(57)【特許請求の範囲】
【請求項１】
毎周期更新される周期入力データと、計算機内部に記憶された書き換え可能なストアデータの読み出しにより、周期出力データを生成する周期制御プログラムから構成されるコンピュータ制御システムにおいて、
書き換え可能なストアデータのうち、値によっては人命や貴重な財産に危害を及ぼしうる静的データを全て格納するハザード・コントロール・テーブルと、
オペレータによってのみ実行可能な前記ハザード・コントロール・テーブルへの書き換え手段と、
前記ハザード・コントロール・テーブルからの書き換え確認手段と、
前記周期制御プログラムから呼び出し可能なデータ読み出しルーチンを備え、
前記ハザード・コントロール・テーブルは、
前記書き換え手段からのデータをそのまま格納する正テーブルと、
前記書き換え手段からのデータを元の値と異なる値に一対一写像する関数によって写像した写像テーブルとを、具備し、
前記周期制御プログラムは、前記ハザード・コントロール・テーブルからのストアデータの読み出し時に前記データ読み出しルーチンを使い、前記ハザード・コントロール・テーブルに格納された正テーブルのデータと写像テーブルを逆写像したデータとの比較により、ストアデータの異常を検出することを特徴とするコンピュータ制御システムの安全化装置。
【請求項２】
毎周期更新される周期入力データと、計算機内部に記憶された書き換え可能なストアデータの読み出しにより、周期出力データを生成する周期制御プログラムから構成されるコンピュータ制御システムにおいて、
書き換え可能なストアデータのうち、値によっては人命や貴重な財産に危害を及ぼしうる静的データを全て格納するハザード・コントロール・テーブルと、
オペレータによってのみ実行可能な前記ハザード・コントロール・テーブルへの書き換え手段と、
前記ハザード・コントロール・テーブルからの書き換え確認手段と、
前記周期制御プログラムから呼び出し可能なデータ読み出しルーチンを備え、
前記ハザード・コントロール・テーブルは、
前記書き換え手段からのデータをそのまま格納する正テーブルと、
前記書き換え手段からのデータをビット反転する反転テーブルとを、具備し、
前記周期制御プログラムは、前記ハザード・コントロール・テーブルからのストアデータの読み出し時に前記データ読み出しルーチンを使い、前記ハザード・コントロール・テーブルに格納された正テーブルのデータと反転テーブルのデータをビット反転したデータとの比較により、ストアデータの異常を検出することを特徴とするコンピュータ制御システムの安全化装置。
【請求項３】
毎周期更新される周期入力データと、計算機内部に記憶された書き換え可能なストアデータの読み出しにより、周期出力データを生成する周期制御プログラムから構成されるコンピュータ制御システムにおいて、
書き換え可能なストアデータのうち、値によっては人命や貴重な財産に危害を及ぼしうる静的データを全て格納するハザード・コントロール・テーブルと、
オペレータによってのみ実行可能な前記ハザード・コントロール・テーブルへの書き換え手段と、
前記ハザード・コントロール・テーブルからの書き換え確認手段と、
前記周期制御プログラムから呼び出し可能なデータ読み出しルーチンを備え、
前記ハザード・コントロール・テーブルは、
前記書き換え手段からのデータをそのまま格納する正テーブルと、
前記書き換え手段からのデータを反転し回転シフトする回転反転テーブルとを、具備し、
前記周期制御プログラムは、前記ハザード・コントロール・テーブルからのストアデータの読み出し時に前記データ読み出しルーチンを使い、前記ハザード・コントロール・テーブルに格納された正テーブルのデータと回転反転テーブルのデータを逆回転反転化したデータとの比較により、ストアデータの異常を検出することを特徴とするコンピュータ制御システムの安全化装置。
【請求項４】
毎周期更新される周期入力データと、計算機内部に記憶された書き換え可能なストアデータの読み出しにより、周期出力データを生成する周期制御プログラムから構成されるコンピュータ制御システムにおいて、
書き換え可能なストアデータのうち、値によっては人命や貴重な財産に危害を及ぼしうる静的データを全て格納するハザード・コントロール・テーブルと、
オペレータによってのみ実行可能な前記ハザード・コントロール・テーブルへの書き換え手段と、
前記ハザード・コントロール・テーブルからの書き換え確認手段と、
前記周期制御プログラムから呼び出し可能なデータ読み出しルーチンを備え、
前記ハザード・コントロール・テーブルは、
前記書き換え手段からのデータをそのまま格納する正テーブルと、
前記正テーブルの内容をチェックするチェックデータとを、具備し、
前記周期制御プログラムは、前記ハザード・コントロール・テーブルからのストアデータの読み出し時に前記データ読み出しルーチンを使い、前記ハザード・コントロール・テーブルに格納された正テーブルのデータとチェックデータとの比較により、ストアデータの異常を検出することを特徴とするコンピュータ制御システムの安全化装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
この発明は、コンピュータ制御システムを安全化する方法に関するものである。特に有人宇宙システムの安全性あるいは有人宇宙システムにランデヴ・ドッキングする無人宇宙機の対人安全性を保証するために考案したものである。今後、人命や貴重な財産に危害を及ぼしうる事象をハザード、ハザードが起こらないように制御することをハザード・コントロールと呼ぶ。
【０００２】
【従来の技術】
国際宇宙ステーションには、乗員が搭乗しているので、利用に際しては、所定の安全性要求を満足していなければならない。
その要求の根本は、2フェールセーフといって、いかなる2故障によっても人命への影響もしくは国際宇宙ステーションの喪失に至ってはいけないことが求められている。
【０００３】
たとえば国際宇宙ステーションにランデヴ・ドッキングする無人宇宙機のコンピュータ制御によるヒータ制御システムの場合、無人宇宙機が国際宇宙ステーションの近傍において、推進系配管のヒータが異常オン状態のまま一定時間以上続くと、配管内の燃料が爆発して、無人宇宙機が国際宇宙ステーションに衝突してしまう恐れがある。
ヒータの異常オフ状態が一定時間以上続いても、今度は配管内の燃料が凍結して配管が体積膨張により破裂して軌道制御機能を失い、国際宇宙ステーションに衝突してしまう恐れがある。
【０００４】
ヒータ制御システムの基本的な処理は、図８に示すように温度センサから温度データをある周期で繰り返し入力し（ステップ５１）、ストアデータである要求ＯＮ温度と要求ＯＦＦ温度（このとき要求ＯＮ温度≦要求ＯＦＦ温度）と比較して（ステップ５２、５３）、要求ＯＮ温度以下ならヒータＯＮ指令（ステップ５４）を、要求ＯＦＦ温度以上ならヒータＯＦＦ指令（ステップ５５）をヒータ制御スイッチに出す。
【０００５】
このとき、制御が正しく行われず、要求オン温度以下になってもヒータＯＦＦ状態が一定時間以上続くと、温度降下が続きやがて下限危険温度に到達してしまう。また、要求オフ温度以上になってヒータＯＮ状態が一定時間以上続いた場合でも、温度上昇が続くことによって、上限危険温度に到達してしまうことがある。
【０００６】
従来このような対人安全性を扱うシステムを、コンピュータ制御で実現する場合は、複数の同じ機能のコンピュータを並列動作させ、結果を多数決判定する方法が一般的であった。
【０００７】
図５は、従来のコンピュータ制御システムの安全化装置の構成を示す図であり、７は周期出力データ、１０はハザダス機能、２１ａ〜２１ｃはコンピュータ、２２は多数決回路、２３はヒータ電源、２４はヒータ切換え器、２５はヒータ切換え器２４のインタフェース、２６はヒータ制御スイッチ、２７はヒータ、２８は熱制御対象、２９は温度センサである。
対人安全性を扱う機能をハザダス機能と呼ぶことがあり、図５においては、ヒータ２７とヒータ切換え器２４は、ハザダス機能である。
【０００８】
コンピュータ２１ａ〜２１ｃは、複数台用意して、図８で示したような処理を全てのコンピュータ２１ａ〜２１ｃに格納しておいて、並列に実行させる。この複数のコンピュータ２１ａ〜２１ｃの出力を多数決回路２２で多数決をして、コンピュータの誤動作を検出可能な構成としていた。
【０００９】
従来このようなコンピュータの多重構成を用いていた理由は、コンピュータが誤動作した場合、誤動作を検知することがほとんど不可能であり、誤動作で生成された誤データがコンピュータ中に残って、次々伝播していくことを防ぐ一般的な解法が無かったからである。
【００１０】
【発明が解決しようとする課題】
従来の対人安全性を扱うコンピュータ制御システムは以上のように構成されているので、部品が多く、コスト・重量・電力インパクトが大きいという問題点があった。
【００１１】
この発明は上記のような問題点を解消するためになされたもので、適用可能なシステムを、周期的にデータを入出力し、かつコンピュータが自動的にストアデータを更新する必要がなく、かつ一定時間以内なら異常データを出力しても許容されるシステムに限定することで、比較的安価で安全性を保証するコンピュータ制御システムの安全化装置を得ることを目的としている。
【００１２】
【課題を解決するための手段】
第1の発明のコンピュータ制御システムの安全化装置は、毎周期更新される周期入力データと、計算機内部に記憶された書き換え可能なストアデータを入力し、仮に異常な出力データが一定期間以上連続して出力された場合、出力データを出力する周期制御プログラムから構成されるコンピュータ制御システムにおいて、書き換え可能なストアデータのうち、値によっては人命や貴重な財産に危害を及ぼしうる静的データを全て格納するハザード・コントロール・テーブルと、オペレータによってのみ実行可能な前記ハザード・コントロール・テーブルへの書き換え手段と、前記ハザード・コントロール・テーブルからの書き換え確認手段と、
前記周期制御プログラムから呼び出し可能なデータ読み出しルーチンを備え、
前記ハザード・コントロール・テーブルは、前記書き換え手段からのデータをそのまま格納する正テーブルと、前記書き換え手段からのデータを元の値と異なる値に一対一写像する関数によって写像した写像テーブルとを具備するものである。
【００１３】
第２の発明のコンピュータ制御システムの安全化装置は、毎周期更新される周期入力データと、計算機内部に記憶された書き換え可能なストアデータを入力し、仮に異常な出力データが一定期間以上連続して出力された場合、出力データを出力する周期制御プログラムから構成されるコンピュータ制御システムにおいて、書き換え可能なストアデータのうち、値によっては人命や貴重な財産に危害を及ぼしうる静的データを全て格納するハザード・コントロール・テーブルと、オペレータによってのみ実行可能な前記ハザード・コントロール・テーブルへの書き換え手段と、前記ハザード・コントロール・テーブルからの書き換え確認手段と、前記周期制御プログラムから呼び出し可能なデータ読み出しルーチンを備え、前記ハザード・コントロール・テーブルは、前記書き換え手段からのデータをそのまま格納する正テーブルと、前記書き換え手段からのデータをビット反転する反転テーブルとを具備するものである。
【００１４】
第３の発明のコンピュータ制御システムの安全化装置は、毎周期更新される周期入力データと、計算機内部に記憶された書き換え可能なストアデータを入力し、仮に異常な出力データが一定期間以上連続して出力された場合、出力データを出力する周期制御プログラムから構成されるコンピュータ制御システムにおいて、
書き換え可能なストアデータのうち、値によっては人命や貴重な財産に危害を及ぼしうる静的データを全て格納するハザード・コントロール・テーブルと、オペレータによってのみ実行可能な前記ハザード・コントロール・テーブルへの書き換え手段と、前記ハザード・コントロール・テーブルからの書き換え確認手段と、前記周期制御プログラムから呼び出し可能なデータ読み出しルーチンを備え、前記ハザード・コントロール・テーブルは、前記書き換え手段からのデータをそのまま格納する正テーブルと、前記書き換え手段からのデータを反転し回転シフトする回転反転テーブルとを具備するものである。
【００１５】
第４の発明のコンピュータ制御システムの安全化装置は、毎周期更新される周期入力データと、計算機内部に記憶された書き換え可能なストアデータを入力し、仮に異常な出力データが一定期間以上連続して出力された場合、出力データを出力する周期制御プログラムから構成されるコンピュータ制御システムにおいて、
書き換え可能なストアデータのうち、値によっては人命や貴重な財産に危害を及ぼしうる静的データを全て格納するハザード・コントロール・テーブルと、オペレータによってのみ実行可能な前記ハザード・コントロール・テーブルへの書き換え手段と、前記ハザード・コントロール・テーブルからの書き換え確認手段と、前記周期制御プログラムから呼び出し可能なデータ読み出しルーチンを備え、前記ハザード・コントロール・テーブルは、前記書き換え手段からのデータをそのまま格納する正テーブルと、前記正テーブルの内容をチェックするチェックデータとを具備するものである。
【００１６】
【発明の実施の形態】
実施の形態１．
この発明の実施例を図について説明する。まず、本発明の原理について説明する。本発明は、異常ケースを３通りに分類している。
（１）ハードウェアの永久故障によるケース。
（２）ハードウェアの一時故障により、周期の更新とともに抹消されるデータがデータ異常となるケース。
（３）ハードウェアの一時故障により、周期の更新によっても更新されないデータ(ストア・データ)がデータ異常となるケース。
【００１７】
この他に、一般的にはプログラムが毎周期の入力データからストア・データを変化させていく(たとえば積分計算)ケースがあるが、このようなプログラム(アプリケーション)は本発明の適用外である。このような適用制約を設けても、図８に示したようなヒータ制御アプリケーションなど適用可能なアプリケーションは意外に多くある。
【００１８】
（１）のケースは異常現象の再現性があるので、既に公知の方法のコンピュータ診断により、ＦＤＩＲ(Failure Detection, Isolation and Recover)を実施させればよい。公知の方法とは、ＲＯＭデータのＳＵＭチェックやＲＡＭの読み書きテスト、コンピュータ命令の静的自己診断などである。これは本発明の範囲外である。
（２）のケースは、自然に周期の更新とともに正常に復帰する。しかしながら（３）のケースでは従来ハザードコントロール要求を満たすレベルで異常を検出する方法がなかった。
本発明は（３）のケースに対して、適切にＦＤＩＲを実行させる方法を解決している。
【００１９】
図６は、上の３つの異常ケースを表した線表である。
図６（ａ）の場合は、異常が再現性のある永久故障であり、異常発生から異常が永久につづく。
図６（ｂ）の場合は、一時故障によりデータ異常となるものの、周期の更新とともにデータも入れ替わり、自然に正常に復帰するケースを表している。
図６（ｃ）の場合は図６（ｂ）の場合と同様、記憶装置の一時故障によりデータ異常となるケースであるが、異常となったストア・データであったため、異常が永久につづくケースを表している。
【００２０】
図７は、図６に対して、対策を施した場合を表している。
図７（ａ）は、再現性のある永久故障に対して、周期的にハードウェアの診断(チェックアウト)を行うことにより、FDIRを実施することを表している。
図７（ｂ）は、本発明により、ハザードに影響するストアデータの異常を診断・検出することにより、FDIRを実施することを表している。
【００２１】
図１は、本発明によるコンピュータ制御システムの安全化装置の実施の形態１を示す図であり、１はハザード・コントロール・テーブル、２はハザード・コントロール・テーブル１内の正テーブル、３はハザード・コントロール・テーブル１内の写像テーブル、４はハザード・コントロール・テーブル１の書き換え手段、５はハザード・コントロール・テーブル１の書き換え確認手段、６は周期入力データ、７は周期出力データ、８はオペレータ、９は周期入力データ６を生成するセンサ、１０はハザダス機能、１１は周期制御プログラム、１２は周期制御プログラム１１から呼び出し可能なデータ読み出しルーチンである。
ハザードに影響のあるパラメータは全て識別されて、ハザード・コントロール・テーブル１に集められていなければならない。
【００２２】
次に動作について説明する。
オペレータ８は、ハザード・コントロール・テーブル１に、周期の更新によっても更新されないデータ(ストア・データ)を設定する。
【００２３】
図１では、設定のための書き換え手段の誤動作で意図しないデータに書き換わらないよう、書き換え手段が書き換え手段4aと書き換え手段4bの2つから構成されている。
ハザード・コントロール・テーブル１の内部構造は冗長性を持っており、正テーブル２と写像テーブル３から構成されている。
【００２４】
写像テーブル３の内容は、正テーブル２の内容を異なる値に一対一写像した値を格納する。
たとえば、ビット反転は、元の値と必ず異なる値に一対一写像する関数である。物理的には２つのテーブルがＲＡＭやディスクなどの読み書き可能なハードウェアによって記憶されることから、これらのハードウェアのあらゆる故障モードによっても２つのテーブルの内容が一致しないようにする必要がある。
【００２５】
悪い例として、２つのテーブルに同じ値を格納していた場合、ハードウェアのデータがオール０になる故障モードまたはオール１になる故障モードは検出できない。データの中身が不定になる故障モードに対しては、偶然に２つのテーブルが正と写像の関係になることが考えられる。
【００２６】
しかし、それは非常に希なことであり、複数あるストアデータのチェックにより、必ず故障の発生が検出できると考えられる。
【００２７】
このように、写像関数は、あらゆる故障モードによっても、２つのテーブルの中身が正と写像の関係にならないようなものにする必要がある。
このようにすれば、２つのテーブルの内容を正と写像の関係になっているかどうかチェックすることにより、データに異常が生じているかどうか検出できる。
【００２８】
ハザード・コントロール・テーブル１のデータ書き換え後、オペレータ８はハザード・コントロール・テーブル１の内容を書き換え確認手段５によって、データを確認する。書き込んだデータと書き込み確認手段５によって読み出したデータが一致すれば、ハザード・コントロール・テーブル１へのデータ書き込みは、正常に行われたと判断できる。
【００２９】
次に、周期制御プログラム１１は、ハザード・コントロール・テーブル１からのデータ読み出しと、センサ９からの周期入力データ６の入力を行って、周期出力データ７の生成を行うことができる。
【００３０】
例えばヒータ制御システムでは、センサ９は温度センサにあたるものである。周期出力データ７はハザダス機能１０を制御するもので、ヒータ制御システムの例では、ヒータ切換え器を制御する信号に相当する。
ハザード・コントロール・テーブル１からのデータ読み出し行う時、既にハザード・コントロール・テーブル１内のデータが異常に変化している可能性がある。
【００３１】
これを検査するため、周期制御プログラム１１は、読み出しに必ずデータ読み出しルーチン１２を使う。
データ読み出しルーチン１２は、正テーブル２のデータと、写像テーブル３のデータを逆写像したデータと比較して、一致するかどうか検査する。
【００３２】
一致すれば正常で、不一致ならハザードに影響のあるパラメータが異常になっている可能性がある。
パラメータが異常の可能性があれば、所定のFDIR(Failure Detection, Isolation and Recover)機能を実行する。典型的なFDIRは待機CPUに制御を移すことである。
【００３３】
データ読み出しルーチン１２も、やはりまた誤動作する可能性がある。
すなわち、正常なのに異常と判定するケース、または異常なのに正常と判定するケースである。正常なのに異常と判定するケースでは、誤ったFDIRが実行されるかもしれないが、ハザードはコントロールされているので、問題ではない。
【００３４】
異常なのに正常と判定するケースでは、この誤動作が再現性のある永久的な故障であれば、別途周期的な検査を実施すれば検出することが可能である。
再現性のある故障に対しては、コンピュータの自己診断方法として既に公知の方法が適用可能である。
【００３５】
たとえば、ＲＯＭデータのＳＵＭチェックやＲＡＭの読み書きテスト、コンピュータ命令の静的自己診断などであるが、これらは本発明の範囲外なので、内容は省略する。
【００３６】
再現性のない一時的な異常であれば、周期出力データ７に誤りが混入するのも１周期のみであり、次の周期から正常な周期出力データ７に復帰できる。
【００３７】
本発明においては、周期制御プログラム１１は、ハザード・コントロール・テーブル１を自動更新してはならない。
周期制御プログラム１１の実行は、ハードウェアの一時故障により、ハザード・コントロール・テーブル１に対して、どのような操作をするか信用できないからである。ハザード・コントロール・テーブル１の更新は、オペレータ８のみが責任を持って行う。
【００３８】
したがって、周期制御プログラム１１がハザード・コントロール・テーブル１(ハザードに影響あるパラメータ)を直接自動更新しなければならないようなアプリケーションには、本発明は適用外である。
【００３９】
実施の形態２．
図２は、本発明によるコンピュータ制御システムの安全化装置の実施の形態２を示す図であり、３ａはデータをビット反転して格納する反転テーブルである。
【００４０】
ハザード・コントロール・テーブル１を、データをそのまま格納する正テーブル２と、データをビット反転する反転テーブル３ａから構成することで、仮にハードウェアの異常によりデータ異常が発生しても検出可能にしたものである。
ハードウェアの異常により、２つのテーブルの中身が偶然正と反転の関係に変化する故障モードは存在しないからである。
【００４１】
実施の形態３．
図３は、本発明によるコンピュータ制御システムの安全化装置の実施の形態３を示す図であり、３ｂはデータを回転シフトとビット反転して格納する回転反転テーブルである。
【００４２】
回転シフトとは、たとえばデータを右にビットシフトする場合は、ＬＳＢ(Least Significant Bit)から溢れていくビットデータをＭＳＢ(Most Significant Bit)へ移動させていき、左にビットシフトした場合は、ＭＳＢから溢れていくビットデータをＬＳＢへ移動させていくビットシフト方法のことを言う。
【００４３】
ハザード・コントロール・テーブル１を、データをそのまま格納する正テーブル２と、データを回転シフトとビット反転する回転反転３ｂテーブルから構成することで、仮にハードウェアの異常によりデータ異常が発生しても検出可能にしたものである。ハードウェアの異常により、２つのテーブルの中身が偶然正と回転反転の関係に変化する故障モードは存在しないからである。
【００４４】
実施の形態４．
図４は、本発明によるコンピュータ制御システムの安全化装置の実施の形態４を示す図であり、３Ｃは正テーブル２のチェックデータ、１３はチェックデータ更新手段である。
【００４５】
オペレータ８が、ハザード・コントロール・テーブル１にデータを書き込む時、チェックデータ更新手段１３によって、データとチェックデータ３Ｃからチェックデータ３Ｃを更新する。
ハードウェアの異常が起こった場合、チェックデータ３Ｃにより正テーブル２の内容をチェックすれば、データに異常があったかどうか検出できる。
【００４６】
周期制御プログラム１１が、ハザード・コントロール・テーブル１からデータを読み出すときは、チェックデータ３Ｃにより正テーブルの正常性をチェックする。
【００４７】
【発明の効果】
以上述べたように、この発明によれば、コンピュータ制御システムの安全性を保証しつつ、複数のコンピュータを並列動作させて多数決することなく構成できるので、安価なシステムを構成することができる。
【図面の簡単な説明】
【図１】  本発明によるコンピュータ制御システムの安全化装置の実施の形態１を示す図である。
【図２】  本発明によるコンピュータ制御システムの安全化装置の実施の形態２を示す図である。
【図３】  本発明によるコンピュータ制御システムの安全化装置の実施の形態３を示す図である。
【図４】  本発明によるコンピュータ制御システムの安全化装置の実施の形態４を示す図である。
【図５】  従来のコンピュータ制御システムの安全化装置の構成を示す図である。
【図６】  この発明による異常の要因毎に異常の時間軸上の範囲を表した線表である。
【図７】  この発明による異常の要因毎に対策を施した場合を表した線表である。
【図８】  従来の発明が適用可能なアプリケーションの例である。
【符号の説明】
１  ハザード・コントロール・テーブル、  ２  正テーブル、  ３  写像テーブル、  ４  書き換え手段、  ５  書き換え確認手段、  ６  周期入力データ、  ７  周期出力データ、  ８  オペレータ、  ９  センサ、  １０  ハザダス機能、  １１  周期制御プログラム、  １２  データ読み出しルーチン
【図１】
0004126933.tif 000002
【図２】
0004126933.tif 000003
【図３】
0004126933.tif 000004
【図４】
0004126933.tif 000005
【図５】
0004126933.tif 000006
【図６】
0004126933.tif 000007
【図７】
0004126933.tif 000008
【図８】
0004126933.tif 000009