pdf