JPH056290A - 異常処理方式 - Google Patents

Abstract

(57)【要約】 【目的】 二重化している部分と二重化していない部分
とが混在するシステムにおいて、安定な異常処理の動作
を行わせる。 【構成】 異常検出時にタイマ回路22A,22B は許容異常
継続時間より短い時間間隔でタイミング信号を発生す
る。ＣＰＵ11はそのタイミング信号に応じてシステムの
状態を監視すると共に、監視の結果から二重化している
部分の異常であるか二重化していない部分の異常である
かによりスタンバイ系への切り換えもしくはリスタート
を決定し、許容異常継続時間の満了直前にスタンバイ系
への切り換えもしくはリスタートを行わせる。また、タ
イマ回路22A,22B のタイミング信号の時間間隔を許容異
常継続時間を整数で割った値に設定し、許容異常継続時
間の満了に相当するタイミング信号により、ＣＰＵ11の
ソフトウェア障害時のバックアップとして、スタンバイ
系への切り換えもしくはリスタートを行わせる。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は二重化している部分と二
重化していない部分とが混在するシステムにおける異常
処理方式に関するものである。

【０００２】

【従来の技術】例えば、航空機の着陸を支援するため
に、航空機に方位角情報，高低角情報等を与えるマイク
ロ波着陸装置（ＭＬＳ；Microwave Landing System）に
あっては、航空機は着陸時に最も危険が高いものである
ため、高い信頼性とサービスの継続性が要求される。

【０００３】ところで、上記のＭＬＳにあっては、異常
が発生しないことが理想的であるが、そのようなことは
不可能であるため、異常が発生して回復不可能となって
も、危険な状態に至る前に動作を停止させるようにして
いる。動作停止によりサービスの継続性は完全に失われ
るが、異常な電波によって航空機が誤誘導されるという
ような事態は避けることができる。

【０００４】ここで、異常発生から動作停止までの許容
異常継続時間は、例えば１秒に設定されている。この値
は、信頼性とサービスの継続性とを考慮して決定された
ものである。すなわち、この時間が短かすぎると瞬間的
なノイズ等のトランジェントによっても敏感に反応して
しまってサービスの継続性が悪くなり、長すぎると航空
機に与える危険度が高くなるからである。

【０００５】一方、信頼性とサービスの継続性とを向上
させるために、装置の一部を二重化し、異常が発生した
場合にスタンバイ系に切り換える等の処理を行うのが一
般的である。しかし、装置の全ての部分を二重化するこ
とは物理的もしくはコスト的に困難であるため、実際に
は二重化している部分と二重化していない部分とが混在
する形態となる。例えば、回路部分は二重化が容易であ
るが、アンテナ等の機械的部分は二重化が困難である。

【０００６】図４は単一系で構成されるＭＬＳのモニタ
およびローカルコントローラの構成を抜き出して示した
ものである。

【０００７】図４において、装置の一部、例えば送信機
に異常が発生すると、異常検出回路１０１がそれを検出
し、異常発生の旨をタイマ回路１０２に与える。

【０００８】タイマ回路１０２は異常が１秒継続するか
否かを判定し、継続した場合にはＣＰＵ１０３に警報信
号を与える。

【０００９】ＣＰＵ１０３は制御回路１０４にリスター
ト（送信機をいったんオフにした後に再びオンにする動
作）を命じる。このリスタートは瞬時のノイズ等による
誤動作から回復させるためである。

【００１０】制御回路１０４は送信機のリスタートを所
定回数行い、それでも正常動作に至らない場合には動作
を完全に停止（シャットダウン）させる。

【００１１】上述した構成は、許容された１秒という時
間を最大限に使っているが、いったん固定的な異常が発
生すると最後はシャットダウンしてしまうため、サービ
スの継続性は良くない。

【００１２】次に、図５は装置の一部を二重化したＭＬ
Ｓのモニタおよびローカルコントローラの構成を抜き出
して示したものである。なお、図の左側を通常動作する
系とし、右側をスタンバイ系とする。

【００１３】図５において、装置の一部に異常が発生す
ると、異常検出回路１０５，１０６がそれを検出し、異
常発生の旨をタイマ回路１０７，１０８に与える。

【００１４】タイマ回路１０７，１０８は異常が１／２
秒継続するか否かを判定し、継続した場合にはＣＰＵ１
０９に警報信号を与える。

【００１５】ＣＰＵ１０９は制御回路１１０にスタンバ
イ系への切り換えを命じる。

【００１６】制御回路１１０はＲＦ切り換え器を制御
し、スタンバイ系の送信機の信号をアンテナに供給する
ようにする。

【００１７】図６は上記の異常検出から切り換えまでの
動作を図示したものである。なお、切り換え処理（ステ
ップＳ１２）に先立ち、後の解析等のために両系統の監
視データの収集を行っている（ステップＳ１１）。

【００１８】ここで、二重化した部分の故障について
は、両部分が同時に故障する確率は無視できるほど小さ
いため、スタンバイ系への切り換えにより正常動作に戻
り、サービスの継続性は保たれる。

【００１９】しかし、アンテナ等の二重化していない部
分の故障については、スタンバイ系へ切り換えても異常
は継続することになる。

【００２０】この場合、再びタイマ回路１０７，１０８
が動作し、ＣＰＵ１０９に警報信号を与え、ＣＰＵ１０
９は制御回路１１０を介して送信機のリスタートないし
はシャットダウンを行わせる。

【００２１】このような動作のため、図５の構成ではタ
イマ回路１０７，１０８の時間が１／２秒となってい
る。

【００２２】

【発明が解決しようとする課題】従来のＭＬＳにおける
異常処理は上述したように行われていたが、特に、一般
に用いられている二重化した構成（図５，図６）にあっ
ては、タイマ回路の時間を１／２秒に設定せざるを得な
いため、反応が必要以上に敏感になってしまい、瞬時的
な異常によっても反応してしまい、動作が不安定となっ
て信頼性およびサービスの継続性があまり良くないとい
う欠点があった。

【００２３】なお、このような欠点はＭＬＳに限られ
ず、高い信頼性とサービスの継続性が要求され、二重化
している部分と二重化していない部分とが混在するシス
テムに共通の問題である。

【００２４】本発明は上記の点に鑑み提案されたもので
あり、その目的とするところは、二重化している部分と
二重化していない部分とが混在するシステムにおいて、
安定な動作を行うことのできる異常処理方式を提供する
ことにある。

【００２５】

【課題を解決するための手段】本発明は上記の目的を達
成するため、二重化している部分と二重化していない部
分とが混在するシステムにおいて、異常検出時に許容異
常継続時間より短い時間間隔でタイミング信号を与える
タイマ回路と、そのタイミング信号に応じてシステムの
状態を監視すると共に、監視の結果から二重化している
部分の異常であるか二重化していない部分の異常である
かによりスタンバイ系への切り換えもしくはリスタート
を決定し、許容異常継続時間の満了直前にスタンバイ系
への切り換えもしくはリスタートを行わせるＣＰＵとを
備えるようにしている。

【００２６】また、タイマ回路のタイミング信号の時間
間隔を許容異常継続時間を整数で割った値に設定し、許
容異常継続時間の満了に相当するタイミング信号により
スタンバイ系への切り換えもしくはリスタートを直接に
行わせ、ＣＰＵのソフトウェア障害時のバックアップも
考慮している。

【００２７】

【作用】本発明の異常処理方式にあっては、異常検出時
にタイマ回路が許容異常継続時間より短い時間間隔でタ
イミング信号を与え、ＣＰＵはそのタイミング信号に応
じてシステムの状態を監視すると共に、監視の結果から
二重化している部分の異常であるか二重化していない部
分の異常であるかによりスタンバイ系への切り換えもし
くはリスタートを決定し、許容異常継続時間の満了直前
にスタンバイ系への切り換えもしくはリスタートを行わ
せる。

【００２８】また、タイマ回路のタイミング信号の時間
間隔を許容異常継続時間を整数で割った値に設定し、許
容異常継続時間の満了に相当するタイミング信号によ
り、ＣＰＵのソフトウェア障害時のバックアップとし
て、スタンバイ系への切り換えもしくはリスタートを直
接に行わせる。

【００２９】

【実施例】以下、本発明の実施例につき図面を参照して
説明する。

【００３０】図１は本発明の異常処理方式を適用したＭ
ＬＳの構成図である。

【００３１】図１において、左側は通常動作する系、右
側はスタンバイ系であり、モニタ２Ａ，２Ｂ，送信機３
Ａ，３Ｂ，モニタ検出器７Ａ，７Ｂは二重系となってお
り、送信アンテナ５ａ，５ｂ，５ｃ，モニタアンテナ
６，ローカルコントローラ１，ＲＦ切り換え器４は単一
系となっている。

【００３２】通常時には、ローカルコントローラ１の制
御のもと、送信機３ＡのＲＦ信号がＲＦ切り換え器４に
より送信アンテナ５ａ，５ｂ，５ｃに時分割的に与えら
れるようになっている。

【００３３】また、モニタ２Ａ，２Ｂは送信機３Ａ，３
Ｂの状態をリアルタイムに監視すると共に、モニタ検出
器７Ａ，７Ｂを介してモニタアンテナ６で受信した信号
を監視しており、異常が発生した場合にローカルコント
ローラ１に対して信号を与える。

【００３４】図２は図１におけるローカルコントローラ
１およびモニタ２Ａ，２Ｂの内部構成を示したものであ
り、ローカルコントローラ１はＣＰＵ１１と制御回路１
２とから構成され、モニタ２Ａ，２Ｂは異常検出回路２
１Ａ，２１Ｂとタイマ回路２２Ａ，２２Ｂとから構成さ
れている。タイマ回路２２Ａ，２２Ｂの設定時間はここ
では１／４秒となっている。

【００３５】以下、図２の構成に基づき、異常発生時の
動作を説明する。なお、図３はその動作を示す説明図で
ある。

【００３６】今、図３の時刻ｔ１で装置の一部に異常が
発生したとすると、異常検出回路２１Ａ，２１Ｂがそれ
を検出し、異常発生の旨をタイマ回路２２Ａ，２２Ｂに
与える。異常の検出は、送信機３Ａ，３Ｂからの経路
と、モニタ検出器７Ａ，７Ｂからの経路とがある。

【００３７】タイマ回路２２Ａ，２２Ｂは異常が１／４
秒継続するか否かを判定し、継続した場合には時刻ｔ２
においてＣＰＵ１１に警報信号を割り込みとして与え
る。

【００３８】ＣＰＵ１１は、この割り込みをタイミング
信号として、ソフトウェア的に設けられた割り込みカウ
ンタに１度目の割り込みであることを意味する“１”を
セットし（ステップＳ１）、１／４秒より長めに設定さ
れた第１のソフトウェアタイマをセットし（ステップＳ
２）、両系統の監視データを収集する（ステップＳ
３）。

【００３９】異常が更に１／４秒継続した場合、タイマ
回路２２Ａ，２２Ｂは２度目の割り込みを時刻ｔ３にお
いてＣＰＵ１１に与える。

【００４０】この場合、前回の割り込み時にセットした
第１のソフトウェアタイマがターミネートする前に割り
込みが到来することになるため、ＣＰＵ１１は連続して
異常が発生していることを認識し、割り込みカウンタに
２度目の割り込みであることを意味する“２”をセット
し（ステップＳ４）、第１のソフトウェアタイマを再び
セットし（ステップＳ５）、既に収集した両系統の監視
データを分析する（ステップＳ６）。

【００４１】監視データを分析することにより、二重化
している部分の異常であるか二重化していない部分の異
常であるかが判断できる。例えば、送信アンテナ５ａ，
５ｂ，５ｃのような二重化していない部分に異常が生じ
た場合には、モニタ２Ａ，２Ｂの監視結果が同一とな
り、送信機３Ａ，３Ｂ等の二重化している部分に異常が
生じた場合にはモニタ２Ａ，２Ｂの監視結果が異なるた
め、両者を区別することができる。

【００４２】そして、二重化している部分の異常である
か二重化していない部分の異常であるかにより、スタン
バイ系への切り換えを行うかリスタートを行うかを決定
する。すなわち、二重化している部分の異常である場合
にはスタンバイ系へ切り換えることは意味があるが、二
重化していない部分の異常に対してはスタンバイ系への
切り換えは意味をなさず、単一系としてのリスタートを
行うべきだからである。

【００４３】次いで、異常が更に１／４秒継続した場
合、タイマ回路２２Ａ，２２Ｂは３度目の割り込みを時
刻ｔ４においてＣＰＵ１１に与える。

【００４４】この場合、前回の割り込み時にセットした
第１のソフトウェアタイマがターミネートする前に割り
込みが到来することになるため、ＣＰＵ１１は連続して
異常が発生していることを認識し、割り込みカウンタに
３度目の割り込みであることを意味する“３”をセット
し（ステップＳ７）、１／４秒より短めに設定された第
２のソフトウェアタイマをセットし（ステップＳ８）、
既に行った監視データの分析に基づく処理を最終的に決
定する（ステップＳ９）。なお、第２のソフトウェアタ
イマは今までの第１のソフトウェアタイマのように異常
の継続を判断するためのものではなく、スタンバイ系へ
の切り換えもしくはリスタートを行うタイミングを定め
るためのものである。

【００４５】そして、異常が継続する場合、時刻ｔ５に
おいて、第２のソフトウェアタイマがターミネートする
タイミングで、ＣＰＵ１１は制御回路１２に処理を指令
し、制御回路１２はスタンバイ系への切り換えであれば
ＲＦ切り換え器４を制御してスタンバイ系の送信機３Ｂ
に切り換えを行い、リスタートであれば送信機３Ａ，３
Ｂのリスタートを数回行った上で異常が回避できなけれ
ばシャットダウンを行う。

【００４６】また、上記のスタンバイ系への切り換えも
しくはリスタートがＣＰＵ１１のソフトウェア障害等に
よって行われなかった場合、タイマ回路２２Ａ，２２Ｂ
から制御回路１２へ４度目の割り込み信号が直接に与え
られるようになっており、これにより許容異常継続時間
に相当する時刻ｔ６においてスタンバイ系への切り換え
もしくはリスタートが実行される。

【００４７】なお、上記の実施例ではタイマ回路２２
Ａ，２２Ｂの設定時間を１／４秒としたが、許容異常継
続時間内にシステムの状態をチェックして許容異常継続
時間の満了時にスタンバイ系への切り換えもしくはリス
タートを行うことができるような時期にタイミング信号
を送出することができるものであれば、他の値でも差し
支えない。また、ＣＰＵのソフトウェア障害時のバック
アップを考慮する必要がなければ、許容異常継続時間を
整数で割った値とする必要もない。

【００４８】

【発明の効果】以上説明したように、本発明の異常処理
方式にあっては、定められた許容異常継続時間を最大限
に利用し、その間にシステムの状態をチェックして必要
な処理を決定し、許容異常継続時間の満了時にスタンバ
イ系への切り換えもしくはリスタートを行うようにして
いるので、モニタの感度を必要以上に敏感にすることが
なく、安定した動作が行えるという効果がある。

【００４９】また、ソフトウェア障害時のバックアップ
も容易に行えるため、システムの信頼性をいっそう高め
ることができる。

【図面の簡単な説明】

【図１】本発明の異常処理方式の一実施例を示す構成図
である。

【図２】図１のモニタおよびローカルコントローラの詳
細図である。

【図３】図２のタイマ回路およびＣＰＵの動作説明図で
ある。

【図４】従来の単一系のモニタおよびローカルコントロ
ーラの構成図である。

【図５】従来の二重系のモニタおよびローカルコントロ
ーラの構成図である。

【図６】図５のタイマ回路およびＣＰＵの動作説明図で
ある。

【符号の説明】

１……………………ローカルコントローラ １１…………………ＣＰＵ １２…………………制御回路 ２Ａ，２Ｂ…………モニタ ２１Ａ，２１Ｂ……異常検出回路 ２２Ａ，２２Ｂ……タイマ回路 ３Ａ，３Ｂ…………送信機 ４……………………ＲＦ切り換え器 ５ａ，５ｂ，５ｃ…送信アンテナ ６……………………モニタアンテナ ７Ａ，７Ｂ…………モニタ検出器

Claims (2)

【特許請求の範囲】
1. 【請求項１】 二重化している部分と二重化していない
   部分とが混在するシステムにおいて、異常検出時に許容
   異常継続時間より短い時間間隔でタイミング信号を与え
   るタイマ回路と、そのタイミング信号に応じてシステム
   の状態を監視すると共に、監視の結果から二重化してい
   る部分の異常であるか二重化していない部分の異常であ
   るかによりスタンバイ系への切り換えもしくはリスター
   トを決定し、許容異常継続時間の満了直前にスタンバイ
   系への切り換えもしくはリスタートを行わせるＣＰＵと
   を備えたことを特徴とする異常処理方式。
2. 【請求項２】 タイマ回路のタイミング信号の時間間隔
   を許容異常継続時間を整数で割った値に設定し、許容異
   常継続時間の満了に相当するタイミング信号により、Ｃ
   ＰＵのソフトウェア障害時のバックアップとして、スタ
   ンバイ系への切り換えもしくはリスタートを直接に行わ
   せることを特徴とした請求項１記載の異常処理方式。