JP2002527820A - 過渡エラー制約を受ける電子システムのための処理手順およびメモリアクセス監視装置 - Google Patents

Abstract

(57)【要約】 本発明は、過渡エラー制約を受ける電子システムの処理手順に関し、単一物理シーケンスにある二つの仮想シーケンスが所定のリアルタイムサイクルでタイミングよく多重化され（使用の前に票決できるように、仮想シーケンスの各実行から生じるデータは記憶されている）、エラーが検出された場合には、処理中のリアルタイムサイクルは禁止され、再ロードされたコンテキスト始まる次のサイクルの仮実行からなる再開始を行うように異常のないコンテキストが再ロードされる。本発明は、また、メモリアクセスの監視装置にも関する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】

本発明は、過渡エラー制約を受ける電子システムの処理手順及び、例えば、宇
宙関係に使用されるメモリーアクセス監視装置に関する。

【０００２】

【従来の技術および発明が解決しようとする課題】

本発明による方法は、過渡エラーを受ける全てのコンピュータアーキテクチャ
に関する。例えば、以下の分野では、この種のエラーを発生する、電子部品に対
する妨害環境（放射線、電磁外乱）の影響を受けるコンピュータを使用している
。 −周囲環境に重イオンが含まれる、宇宙、原子及び航空産業 −重大な電磁環境の影響を受ける自動車産業

【０００３】 宇宙産業は、以下の説明で例として使用する。その理由は、電子部品に発生す
るランダム過渡エラーは極めて代表的なものであり、またこの理由は、この分野
で、最初に本発明による処理方法が開発され、評価されたからである。

【０００４】 衛星用のコンピュータ構造の設計者は、宇宙に存在するが、大気によって濾過
される放射線の問題に直面している。この放射線には、マイクロプロセッサの内
部レジスタ内で、または他の集積部品において、メモリ部品のビットの一時的な
状態変化を起こす「特異イベント」効果がある。例えば、これらの特異イベント
によって発生するエラーは、データを不正確にする場合がある。その例としては
、衛星アクチュエータの制御不良、またはソフトウェアシーケンスへの重大な外
乱などがあり、これらは例えばマイクロプロセッサのクラッシュによって発生す
る。

【０００５】 現在まで、特異イベントタイプのエラーに対する解決方法は、この現象の影響
が極めて少ない「放射線耐性」技術、またはこの現象の影響を受けない「対放射
線強化」技術といわれる集積回路技術を使用することであった。産業用マイクロ
エレクトロニクスの分野では使用されていないこの種の技術は、特に軍事及び宇
宙の用途に開発されたものであった。

【０００６】 このマイクロエレクトロニクス技術を維持し、この技術を使用した部品を開発
する全体的なコスト、つまりこれらの部品の市販コストはかなり高くなっている
。強化型回路と市販回路とのコストの比率は、１００またはそれ以上の場合があ
る。

【０００７】 「高信頼性」軍事部品の市場占有率は、１９６０年代の８０％から１９９５年
には１％以下へと急激に落ち込んだ。１９９４年から、米国国防総省は軍事用途
への軍事用電子部品の使用を控え始めて、一般市販仕様／規格／部品を軍事用途
への使用を拡大加速し始めた。

【０００８】 本明細書の最後で参考文献〔１〕に説明されているように、市販電子部品の使
用は、宇宙産業が直面しなければならない試練となった。

【０００９】 宇宙産業用途に市販部品を使用することは、全ての新規勃興プロジェクトが直
面する問題である。解決すべき主な問題は、部品の放射線、特に重イオンに対す
る感度である。この問題は、以前には「部品」レベルで扱われたが、「構造」レ
ベル、「システム」レベルで解決すべき問題となっている。二つの参考文献〔２
〕と〔３〕で説明したように、衛星及びその搭載電子部品は、異なった粒子（電
子、重イオン、陽子）で構成される放射線環境の影響を受ける。これらの粒子は
大気によって濾過されるので、地上のシステムには適用されない。

【００１０】 これらの粒子は、以下の理由によると考えられる。すなわち： −一部は銀河系の外から発生する宇宙放射線、また一部は非常に高いエネルギ
ーイオンからなる銀河系内の宇宙放射線 −地球大気と太陽粒子との間の相互作用に続いて発生した閉じこみ電子と陽子
で構成される放射線帯 −陽子と重イオンを放出する太陽の爆発 −コロナプラズマの蒸発により発生する太陽風であって、これにより、低エネ
ルギー陽子とイオンが太陽の引力から抜け出せるようになる、 である。

【００１１】 これら高エネルギー粒子が、電子部品にぶつかり、通過して、粒子のエネルギ
ーの一部を電子部品に伝えて、通常の作動を乱すようになる。これらの問題は、
重イオンと陽子によって発生する「特異イベント」といわれる。

【００１２】 これら特異イベントは、２進値を記憶するセル内のエラーの発生に対応してい
て、ビットエラーを引き起こす。一般的に、単一ビットは重イオンによって変更
される。これらの現象は重大ではなく、新しいデータがその後に書き込まれる。
同じセル内で他の特異イベントが発生しない限り、新しいデータはエラーなく記
憶される。これは、本明細書のこれ以後で、これらの現象により発生するエラー
を特徴づけるために使用される用語「過渡不良」のためである。

【００１３】 前述したように、衛星への搭載電子部品の製造は、一般には、放射線の影響を
受けない部品を使って行なわれる。その理由は、その部品は特にこの目的のため
に製作されていること、または特にこの目的のために製作されていない部品の選
定によるためである。

【００１４】 大規模に、宇宙用途に市販部品を使用するためにある最初の可能性は、系統的
な放射線のもとで市販部品を試験することにより選定することである。選定に関
して、まずこの方法は大変な費用がかかるばかりでなく、効率が悪い。その理由
は、望ましいことではあるが、広範な産業規格を必ずしも使うことができないか
らである。

【００１５】 他の経済的にさらに好ましい可能性は、部品選定の制約を緩和することである
。これには、放射線によって発生する現象の許容、特に過渡エラーの許容を拡大
する方法を探ることが含まれる。つまり、エラーを検出し、修正するアーキテク
チャを規定することである。過渡不良を、「部品」レベルではなく、「構造」及
び「システム」レベルで考慮することである。

【００１６】 参考文献〔４〕、〔５〕と〔６〕では、一連の不良検出、分離及び再生機構に
ついて説明されている。機構によっては、単にエラー検出するためだけに使われ
ていて、またエラーを検出しそれにマスクをするもの、エラーを修正するものが
ある。さらにこれらの機構は、一時的なエラー処理、パラメータ不良またはその
両方に適用されている。

【００１７】 一般の機構を、特に宇宙産業に適用される数例を挙げて、簡単に説明する。 −不良回避：実際に使用される前に、静的データの系統的更新；部品が使用さ
れる前に、部品不良を検出するために、「オフ−ライン」自己試験（標準作動中
ではない）

【００１８】 −エラー検出または検出／主として、アプリケーション特定集積回路（ＡＳＩ
Ｃｓ）、または集積コントロール装備フィールド・プログラマブル・ゲート・ア
レー（ＦＰＧＡ）製造用メモリー、通信及び可能であれば論理に適用可能な修正
コード。エラー検出及び修正（ＥＤＡＣ）回路は、系統的にメモリー用途に宇宙
産業で使用されている。全体メモリーの系統的リロード（または「スクラビング
」）機能はこれらの回路に関連していて、実質的に検出／修正を不可能にする休
止エラーの集積を回避するために、スクラブタスクとして動作する。

【００１９】 −二重及び比較、三重及び多数決（「Ｎ モジュラ冗長性」、オーダーＮのモ
ジュラ冗長性）。これらの機構には、悪性コマンドは発生しないが、最初の不良
で停止するフェールセーフが得られる構造（二重）、不良中に作動可能の状態（
「フェイルオペレーショナル」）で、リアルタイムで単一エラーをマスクするこ
とができ、「セーフ」のままで継続する構造（三重）がある。この分類には、ま
た、マイクロプロセッサだけが複製され、「マスター」からのデータ出力は「コ
ントローラー」によって検証される、マスター／コントローラー構造が含まれる
。ＭＨＳ Ｓ．Ａ．社により製作されたＥＲＣ−３２マイクロプロセッサはこの
ような構造を含んでいる。

【００２０】 −Ｎオーダーのモジュラ冗長性構造に関連したマルチプルプログラミング法（
「Ｎ−バージョンプログラミング」、）、これはまたソフトウェア設計エラーを
検出可能である。各コンピュータは、特に共通仕様から始まって開発されたソフ
トウェアバージョンを備えている。

【００２１】 −時間冗長性；その目的は、比較に続く二つの連続実行を使用こと、またはコ
マンドレジスタをロードすることに続いて単一実行を使用することであり、例え
ば火器エレメントの引き金を引く極めて重要なコマンドに宇宙で使用される「装
填 発射」メカニズムなどの比較と検証をするためにリロードする。

【００２２】 −実行時間の確認：「ウオッチドッグ（監視者）」（プログラムが制限時間内
で実行されていることを確認するタイムカウンター）は全ての宇宙用コンピュー
タに使用される。実行時間に関してこれらさらに詳細な確認装置は、ソフトウェ
アに組み込まれる場合がある。つまり、タスクの時間、通信エレメントからの回
答を得るための最大許容時間を確認する。ソフトウェアはまたタスク実行時間に
チェックを設定するために使われる。

【００２３】 −コントロールフローの検証、例えば、マイクロプロセッサのシーケンスの確
認。監視できるのは粗いチェック。ハードディスククラッシュを検出可能である
。インストラクションフローチェックは多少複雑な監視プロセッサで終わる。シ
グナチャ分析を使うチェックは、特に有効で多くの電子装置を必要としない。こ
のコンセプトはＭＨＳ Ｓ．Ａ．社により製作されたＥＲＣ−３２に盛り込まれ
ているが、参照シグナチャを計算してコードに組み込む特定コンパイラーは、ユ
ーザーに見えるようにするために必要である。

【００２４】 −ページ／セグメントによってアクセス権から始まるマイクロプロセッサアド
レスの正当性をチェックする。

【００２５】 −確率チェック；この原理は、衛星用に姿勢軌道制御システム（ＳＣＡＯ）に
使用され、何種類かのセンサーからのデータが不一致を検出するために比較され
、またはデータの１項目が前の値についての推定フィルタを使って推定された基
準と比較され、またはデータの１項目が予め定義された範囲と比較される。「演
算処理に基づいた不良公差」法は確立チェックの一分野であり、その検証は第二
演算の実行に基づく。例えば、逆演算は、エラーが発生しない場合に得られる結
果から始まる最初の結果を再生する。

【００２６】 −比較的複雑なデータ構造を必要とするデータの構造的または語義のチェック

【００２７】 −補助誤再生コンセプト、主に、上記で説明した機構が修正できない点で再開
する、つまり定期的にコンテクストをバックアップし、最後にセーブされたコン
テクストから再開する。

【００２８】 −エラー再生の他の手段は、初期検出／修正能力を回復するために、不良コン
ピュータに正常なコンテクストを移入することにより不良があるリソースを再挿
入することである。

【００２９】 従来の文書には、また時間冗長性の説明が含まれている。

【００３０】 参考文献〔５〕には、連続的にタスクを３回実行して、結果を「票決」する可
能性が説明されている。

【００３１】 ソフトウェアによりオーダーＮモジュラ冗長性型操作の実行の可能性は、また
参考文献〔６〕に理論的に説明されている。

【００３２】 この文献では、パラメータ不良から過渡不良を区別し、不良を修正でき得る別
の方法が説明されている。検出は時間冗長性法ではないが、例えばデータ符号化
を含む場合がある。検出が行なわれると、処理は２回行なわれる。２回目の実行
でエラーのない結果が得られると、エラーは過渡的であってシステムを再構成す
る必要はない。それでも、パーマネントな不良である場合は、再構成が必要であ
る。

【００３３】 両文献においては、理論的に可能であるので、時間冗長性は測定されるが、実
際にこれが実行できる可能性について、何ら記載されていないし、特に進展は説
明されていない。検討すらされていない問題がある。特にマイクロプロセッサ自
身によって票決される場合、またはマイクロプロセッサと独立した外部装置によ
り決定される場合である。決定の結果は変更できないものとする必要がある。そ
の理由は、マイクロプロセッサ内にデータエラー、シーケンスのクラッシュなど
の機能不全が発生する可能性があるが、結果は意思決定の要素だからである。従
がって、マイクロプロセッサによって行なわれる票決は、検討されない主な要素
となる。さらに、検出が行なわれる粒度は定義されていない。

【００３４】 参考文献〔７〕は、僅かながらさらに詳しく記載されている。この文献では、
二つのエラー検出方法の比較評価が説明されている。そのうちの一つは、「モジ
ュラ・トリプル・ソフトウェア冗長性」といわれる。通常、モジュラ・トリプル
冗長性はハードウェア内で正常に実行される。本文で評価される方法は、ソフト
ウェアと全てのモジュールの、特に票決モジュールの連続実行による時間冗長性
を使い、特にソフトウェアにより行なわれ、同じマイクロプロセッサ上で実行さ
れる。従って、これは純粋にソフトウェアの手法になる。本文における図１に対
応する図１は、どのように検出が行われるかを示す。つまり、各三つの決定モジ
ュール１，２、と３は三つの手法４，５、と６の実行の結果を比較し、三つの処
理ステップの同一性を確認する各決定モジュールからの結果の出力を比較する意
思決定段階７が続く。モジュラ・トリプル・ソフトウェア冗長性はＭＣ６８００
マイクロプロセッサ上でプログラムされる。このソフトウェアを評価するために
、１５００のエラーが注入された。メモリーはエラー検出と修正回路により、エ
ラーから保護されていない。本書では、検出されないエラーのみが処理されると
他を乱すエラーであると結論している。さらに、プログラム間の通信に悪影響を
及ぼす全てのエラーは許容されない。

【００３５】 本文では、処理が連続して３回実行され（時間冗長性）、決定モジュールが３
回実行され決定モジュールの結果はそれ自身で決定される構造の特定例について
説明する。結果は固定されていなくて、何故三重化されるかを理解することがで
きる。最終決定は図に示されている最後の段階により行なわれ、間接的にそれは
必ず小さくなる（データの数行のみがデータの項目を決定するのに必要である）
ことから確実になる。統計的に、直接このモジュールに影響する特異事象は無視
できるものであるが、これはマイクロプロセッサシーケンスエラーに対してセキ
ュリティーは与えていない。

【００３６】 参考文献〔８〕は、また、ＬＡＰＸ４３２タイプ、マイクロプロセッサ上での
「トリプル・ソフトウェア・モジュラ冗長性」の実行を示している。これは参考
文献〔７〕に示されているものと同じ実施形態である。各ソフトウェアサブタス
クは連続的に３回実施され、ソフトウェア決定モジュールは３回実施され、その
結果、これらタスクは同じマイクロプロセッサ上で非同期的に実行されるので、
安全ではない。エラーの注入段階によりサブタスク間のエラーの伝播が示された
、これは異なるサブタスク間のエラーに対するバリアがないことを示す傾向にあ
る。

【００３７】 特異事象の割合の推定は、宇宙で使用される一般的なコンピュータ用に行なわ
れた。明らかに、この割合は、メモリーセルの数や使用されるユニットセルの感
度の値などの仮定に依存している。衛星の姿勢管理に関してエラー限界のシミュ
レーションは、また、例えば、リアクションホイールなどの姿勢軌道制御システ
ムにおいて中間限界アクチュエータ上で発生する悪性コマンド考慮して、行なわ
れる。特異事象の割合は低いが、二つの種類の制御に関してこの現象が無視でき
る程、十分に低くはないことが分かる。 −最大限界制御：火器推進ユニット、バッテリー管理など。一年に数回衛星を
失う危険は認められない。 −中間限界制御：リアクションホイール、電磁カプラーなど。飛行、特に商業
衛星飛行（観測、電気通信）は、これらのエラー、エラーが限界に近いものであ
っても、によって発生する姿勢の乱れは認められない。

【００３８】 さらに、特異事象の周波数はコンピュータのリアルタイムサイクルよりもきわ
めて大きい。

【００３９】 本発明の目的は、特異事象に対する感度に関わらず市販部品を使用するために
、過渡エラー制約を受ける電子システム用の処理手法を提案し、過渡エラーの様
相を検出し、それらを修正することである。

【００４０】

【課題を解決するための手段】

本発明は、例えば、宇宙産業において、単一の物理的シーケンスにインストー
ルされる２つの仮想シーケンスが１つの所定のリアルタイムサイクルで多重化さ
れ（仮想シーケンスの各実行から生じるデータが使用前に票決できるように記憶
される）、かつエラーが検出される場合、進行中のリアルタイムサイクルが禁止
され、異常のないコンテキストが再ロードされるコンテキストから始まる次のサ
イクルの仮実行からなる再開始を行うように再ロードされることを特徴とする、
過渡エラー閉じ込みを受ける電子システムのための処理手順に関するものである
。

【００４１】 したがって、エラー修正は、異常のないコンテキスト、換言するとエラーが検
出されたサイクルに先行するリアルタイムサイクル中計算されたコンテキストを
再ロードすることによって、次に復元されたコンテキストから始まる、エラーが
検出されたサイクルに続くサイクルの仮実行（換言すると新しい捕捉を繰り返す
こと）によって行われる。この種の修正は、ソフトウェア（エラーが検出される
）の実行におけるリアルタイムサイクルの「穴」の出現によって特徴付けられる
。

【００４２】 有利なことには、下記の特徴も可能である。

【００４３】 ３つのエラー制約領域（時間、ソフトウェアおよびハードウェア）がある。す
なわち、エラーの時間制約は、一方のリアルタイムサイクルから他方のリアルタ
イムサイクルに伝達できない。エラーのソフトウェア制約は、一方のソフトウェ
アタスクから他方のソフトウェアタスクにあるいは一方の仮想シーケンスから他
方のシーケンスに伝達できない。エラーのハードウェア制約は、捕捉エレクトロ
ニクスあるいは制御装置で生じるエラーが制御エレクトロニクスに伝達されるこ
とを防止する（誤ったコマンドの生成が全くない）。

【００４４】 エラー検出／修正コードによって特異イベントから保護される制御装置のメモ
リプレーンも使用できる。

【００４５】 選択された検出／修正粒度も、コンテキストに属する可変数の数が２つのリア
ルタイムサイクル間の境界の正しい最小値に減少される当業者に公知の通常の解
決策と比較すれば、規則的に作動される「バックアップコンテキスト」機能およ
びエラー修正の時間に作動される「復元コンテキスト」機能によって追加された
制約を大いに減らすことができるコンピュータのリアルタイムサイクルでもよい
。

【００４６】 「バックアップコンテキスト」機能は、規則的に作動され、インデックス変更
によって得られてもよく、この機能がソフトウェアの開発費用あるいはマイクロ
プロセッサによるこの機能の実行時間に殆ど影響を及ぼさない長所がある。唯一
の影響は、検出／修正粒度、すなわちリアルタイムサイクルを超える寿命でコン
テキスト変数をコピーするこの機能の使用にある。

【００４７】 エラー修正中に作動される「復元コンテキスト」機能は、通常（換言するとエ
ラーが全く検出されない場合）スワップされるゆえに、前のリアルタイムサイク
ルで異常がないとみなされるコンテキストを指示するインデックスがスワップさ
れてはいけない事実を使用して得られてもよい。この「非スワップ」は、エラー
が検出されるリアルタイムサイクルの禁止に固有であるので、この機能がソフト
ウェア開発費用あるいは一般的には当業者に公知の解決策において特異であり、
マイクロプロセッサによるこの機能の実行時間に全く影響を及ぼさない長所を提
供する。

【００４８】 特定のアクセス権検査装置に関連したメモリのセグメンテーションを使用でき
、この装置は、異なる任意のセグメントサイズを可能にする。アクセス権を検査
するこのハードウェア装置は、いくつかのアクセス構成を可能にでき、各構成は
、１つあるいはいくつかの非隣接セグメントへのアクセスを可能にする。アクセ
ス権を検査するこのハードウェア装置は、１つあるいはいくつかのキーの論理組
み合わせによるアクセス構成の選択も可能にする。

【００４９】 票決される変数／データは、異なる用途で再使用できる簡単な票決モジュール
を得るために均一に広がる。この場合、票決モジュールはソフトウェア開発費用
にごくわずかな影響を及ぼす。

【００５０】 特に、ソフトウェア監視プロセッサおよびハードウエアを含む一貫性がソフト
ウェア検査によって得られるソフトウェア票決を使用できる。エラーが全く検出
されない場合、票決は制御エレクトロニクスへの転送の許可も作動させる。

【００５１】 最後に、アクセス権を満たし、この転送のバリディティ時間（時間バリディテ
ィウィンドウ）を制限するハードウェア装置によって制御エレクトロニクスへの
転送の検査をできるので、ハードウェアエラー制約領域の境界を定める。

【００５２】 したがって、本発明による方法は、 −タイミングよくタスクの実行の複製および生成されたテーブル票決と、 −テーブル票決による全データエラーの検出と、 −アクセス権の票決および検査のためのハードウェアおよびソフトウェアセキ
ュリティ装置によるエラーの順序付の検出と、 −アプリケーションに透過である修正とを含み、あらゆることはリアルタイム
サイクルに「穴」があるかのように行われる。

【００５３】 特定の開発の最小化は、本発明による方法の長所の中の１つであり、すなわち
： −ソフトウェアの場合： ・表で票決される変数のグルーピング、 ・通常異なるアプリケーションで再使用可能である「コマンドの票決および生
成」モジュール、 ・本発明による方法の管理（時間重複、メモリアクセスおよび時間バリデーシ
ョンウィンドウを監視するハードウェア装置、およびエラー修正の管理）。 −ハードウェアの場合： ・メモリアクセスおよび時間バリデーションの監視；これらは、ＦＰＧＡ回路
、あるいは（さらによい）マイクロプロセッサ（アドレス復号化等）に通常関連
したＡＳＩＣ回路に統合されねばならない普通の部品であり、これらは異なる用
途でも再使用可能である。 ・通常のフォールトトレラント機構による重要なコマンドのエレクトロニクス
の保護（例えば、計装）。

【００５４】 したがって、本発明による方法は下記の長所： −非常に小さいハードウェアの開発、 −非常に小さいソフトウェアの開発、 −他のフォールトトレラントアーキテクチャと比較される周期的に起きる費用
（唯一つのコンピュータ）の最少化、 を有し、これらの特徴はフォールトトレラントアプリケーションでしばしば見つ
けられるものではない。

【００５５】 さらに、宇宙産業の「市販」部品の使用は下記の主要な長所を有する： −主要なサプライヤーはもはやこの市場に供給しないために、この使用は「高
信頼性」部品の有効性の確認された減少の問題を解決する。 −コストの減少、バジェットコンテキストによって刺激される様相。「高信頼
性部品」項目は装置の全開発費用で無視できなく、その周期的に起こる費用にお
いて無視する。 −エレクトロニクスの容積の減少および／または機能性の増加のためにより高
い実行機能／部品の使用。 −宇宙に反動的なアクセスを与えるためにプロジェクトの開発時間を減少させ
、一般的には「高信頼性」部品に対する調達時間は１年あるいは２年である。

【００５６】 有利なことには、本発明による方法は、一般的な目的を有し、これらのエラー
（宇宙放射線、電磁パルス等）の発生源とは無関係に過渡エラー制約を受ける全
ての型式のコンピュータで使用されてもよいが、宇宙分野に当然応用可能である
。

【００５７】 本発明は、特にマイクロプロセッサの周辺に製造される制御装置を含むコンピ
ュータのメモリアクセス監視装置（ＳＡＭ）、およびセグメントに分割され、各
セグメントがこの装置に利用可能なキーの全部あるいはいくつかの論理機能によ
って規定されるアクセス権を有することを特徴とするメモリにも関連し、各セグ
メントへのアクセス権はリアルタイムで制御される。

【００５８】 有利なことには、この装置の利用可能なキーのプログラミングに応じて、別個
のセグメントのセットは、いくつかのセグメントに対して読み出し専用および他
のセグメントに対して読み出し／書き込みでアクセス可能である。

【００５９】 有利なことには、セグメントのサイズは、所定のアプリケーションに対して最
適化できるように任意である。

【００６０】 有利なことには、利用可能なキーのセットの定義、これらのキーの組み合わせ
に対する論理機能およびキーのプログラミングの機能としてのアクセス可能なセ
グメントの構成は、固有である。

【００６１】 キーの固有定義に関連するこの装置の固有機能を規定することも可能である：
例えば、 −セグメントの中の１つが、コンピュータの例外状態の機能としアクセスでき
る書き込み許可を有するので、重要なデータ（例えば、コード）の確実な記憶を
可能にする、 −いくつかのセグメントへのアクセスは、マイクロプロセッサが十分な作動状
態にあるという非常に十分な見込みがある場合だけ、許可されるので、重要なデ
ータ（例えばコンテキストデータ）の確実な記憶を可能にし、 −重要なデータの確実な記憶を可能にするセグメントが対（「旧」セグメント
および「新」セグメント）（フリップフロップで作動する）でグループ化される
。

【００６２】

【発明の実施の形態】

宇宙アプリケーションのための本発明による方法が、この説明の残りを通じて
実施例として考慮されている。

【００６３】 宇宙に使用されるコンピュータの代表的な、そして包括的なアプリケーション
が下記に提供され、図のハードウェアおよびソフトウェアのポイントを考慮して
いる。図２に示される参照アーキテクチャは、本発明による方法の説明のための
根本原理として使用されている。

【００６４】 図２に示される搭載管理ユニット１０は、 −マイクロプロセッサ周辺に作られる制御装置１１と、 −マスメモリ１２と、 −パワーインターフェイス１３、ペイロードインターフェイス１５、パイロテ
クニクスインターフェイス１６、サーマルインターフェイス１７、姿勢および軌
道制御システムインターフェイス１８と、 −データバス１９を介して連結されることと、 −リモートコントロール−リモート測定インターフェイス１４と、 −監視および再構成エレクトロニクス２０と、 −交換パワーを生成するＤＣ−ＤＣコンバータ２１は、ＡＣを供給し、パーマ
ネントパワーは、ＡＰを供給することと、 を備えている。

【００６５】 パワーインターフェイス１３は、太陽熱発電機２５とバッテリ２６とに連結さ
れている。

【００６６】 リモートコントロール−リモート測定インターフェイス１４は、トランスミッ
タ／レシーバに連結され、デュプレクサ２７は、アンテナ２８、２９に連結され
ている。

【００６７】 ペイロード３１は、アビオニクスバス３２を介して制御装置１１に、マスメモ
リ１２に、高速シリアルリンク３３を介してリモートコントロール／リモート測
定インターフェイス１４に、そしてペイロードインターフェイス１５に連結され
ている。

【００６８】 パイロテクニクスインターフェイス１６は、展開可能なシステム３５に連結さ
れている。

【００６９】 サーマルインターフェイス１７は、ヒータおよびサーミスタンス３６に連結さ
れている。

【００７０】 姿勢および軌道制御システムインターフェイスは、センサＣ１、Ｃ２、・・Ｃ
ｎに、アクチュエータＡ１、Ａ２、・・Ａｍに、そしてリザーバ圧力センサ３７
に連結されている。

【００７１】 その結果、このタイプのアーキテクチャは、異なる処理モジュール（制御装置
モジュール）と、入出力モジュール（捕捉モジュール、制御モジュール）とで構
成されている。入出力モジュールは、低レベルエレクトロニクス（アナログ／デ
ジタルコンバータ、あるいはデジタル／アナログコンバータ、デジタルまたはア
ナログチャネルマルチプレクサ、リレーなど）を含んでいる。

【００７２】 モジュールは、無関係に、バックパネルバスによって連結されるボード、ある
いはアビオニクスバスを介して連結される完全なボックスであってよい。２つの
場合、バスへのインターフェイスは、マスタＢｕｓ Ｃｏｕｐｌｅｒ（バスカプ
ラー）（ＣＢ）を介して制御装置モジュールに、また加入者バスカプラーによっ
て他のモジュールに作られる。

【００７３】 図３に示されるような参照ソフトウェアアーキテクチャは、処理タスク（たと
えば、姿勢および軌道制御システムタスク、サーマル制御タスク、リアルタイム
クロックタスク、搭載管理タスクなど）で構成され、各タスクは、コンピュータ
から出力される結果（制御、あるいはコマンド）を生成し、そして計算されると
き、これらの結果は、生成される（すなわち、コンピュータからの出力）。Ａｃ
ｑｕｉｓｉｔｉｏｎｓ（捕捉）（あるいはＡｃｑ）は、時間一貫性（たとえば、
姿勢および軌道制御システム）により、リアルタイムサイクルの開始時に分類さ
れる。

【００７４】 図３において、タスクＡ、ＢおよびＣは、説明を明瞭にするために、同一周波
数で示されている。

【００７５】 これらのタスクのアクティビティは、サイクルＲｅａｌ Ｔｉｍｅ Ｉｎｔｅ
ｒｒｕｐｔ（リアルタイム割り込み）（ＩＴ−ＴＲ）によって誘発されるリアル
タイムサイクルレートで実行される。このサイクルは、周期的にいくつかのタス
クを開始し、そしてこれらのタスクは、リアルタイムサイクルと同一の周波数か
、あるいはリアルタイムサイクルのサブ周波数かのいずれかで作動する。他のタ
スクは、非同期であり、イベントに基づいて初期化される。

【００７６】 この図は、参照ハードウェアおよびソフトウェアアーキテクチャを示し、図４
において供給されている。この図は、制御装置４０と、センサ４２に連結される
捕捉エレクトロニクス４１と、アクチュエータ４４に連結される制御エレクトロ
ニクス４３とを示し、これら２つのエレクトロニクス４１、４３および制御装置
は、データバス４５に連結されている。

【００７７】 ３つのメイン位相Ｐｈ１、Ｐｈ２、Ｐｈ３（すなわち、データ捕捉、データ処
理、コマンドの生成）の順序付けは、エレクトロニクス４０、４１、４３の３つ
の独立した部分を含み、位相Ｐｈ２，Ｐｈ３は、ネストされている。

【００７８】 このアーキテクチャのハードウェア部分は、機能ブロックだけに基づいており
、そのため、特別な部品の特有の性質およびエラー検出／修正におけるそれらの
能力（あれば）を無視する。その結果、本発明による方法は、自制的である。と
はいえ、所定のアプリケーションに使用される部品に一体化されるフォールトト
レラント構造の使用により、本発明だけによる方法と比べてエラー適用範囲比率
を改善することが可能である。

【００７９】 特異イベントを受けやすい参照アーキテクチャのポテンシャルエラーシグネチ
ャが測定された。その結果は、エラーが、２つの重要なクラスに分類されること
が可能であるということであった： −データエラーと、 −サブクラスにも共有される順序付けエラー： ・「ソフトクラッシュ」：不正な接続だが、マイクロプロセッサは、指示によ
り位相に戻り、多少不安定で、指示の順序付けを続行することが可能である； ・「ハードクラッシュ」：マイクロプロセッサは、操作可能でなく、たとえば
、マイクロプロセッサは、指示と位相が同じでなく、マイクロプロセッサは、デ
ータを指示レジスタにロードし、スタックポインタが妨害されて、指示順序付け
がブロックされ、不可能なイベント、無限ループなどを待つ。

【００８０】 これら２つのクラスは、それら自体いくつかのサブクラスに再分され、最も重
要なものは、アドレスエラーに関する。

【００８１】 「ソフトクラッシュ」と「ハードクラッシュ」との間の識別が重要である。マ
イクロプロセッサの外側のハードウェア装置は、通常、「ハードクラッシュ」を
検出する必要がある（すなわち、ウォッチドッグ）が、ソフトウェア装置は、た
とえ不安定であるとしても、マイクロプロセッサが、ソフトウェアクラッシュの
場合、コードを実行し続けるので、「ソフトクラッシュ」を検出するのに十分で
ある。

【００８２】 そのうえ、「抑制されていないマイクロプロセッサ」は、宇宙ミッションのた
めの破局的結果を有することができるアクションが可能なので、マイクロプロセ
ッサクラッシュは、クリティカルエラークラスを形成し、そのため、短い待ち時
間でそれらを検出するために、あらゆる試みを行い、および／または検出されて
いないエラーに続く不良コマンドの確率を最小にするために、エラー制約領域を
生成することが重要である。

【００８３】 ここでは、本発明に自体による方法のオペレーションについて記述する。

【００８４】 全体的に、検出／修正に使用される粒度は、コンピュータの基本リアルタイム
サイクル、たとえば、プラットフォームコンピュータにおける姿勢および軌道制
御システムタスクのサイクルである。

【００８５】 本発明による方法（構造的デュプレックスにおけるような）の目的は、コンピ
ュータが、監視されることなく作業し、次に、コンピュータから出力されるデー
タ（コマンド）、あるいは修正のために使用されるデータ（コンテキスト）だけ
を選択することか、あるいは「票決する」ことを可能とする。

【００８６】 粒度のためにリアルタイムサイクルを選択することにはいくつかの利点がある
： −これは、捕捉がアクセスされ、あるいは大部分のセンサ／アクチュエータが
制御される周波数であること、 −かなり制限された数の「アクティブ」データが、リアルタイムサイクルの終
りに使用可能である；多量の中間データがなく、そしてローカル変数が使用され
ていないこと、 ・検出のために、それらは、票決される一連のテーブルに格納されていること
と、 ・単純で、良好に配置された再開始コンテキストが修正のために使用可能であ
ること。

【００８７】 特に、票決がタスクの終りで行われるので、所定タスクのための検出／修正粒
度が、このタスクの周波数である。その結果として、姿勢および軌道制御システ
ムタスクが１０Ｈｚで、そしてサーマルタスクが１Ｈｚで考慮されると、粒度は
、姿勢および軌道制御システムのためには１０Ｈｚであり、サーマルタスクのた
めには１Ｈｚである。明瞭にするために、リアルタイムサイクルによる「粒度」
は、「タスクによって」よりはむしろ本文書の残りに使用されている。

【００８８】 構造的冗長性を削除すると同時に、タイプに関係なく、例外なく、すべてのエ
ラー（データエラー、アドレスエラー、順序付けエラー、構成エラーなど）を検
出する手段であるデュプレックス（出力と比較すれば同一のソフトウェアを実行
する並列の２つの同一システム）の効率から利益を得るために、本発明による方
法は、単一の物理的シーケンスに基づきデュプレックスオペレーションを設置す
ることから成る。所定のリアルタイムサイクルにおいて、同一の物理的シーケン
スに位置される２つの仮想シーケンスは、タイミングよく多重化され、仮想シー
ケンスの各実行から生成されるデータは、「時間多重化されたデュプレックステ
ーブル」（たとえば、コマンド、コンテキスト）に格納され、そのため、それら
は使用前に票決されることが可能である。

【００８９】 検出後、修正は、現在のリアルタイムサイクルを禁止することと、再ロードさ
れたコンテキストから開始する次のサイクルの仮実行から成る再開始を行うため
に、異常のないコンテキストを再ロードすることとから成る；リアルタイムサイ
クルに「穴」があるかのように、すべてのことが生ずる。

【００９０】 本発明による方法は、特異イベントによって生成されるエラーが一時的のもの
であるという事実に基づいている；第１の仮想シーケンスの実行中に生ずるこの
タイプのエラーは、第２のシステム実行中再生成されない（逆もまた同じである
）。これに対し、本発明による方法は、静的エラー、たとえば、部品の故障（故
障したビットなど）、あるいは特異イベントによるいくつかのエラーでさえを検
出することができず、それは、永久エラー（たとえば、シーケンサのブロッキン
グ）を生ずる。

【００９１】 票決モジュールの出力側のアクション、換言すれば、制御エレクトロニクスへ
のデータ転送（すなわち、データバス）および制御エレクトロニクス自体は、本
発明による方法によって保護されない。ユーザは、エラーのないようにする必要
があるこれらクリティカルコマンドを決定し、そして当業者に周知である構造に
よって、それらを保護するために、システム分析を行う；データの符号化、自己
検査回路、制御エレクトロニクスの計装など。

【００９２】 図６は、本発明による方法の機能の説明を含んでいる。

【００９３】 この図は、データフロー（太い線）を示し、それによると、仮想シーケンス♯
１ ４７は、捕捉♯１を受信し、仮想シーケンス♯２ ４８は、捕捉♯２を受信
し、確実な票決者４９は、これら２つのシーケンス４７、４８から出力を受信し
て、コマンドを発行する。修正のための再開始を初期化するべく、再ロードされ
たコンテキストリクエストをするために、確実な票決モジュール４９を２つの仮
想シーケンス４７、４８に連結するエラー信号（細い線）もある。

【００９４】 本発明による方法のグローバルシーケンスは、図５Ａおよび図５Ｂに示されて
いる： −図５Ａ：本発明による方法を有さないシーケンスであり、コマンドは、それ
にもかかわらず、処理の終りに分類されている、 −図５Ｂ：本発明による方法を有するシーケンス。

【００９５】 図５Ａは、２つのリアルタイムサイクルＮ、Ｎ＋１と、サイクルＮ＋２の開始
を示している。

【００９６】 各リアルタイムサイクルは、時間において異なる４つの位相から構成されてい
る： −データ捕捉、 −コマンドの計算で処理、 −コマンドの送信、 −タスクの取り消しおよび待機、この場合、「Ｓｃｒｕｂ＋Ｓｔａｎｄｂｙ（
取り消し＋待機）」と呼ばれる。

【００９７】 図５Ｂは、各リアルタイムサイクルが構成される本発明による方法を示してい
る： −仮想シーケンス♯１（ＣｈＶ ♯１）の捕捉、 −仮想シーケンス♯１の処理；結果は、テーブルＴＡＢ ♯１に格納される、 −仮想シーケンス♯２（ＣｈＶ ♯２）の捕捉、 −仮想シーケンス♯２の処理；結果は、テーブルＴＡＢ ♯２に格納される、 −テーブルＴＡＢ ♯１およびＴＡＢ ♯２の票決、 −コマンドの生成、 −タスクの取り消しおよび待機。

【００９８】 図７は、本発明による全体の方法の模倣図を示し、本発明の実施形態に必要な
すべての回路を表わしている。

【００９９】 第１のマイクロプロセッサモジュール５０は、すべてのソフトウェア構造を、
特に、 −タスクの時間複写、 −テーブルへの変数の配置、 −確実な票決、 −再開始による修正、 −ハードウェア構造の管理、 を管理する。

【０１００】 メモリアクセス監視および時間バリデーションウインドウモジュール５１は、
マイクロプロセッサ５０のバス５２と、エラー検出および修正メモリ５３と、バ
スカプラー５４とに連結されている。

【０１０１】 モジュール５１は、マイクロプロセッサ５０の「Ｒｅｓｅｔ（リセット）」タ
ーミナルでエラー信号を、メモリ５３で選択信号（「チップ−選択」、ＣＳ）を
、そしてバスカプラー５４で選択信号を生成する。

【０１０２】 メモリ５３は、セグメントにおいて共有され、各セグメントは、特定のアクセ
ス権（キーによるバリデーション）を有している。アクセスを他のコンピュータ
機能（捕捉エレクトロニクス、制御エレクトロニクスなど）に供給するデータバ
ス５５に連結されるバスカプラー５４は、「時間ウインドウ」タイプの信号によ
って妥当性が検査される。

【０１０３】 本発明による方法は、下記の特徴に基づいている： −３つのエラー制約領域（時間、ソフトウェアおよびハードウェア）、 −テーブルに変数／データを配置、 −処理の時間複写、 −各処理の結果の比較によるエラー検出を可能にするユニークな確実なソフト
ウェア票決モジュール、その票決モジュールは、さらに、コマンドを生成する、 −票決の完全性をチェックするのに関係するソフトウェア監視プロセッサ、 −エラー検出および修正コードによる特異イベントに対して保護される制御装
置メモリプレーン、 −前のエレメントを有して、再開始コンテキストを確実にバックアップし、か
つアドレスエラーを検出するのに使用されるハードウェアアクセス権制御装置に
関連するメモリセグメンテーション、 −アクセス権を制御するハードウェア装置を介して、データバスを通って制御
エレクトロニクスに転送することをチェックし、エラー制約領域の境界を画定す
ること、 −エラーが生ずる場合、再開始による修正。

【０１０４】 ここでは、順番に、これらの特徴のそれぞれについて記述する。

【０１０５】 制約領域 最大エラー制約領域６０は、図８に示されるように、捕捉エレクトロニクス４
１と、制御装置４０とから構成される；この図は、図４と同一参照符号を使用し
ている。したがって、エラーが、捕捉あるいは処理を妨害する場合、このエラー
は、制御エレクトロニクス４３に通過させることができない。この結果、捕捉エ
レクトロニクス４１において、あるいは制御装置４０において、特異イベントに
続いて生ずるエラーは、不良な衛星用コマンドを生成しないし、またミッション
を妨害しない。

【０１０６】 票決によるこの制約領域６０は、票決モジュールが検出することが可能なエラ
ーに効果的である。この制約領域は、さらに、アクセス権チェックの存在により
、ほとんど他のエラーに不浸透性である；時間バリデーションウインドウにおけ
るハードウェア装置が、バスのコマンドの認可されていない発生をブロックする
。

【０１０７】 さらに、他の制約領域は、本発明による方法において画定される： −修正がリアルタイムサイクルの粒度に基づいているので、リアルタイムサイ
クルによるエラーの時間制約、 −メモリアクセス監視装置により、ソフトウェアタスクによる、そしてメモリ
アクセスの監視により、仮想シーケンスによるエラー制約。

【０１０８】 プロセステーブル 本発明による方法のオペレーションは、特に、票決されるデータを含む一連の
テーブルに基づく（その結果、これらのテーブルは、複写され、１つのセットは
、ＣｈＶ ♯１によって管理され、もう１つのセットは、ＣｈＶ ♯２によって
管理される）。これらのテーブルは、通常のソフトウェアテーブルとは異なり、
デュプレックスオペレーションに特有なので、「時間多重化されたデュプレック
ステーブル」と呼ばれる。たとえば、 −捕捉テーブル（ＴＡＢ−Ａｃｑ）、 −制御テーブル（ＴＡＢ−Ｃｄｅ）、 −コンテキストテーブル（ＴＡＢ−Ｃｔｘｔ）。

【０１０９】 コンテキストテーブルＴＡＢ−Ｃｔｘｔ ♯１、ＴＡＢ−Ｃｔｘｔ ♯２のそ
れぞれは、実際には、再開始による修正を行うとき、コンテキストを再格納する
ことを可能にするために、タスクの終りに（すなわち、票決の終りに）、２つご
とに１つのサイクルをスワッピングすることによって作業する一連の２つのテー
ブルから構成されている。一連の２つのインデックス（「Ｏｌｄ（古いインデッ
クス）」と「Ｎｅｗ（新しいインデックス）」）は、メモリに格納されて、それ
らと関連される。

【０１１０】 このように、たとえば、仮想シーケンス１について、タスクＫのサイクル♯Ｎ
の間、第１のテーブルは、「Ｎｅｗ（新しい）」と考慮され、ＴＡＢ−Ｃｔｘｔ
−Ｎｅｗ ♯１と示され、第２のテーブルは、「Ｏｌｄ（古い）」と考慮され、
ＴＡＢ−Ｃｔｘｔ−Ｏｌｄ ♯１と示される。タスクＫの票決が、何らエラーを
検出しない場合、スワッピングは、票決の終りに役割を逆転し、第１のテーブル
は、次に、ＴＡＢ−Ｃｔｘｔ−Ｏｌｄ ♯１になり、そして第２のテーブルは、
ＴＡＢ−Ｃｔｘｔ−Ｎｅｗ ♯１となる。

【０１１１】 「Ｏｌｄ（古い）」の領域は、たとえば、票決されて、異常がないと判断され
ると、マイクロプロセッサクラッシュからコンテキストの再開始を保護するため
に、メモリアクセス監視装置による書き込みを禁じられている。

【０１１２】 順序付け−時間複写 上記に定義される参照ソフトウェアアーキテクチャと比較すれば、本発明によ
る方法は、コマンドが、図３に示されるように、計算されるとき生成されないこ
とを強要するが、むしろどちらかと言えば、それらは、票決を待つテーブルに格
納される（図５Ｂを参照）。処理が２つの仮想シーケンスのために終了されると
き、テーブルは票決されて、そして不一致が検出されない場合だけ、票決モジュ
ールがコマンドを生成する；この場合、２つのコマンドテーブルの１つは、バス
４５を介して制御エレクトロニクス４３を通って、制御装置４０に送信される。

【０１１３】 所定のタスクについて、タイプ複写の態様を含む本発明による方法のグローバ
ルシーケンスは、図９を参照として下記に記述されている。

【０１１４】 この図は、本発明による時間多重化されたデュプレックスのシーケンスと、コ
ンテキストテーブルのスワッピングとを示している。

【０１１５】 リアルタイムサイクルは、リアルタイム割り込みＩＴ−ＴＲによって初期化さ
れる。

【０１１６】 各リアルタイムサイクルは、下記の位相から構成される： −シーケンサ／リアルタイムエグゼクティブ（ＥＴＲ）、 −タスクＡ、 −シーケンサ／リアルタイムエグゼクティブ、 −タスクＢ、 −シーケンサ／リアルタイムエグゼクティブ、 −タスクＣ， −シーケンサ／リアルタイムエグゼクティブ、 −タスクの取り消しおよび待機。

【０１１７】 タスクＡ、タスクＢおよびタスクＣは、図５Ｂに示されるように下記のことか
ら構成されている： −仮想シーケンスＮｏ．１ 捕捉、 −仮想シーケンスＮｏ．１ 処理、 −仮想シーケンスＮｏ．２ 捕捉、 −仮想シーケンスＮｏ．２ 処理、 −票決およびコマンドの生成。

【０１１８】 下記のステップがある： ・仮想シーケンス Ｎｏ．１（ＣｈＶ♯１）のための「処理」モジュールの間： −ＣｈＶ♯１のデータの捕捉およびＴＡＢ−Ａｃｑ♯１１への格納、 −ＴＡＢ−Ａｃｑ♯１およびＴＡＢ−Ｃｔｘｔ−Ｏｌｄ♯１から開始するＣｈ
Ｖ♯１と関連する処理の実行；この処理の結果は、ＴＡＢ−Ｃｄｅ♯１テーブル
およびＴＡＢ−Ｃｔｘｔ−Ｎｅｗ♯１テーブルに格納される；コマンドは、アク
チュエータに送信される制御装置によって生成されない。

【０１１９】 ・仮想シーケンスＮｏ．２（ＣｈＶ♯２）のための「処理」モジュールの間： −ＣｈＶ♯２のデータの捕捉およびＴＡＢ−Ａｃｑ♯２への格納、 −ＴＡＢ−Ａｃｑ♯２およびＴＡＢ−Ｃｔｘｔ−Ｏｌｄ♯２から開始するＣｈ
Ｖ♯２に関連する処理の実行；この処理の結果は、ＴＡＢ−Ｃｄｅ♯２テーブル
およびＴＡＢ−Ｃｔｘｔ−Ｎｅｗ♯２テーブルに格納される；コンピュータは、
なんら出力を生成しない。

【０１２０】 ・「票決およびコマンドの生成」モジュール、換言すれば、テーブルの比較およ
びテーブルに関連するアクションの実行の間： −逐語的にＴＡＢ−Ｃｄｅ♯１とＴＡＢ−Ｃｄｅ♯２の比較、 −逐語的にＴＡＢ−Ｃｔｘｔ−Ｎｅｗ Ｎｏ．１とＮｏ．２との比較、 −エラーが検出されない場合、方法は続行し、さもなければ、待機に配置、 −インデックスを変更することによってコンテキストテーブルをスワッピング
する：ＴＡＢ−Ｃｔｘｔ−ＮｅｗとＴＡＢ−Ｃｔｘｔ−ｏｌｄとを置き換えて、
次のリアルタイムサイクルのためのコンテキストとして使用される、 −コマンドの生成、２つのＴＡＢ−Ｃｄｅテーブルの１つが、データバスを介
してコマンドエレクトロニクスにコマンドリクエストを転送するために、連続し
て空にされる、 −時間多重化されたデュプレックスパラメータの初期化（時間多重化されたデ
ュプレックステーブル、時間多重化されたデュプレックス管理変数）。

【０１２１】 したがって、図９において、リアルタイムサイクルＮ＋１の間、エラーが、リ
アルタイムサイクルＮの間検出されない場合、タスクＡへのエントリコンテキス
トは、ＴＡＢ−Ｃｔｅｘｔ−Ｏｌｄ（Ｎ）であり、このテーブルは、実際には、
スワッピングによりＴＡＢ−Ｃｔｘｔ−Ｎｅｗ（Ｎ）からのデータを含んでいる
；エラーが検出される場合、タスクＡへのエントリコンテキストは、ＴＡＢ−Ｃ
ｔｘｔ−Ｏｌｄ（Ｎ−１）であり、このテーブルは、コンテキスト交換がエラー
の場合に起こらないので、リアルタイムサイクルＮにおけるテーブルＴＡＢ−Ｃ
ｔｘｔ−Ｏｌｄ（Ｎ−１）と同一である。

【０１２２】 モジュール処理の間、チェックサムコードは、票決に提起されるテーブルのそ
れぞれのために計算され、票決の徹底性（完全性）をチェックすることに関係し
ている。

【０１２３】 確実なソフトウェア票決 最小として、票決されるのに必要とするデータは、図１０に示されるような処
理モジュールからの様々な出力である、すなわち： −不正な動作を生成しないために、コンピュータ（コマンド）から出力される
データ６５、 −再開始コンテキストは異常がないであることを必要とするので、再開始のた
めに使用されるデータ６６（コンテキスト−サイクルＮが障害状態である場合、
異常のないデータＮ−１は、再開始のために格納される）。

【０１２４】 このように、処理モジュールから出力されるすべてのデータは、票決される。
所定のタスクと関連する票決は、検出／修正の粒度によって定義されるように、
このタスクの終りに行われる。

【０１２５】 票決モジュールに関して、本発明による方法は、下記の特徴を与えることが可
能である： −票決保全装置が画定される場合、特異イベントに耐性のある外部部品を使用
する必要がない；アーキテクチャは、したがって、簡素化される；票決は、本発
明による方法における他の場所で必要な少数のハードウェア装置からのサポート
で、ソフトウェア全体においてマイクロプロセッサ自体によって行われることが
可能である。 −ソフトウェア票決は、複写されない。

【０１２６】 本発明による方法は、デュプレックスアーキテクチャの検出能力の最良使用に
基づいており、換言すれば、検出が最も難しく、さらに、潜在的に最も重大な結
果を有する順序付けエラーを含むすべてのエラータイプを検出することが可能で
ある。これらのエラーは、時間多重化されたデュプレックステーブルの一貫性に
影響を有し、その結果、それらは、ソフトウェア票決が確実であるとすれば、換
言すれば、不正に作動するマイクロプロセッサによって誘発されることができな
いとすれば、それらはソフトウェア票決によって検出される。したがって、適切
な装置は、票決が正しいことを確実にするために備えられる必要がある。

【０１２７】 ２つの中央要素は、票決が確実であることを確実にするために備えられる： −マイクロプロセッサおよび制御装置モジュールが、票決の開始に異常のない
状態であることをチェックすること、 −コマンドの生成を認可するために、票決が行われている間に票決が完結する
ことをチェックすること。

【０１２８】 票決ストラクチャは、「ソフト」クラッシュによって影響を及ぼされるマイク
ロプロセッサの不良修正の可能性の分析の機能として画定されている：図１１Ａ
は、様々な起こり得る「ソフトクラッシュ」タイプの順序付けエラーを示してい
る。

【０１２９】 「ハードクラッシュ」は、当業者によって通常使用されている方法であるウォ
ッチドッグによって処理される。

【０１３０】 下記のストラクチャは、タスクＫに関連する「Ｓｏｆｔｗａｒｅ（ソフトウェ
ア）票決およびコマンド生成」モジュールに使用され、図１１Ｂに示されている
： ａ）票決の開始時に連結されるマイクロプロセッサの状態と、制御装置モジュ
ールの状態とをチェックすること：スタックポインタが認可された領域内にある
ことをチェックすること、マイクロプロセッサおよび制御装置カード構成レジス
タをチェックすること、 ｂ）票決の間のエラーの確率を最小にするために、可能な場合、キャッシュを
禁止すること、

【０１３１】 ｃ）Ｖｏｔｅ−Ｋｅｙ（票決−キー）変数が、０に等しいことをチェックし、
次に、それを１にセットすること（すなわち、票決）：この変数は、Ｓｏｆｔｗ
ａｒｅ Ｍｏｎｉｔｏｒｉｎｇ（ソフトウェア監視）方法を使用して、マイクロ
プロセッサの正しい順序付けを全体的にチェックするのに使用されるキーである
、 ｄ）票決することが行われることを表示し、そして２つのメモリ領域ＣｈＶ♯
１、ＣｈＶ♯２への同時アクセスを認可するメモリアクセス監視装置のためのキ
ーを活動化する、

【０１３２】 ｅ）時間多重化されたデュプレックスによって生成されるすべてのテーブルで
票決し、そして票決が、各テーブル：ＴＡＢ−Ｃｔｘｔ、ＴＡＢ−Ｃｔｘｔ−Ｎ
ｅｗのために行われるとき、ＣＲＣ−Ｖ票決の間に計算される巡回冗長コードを
計算すること、 ｆ）Ｖｏｔｅ−Ｋｅｙ（票決−キー）が、１に等しいことをチェックし、次に
、それを２にセットすること（すなわち、コマンド生成）、

【０１３３】 ｇ）ＣＲＣ−ＶをＣＲＣ−Ｔ処理の間に計算される巡回冗長コードと比較する
こと、 ｈ）票決が行われることを表示するメモリアクセス監視装置キーを禁止するこ
と、 ｉ）テストｅ、ｆ、ｇの結果が正しい場合、次に、時間バリデーションウイン
ドウシステムを使用して、バスカプラー時間バリデーションウインドウを開くこ
と、 ｊ）コマンドカード構成レジスタを再初期化すること、

【０１３４】 ｋ）バスカプラーにコマンドを生成すること、 ｌ）コマンドカード構成レジスタをチェックし、そして、検出されるエラータ
イプの関数としてアクションを行う（通常コマンド再送信）； 時間ウインドウは終了されるか、あるいは終了するかである。 ｍ）Ｖｏｔｅ−Ｋｅｙ（票決−キー）が、２に等しいことをチェックし、次に
、それを３にセットすること（すなわち、交換および初期化）、 ｎ）メモリに格納される一対の「ｏｌｄ（古い）」と「Ｎｅｗ（新しい）」イ
ンデックスを逆転することによって、タスクＫのためのコンテキストテーブルを
スワッピングすること、

【０１３５】 ｏ）ＣｈＶ♯１とＣｈＶ♯２との間の１の補数値で、「Ｏｌｄ（古い）」テー
ブルは別としてタスクＫのすべてのテーブルを初期化すること、 ｐ）「Ｏｌｄ（古い）」テーブルを「Ｎｅｗ（新しい）」テーブルに転送し、
そして、この転送をチェックするために票決すること；この転送は、タスクが実
行されるたびに、変数が組織的に更新されない場合、変数が長期間有効であるこ
とを確かめるために必要である、 ｑ）Ｖｏｔｅ−Ｋｅｙ（票決−キー）が３に等しいことをチェックし、次に、
０にセットすること（すなわち、禁止されている）、 ｒ）キャッシュの妥当性を検査すること。

【０１３６】 「票決／コマンド生成／スイッチ／時間多重化されたデュプレックステーブル
の初期化」手順は、割り込まれることができない、すなわち、それは、より優先
度の高いタスクによって止められることがない（それは、初期化されると、終了
される）。とはいえ、割り込みは、このモジュールに一時的に割り込むことが可
能である。

【０１３７】 ソフトウェア監視プロセッサ 当業者に周知であるＳｏｆｔｗａｒｅ Ｍｏｎｉｔｏｒｉｎｇ Ｐｒｏｓｅｓ
ｓ（ソフトウェア監視方法）は、ソフトウェア自体へのマイクロプロセッサ指示
の正しいなシーケンスの制御を受け渡す手段である。ソフトウェアは、リニア基
本セグメント、換言すれば、２つの結合間のセグメントに分割される。リニアセ
グメントは、それ自体、分岐指示を含んでいないので、マイクロプロセッサが、
このセグメントの第１の指示を実行すると、それは、このセグメントの最後の指
示が実行されるまで続行する必要がある。

【０１３８】 エントリポイントでキーをテストし、かつそれを出口ポイントでチェックする
ことによって、マイクロプロセッサが、他の場所ではなく、正しいエントリポイ
ントでリニアセグメントを実際に実行したことがチェックされる。

【０１３９】 票決保全は、このＳｏｆｔｗａｒｅ Ｍｏｎｉｔｏｒｉｎｇ（ソフトウェア監
視）方法を含むいくつかの手段を使用する；「Ｖｏｔｅ−Ｋｅｙ（票決−キー）
」ソフトウェア変数は、この方法と関連するキーである。この票決モジュールは
、アプリケーションソフトウェアの残りが第４のセグメントを表わす方法で、３
つの機能セグメント（票決、コマンド生成、交換と初期化）に分割される： −マイクロプロセッサが、他の場所でなく、出口ポイントで正しく、前のセグ
メントから実際に出たことを確認するために、Ｓｏｆｔｗａｒｅ Ｍｏｎｉｔｏ
ｒｉｎｇ（ソフトウェア監視）方法キーの値は、各セグメントの開始にチェック
され、そして、さらに、そのセグメントが、互いに次々と正しく連鎖されること
がチェックされること、 −次に、Ｓｏｆｔｗａｒｅ Ｍｏｎｉｔｏｒｉｎｇ（ソフトウェア監視）方法
キーが、セグメントの開始でのこのチェック直後、現在のセグメントに対応する
値にセットされること、 −マイクロプロセッサが、各セグメントの終りに、他の場所でなく、正しいエ
ントリポイントで現在のセグメントを実際に実行したことがチェックされること
。

【０１４０】 メモリプレーンの保護 メモリプレーンは、従来、休止エラーを検出して、修正するべくメモリプレー
ン全体を読み取るために、修正コード（ＥＤＡＣ）と、取り消しタスクとによっ
て特異イベントに対して保護されている。これは、同一ワードの多重エラーが検
出されること、および／または修正されることができないので必要である。

【０１４１】 本発明による方法は、 −修正コード（ＥＤＡＣ）の使用による特異イベントに関係する信頼性メモリ
と、 −アクセス権を監視することによって、アドレスエラー、指示エラー、マイク
ロプロセッサクラッシュなどに続く不正な書き込みのための信頼性メモリと、 に基づいている。

【０１４２】 メモリアクセス監視装置 Ｍｅｍｏｒｙ Ａｃｃｅｓｓ Ｍｏｎｉｔｏｒｉｎｇ（メモリアクセス監視）
（ＳＡＭ）装置は、従来のブロックメモリ保護ユニットから導出されるハードウ
ェア装置である。それは、境界が画定されたメモリ領域にアクセスしようとする
マイクロプロセッサが、実際に、この領域へのアクセス権を有していることをチ
ェックするのに使用される。

【０１４３】 メモリアクセス監視装置は、最も多くアドレスエラーを検出することが可能で
ある。特に、それは、多数のマイクロプロセッサクラッシュを極めて迅速に検出
することが可能である。マイクロプロセッサは、「ソフト」クラッシュ後、たび
たび、許容可能なアドレス領域の外側に行くことが可能である。

【０１４４】 メモリアクセス監視装置は、従来のブロックメモリ保護ユニットと比べるとい
くつかの特有の特色を有している： −セグメントのサイズは、任意であり、アプリケーションの関数として画定さ
れること、 −アクセス認可は、メモリアクセス監視装置の内部のレジスタに記憶されるキ
ーをプログラミングすることによって行われ、これらのキーの定義および組合せ
が、本発明による方法に特有である。

【０１４５】 下述のことは、メモリアクセス監視装置に一体化されるキーのリストである： −コードエラーは、２つの仮想シーケンスに共通のエラーモードであり、そし
て票決によって検出されないので、コードを記憶する領域への書き込みアクセス
を防止するキーであって、このキーは、メモリだけを読み取るコードがＲＡＭに
転送されるとき、コンピュータの初期化の間だけメモリへの書き込みを認可する
、 −仮想シーケンスが現在の ＣｈＶ♯１、あるいはＣｈＶ♯２であることを表
示し、そして、ＣｈＶ♯１が実行されるとき、マイクロプロセッサが、ＣｈＶ♯
２テーブルを含むメモリ領域にアクセスすることを防止するキー（逆もまた同じ
）であって、このキーは、１つの仮想シーケンスが別のものに生ずるエラーに不
浸透性になることを可能にする、

【０１４６】 −票決が現在行われていることを表示するキーであって、このキーが、アクテ
ィブであるとき、それは、例外的に、マイクロプロセッサが、２つの領域ＣｈＶ
♯１、ＣｈＶ♯２に同時にアクセスすることを可能にし、そのため、票決が行わ
れることが可能である、 −現在のタスクを表示し、そしてマイクロプロセッサが、現在実行されるこの
ソフトウェアタスクのためのテーブルを含むメモリ領域だけにアクセスすること
を可能とするキーであって、このキーは、１つのタスクが、別のタスクに生ずる
エラーに不浸透性になることを可能にする、 −スワッピングで作業する２つの「Ｏｌｄ（古い）」／「Ｎｅｗ（新しい）」
テーブルセットが、「Ｏｌｄ（古い）」領域と、「Ｎｅｗ（新しい）」領域とで
あることを表示するキーであって、書き込みは、「Ｏｌｄ（古い）」領域におい
て禁じられている。

【０１４７】 時間バリデーションウインドウシステム Ｔｉｍｅ Ｖａｌｉｄａｔｉｏｎ Ｗｉｎｄｏｗ（時間バリデーションウイン
ドウ）（ＦＶＴ）システムは、革新的なハードウェア装置である。それは、従来
の時間カウンタを使用して行われる。それは、ハードウェアエラーを制約る。そ
れは、 −コマンドエレクトロニクス管理コードを実行するクラッシュしたマイクロプ
ロセッサが、アクセス権を正しく肯定応答することなく、コマンドを生成するこ
とを防止するように、 −不正な「コマンドに対応するアドレスに書き込む」タイプの指示を実行する
マイクロプロセッサが、偶然にコマンドを生成することを禁ずるように、 構成されている。

【０１４８】 その結果、時間バリデーションウインドウ装置は、それらがアプリケーション
のために有する潜在的な破局的結果を帯びて、偶然のコマンドからシステムを保
護する。それは、制御されたエレクトロニクスへのアクセスを認可するように予
め準備されている；時間アクセスバリデーションウインドウが開かれる。

【０１４９】 上述のエラーの場合、マイクロプロセッサは、インターフェイス手順を徹底的
に実行することによって、コマンドエレクトロニクスにアクセスしない；その結
果として、認可されないアクセスは、マイクロプロセッサが、時間バリデーショ
ンウインドウを予め開かないので、このシステムによって直ちに検出される。

【０１５０】 時間バリデーションウインドウ装置は、存在するエラーがないという決定をし
た後準備される。この決定は、第一に、マイクロプロセッサと制御装置との異常
のない状態をチェックする（票決の開始時に、その時、「Ｖｏｔｅ−Ｋｅｙ（票
決−キー）」変数で、そして票決の間に、「Ｃｈｅｃｋｓｕｍ（チェックサム）
」で）ことに基づき、第二に、票決の結果に基づく。

【０１５１】 修正 修正は、下記のシーケンスに従って実行される： −エラーが検出されるとき、現在のリアルタイムサイクル（♯Ｎ）は、禁止さ
れ、そしてコマンドは生成されない；マイクロプロセッサは、待機モードに進み
、次のリアルタイムサイクルを待つ、 −次のリアルタイムサイクルＮ＋１は、前のコンテキストＮ−１から実行され
、信頼性のないコンテキストＮからは実行されず、そして現在のサイクルＮ＋１
のための捕捉から実行される。

【０１５２】 不正なリアルタイムサイクルは、リプレイされず、行われるすべては、現在の
リアルタイムサイクルを禁止し、かつ前のサイクルのコンテキストを再格納する
ことである。エラーが生ずると、マイクロプロセッサは、それが待機状態に置か
れるので、現在のリアルタイムサイクルのためのコマンドを生成しない。すべて
のことは、リアルタイムサイクルに「穴」があるかのように生ずる。

【０１５３】 修正は、特別のアクションを必要としない；マイクロプロセッサは、検出後待
機状態に置かれ、その結果として、それは、票決モジュールの実行を続行しない
。これは、当然のことながら、票決モジュールの終りに起こる「Ｏｌｄ（古い）
」コンテキストと「Ｎｅｗ（新しい）」コンテキストとのスワッピングを防止す
る。

【０１５４】 方法によって検出される一時的な性質のエラーとすれば、単一の再開始の試み
が行われる。この試みが成功しない場合、コンピュータは、完全に再初期化され
る必要がある。

【０１５５】 シーケンサ−リアルタイムエグゼクティブ ソフトウェアタスクの順序付けを可能にするシーケンサ、あるいはリアルタイ
ムエグゼクティブは、直接に保護されない。対象は、市販のエグゼクティブを使
用し、そのため、フォールトトレラント構造を含むように、それに何らかの変更
をすることがない。

【０１５６】 これに反して、総実行時間と比べてこれらのタスクに専用の実行時間は極めて
少ない。その結果として、タスクスケジューリングエラーは、２つの仮想シーケ
ンスに共通のモードであり、検出不可能であるが、適用範囲比率で極めて小さな
影響を有している。

【０１５７】 さらに、制約領域は、不良コマンドが初期化される前にいくつかの検出されな
いエラーをブロックすることが可能であり、スケジューラから起こるエラーの影
響を減少する。

【０１５８】 変形実施形態 本発明による方法に対する変形は、特に、その特徴のいくつかを簡素化するこ
とによって可能であり、たとえば、 −票決保全構造の簡素化：チェックサム計算の削除、十分であると考慮される
ソフトウェア監視方法によるチェック、 −メモリアクセス監視装置の簡素化：２つのシーケンス間の同一エラーの可能
性が、極めて少ないので、ＣｈＶ♯１とＣｈＶ♯２との間の不浸透性仕切りが不
要（現在の仮想シーケンスを表示するキーの削除）。

【０１５９】 本発明による方法の開発および実施形態 本発明による方法は、最も包括的で、最も徹底的な可能性のあるバリデーショ
ンを生成し、かつ最大に可能性のあるエラー適用範囲比率を測定するために、開
発された。

【０１６０】 目的 目的は、これを最後にこの方法を有効にするために、代表的な宇宙アプリケー
ションを表わすハードウェアおよびソフトウェア実施形態（モックアップ）を有
することである。宇宙プロジェクトは、実際には、予備段階における様々な可能
性のある解決法を分析している。新しい解決法について、モックアップが、正し
いオペレーションと、プロジェクトチームがその使用について決定する前に、か
なりの遅延を生ずる必要性への適合とを説明する試みにおいて使用されている。

【０１６１】 その結果として、この段階の前に、包括的なバリデーションが、要求仕様書、
施行仕様書、施行ファイル、バリデーション結果、回復率測定などを含む完全な
ファイルを興味あるプロジェクトに供給するために企てられている。

【０１６２】 このように、予備段階において、すべてのプロジェクトは、モックアップを再
開発する必要性がなく、この方法のための完全な開発／バリデーションファイル
を有することが可能である。その結果として、（たとえば、監査により）、プロ
ジェクトの必要性を満たす方法の適合が、選択についての決定をするために、迅
速に決められることが可能である。

【０１６３】 バリデーション方法 方法は、障害の注入によって妥当性が検査される。したがって、独立した対象
で２つのタイプの注入がある。 −第１の段階において、確定的エラーがソフトウェアによって注入される。こ
の注入は同期であるので、エラーシナリオは、方法が障害状態であるとき、再プ
レイされることが可能である。この段階は、このように、方法の妥当性を検査す
るのに、かつ可能な場合、エラー検出／修正パフォーマンスを改善するために、
それを修正するのに使用されることが可能である。 −第２の段階において、ランダムエラーは、粒子加速器を使用することによっ
て、粒子ビームを本実施形態のメイン部品に印加して注入される（重イオン、プ
ロトン）。この段階は、前の段階に相補的であり、注入されたエラースペクトル
がより広いので、端から端にバリデーションを可能にする。さらに、エラーの分
布が、リアルアプリケーション環境を表わすので、それは、方法のエラー適用範
囲比率を精密に測定することが可能である。

【０１６４】 ハードウェア実施形態 開発されたハードウェア実施形態は、主として、処理ユニット、捕捉ユニット
および可観測性ユニットの３つの部分から構成されている。

【０１６５】 処理ユニットは、Ｐｏｗｅｒ（パワー） ＰＣ ６０３ｅタイプのマイクロプ
ロセッサとそのメモリ、および方法のすべてのハードウェア構造を一体化するプ
ログラム可能な部品周りで開発されている。

【０１６６】 捕捉ユニットは、マイクロプロセッサのためのいくつかの捕捉チャネルを模擬
実験し、これらのチャネルのそれぞれは、特別の特徴を有している：マイクロプ
ロセッサの要求で作られる捕捉（簡単なセンサのシミュレーション）、周期的に
作られ、そしてマイクロプロセッサは、それらが到達するときに読み取る必要が
ある捕捉（衛星センサ、あるいはＧＰＳなどのインテリジェントセンサのシミュ
レーション）、リモートコマンドの受信など。これらの捕捉チャネルは、ＰＩＣ
１６Ｃ７３Ａタイプのナノコントローラの周りに作られている。

【０１６７】 可観測性ユニットは、本実施形態の制御計装（ソフトウェア、マイクロプロセ
ッサの可観測性をロードなど）およびマイクロプロセッサによって作られる動作
のシミュレーションを可能にするチャネルを一体化する。このチャネルの出力は
、それが一時的なエラーによって影響を及ぼされるという事実にもかかわらず、
コンピュータによって生成される障害動作がないことを立証するために、組織的
にチェックされる。

【０１６８】 ハードウェア実施形態 開発されたソフトウェアアプリケーション（すなわち、ソフトウェア実施形態
）は、宇宙において、あるいは他のアプリケーションにおいて、搭載リアルタイ
ムアプリケーションをできるだけ表わすために、下記の特徴を有している： −後で、市販用リアルタイムエグゼクティブと置き換えられる周期シーケンサ
に基づく順序付け、 −異なるプライオリティを有するいくつかのメインアプリケーションタスク（
たとえば、６個）、それらのいくつかは、周期的であり、その他は、非同期であ
り、非周期的である；それらのタスクの１つは、宇宙機の姿勢制御プログラムの
コアである、 −アプリケーションは、リアルタイムクロックの制御のもとに実行されるリア
ルタイムサイクルに基づき、アプリケーションタスクは、異なる間隔を有してい
る、 −いくつかのアプリケーションタスク、たとえば、３つのアプリケーションは
、より優先度の高いタスクによって割り込まれる、 −ソフトウェアは、捕捉チャネルから生ずる外部非同期イベントに対してリア
ルタイムで作用する。

【０１６９】

【参考文献】

【図面の簡単な説明】

【図１】 公知の技術によるソフトウェアモジュール三重冗長性を示す。

【図２】 この説明で参考として使用されるハードウェアアーキテクチャの
ためのブロック図を示している。

【図３】 参考ソフトウェアアーキテクチャの時間図を示している。

【図４】 参考アーキテクチャの順序付けを示している。

【図５】 グローバルオペレーティングシーケンスを示す：図５Ａはグロー
バルオペレーティングシーケンスなしの手順を示す；図５Ｂは本発明による処理
を使用する手順を示す。

【図６】 本発明による処理の機能的説明を示す。

【図７】 本発明による全処理のブロック図を示す。

【図８】 ハードウェアレベルのエラー閉じ込み領域を示す。

【図９】 本発明による処理のシーケンスおよびコンテキストテーブルのス
ワッピングを示す。

【図１０】 データの票決を示す。

【図１１】 異なる「ソフトクラッシュ」形式の順序付けエラーおよび票決
／コマンド生成手順の構造を含む、本発明による処理のための票決の構造を示す
。

【符号の説明】

Ａ１ Ａ３ Ａｍ アクチュエータ Ｃ１ Ｃ２ Ｃｎ センサ Ｐｈ１ Ｐｈ２ Ｐｈ３ メイン位相 １ 仮想シーケンス １０ 搭載管理ユニット １１ 制御装置 １２ マスメモリ １３ パワーインターフェイス １４ リモートコントロール−リモート測定インターフェイス １５ ペイロードインターフェイス １６ パイロテクニクスインターフェイス １７ サーマルインターフェイス １８ 姿勢および軌道制御システムインターフェイス １９ データバス ２０ 監視および再構成エレクトロニクス ２１ ＤＣ−ＤＣコンバータ ２５ 太陽熱発電機 ２６ バッテリ ２７ デュプレクサ ２８ ２９ アンテナ ３１ ペイロード ３２ アビオニクスバス ３３ 高速シリアルリンク ３５ 展開可能なシステム ３６ ヒータおよびサーミスタンス ３７ リザーバ圧力センサ ４０ 制御装置 ４１ 捕捉エレクトロニクス ４２ センサ ４３ 制御エレクトロニクス ４４ アクチュエータ ４５ データバス ４７ 仮想シーケンス ４８ 仮想シーケンス ４９ 確実な票決モジュール ５０ 第１のマイクロプロセッサモジュール ５１ メモリアクセス監視および時間バリデーションウインドウモジュール ５２ バス ５３ エラー検出および修正メモリ ５４ バスカプラー ５５ データバス ６０ 最大エラー制約領域 ６５ データ ６６ データ

【手続補正書】特許協力条約第３４条補正の翻訳文提出書

【提出日】平成１２年９月２１日（２０００．９．２１）

【手続補正１】

【補正対象書類名】明細書

【補正対象項目名】特許請求の範囲

【補正方法】変更

【補正内容】

【特許請求の範囲】

【手続補正２】

【補正対象書類名】明細書

【補正対象項目名】００３７

【補正方法】変更

【補正内容】

【００３７】 特異事象の割合の推定は、宇宙で使用される一般的なコンピュータ用に行なわ
れた。明らかに、この割合は、メモリーセルの数や使用されるユニットセルの感
度の値などの仮定に依存している。限界のシミュレーション。 参考文献

〔９〕は、トランジットエラーに依存する電子或いはデジタルシステ
ムに対する処理手順の一般的概要を示し，且つ処理手段として，空間的冗長度と
時間的冗長度を記述している。 参考文献〔１０〕は、エラーに依存する電子システムに対する処理手順を公表
している。このシステムは，冗長シーケンスの使用を回避するために単一の物理
的シーケンスの使用を支援する。 参考文献〔１１〕は、メモリ管理及び仮想メモリをイネーブルにするためいに
最近のマイクロプロセッサに適用されるプロセスを記述している。情報に対して
制限されるアクセス原則が考察される。頁或いはその一部へのあるアクセス権は
、各処理毎に与えられ、これらのアクセス権は，リアルタイムで制御される。衛
星の挙動に管理に関するエラーについても、例えば，リアクションホイールのよ
うな、挙動及びオービット制御システムにおける媒体臨界アクチュエータで発生
された悪いコマンドが考えられた。次に、単一事象が低いが，十分には低くない
ことが判ると，この現象は，二つのタイプの制御に関して無視され得る。 −最大限界制御：火器推進ユニット、バッテリー管理など。一年に数回衛星を
失う危険は認められない。 −中間限界制御：リアクションホイール、電磁カプラーなど。飛行、特に商業
衛星飛行（観測、電気通信）は、これらのエラー、エラーが限界に近いものであ
っても、によって発生する姿勢の乱れは認められない。

【手続補正３】

【補正対象書類名】明細書

【補正対象項目名】００４５

【補正方法】変更

【補正内容】

【００４５】 選択された検出／訂正細分性は，コンピュータで実行されるソフトウエアタス
クの動作サイクルであっても良く、それは、コンテキストに属する変数の数が二
つのリアルタイムサイクル間の境界で完全に最小に減少される主題におけるエキ
スパートに知られている通常の解決策に比較して、定期的に起動される“バック
アップコンテキスト”機能及びエラー訂正時起動される“回復コンテキスト”機
能によって付加される制約を減少出来る。

【手続補正４】

【補正対象書類名】明細書

【補正対象項目名】００４７

【補正方法】変更

【補正内容】

【００４７】 エラー訂正の間に起動される“回復コンテキスト”機能は，ヘルシーであると
考えられているコンテキストを指示するインデックス、換言すれば、前のリアル
タイムサイクルにおける“エラーのないこと”がスワップされる必要がないが，
通常（換言すれば、エラーが検出されない時）、それはスワップされるという事
実を使用することによって達成されてもよい。この“ノースワップ（スワップを
しないこと）”は，エラーが検出されるリアルタイムサイクルの禁止に固有であ
り，従って、この機能は、ソフトウエアの開発コストやマイクロプロセッサによ
ってこの機能の実行時間には影響を与えないという利点を提供し、このことは、
この主題におけるエキスパートには典型的に公知の解決策ではない。

【手続補正５】

【補正対象書類名】明細書

【補正対象項目名】００５７

【補正方法】変更

【補正内容】

【００５７】 本発明は、特にマイクロプロセッサの周辺に製造される制御装置を含むコンピ
ュータのメモリアクセス監視装置（ＳＡＭ）、およびセグメントに分割され、各
セグメントがこの装置に利用可能なキーの全部あるいはいくつかの論理機能によ
って規定されるアクセス権を有することを特徴とするメモリにも関連し、各セグ
メントへのアクセス権はリアルタイムで制御される。幾つかのセグメントは，マ
イクロプロセッサが良好な動作状態にあるという非常に良好な可能性がある時に
のみ、アクセスを許可した。従って、重要なデータ（例えば，コンテキストデー
タ）の安全な記憶が可能となる。

【手続補正６】

【補正対象書類名】明細書

【補正対象項目名】００５８

【補正方法】変更

【補正内容】

【００５８】 有利なことは、デバイスにおける利用できるキーのプログラミングに依存して
、一セットの非連続セグメントがあるセグメントに対しては読み出し時において
、及び他のセグメントに対しては読み出し／書き込み時にアクセス可能である。

【手続補正７】

【補正対象書類名】明細書

【補正対象項目名】００６０

【補正方法】変更

【補正内容】

【００６０】 利用できるキーのセットの定義、これらのキーの組み合わせのための論理機能
、及びキーのプログラミングの関数としてアクセス可能なセグメントの構成が指
定される。

【手続補正８】

【補正対象書類名】明細書

【補正対象項目名】００６１

【補正方法】変更

【補正内容】

【００６１】 キーの固有定義に関連するこの装置の固有機能を規定することも可能である：
例えば、 −セグメントの中の１つが、コンピュータの例外状態の機能としアクセスでき
る書き込み許可を有するので、重要なデータ（例えば、コード）の確実な記憶を
可能にする、 −重要なデータの確実な記憶を可能にするセグメントが対（「旧」セグメント
および「新」セグメント）（フリップフロップで作動する）でグループ化される
。

【手続補正９】

【補正対象書類名】明細書

【補正対象項目名】０１６９

【補正方法】変更

【補正内容】

【０１６９】

【参考文献】

Claims (20)

【特許請求の範囲】
1. 【請求項１】 過渡エラー制約を受ける電子システムのための処理手順であ
   って、単一物理シーケンスにインストールされた２つの仮想シーケンスが、１つ
   の所定のリアルタイムサイクルでタイミングよく多重化され（仮想シーケンスの
   各実行から生じるデータが使用前に票決できるように記憶される）、かつエラー
   が検出される場合、進行中のリアルタイムサイクルが禁止され、異常のないコン
   テキストが再ロードされるコンテキストから始まる次のサイクルの仮実行からな
   る再開始を行うように再ロードされることを特徴とする処理手順。
2. 【請求項２】 ３つのエラー制約領域（時間、ソフトウェアおよびハードウ
   ェア）が使用される請求項１に記載の方法。
3. 【請求項３】 エラー検出および修正コードによって特異イベントから保護
   される前記制御装置のメモリプレーンが使用される請求項１に記載の方法。
4. 【請求項４】 使用される前記検出／修正粒度がコンピュータリアルタイム
   サイクルである請求項１に記載の方法。
5. 【請求項５】 定期的に作動される「バックアップコンテキスト」機能がイ
   ンデックス変更によって得られる請求項１に記載の方法。
6. 【請求項６】 エラー修正中に作動される「復元コンテキスト」機能が、通
   常スワップされる、換言するとエラーが全く検出されないとしても、前のリアル
   タイムサイクルが変わらなかった後コンテキストを指示するインデックスが異常
   がないとみなされる事実により実行され、この「非スワップ」は、全部エラーが
   検出される前記リアルタイムサイクルの禁止に固有である請求項１に記載の方法
   。
7. 【請求項７】 前記メモリのセグメンテーションが、アクセス権を検査する
   ハードウェア装置に関連する請求項１に記載の方法。
8. 【請求項８】 アクセス権を検査する前記ハードウェア装置がいくつかのア
   クセス構成を可能にし、各構成が１つあるいはいくつかの非隣接セグメントへの
   アクセスを可能にする請求項７に記載の方法。
9. 【請求項９】 アクセス権を検査する前記ハードウェア装置が、１つあるい
   はいくつかのキーの論理組み合わせを有するいくつかのアクセス構成を選択する
   ために使用される請求項７に記載の方法。
10. 【請求項１０】 票決される変数／データがテーブルに入れられる請求項１
    に記載の方法。
11. 【請求項１１】 特にソフトウェアおよびハードウェア監視プロセッサを含
    む、粒度がソフトウェア検査によって得られるソフトウェア票決が使用される請
    求項１に記載の方法。
12. 【請求項１２】 前記制御エレクトロニクスへの転送が、アクセス権を検査
    し、かつタイミングよくこの転送のバリディティを制限するハードウェア装置に
    よって制御され、したがってハードウェアエラー制約領域の限界を定める請求項
    １に記載の方法。
13. 【請求項１３】 宇宙用途で使用される前述の請求項のいずれかに記載の方
    法。
14. 【請求項１４】 マイクロプロセッサの周りに形成された制御装置およびメ
    モリを含むコンピュータのメモリアクセスを監視する装置であって、前記メモリ
    が、セグメントに分割され、各セグメントが前記装置で利用可能なキーの全部あ
    るいはいくつかの論理機能によって規定されるアクセス権を有し、各セグメント
    への前記アクセス権がリアルタイムで制御されることを特徴とする装置。
15. 【請求項１５】 非隣接セグメントのセットが、前記装置にあるキーのプロ
    グラミングに応じて、いくつかのセグメントに対して読み出し専用でおよび他の
    セグメントに対して読み出し／書き込みでアクセス可能である請求項１４に記載
    の装置。
16. 【請求項１６】 セグメントサイズが、所定の用途に対して最適化できるよ
    うに任意である請求項１４に記載の装置。
17. 【請求項１７】 利用可能なキーのセットの定義、これらのキーに対する論
    理的組合せ機能および前記キーのプログラミングの機能としての前記アクセス可
    能なセグメントの構成が固有である請求項１４に記載の装置。
18. 【請求項１８】 前記セグメントの中の１つが前記コンピュータの例外状態
    でアクセス可能な書き込み許可を有し、したがって重要なデータの確実な記憶を
    可能にする請求項１４に記載の装置。
19. 【請求項１９】 各セグメントへのアクセスは、マイクロプロセッサが良好
    な「動作状態」にあるときのみ認められ、したがって重要なデータの確実な記憶
    を可能にする請求項１４に記載の装置。
20. 【請求項２０】 重要なデータの確実な記憶を可能にするために使用される
    セグメントは、スワップして動作する対にグループ化される。