計測自動制御学会産業論文集
Vol.10, No.11, 91/99(2011)

階層化 FDIR による高安全性航法誘導制御系の提案と宇宙ステーション補給機「こうのとり」での実現
白坂成功*，堀田成紀**， 蒲原信治***
Proposal of Highly Safe Guidance Navigation and Control system
by Layered FDIR and Realization in H-II Transfer vehicle“KOUNOTRI”
Seiko Shirasaka*, Shigeki Hotta **, Nobuharu Kambara ***Rendezvous technology has been developed and demonstrated through several technology demonstration missions in theworld. However, high safety has to be additionally considered to use rendezvous technology as infrastructure of space
activities. In this paper, layered FDIR (Fault Detection, Isolation and Recovery) is proposed to realize highly safe guidancenavigation and control system for rendezvous spacecrafts. The layered FDIR can realize both mission continuity and highsafety. The method to design the layered FDIR and to incorporate it into control logic is described. It is also described how
this layered FDIR was implemented in HTV (H-II Transfer Vehicle) which was launched in 2009. And according to theground verification results and HTV real flight results, the layered FDIR worked properly.
Key Words : FDIR, Safety, Guidance Navigation and Control, rendezvous, HTVされてきた．しかしながら，国際宇宙ステーション

１．はじめに（International Space Station：以降，ISS）をはじめとするよ
うに，人類が宇宙空間に滞在し，ランデブ技術をインフラ技

これまでの宇宙開発において，あるターゲットとなる宇宙術として利用するためには，ミッションの達成のみではなく，機に対して，別の宇宙機が接近するランデブという技術開発

高い安全性が要求される．特に，ランデブミッションでは，が行われてきた．日本では技術試験衛星 VII 型（ETS-VII）1)２つの宇宙機が衝突するという危険性があり，この衝突を避を使った技術実証が行われた．同様に，米国においても，けることは，ミッションの達成と同様に重要なことである．

Orbital Express2)によってランデブ技術の実証が行われた．こつまり，ランデブ技術を，産業を実現するインフラ技術としのようなランデブに必要な２つの宇宙機の協調制御技術 3)そて利用するためには，これまでの技術実証ミッションでは完のものについてはすでに実証されたものとなった．しかしな

全には実現されなかった高安全性を含めたランデブ技術といがら，これまでのランデブ宇宙機は，ランデブ技術の開発をうものが必要である．

目的としていたため，技術を実証するためのミッション達成

本論文では，これまでに実証されてきたランデブ技術に，という目標を設定し，ミッション達成を優先とした設計となっていた．このため，軌道上における耐故障機能についても，高い安全性を組み入れる方法として階層化 FDIR（Fault
Detection, Isolation and Recovery）を提案する．この階層化

これまでの衛星開発で実証されてきたものの延長として開発* 慶應義塾大学大学院システムデザイン・マネジメント
研究科 横浜市港北区日吉 4-1-1** 宇宙航空研究開発機構 つくば市千現 2-1-1***三菱電機株式会社鎌倉製作所 鎌倉市上町屋 325 番地* Graduate School of System Design and Management, KEIO
University, 4-1-1, Hiyoshi, Minato-ku, Yokohama, Kanagawa** Japan Aerospace Exploration Agency (JAXA), 2-1-1 Sengen, Tsukuba, Ibaraki*** Mitsubishi Electric Corporation, 325 Kamimachiya Kamakura, Kanagawa(Received August 20, 2010)
TRIA 011/11/1011@2010 SICE91

姿勢を閾値と比較することで異常を検知することが可能である．ADEOS-II では，それに追加し，通常の姿勢制御方式である定常航法と，それに GPS の信号を追加した複合航法との比較を実施している．複合航法の姿勢決定値と定常航法の姿勢決定値とを比較し，差があった場合には定常航法への切り替えをおこなっている 4)．
通常の人工衛星では，軌道上における対有人の安全性要求のような厳しい網羅性を問われるような要求が課せられていないため，通常すべての機器を 2 冗長系用意し，識別された
故障モードに対応した FDIR 機能を用意することにより主系に故障が確定した場合には従系に切り替えることを行なっている 12), 13)．

FDIR は，2009 年 9 月および 2011 年 1 月に種子島から打ち上げられ，ISS にランデブを行った宇宙ステーション補給機「こうのとり」（H-II Transfer Vehicle，以降 HTV）にも利用されている．本論文において，どのように階層化 FDIR を
HTV の設計に取り入れたかを説明し，最後にその実証結果を示す．

２. 従来の FDIR
２.１

FDIR とは人工衛星に代表される宇宙機は，ごく一部の場合を除いて無人のシステムとなっている．また，常に地上でのモニタが可能であるとも限らない．このため，何か故障が発生した場合においても，人間の介入が出来ないことを前提とした設計をする必要がある．特に航法誘導制御系あるいは姿勢制御系
において故障が発生し，それに対して迅速な処置がとられな
かった場合には，姿勢の喪失や位置のずれが発生し，その結果として通信断絶，電力確保不能などの状態に至る可能性がある．このため，軌道上で発生した故障に対して自動的に処置をするための耐故障性設計を行う．この耐故障設計において最も重要なものが自動で異常を検知（detect）し，異常の影響が広がらないように分離（isolate）し，異常状態から回復（recovery）するための FDIR（Fault Detection, Isolation andRecovery）である．

２.３ 従来型ランデブ宇宙機の FDIR

２.２ 従来型人工衛星の FDIR
従来の人工衛星では，大きく分けて２種類の FDIR を実装
していることが多い 4), 5) ．具体的には，故障発生時に，まずは FDIR にてミッションの継続を行うことを目指すが，故障が回復できなかった場合には，人工衛星の喪失を防ぐために，通信と電力を確保する安全モードへと移行する．この場合はミッションの継続よりも衛星損失防止が優先される．また，一部の故障モードでは，ミッションの継続困難なことが明らかであるため，即座に安全モードに移行する 4)．以下に典型的な例を示す．
環境観測技術衛星（ADEOS-II）の姿勢軌道制御系の耐故障設計では，9 種類の機器に対して，28 の故障モードを想定
して FDIR を設計している．28 の故障モードのうち 3 種類の故障モードに対しては，即座に安全モードに移行するような設計となっており，残りの 25 種類の故障モードについては冗長系への切り替えによってミッションを継続するような設計となっている 4)．
また，ADEOS-II 以前の FDIR では，通常１つのセンサの出力に対して，ある固定的な閾値を設定しておき，その値を超えたときに故障と断定する方法が一般的であった．たとえば，センサの出力値がある値よりも大きいことがミッションのフェーズから考えられない場合に，その値を閾値として設定しておき，センサの出力値と比較を行うことで異常を検知する．あるいは姿勢は常に一定の範囲に制御されているため，従来型ランデブ宇宙機の FDIR として，技術試験衛星 VII型（ETS-VII）ランデブ・ドッキング実験系の FDIR について述べる．ETS-VII は，1997 年に打ち上げられ，1998 年にランデブ・ドッキング実験を行なった．ETS-VII はチェイサ衛星である「ひこぼし」とターゲット衛星である「おりひめ」から構成されており，軌道上で「ひこぼし」が「おりひめ」を分離して，いったん遠ざかったのちに再度接近してドッキングするというランデブ・ドッキング実験を行なった．
このランデブ・ドッキング実験系は，将来の有人機への自動ランデブを考慮して，２故障時でも安全性を確保する 2 Fail
Safe（以降，2FS）の思想のもとでアーキテクチャが設計されている．基本的な考え方としては，2 故障発生後は，軌道を離脱して衝突ハザードが発生しないように「おりひめ」と「ひこぼし」が離れていくアボートを実施する．実際に軌道上ではスラスタの異常が発生し，FDIR にてスラスタを切り替えてアボートをする事態が発生，FDIR 機能が正常に動作することが軌道上で実証された 6)．ETS-VII の FDIR としては，2 故障後にもアボートによって退避が可能な 3 系目を持っている点が従来の衛星とは大きく異なるところである．しかしながら，各機器の出力などに対して固定的な閾値を用意し，それとの比較により FDIR を行なっている点については，
従来衛星が行なっていた FDIR と大きく異なるものではない．

３．階層化 FDIR による高い安全性の実現
前述したとおり，ランデブ技術をインフラ技術として利用するためには，これまでのミッション達成だけでなく，高い安全性も具備する必要がある．従来の FDIR は，想定される故障モードに対応した対処機能として用意されたものであるため，必ずしも十分に高い安全性を実現しているとは言えないものであった．これに対し，階層化 FDIR では，以下の２つの戦略を持った FDIR を設計することにより，高い安全性とミッション継続性の両方を実現する．
・広いハザード原因をカバー
・ミッション継続のための素早い対処
具体的には，Fig.1 に示すように，ハザードを引き起こす
原因を Fault Tree Analysis (FTA)を使って解析する．

92

FTA では，左側の現象は，右側の事象の結果として引き

つぎに，この階層化 FDIR を制御系に組み込むための方起こされると考える．つまり，Cause1 は，Cause1.1 か，あ法を示す．前述したとおり，FTA の右側の事象の結果とし

るいは Cause1.2 が発生したことにより引き起こされると考て，左側の事象が発生する．つまり，右側ほどプリミティブ

える．更に，Cause1.1 は，Cause1.1.1 か Cause1.1.2，あるいな情報であるといえる．たとえば，宇宙機の姿勢の場合を考は Cause1.1.3 が発生したことにより引き起こされると考える．

える．姿勢は，角速度を計測するジャイロデータを積分する

このため，通常は FDIR などによって，故障の根本原因（ルことで求めることができる．姿勢が異常になっているかどうートコーズ）である Cause1.1.1，Cause1.1.2，Cause1.1.3 を検かを確認する場合に，ジャイロデータの積分を利用した姿勢

知し，分離し，回復する．しかし，FTA は人間が思いつく

角で検知することが可能であるが，ジャイロデータそのもの

範囲で原因を洗い出したものであり，必ずしもすべての原因が異常であると，この計算された姿勢角そのものが間違ったが漏れなく識別されているとは限らない．もし仮に左側の現ものとなる．このように異常なデータを利用しないために，象を発生する原因に識別漏れがあった場合，その漏れていたあるデータを使って処理する場合には，そのデータが異常で原因に対する対処が出来ておらず，その結果としてハザード

ないかどうかを確認することを行い，異常のないデータを使が発生してしまう可能性がある．そのような予期せぬ故障モって処理する必要がある．つまり，FTA で右側にある FDIR

ードにも対応可能なようにカバレッジを広くするため，なるを実施し，異常がないことを確認した上で，そのデータを処べく FTA の左側の事象に対応する FDIR を用意するのが安理して，より左側の FDIR に利用するということになる．こ全性の観点からは望ましい．つまり，Cause1 そのものを検れを模式的に表現すると，Fig.2(a)コンセプトに示すように知し，安全化することができれば，もし仮に Cause1 を引きなる．ここでの FDIR のレベルは Fig.1 に示したものに対応

起こす原因である Cause1.3 を識別できていなくても，結果する．上述したジャイロの場合での具体的な例を Fig.2(b)にとして安全を保つことが可能である．しかし，一方で，FTA示す．まず，ジャイロセンサと搭載計算機は定期的に通信をの右側の事象が発生して，左側の事象が発生するには通常時行っており，規定の通信時間以内にデータ取得ができるかど

間的な遅れが生じる．つまり，FTA の左側の事象をベース

うかの FDIR を行っている．この通信チェック FDIR 処理でに FDIR を構成した場合，異常に対する対応が遅い FDIR と問題ないと判断されたデータのみがつぎの処理であるデータ

なってしまい，リアルタイム性の厳しいランデブミッション

工学値変換処理へと渡される．このデータ工学値変換処理でではミッションの継続自体が困難となってしまう．このため，は，センサから渡される 16 進数のデータを工学的な意味の階層化 FDIR では，ミッション継続性を確保するための早いある数値である規定時間（１周期）当たりの角度変化へと変反応を，FTA の右側の Cause に対応する FDIR で実現し，高換される．この角度変化量は，スラスタ推力範囲と慣性質量

い安全性を確保するための故障モードを広くカバーすること

から範囲が計算される．この範囲外にある場合はセンサが故を，FTA の左側に対応した FDIR で実現する．Fig.1 では，障していると考えられる．このようなチェックをデータ範囲

この FDIR の階層を仮に３段としたが，これは FTA の階層

FDIR で行う．データ範囲 FDIR で問題なければ，工学値変数および FIDR をどこに実現するかに依存するため，FDIR

換された値と現在の姿勢から姿勢推定処理を行う．この推定の階層の団数については特に制約があるものではない．

結果を元に現在の姿勢が異常かどうかの確認（姿勢異常
FDIR）を実施する．姿勢が正常であれば，姿勢制御のため

Casue1

Cause1.1

Cause1.1.1の制御量を演算するという流れとなる．

Cause1.1.2のように HTV に適用したかを具体的に示す．

この階層化 FDIR を実際に HTV に適用した．４項ではどCause1.1.3

Cause1.2

４．階層化 FDIR の HTV への適用
４．１ HTV とは

Cause1.2.1

階層化 FDIR の HTV への適用を説明するために，まずHTV について説明を行う．HTV 全体システムは，H-IIB で打ち上げられ，ISS へ接近していく HTV フライトセグメン
ト，ISS の「きぼう」日本実験棟に設置してある近傍通信シ
ステム（Proximity Communication System : PROX）と反射器(レーザレーダリフレクタ)，および HTV を運用するために
筑波宇宙センターに設置されている HTV 運用管制室から構成される．

Cause1.2.2

Cause1.2.3

Broader Safety Coverage
Quicker Response to Failure
Fig.1 FTA and Layered FDIR

93

INPUT

Level 1FDIR

First
Processing

Level 2
FDIR

SecondProcessing

Level 3
FDIR

Third
Processing

れた GPS 受信機で得た GPS 衛星のデータ（GPS データ）を直接 HTV に伝送し，HTV では PROX から受信した GPS データと，HTV で計測した GPS データを利用して GPS 相対航法をおこなう．得られた GPS 相対航法結果を用いて，近傍
運用フェーズでは基本的に搭載自動シーケンスにより ISS への接近を行う．GPS 相対航法によって ISS 下方 R バー上
500m の点（RI 点）まで飛行する．
RI 点に到着した後は，ランデブセンサ（レーザセンサ）を使用して，「きぼう」に取り付けられたレーザレーダリフ
レクタとの相対距離と相対姿勢を計測しながら規定されたコリドー内を ISS へ接近する．HTV は「きぼう」の下方約10m 付近のキャプチャー点に到達すると自動で相対的に停止する．
キャプチャー点において，相対位置・姿勢の確立が確認されたのち，ISS クルーによって，制御停止コマンド（フリードリフトコマンド）が送信される．HTV はこのコマンドを受信すると，すべての並進制御および姿勢制御を停止する．
この状態において，ISS クルーは ISS のロボットアーム（SSRMS）を使って HTV を把持（キャプチャー）する．その後，ISS の「ハーモニー（Node2）」の地球側共通結合機

OUTPUT(a)Concept

INPUT

Communication
FDIR

Engineering
Data
Transformation

Data Range
FDIR

Attitude
Estimation

Attitude
Error
FDIR

AttitudeControlCalculation

OUTPUT(b)Example

Fig.2 Data Processing using Layered FDIR

構に結合され（Fig.4），補給キャリア非与圧部にある船外実験機器などおよび補給キャリア与圧部にある船内用物資が運ばれる．

HTV フライトセグメントは「補給キャリア与圧部」，「補給キャリア非与圧部」，「曝露パレット」，「電気モジュール」，「推進モジュール」の 4 つのモジュールから構成
されている 7)（Fig.3）．

Fig.3 Construction of HTV Flight Segment（HTV1Press Kit7））

Fig.4

航法誘導制御系の機器は，電気モジュールに搭載されている．

４．２

HTV の運用

HTV は，H-IIB で打ち上げられた後，GPS 絶対航法と，
HTV 地上運用管制設備からコマンドとして送られた ISS のステートベクタを基に差分航法を行い，ISS への接近を行う．
この期間をランデブフェーズと呼ぶ．
ISS へ十分に接近した後には，ISS の「きぼう」に搭載された PROX と HTV とが直接通信を行う．この期間を近傍運用フェーズと呼ぶ．近傍運用フェーズでは，PROX に搭載さ

94

HTV attached ISS（NASA’s Picture）

ISS からの離脱時は，クルーが SSRMS により HTV を ISS
下方約 10m の地点まで移動させ，その後リリースを行う．
リリースされた後，ISS クルーにより送信される離脱開始コ
マンドによって HTV は制御を開始する．HTV は規定された離脱コリドー内を移動し，最終的には ISS から十分に遠ざかった後，地上からのコマンドにより再突入のための一連のマ
ヌーバを実施する．
以上のような運用において，HTV が ISS に接近している
フェーズ，特に近傍運用フェーズでは，計画されたタイミン
グで計画されたマヌーバを行い，接近を続けることがミッシ
ョンの成功のために必須となる．このため，たとえ故障があっている．Fig.5 においては，左側の点線で描かれた長方形っても，なるべく即座にその故障から復帰し，ノミナルの運用を継続することが必要となる．実際，HTV に課せられたミッション要求は 1 Fail Operative（1FO）というもので，1
故障あるいは 1 回の運用ミスがあってもミッションが継続できることである．

４．３

で示されている．
（２）搭載ソフトウェアのアーキテクチャ
搭載計算機の GCC/ACU には，4 種類のソフトウェアが搭載されている．RVFS（Rendezvous Flight Software），CPU OS，
IOC OBS（Onboard Software），ACU OBS（Onboard

HTV 航法誘導制御系

Software）である．GCC の CPU 部で実行される RVFS は飛HTV には，ISS における有人安全性要求が適用されている

行中の航法誘導制御機能を実行するソフトウェアであり，ノ8), 9)．具体的には，ISS の損失や ISS クルーの致命的な怪我なミナル時の航法誘導制御に関わる処理を行う．CPU OS は，どのカタストロフィックハザードに対しては，2 故障もしく

CPU 部において RVFS を実行する OS として機能する．IOC

は２回の運用ミス，またはそれらのいかなる組み合わせによ

OBS は，通常は GCC の外部の機器と RVFS と間でのデータっても発生させないということが要求となっている．これをのやり取りを処理しているが，CPU が故障した際には IOC

2 Fail Safe（2FS）要求という．HTV が ISS に衝突して ISS な側で対処処置を実行する．ACU OBS は通常は特にミッショ

らびにクルーを損失してしまうことが最大の危険（ハザーン上必要な処理は行なっていないが，GCC が故障した際にド）と認識されており，この「衝突ハザード」に対する 2FS

は安全化を行う処理を有している．Fig.5 においては，左側

要求が航法誘導制御系に課せられた最も大きな要求のひとつの点線で描かれた長方形内で色付きの長方形で示されている．

である．更に，上述したとおりミッションに対して 1FO 要（３）バルブ駆動回路（VDE）と推進系のアーキテクチャ

求がある．これら２つの要求を満たすように HTV の航法誘導制御系のアーキテクチャは構成されている．

アクチュエータ機能は，VDE とスラスタなどの推進系か

HTV 航法ら構成される．アクチュエータ機能は，ノミナル運用に対し誘導制御系を構成する機器を Table 1 に示す．また全体構成て 2 冗長系，安全に対して 3 系冗長系の構成となっている．

を Fig.5 に示す 8),10)．

ノミナル運用に対する 2 冗長系は，GCC 内の IOC より駆動信号を受ける VDE1（A 系および B 系），RCS スラスタ（14Table 1 Construction of HTV Guidance Navigation and Control System
Component Name

Acronyms

基の A 系および B 系），およびメインスラスタ（4 基）からNo.

構成される．上記２系故障時にも安全に退避できるように，

Rendezvous Flight Software

RVFS

1

ACU より駆動信号を受ける VDE2 とメインスラスタ（4Guidance Control Computer

GCC/ACU1基）で 3 系目を構成している．Fig.5 においては，右下の点

GPS/INS System

SIGI

3

GPS Antenna Subsystem

GPSL/GPSF/GPSS

2

Rendezvous Sensor

RVS(RVSE/RVSH)

2Earth Sensor

ESA(ESE/ESH)

2

SIGI/RVS DC/DC Converter

SIGI/RVS-PC

3

Valve Drive Electronics

VDE

3/Abort Control Unit

線で描かれた長方形で示されている．
（４）航法誘導制御系センサのアーキテクチャ
HTV 航法誘導制御系のセンサとして，SIGI(Space
Integrated GPS and INS)と呼ばれるジャイロ/加速度計/GPSRの 3 つのセンサを統合した機器，RVS（Rendezvous Sensor），
ESA（Earth Sensor Assembly）が使用されている．
SIGI 内に含まれたジャイロと加速度計は 3 冗長構成となっているが，SIGI 内の GPSR，RVS，ESA はそれぞれ 2 冗長系

航法誘導制御系としては，各種センサが計測したデータを基構成となっている．Fig.5 においては，右上の点線で描かれに，GCC/ACU 上のランデブフライトソフトウェアが航法誘た長方形で示されている．

導制御の計算を行い，その結果に従ったスラスタの駆動信号
を，VDE を経由して推進系のバルブに出力するという処理の流れを持つ．ここでは，以降の説明に必要な範囲において簡単に説明を行う．HTV 航法誘導制御系の詳細については，
参考文献８）に詳しい．
（１）誘導制御計算機のアーキテクチャ
誘導制御計算機は GCC（Guidance Control Computer）とACU（Abort Control Unit）の 3 種類の計算機より構成される．
更に，GCC の内部は，3 つの CPU と 2 つの入出力制御器（I/O Controller : IOC）から構成され，内部冗長の構成をと95上述してきたように HTV では対有人システムにおける安
全性要求である 2FS 要求と，タイムクリティカルな運用を実現する 1FO 要求という 2 つの大きな技術要求がある．これに対応するため，HTV 航法誘導制御系では階層化 FDIR を利用することでこれらの要求を実現した．

ある．通常，複数の機器の情報を比較できるようにするために，何らかの処理を行ったのちに，その処理結果を比較する．
更に，姿勢の異常や加速度の異常など，状態として異常とみなせる事象については，「状況に基づく FDIR(Condition
Based FDIR)」として実装した．この比較 FDIR と状況に基づく FDIR は，Fig.1 と Fig.6 においては真ん中の Cause をカバーするための FDIR であり，Fig.2 では Level2 FDIR に当たるものであるまた，たとえば，推進系の微小なリークなどについては，即座に加速がでているとは確認できないため，増速の過不足を即座に判断することが困難である．こういった状況をカバーするために，最終的には軌道自体をチェックして衝突軌道に入っていないことを確認する最終の FDIR
（Safety Net FDIR）を用意した．この FDIR は Fig.1 と Fig.6
においては最も左側の Cause をカバーするための FDIR であり，Fig.2 では Level3 FDIR に当たるものである結果的に，
この Safety Net FDIR を用意したことで，どのような異常事
象であれ，Safety Net FDIR で使用しているデータが正常であれば検知が可能な頑健性の高い FDIR を実装することができた．

GCC/ACU
GCC

CPU 1

SIGI ARVFSCPU OS

IOC 1

CPU 2

IOC OBSSIGI BRVFSCPU OS

IOC 1
CPU 3
IOC OBSSIGI C

Navigation Guidance Control
Sensor Architecture

ESA A

RVFS

ESA B

CPU OSACURVS A

ACU OBSRVS B
Guidance Control Computer
And Onboard software Architecture

VDE1
A
VDE1
B

1553B Bus line
Other Signal line

VDE2

RCS A
ME A
RCS B
ME B

Valve Drive Electronics
And Propulsion architecture

Fig.5 System Block of HTV Guidance Navigation and Control System

４．４ HTV での階層化 FDIRHTV の航法誘導制御系は，当初より安全性とミッション
継続性を考慮した設計を行なってきた．このため，HTV 航法誘導制御系では，FDIR の設計に対して階層化 FDIR というコンセプトを適用した．
安全設計を行うためには，ハザード事象を引き起こす原因（Cause）を識別するために Fault Tree Analysis（FTA)を行った．実際の FTA の一部を簡略化したものを Fig.6 に示す．
Fig.6 では，最下層の故障としては便宜上，故障モードとして１，２という表現をとっているが，実際にはセンサの種類
コントローラ，アクチュエータに対応してより多くの故障モードが存在している．
前述した通り，異常に対して素早く対処するために FTAの右側の Cause に対して FDIR を行う必要がある．
HTV では，個々の機器においてすでに存在がわかっている故障モードについては，FTA の右側をカバーする形で「単体 FDIR (Component FDIR)」を実装した．単体 FDIR とは，「機器単体の情報により行う FDIR」ということを意味している．たとえば，機器のアウトプットがあり得ないほど大きな出力となったり，急激に変化したり，あるいは絶対に一定にならないようなときに一定値となってしまうような故
障モードは古くから知られており，こういった故障モードをカバーするために用意された FDIR である．この FDIR は
Fig.1 と Fig.6 においては最も右側の Cause をカバーするための FDIR であり，Fig.2 では Level1 FDIR に当たるものである．
これまでの宇宙機では，この単体 FDIR のみを実装していた．
HTV では，各機器の未知の故障モードについては機器間の「比較 FDIR (Comparison FDIR)」 によってカバーした．この比較 FDIR は，複数の機器の情報を比較して行う FDIR で96

Fig.6 FTA of HTV

上記の階層化 FDIR を，航法誘導制御系の処理に組み入れた状態を Fig.7 に示す．比較 FDIR は，センサの出力値が正常であって初めて意味があるものである．したがって単体
FDIR をパスしたデータのみが使われるべきである．また，状態に基づく FDIR は，状態の認識にセンサデータを使用するため，単体 FDIR と比較 FDIR をパスしたデータを使うこととなる．同様に上位の Safety Net FDIR は単体 FDIR と比較
FDIR をパスしたデータを使用する．つまり，各階層を確実に動作させることが重要である．

Component FDIR

Condition Based
FDIR

Comparison FDIR
Gyro
FDIR

ESA/Gyro
Comparison
FDIR

ESA
FDIR

Attitude
Error
FDIR

ESA-A

Attitude
Determination
Filter A

Average
ESA-B

Comm.
FDIR

Gyro-A

AttitudeControl

Attitude
Determination
Filter B

Gyro-B
EnvironmentIOC

VDE/Thrusters

Fig.7 HTV Data Processing using Layered FDIR

搭載ソフトウェアはハードウェアや環境をソフトウェアでジャイロについては 2 系を同時に動作させている．単体
FDIR を実施するとともに，ESA2 系をふくめて，4 系での比較 FDIR を実施している．また，クリティカルなフェーズでシミュレーションし，ソフトウェア総合試験を実施した．これとは並行にハードウェアは製造試験にて検証を行った．搭はジャイロの 3 系目を使用することで，より確実に正常なセンサを使用できるようになっている．ジャイロも ESA も，
１系が故障しても 2 系目があるため，ミッションの継続が可能である．また 2 系目が壊れた場合にはアボートを実施する．
アボート時の姿勢制御は，ジャイロあるいは ESA の正常な一方を使用することで行う．

載ソフトウェアおよびハードウェアを個別に検証した後に，両者の組み合わせ試験として SCLT（Static Closed Loop
Test）を，更にセンサなどコンポーネントを接続した DCLT
（Dynamic Closed Loop Test），DOLT（Dynamic Open Loop
Test）を実施した．SCLT において GCC/ACU および３種類のソフトウェアの機能について十分に検証した後に，DCLT
にてジャイロ，ESA，RVS に関わる部分の検証を行なった．
また DOLT にて GPSR に関わる部分の検証を行った．

５. 適用結果

前述したような多彩な FDIR を実装しているが，機器の故５.１ 地上検証の結果

障のタイミングおよび故障の種類は多数あり，その組み合わHTV 航法誘導制御系では，階層化 FDIR を利用したために，せについては無数にあるともいえる．そこで Fig.8 に示すよ多くの FDIR を持つこととなった．このため，計画的な検証

うな試験ケース設定ツリーを用意し，故障発生時のイベント

活動が必要であった 8)．

（運用のフェーズ），故障モード，故障の発生タイミング，

HTV 航法誘導制御系については，段階的な検証・インテ

故障が発生している成分（X,Y,Z）およびエラーケースの組

グレーションを繰り返すことで検証を行なった．

み合わせの中から安全上のリスクの高いものを選択して試験を実施した．

Event

Failure mode

Timing

Axis

Error source

RVS

Orbit
RI
Insertion

Mode 1Mode 2

Begin

X
Case 1

.....

300m

Gyro
Mode 1Mode 2

Approach.....

Free Drift

Mode 1

MiddleY

Case 2End

Z

Case 3

Gyro

Mode 2.....

Limited cases fromnominal simulations
that lead to the worst

of Event

RCS/IOC
Mode 1

Fig.8 Development of Test Case Setting

97

その結果，500 ケースを超える試験を実施することとなっ

HTV にも利用される予定である．特に，スペースシャトル

たが，最終的にはすべての FDIR を検証することができた．

の退役後，HTV は ISS プログラムにおいて重要な役割を担

例えば，故障発生時のイベント（運用のフェーズ）として最うこととなる．

終接近の開始マヌーバ時に，故障モードとして SIGI-A に含更に，宇宙が単なる技術開発から，実用的な産業になるた

まれているジャイロで故障が発生し，故障の発生タイミング

めには，実際の利用のために必要な安全性の確保は重要な項としてはマヌーバの開始時点であり，故障が発生している成目である．その点でも，今回提案する階層化 FDIR は宇宙の分は X 軸周り（つまりロール）であり，エラーケースとし産業化に必要な技術であると考えられる．

てはジャイロ出力が一定となるような故障モードの組み合わ
せ時において，故障したジャイロを使われることなく，正常なジャイロデータを使ってマヌーバが正常に終了することが確認できるような試験を実施している．これは単体 FDIR としてのジャイロ FDIR の検証にあたる．また，ジャイロの故障モードとして，単体 FDIR にかからないレベルの異常デー
タによる試験も実施した．この場合には，他のジャイロおよび ESA との比較 FDIR にて検知が行われており，比較 FDIRの検証にあたる．また，スラスタの異常が発生するが，単体
FDIR，比較 FDIR,状況に基づく FDIR のいずれにも検知されない試験ケースを設定し，軌道がずれることによって最終的には Safety Net FDIR にて検知される試験ケースを設定する
ことにより，Safety Net FDIR の検証も実施した．
Fig.9 HTV before Capture (NASA’s photo)

５.２ 軌道上実証結果
HTV は，2009 年 9 月 11 日に種子島宇宙センターから HIIB ロケットによって打ち上げられた．打ち上げ後は順調に謝辞

ISS への接近を行い，9 月 18 日に ISS に搭載されたロボット
本論文の執筆にあたり貴重なご助言を頂きました慶應義塾

アームによりキャプチャーされ，同日 ISS に結合された（Fig.9）．その後，10 月 31 日に ISS から切り離され，離脱

大学大学院システムデザイン・マネジメント研究科を行ったのち，11 月 2 日に大気圏再突入を行い，ミッショ

教授に感謝いたします．

ンを終了した．このミッション期間中，何度か FDIR が動作

狼嘉彰

する機会があったが，いずれも安全性およびミッション継続

参考文献

性を損なうことなく適切に動作している．たとえば，参考文

1）河野，小田，稲葉：ランデブ・ドッキング技術開発の将献 9)にも示されているとおり，再突入前日に３つの CPU が来展望；計測と制御，Vol.38，No.11，pp.710-712 (1999)

エラー表示となる事象が発生したが，これは単体 FDIR およ2）Geoffrey C. Hintze et al:AVGS,AR&D for Satellites, ISS, theび比較 FDIR が設計通りに動作することで HTV の制御を失Moon, Mars and Beyond, Proceeding for AIAA Infotech @うことなく，その後の復帰を行うことが可能となった．軌道

Aerospace 2007 Conference and Exhibit, AIAA2007-2883

上においては Safety Net FDIR にかかるような異常は発生し(2007)なかった．

3）木田隆，山口功：宇宙機の相対運動とその制御－ランデ
ブおよびフォーメーション；システム制御情報学会誌，
Vol.49，No.6，pp.229-236 (2005)

６. まとめ4）小島寧, 棚町健彦, 狼嘉彰: 環境観測技術衛星（ADEOS-

これまでは技術実証のレベルであったランデブ技術を，実II）搭載姿勢軌道制御系（AOCS）の対故障設計, ；宇宙用レベルにするために必要な新たな耐故障機能として階層化

技術, Vol.3, pp49-58 (2004)

FDIR を提案した．この階層化 FDIR は実際に HTV の航法誘

5）As’ad Michael Salkham: Fault Detection, Isolation and導制御系に利用され，地上検証および軌道上実証で正常に動Recovery (FDIR) in On-Board Software, Master’s Thesis

作していることを示した．

Charlmers University of Technology (2005)

HTV は，ISS が運用されている限り打ち上げられることが決まっており，今後も毎年約１機のペースで打ち上げられることとなっている．今回提案した階層化 FDIR は今後の

98

蒲原信治

6）河野功, 杢野正明, 鈴木孝, 小山浩, 功刀信: ETS-VII ランデ
ブ・ドッキング実験の結果；日本航空宇宙学会論文集, 2

1995 年東京大学大学院工学系研究科修Vol.50, No.578, pp.95-102 (2002)

士課程修了．同年三菱電機株式会社
入社．

7） HTV-1 ミッションプレスキット: 宇宙航空研究開発機構(2009)

宇宙ステーション補給機(HTV)の開発等

8）蒲原信治, 鈴木雅晴, 渡部大輔他: HTV 航法誘導制御系にに従事．現在，宇宙システム部制御技術

おける安全設計とその検証； 第 51 回宇宙科学技術連合課 専門は航空宇宙機の飛行力学，最適講演会 (2007)

制御．

9）今田高峰, 植田聡史: HTV 誘導制御システムに対する
CBCS 安全要求の適用について； 宇宙ステーション講演会 有人宇宙飛行技術シンポジウム講演集 , pp17-20 (2008)10）青木英剛, 白坂成功, 津屋直紀他: HTV アビオニクス開発； 第 50 回宇宙科学技術連合講演会 (2006)
11）宇宙ステーション補給機（HTV）技術実証機の国際宇宙ステーション（ISS)離脱及び再突入結果について: 宇宙
航空研究開発機構 (2009)12）福田盛介, 水野貴英, 坂井 真一朗, 福島 洋介, 斉藤

宏文: れいめい（INDEX）衛星における統合化衛星制
御； 航空宇宙学会論文集, Vol.57, No.660, pp.25-31 (2009)13）Josian Fabrega, Michel Frezet and Jean-LouisGonnaud: ATV
GNC During Rendezvous； Proceedings Third International
Conference on Spacecraft Guidance, Navigation and Control
System, pp.85-93 (1996)
14）Seiko Shirasaka, Taichi Nakamura, Takafumi Chiba, et al. :Architecture of H-II Transfer Vehicle’s Guidance & Control
Computer； AIAA Visiting Vehicle Conference (1999)[著者紹介]
白坂

成功（正会員）1994 年東京大学大学院工学系研究科
宇宙工学専攻修士課程卒業．同年三菱
電機株式会社入社．2010 年より慶應
義塾大学大学院システムデザイン・マ
ネジメント研究科

准教授

専門は，

宇宙工学，システムエンジニアリング．

堀田成紀
1993 年，東京大学大学院工学系研究科
宇宙工学専攻修士課程修了．同年三菱電機株式会社入社．現在，宇宙航空研究開
発機構

有人宇宙環境利用ミッション本

部 HTV プロジェクトチームに出向．専門は，制御工学，軌道力学，運用管制．

99