発表内容
ソフトウェアテストシンポジウム2011東京（JaSST’11 Tokyo）▐ 自己紹介▐ ＮＥＣグループの宇宙システム事業のご紹介▐ 「はやぶさ」のソフトウェア開発
z 人工衛星のしくみ• 人工衛星と民生機器の類似点

z 「はやぶさ」の軌跡
z なぜ高信頼性設計をするのか「はやぶさ」をミッション完遂に導いた
ソフトウェア開発••••

地球周回軌道から深宇宙まで確実に動作する人工衛星
耐環境性
コンピュータを使って得られる成果
ソフトエラーの対処

z ソフトウェア開発プロセスを振り返る••••

2011年1月26日
NEC東芝スペースシステム株式会社
檜原 弘樹

z 一般論

▐ 今後の展開

Page 2ＮＥＣグループの宇宙システム事業のご紹介－ 宇宙システムとはどのようなシステムか？
人工衛星

ＮＥＣグループの宇宙システム事業のご紹介－ Major Japanese Satellites Integrated by NEC/NTSpace・コンピュータ・データネットワーク
・音声・映像系装置
・微少重力実験装置
・ロボットアーム

・バス機器
・観測センサ・トランスポンダ・光衛星間通信機器
・大型アンテナ

・電波機器
・微少重力実験装置

コンサルテーション＆
サービス

RussiaYAMAL
YAMAL-200
EXPRESS-AM1
KAZSAT-1
SPECTR-R
ELECTRO-L
EXPRESS-AM33 EXPRESS-AM44
Express-MD1
Express-MD2
KAZSAT-2
YAMAL-300
LOUTCH5A/5B* EXPRESS-AM4＊

UK
HYLAS

NIGCOMSAT-1R*International
ICO
INMARSAT-2
INMARSAT-4
INTELSAT-IVINTELSAT-IV-A
INTELSAT-VI
INTELSAT-VII
INTELSAT-VII-A INTELSAT AM-9
INTELSAT-15
INTELSAT-16
New Dawn
INTELSAT-19*
INTELSAT-20*
INTELSA-21*
INTELSAT-22*

Page 5EUTELSAT W1
EUTELSAT W3A
EUTELSAT W4
HOTBIRD-6
EUTELSAT W2M
HOTBIRD-10
ATLANTICBIRD-7*

UAE
THURAYA
Yahsat-1B
ARABSAT-5C*

NIGCOMSATTANSEI-II(MS-T2)1974

TAIYO(SPATS)
1975

HAKUCHO(CORSA-b)
1979

TANSEI-IV(MS-T4)
1980

HINOTORI(ASTRO-A)
1981

HIMAWARI-2(GMS-2)1981

KIKU(ETS-1)1975

TENMA(ASTRO-B)
1983

TANSEI-III(MS-T3)
1977

OHZORA(EXOS-C)
1984

HIMAWARI
(GMS)
1977

HIMAWARI-3(GMS-3)
1984

Korea
KOREASAT-3

TaiwanROCSAT-1
Thailand
THAICOM-3
iPSTAR-1
Australia
OPTUS-B

Malaysia
MEASAT-3
MEASAT-1R© NEC Corporation / NTSpace Ltd. 2010

FUJI-2(JAS-1b)
1990

ORIZURU(DEBUT)
1990

YURI-3a/3b(BS-3a/3b)
1990/1991

YOHKOH(SOLAR-A)
1991

ASTRO-E
2000

TSUBASA(MDS-1)
2002

HAYABUSA(MUSES-C)
2003

Singapore
ST-1

Indonesia
ACeS-1China
DFH-3B
DFH-3 F/O (C)FY-2C
DFH-3 F/O (Ka)
CE-1
CBERS
CE-1 F/O
HY-1C
SINOSAT-6
SINOSAT Series

DFH-3 series
DFH-3 F/O (L)APSTAR-5
SINOSAT-2
DFH-3 F/O
DFH-3 Ka SAT
HY-2
SINOSAT-2 F/O
SINOSAT-3 F/O
FY-2 F/O*

HY-1C F/O*

CBERS F/O*

DFH4 F/O*

SINOSAT-3 KaSAT*

Japan
JCSAT-3
JCSAT-4
JCSAT-5
JCSAT-6
JCSAT-8
N-STAR-a/b
N-STAR-c
SUPERBIRD-A/B
SUPERBIRD-E/F
CS
CS-2a/b
CS-3a/b
BS-2X
BS-3a/b
BS-3H
BS-3N
BSAT-2c
WINDS
QZSS*

ETS-V
ETS-VIETS-VIIETS-VIII
JERS-1
MOS-1
MOS-1bTRMM
COMETS
DRTS a/b
ADEOS
ADEOS-II
OICETSALOS
JEM ICS
SUPERBIRD-6
JCSAT-9
DPR (Ku,Ka)*

FUJI(JAS-1)
1986

GINGA(ASTRO-C)
1987

MOMO-1(MOS-1)1987

GEOTAIL1992

SUZAKU(ASTRO-EII)2005

AKEBONO(EXOS-D)
1989

ASCA(ASTRO-D)
1993

KIRARI(OICETS)
2005

HIMAWARI-4(GMS-4)
1989

HIMAWARI-5(GMS-5)1995

DAICHI(ALOS)
2006

HITEN(MUSES-A)
1990

FUJI-3(JAS-2)
1996

AKARI(ASTRO-F)
2006

HAGOROMO(Lunar Orbiter)
1990

HALKA
(MUSES-B)
1997

KAGUYA(SELENE)2007

MOMO-1b(MOS-1b)
1990

KAKEHASHI(COMETS)
1998

ＫIZUNA(WINDS)
2008© NEC Corporation / NTSpace Ltd. 2010

人工衛星のしくみ－ Transponder Equipment Supply Records （for Commercial Satellites）

NigeriaDENPA(REXS)
1972

SUISEI(PLANET-A)
1985

Page 4ＮＥＣグループの宇宙システム事業のご紹介

Spain
HISPASATSPAINSATSPAINSAT-R

JIKIKEN(EXOS-B)
1978

SHINSEI(MS-F2)
1971

SAKIGAKE(MS-T5)
1985

NOZOMI(PLANET-B)
1998© NEC Corporation / NTSpace Ltd. 2010

EuropeHOTBIRD-2
HOTBIRD-3
HOTBIRD-4
HOTBIRD-5
HOTBIRD-8
HOTBIRD-9
KaSat

TANSEI(MS-T1)
1971

ロケット搭載機器

地上システム・追跡・運用管制装置
・ﾘﾓｰﾄｾﾝｼﾝｸﾞ／
観測ﾃﾞｰﾀ処理装置
・射場管制装置

Northern Europe
BSB (SIRIUS-1)
SIRIUS-2
SIRIUS-4

OHSUMI(Japan’s 1st sat.)
1970

KYOKKO(EXOS-A)
1978

人工衛星搭載機器

Luxembourg
ASTRA-2B
ASTRA-1K
ASTRA-1KR/1L
ASTRA-1M
ASTRA-3B
ASTRA-1N*© NEC Corporation / NTSpace Ltd. 2010

宇宙ステーション・通信／放送衛星
・地球観測衛星・技術試験衛星
・科学衛星
・月惑星探査機

Page 3

オーソドックスな開発プロセス
日本的な擦り合わせプロセス
異業種の技術を貪欲に吸収する
コンティンジェンシ対策

North America
MSAT
TDRSS
Galaxy8iR
ORION-1
Galaxy-13
TELSTAR-5
ANIK-F1R
TELSTAR-6
DTV
CD-RADIO
Newskies-8
AMC 15/16
XTAR
ECHO-10AMC14ANIKF3
DTV-10
DTV-11
DTV-12ECHO-11
CascadePAS-11
Galaxy-18
Horizons-2
ICO
XM-5
NIMIQ-4
SIRIUS-FM5
ECHO-14
NSS-9
Protostar-2
MSV
MUOS
SIRIUS-FM6
ECHO-15
Quetzsat*
P057*
MUOS F3*

BrazilBRASILSATEdSAMAZONAS
AMAZONAS-2▐ 地上（地球上）の運用設備からのリモートコントロールによる操作
z 無線通信によりコマンド（指令）を送る。
z 無線電波に乗って返ってくるテレメトリ（各機器の状態を示す信号）を解析し、人工衛星がどのような状態にあるかを把握しながら運用する。
z 搭載されたカメラで撮像された画像データや衛星回線を用いて伝送される通信データなどを無線通信により受信する。

▐ ソフトウェアの主な役割（自動・自律制御）
z 人工衛星に搭載しているアンテナやカメラが常に一定の方向に向くように
衛星自らが姿勢や軌道を制御する。
z 電力を得るために太陽電池が常に太陽を向くように機体を制御する。
z 地上局の運用担当者の負担を極力減らせるよう、予め決められた運用
シーケンスに従って処理を進める（自動制御）。
z 地上局に送信するテレメトリを予め人工衛星自身がモニタし、緊急の場合には消費電力を小さくするなどの緊急退避モードに移行する（自律制御）。
z 人工衛星に搭載しているカメラや通信機などの機器を制御する。
地球上の人々の安心・安全な生活を支える様々な情報を提供(* under manufacturing)

Page 6© NEC Corporation / NTSpace Ltd. 2010

人工衛星のしくみ－ 人工衛星は大規模な組込みシステム▐ ミッション部（ペイロード)
z 観測機器制御
z トランスポンダz アンテナ

人工衛星のしくみ－人工衛星と携帯電話は良く似ている (1)広域電子走査アンテナ部(APAA)

マルチビームアンテナ（MBA）

太陽電池パドル（PDL）▐ アンテナ／アンテナ制御装置▐ 送受信機▐ ベースバンド処理装置▐ 姿勢軌道制御装置▐ センサ（カメラ、etc.）▐ リアクションホイール▐ GPSレシーバ▐ 磁気トルカ▐ スラスタ▐ 電池▐ 太陽電池パドル▐ 電力制御システム▐ ヒーター
一般的な人工衛星のブロック図▐ ルーバー（放熱制御盤）
リアクションホイール

磁気トルカ

スラスタ

▐ 衛星バス部衛星 ミッション部

スタートラッカ
地球センサ

z 姿勢制御z 通信制御z 電源制御
z 熱制御
z 構造
z 推進

低利得アンテナ

太陽センサ

送受信機

カメラ

姿勢軌道制御装置

高利得アンテナ

送受信機

参考：WINDS（きずな）

太陽電池パドル

ヒーター
制御装置

パドル
駆動装置

バッテリ

ヒーター

中継器

・・・

太陽電池パドル（PDL）
衛星 バス部

GPSレシーバ

データ
処理装置

ヒーター

ペイロード

ルーバー

電源制御
システム

提供 宇宙航空研究開発機構(JAXA)
Page 7

Page 8© NEC Corporation / NTSpace Ltd. 2010

人工衛星のしくみ－人工衛星と携帯電話は良く似ている (2)「はやぶさ」の軌跡－ 第20号科学衛星MUSES-C
LCD▐ 通話回線用アンテナ▐ 送受信機▐ ベースバンドプロセッサ▐ カメラ▐ バイブレータ制御▐ 電池パック▐ MUSESシリーズの３号機

LCDドライバ
RX
SW
Dup.
PA

Digital BaseBandprocessor

ABB

Audio

(DBB)
DSP CPU

TX
Analog BaseBandprocessor Flush Memory
Mobile SRAM
SDRAM
RX

© NEC Corporation / NTSpace Ltd. 2010z Mu Space Engineering Spacecraft（ミュー ・ロケットで打ち上げる工学実験探査機）

着メロ
音源
カメラ
LSI

MUSES-B
はるかGPS

一般的な携帯電話のブロック図
機能カテゴリ

人工衛星

携帯電話

無線通信

アンテナ、送受信機

アンテナ、送受信機

コンピュータ

データ処理装置

ベースバンドプロセッサ

カメラ

観測センサ、カメラ

カメラ

GPSレシーバ

GPSレシーバ

GPSレシーバ

メカトロニクス

姿勢軌道制御システム

バイブレータ制御

電力制御システム

太陽電池パドル、バッテリ、電力制御装置、電力安定化装置

電池パック、レギュレータ

熱制御システム

放熱板、ヒーター

最適な放熱設計

Page 9「はやぶさ」の軌跡－ 打ち上げ （2003/05/09 13:29:25JST）© JAXA

提供：宇宙航空研究開発機構(JAXA)
Page 10© NEC Corporation / NTSpace Ltd. 2010

M-Ⅴ、５号機により打ち上げ
一路太陽周回軌道へ
１周回後に地球スイングバイ実施
ITOKAWAへの接近軌道へ

MUSES-C
はやぶさ

MUSES-A
ひてん© NEC Corporation / NTSpace Ltd. 2010

「はやぶさ」の軌跡－ 工学実験探査機としての課題達成状況▐ ミッション達成度 － ミッション完遂！
電気推進エンジン 稼働開始（３台同時運転は世界初）

50 点

電気推進エンジン ある期間（1000 時間）稼働

100 点

地球スウィングバイ成功

150 点（電気推進によるスウィングバイは世界初）（自律航法に成功して）イトカワとランデブー成功

200 点

イトカワの科学観測成功

250 点

イトカワにタッチダウンしてサンプル採取

275 点

カプセルが地球に帰還、大気圏に再突入して回収

400 点

イトカワのサンプル入手

500 点

提供：宇宙航空研究開発機構(JAXA)
Page 11© NEC Corporation / NTSpace Ltd. 2010

Page 12© NEC Corporation / NTSpace Ltd. 2010

「はやぶさ」の軌跡－ビデオによるご紹介「はやぶさ」の軌跡－ 未踏の地へ▐ イトカワへの着陸
z 「はやぶさ」の目から見た様子

７年間の宇宙の旅を終えて。
絆が生んだ奇跡の旅
ＨＡＹＡＢＵＳＡはやぶさの影とターゲットマーカー
提供：宇宙航空研究開発機構(JAXA)
Page 13

Page 14© NEC Corporation / NTSpace Ltd. 2010

© NEC Corporation / NTSpace Ltd. 2010

「はやぶさ」の軌跡－ 未踏の地へ

なぜ高信頼性設計をするのか－ 地球周回軌道から深宇宙まで確実に動作する人工衛星▐ イトカワへの着陸

信頼性＝設計、製造、試験および運用の▐ 打ち上げた後は修理が難しい
ライフサイクルを通じて配慮すべきもの▐ 信頼性保障が「当たり前品質」▐ それでもなお・・・
通信時間の制約のためにマイコンに頼る局面が多いz 地上から見た様子

提供: 宇宙航空研究開発機構

地球距離Page 15

Page 16© NEC Corporation / NTSpace Ltd. 2010

なぜ高信頼性設計をするのか－ 耐環境性0

往復通信時間

提供：宇宙航空研究開発機構(JAXA)

だいち

ひまわり

はやぶさ

700km

36,000km

300,000,000km

240ミリ秒

34分、非可視あり

5ミリ秒、非可視あり© NEC Corporation / NTSpace Ltd. 2010

なぜ高信頼性設計をするのか－コンピュータを使って得られる成果 － Science 2006/06/02 Hayabusa Special Issue▐ 厳しい宇宙環境への対応
z ロケット打ち上げ振動： 10G～20G超z 宇宙空間の大きな温度差
z 高い放射線レベル• ソフトエラー対策• ラッチアップ対策
・・・等々

太陽から放射される高エネルギー粒子に晒される人工衛星（イメージ図）▐ 投資回収と低コスト化

提供: 宇宙航空研究開発機構

z 数十億円から100億円以上の投資を無駄にしない。
z 海外競争力のある低コスト化と高信頼性を両立させる。

Page 17© NEC Corporation / NTSpace Ltd. 2010

２００６/６/２号は「はやぶさ」特集号として７本の論文を掲載。特に密度1.9ｇ/立方ｃｍという数値は、表面の様相と合わせて「ラブル・パイル」という名で推定されていた未知の天体の素顔を明らかにする
画期的な発見だった。
ITOKAWAの詳細形状推定、タッチダウン誘導に関してもNECの技術が活用された。
Page 18© NEC Corporation / NTSpace Ltd. 2010

なぜ高信頼性設計をするのか－ソフトエラーの対処 (1)なぜ高信頼性設計をするのか－ソフトエラーの対処 (2)▐ 宇宙放射線環境▐ 太陽風と地球磁気圏

z 宇宙空間に存在する高エネルギー粒子z 太陽風• 陽子（プロトン）、電子、重イオン粒子、α粒子等• 太陽表面から吹き出す、約10 nTの磁場を伴った超音速のプラズマ（電荷を帯びた粒子）の流れ。
地球の近くでのその速度は約300
km/秒にも達する。
• 主成分は陽子。その他、電子、α粒子、重イオン粒子も存在する。

z 高エネルギー粒子が半導体デバイスに与える影響
z トータルドーズ効果• 照射される放射線の総量に応じて半導体デバイスの性能が劣化する現象。永久劣化と見なされる（アニール効果も有り得る）。
• 陽子、電子が引き起こす。

z シングルイベントアップセット（Single Event Upset: SEU）

z 地球磁気圏• メモリ、フリップフロップ等のLSIに高エネルギー粒子が当たることによって引き起こされる
データ誤り。一過性のソフトエラーと見なされる。
• 重イオン粒子、陽子が引き起こす。

• 宇宙空間の中で地球が持つ磁場の勢力が届く領域。
• 地球の持つ磁場が太陽風の影響
により太陽方向で潰れ、夜側に向かって引き延ばされる。

z シングルイベントラッチアップ（Single Event Latch-Up: SEL）
• SEUと同様の現象により、半導体基板上に形成されているサイリスタ構造がONし、過大な電源電流が流れる。永久故障につながり得る。
• SEUとSELとを合わせて（SEE: Single Event Effect）と呼ぶこともある。
Page 19

Page 20© NEC Corporation / NTSpace Ltd. 2010

© NEC Corporation / NTSpace Ltd. 2010

なぜ高信頼性設計をするのか－ソフトエラーの対処 (3)なぜ高信頼性設計をするのか－ソフトエラーの対処 (4)▐ 太陽フレア▐ ヴァン･アレン帯の特異点

z 太陽表面で起こる爆発現象。この時放出される粒子を太陽フレア粒子（Solar Flare Particles: SFP）と呼ぶ。太陽フレア粒子は非常に大きなエネ
ルギーを持つ。X線
z 陽子が主。その他α粒子、電子、重イオン粒子が放出される。X線、γ線、電波等も放出される。X線は8分程度で地球に到達する。粒子は早いもの
で20～30分程度、遅い場合は数日を要する。

磁気圏：Magnetosphere
図-1 地球磁気圏
太陽風：Solar Wind
磁気圏シース：Magneto-sheath
カスプ：Cusp
プラズマ圏：Plasma Sphere
ヴァン・アレン帯：Van Allen Belt
プラズマシート：Plasma Sheet
磁気圏（圏）界面：Magneto-pause
衝撃波面：Bow Shockz SEEが起こり易い。

OR (Ordinary Event)：
通常の太陽フレアイベント
AL (Anomalously-Large Event)：
太陽活動極大期（Solar Max）の初期及び後期に起こる。ほぼ11年周期であり、太陽フレアは予測可能。

陽子密度
ヴァン･アレン帯はブラジル沖上空では300km近くまで地球に接近している。

太陽活動サイクル（太陽黒点の数と陽子放出）
Page 21© NEC Corporation / NTSpace Ltd. 2010

磁軸は地球の回転軸に対して約11度傾いている。

日本付近では約1,300kmの高度にある。
Page 22© NEC Corporation / NTSpace Ltd. 2010

なぜ高信頼性設計をするのか－ソフトエラーの対処 (5)ソフトウェア開発を振り返る－オーソドックスな開発プロセス (1)▐ 放射線対策を施した宇宙機搭載用マイクロプロセッサの例▐ 高信頼性システムを実現するための四つのポリシー

z μPD55177B-018• 1 chip 16 bit micro-controller.
• On-chip floating point arithmetic function• On-chip peripheral devices

最初から正しく作る– Bus controller– DMA controller– Memory controller– ECC (EDAC)– Timer– Interrupt controller– Serial port
– Parallel port

見逃さない
リスクに備えるコンティンジェンシ（緊急時）に対応する• High reliability– Flight proven processor implemented on NASDA authorized high density ASIC
– Radiation Hardness (TID, SEU/SEL)

Page 23© NEC Corporation / NTSpace Ltd. 2010

Page 24© NEC Corporation / NTSpace Ltd. 2010

ソフトウェア開発を振り返る－オーソドックスな開発プロセス (2)ソフトウェア開発を振り返る－オーソドックスな開発プロセス (3)▐ 最初から正しく作る▐ 見逃さないz 不良要因を埋め込まない。

z 外部調達対応• 要求分析
• 設計手法• 工程プロセスデザイン• 埋もれているかもしれない不良要因を確実に検出する。
• 顕在化する前に是正処置する仕組みを確立する。
• 各種検査/試験、データ分析評価等を開発プロセスに組み込む。

z 不良を未然に防止するプロセスを確立する。

z 試験設計• 設計検証• 設計の妥当性確認• デザインレビュー• 検証プロセス、検証レベルの選択• 網羅性を考慮し、システム的に計画された試験検査• 取得された試験データを適宜参照・活用できるしくみz 民生組込み機器との技術交流• 組込みソフトウェアの高度化、複雑化に伴い、統合ソフトウェア開発環境ツール
やプラットフォームの活用が進む。
• 設計検証、試験検証への投資を着実に行うポリシーが民生組み込み機器開発
投資と相補的に機能し始めた。

漏れの無いテストは重要だがモラトリアム的に開発されたものはテストでは保証できない
Page 25– 民生機器開発過程で資金が回し難かったツール類への開発投資が相乗効果を生む。

Page 26© NEC Corporation / NTSpace Ltd. 2010

© NEC Corporation / NTSpace Ltd. 2010

ソフトウェア開発を振り返る－オーソドックスな開発プロセス (4)ソフトウェア開発を振り返る－オーソドックスな開発プロセス (5)▐ リスクに備える／コンティンジェンシに対応する▐ トレーサビリティ管理（着実なフォローといつでも可能な再確認）z 地球観測や天文観測、衛星通信などの要求仕様の抽出
z 要求仕様や部品・材料の調達状況の変更管理
z 製造検査工程の実施状況

z 予め考え得るリスクを洗い出す• 万が一不具合が発生しても、その影響を最小化する。

▐ 文書化

z 不具合が発生したら、確実に水平展開を図り、処置が反映される通知されるシステムを構築し、維持する。

z 国家プロジェクトとして進められることが多かったことから、多くの技術基準が文書化されている。
z 上位文書や要求仕様に準拠していることを確認しつつ、設計を詳細化する。

▐ 着実な試験• 不具合情報を迅速にアラートとして展開する情報伝達の仕組み• 品質上のヒヤリ・ハットを埋もれさせない注意体制• 教訓を着実に展開・伝承する仕組み、等z END-TO-ENDを機能･性能を確認する（実利用段階で問題を起こさない）。
z 打上げ及び軌道上の厳しい環境を模擬して試験する。

▐ 一般的な技術の活用
z 民生分野でも使われる技術を用いて、数100km～数億kmのかなたの厳しい環境でミッションを達成する機器を、着実に丁寧に作り上げる。

▐ 相互確認z 様々な視点を有するメンバーがチームを組み、クロスチェックやレビューを繰り返して作ってゆく。
Page 27

Page 28© NEC Corporation / NTSpace Ltd. 2010

© NEC Corporation / NTSpace Ltd. 2010

ソフトウェア開発を振り返る－オーソドックスな開発プロセス (6)ソフトウェア開発を振り返る－日本的な擦り合わせプロセス (RTOSの導入効果を例として-1)▐ 伝統的なウォーターフォール型を基本とする。

▐ ソフトウェアによるリアルタイム性向上の試み

z 他の手法の良い点も個々に取り入れる。
• スパイラルな開発手順• アジャイルな手法等

z リアルタイム性の定量的な評価の導入• リアルタイムスケジューリング理論の考慮
名古屋大学 大学院情報科学研究科 / 附属組込みシステム研究センター センター長
高田広章教授 ハードリアルタイムスケジューリング理論の概要から
打上げ

フェーズ

研究

研究
概念設計

開発研究
予備設計

基本設計

開発
詳細設計
維持設計

運用
初期機能確認

射場作業– Cyclic ExecutiveとPreemptive Scheduling / Non-preemptive Scheduling– Rate Monotonic Scheduling (RMS)– Earliest Deadline First Scheduling (EDFS)

定常運用

審査会

プロジェクト 開発移行
移行前審査 前審査

主要作業

Page 29

ユーザーとの調整
ミッション要求設定
開発方針設定基本仕様・計画設定
新規技術要素確認

開発仕様詳細化
開発計画詳細化
開発体制決定新規技術試作試験© NEC Corporation / NTSpace Ltd. 2010

PDR

CDR

PQR
打上前
/PSR
審査
開発完了
審査

設計解析
開発モデル製作試験
調達・製造工程・不具合管理
プロトフライトモデル製作試験
リスク管理

定常運用
移行前審査

定常運用
完了審査

PDR: Preliminary Design Review
CDR: Critical Design Review
PQR: Post Qualification test Review
PSR: Pre-Shipment Review
BBM: BreadBoard Model
EM: Engineering Model
PFM: Proto-Flight Modelz 優先度逆転などを防止する設計上の配慮
z リアルタイムOSの導入も一つの解Page 30© NEC Corporation / NTSpace Ltd. 2010

ソフトウェア開発を振り返る－日本的な擦り合わせプロセス (RTOSの導入効果を例として-2)

ソフトウェア開発を振り返る－日本的な擦り合わせプロセス (RTOSの導入効果を例として-3)▐ リアルタイムＯＳを導入した背景▐ 当初は独自のリアルタイムモニタを開発

z 試験済みソフトウェアを共通的に使用することによる信頼性の確保。
z レビューし易くする• 対象とするレビューの観点– 大規模なアプリケーションプログラムのスケジューリング管理– 時間制約への対応• 当事者、関係者のみならず、第三者もレビューに加われる枠組みの構築– タスクの導入（プログラムの構造の体系化）。
最後の決め手は– プログラマのノウハウの体系化。

z ITRON1仕様は8／16 MPU用としては重かった。

▐ 独自開発のリアルタイムモニタから共通リアルタイムＯＳへ
z 組込ソフトウェアの共通化の機運の高まり
z 社内横断的な
リアルタイムOSの開発体制
z μITRON仕様の登場

太陽観測衛星「ようこう」 1991年8月30日打上※ 独自リアルタイムモニタ採用

人！

© 宇宙航空研究開発機構 (JAXA)
Page 31

Page 32© NEC Corporation / NTSpace Ltd. 2010

© NEC Corporation / NTSpace Ltd. 2010

ソフトウェア開発を振り返る－日本的な擦り合わせプロセス (RTOSの導入効果を例として-4)

ソフトウェア開発を振り返る－日本的な擦り合わせプロセス (RTOSの導入効果を例として-5)▐ μITRON仕様のメリット
z 組込マイコン向けに最適化が施されている。
▐ 共通リアルタイムＯＳのメリット
z ユーザ数が飛躍的に増大• OSとして十分枯れる。
バグトレンドが収束し、品質が安定。
z 専門の開発組織の確保。
• タスクスイッチング速度等の性能が飛躍的に向上。
• 正式な品質確認試験の実施。

▐ μRX116S/SF - μITRON準拠RTOSを宇宙機搭載用MPUに最適化
z NEC基盤事業グループ横断的な開発• 高信頼性を求められる製品の事業グループが一体となって組込機器用
高信頼性リアルタイムOSを
開発した。
– 交換機
– 伝送通信機器– 無線通信機器– 通信制御機器– 移動通信機器

X線天文観測衛星「すざく」
2005年7月10日打上げ

DHU(Data Handling Unit)

通信制御装置

宇宙システム機器市場だけでは実現が困難な、多数のユーザーによるフィールド実績の積み重ねが可能となった。

© 宇宙航空研究開発機構 (JAXA)
Page 33© NEC Corporation / NTSpace Ltd. 2010

Page 34© NEC Corporation / NTSpace Ltd. 2010

ソフトウェア開発を振り返る－日本的な擦り合わせプロセス (RTOSの導入効果を例として-6)

ソフトウェア開発を振り返る－異業種の技術を貪欲に吸収する (1)▐ TRONの採用によって改善した開発環境▐ T-Engineフォーラムz ICE
ユニークな技術を有z ソケットする中小企業群とのz コンパイラ共同開発
z コンパイラ検証システムz http://www.t-engine.org/▐ 組込みソフトウェア管理者技術者育成研究会
z http://www.sessame.jp/▐ TOPPERSプロジェクトz http://www.toppers.jp/▐ ソフトウェアテスト技術者交流会
z http://www.swtest.jp/

ANSI 準拠 C コンパイラ－Web、メーリングリスト、講演会、ワークショップなど多彩な交流の場－技術者、管理者、経営者など多様な立場のキーパーソンの交流の場

Page 35© NEC Corporation / NTSpace Ltd. 2010

Page 36© NEC Corporation / NTSpace Ltd. 2010

ソフトウェア開発を振り返る－異業種の技術を貪欲に吸収する (2)ソフトウェア開発を振り返る－異業種の技術を貪欲に吸収する (3)▐ 自律型の探査機技術の実現▐ 産業用画像認識技術の応用
z 課題• 処理速度の遅い宇宙機用MPUで処理可能か？
• リソース制約– 消費電力– 質量– コスト• クレーターのような自然画像が認識できるか？
z プラズマディスプレイパネルの検査装置技術の応用• 工場の検査設備の応用 － 実現アーキテクチャの選択– 高速なCPUによるソフト化△（消費電力、質量、etc.）– 個々の画像処理をLSI化し、ソフトで処理を繋ぐ ○（最適化）» 画像入力、平滑化、エッジ抽出、ルックアップテーブルによる変換、ラベリング、画像binning、相関演算、差分演算、CPU I/F• ビデオレートの画像認識と誘導制御を人工衛星向けに実現

z 電波（光速）でも往復に34分もかかる遠いところにある、正確な形さえ判らない小惑星に接近するために、高度な自律機能が必要。
z カメラの撮像やレーザー高度計により距離や形をとらえ、探査機自身がその場でどういう行動をとるべきかを考える。

提供：宇宙航空研究開発機構(JAXA)

Page 37

Page 38© NEC Corporation / NTSpace Ltd. 2010

© NEC Corporation / NTSpace Ltd. 2010

ソフトウェア開発を振り返る－ コンティンジェンシー対策 (1)ソフトウェア開発を振り返る－ コンティンジェンシー対策 (2)▐ 想定外のできごと▐ 「はやぶさ」の復旧▐ 「はやぶさ」を復旧させた技術▐ 予期しない事態に対する備えや対処▐ 研究開発時には想定できなかった3億km彼方の小惑星 (1)z 地球から3億km離れた現場に到達してみると。。。
• クレーターは殆ど見当たらず、ごつごつした岩ばかり• クレーター前提の画像認識による着陸戦略の見直し

接地姿勢データによる再現

提供：宇宙航空研究開発機構(JAXA)
提供：宇宙航空研究開発機構(JAXA)

Page 39© NEC Corporation / NTSpace Ltd. 2010

ソフトウェア開発を振り返る－ コンティンジェンシー対策 (3)▐ 研究開発時には想定できなかった3億km彼方の小惑星 (2)z グローバルマッピング• まずは良く観察する＝人間のサポート• 日本の進んだ3D画像処理による状況の把握

Page 40© NEC Corporation / NTSpace Ltd. 2010

ソフトウェア開発を振り返る－ コンティンジェンシー対策 (4)2005/11/20 ３回のリハーサルのあとタッチダウン実施、
高度４０ｍでターゲットマーカ降下、その後姿勢を乱して、ゆっくりと自由降下、バウンドしながら最終的に接地（３０分）、地上からの緊急離脱コマンドにより離脱

接地姿勢データによる再現

高度40mターゲッ
トマーカ分離提供：宇宙航空研究開発
機構(JAXA)

姿勢を崩して順調に降下中また接地、バウンド

接地後、大きくバウンド

提供：宇宙航空研究開発機構(JAXA)

Science 312. 2006.6.2
1350-1353 H.Yano et.al.

表面に設置したまま30分
Page 41© NEC Corporation / NTSpace Ltd. 2010

Page 42© NEC Corporation / NTSpace Ltd. 2010

ソフトウェア開発を振り返る－ コンティンジェンシー対策 (5)ソフトウェア開発を振り返る－ コンティンジェンシー対策 (6)▐ 2005/12/8▐ 「はやぶさ」が最後に見た地球z 推進系からの燃料漏れと想定される大きな姿勢変動、通信途絶
z 探査機は運用モードから救出モードへ転換• 待ち受け周波数のあらゆる場合を想定
してしらみつぶしにコマンドを打ち続ける
地上運用装置の改修をクイックに完成させ、早期の通信回復に繋げることができた。

▐ 2006/01/23
z ビーコン通信回復（電力の回復と通信機器回復を確認）• 「のぞみ」の技術資産の活用▐ 2006/03/06
z 「はやぶさ」軌道確定
z 2007年到着を延期、2010年到着として異常原因の究明とイオンエンジンの再立ち上げを行う。

Page 43

提供：宇宙航空研究開発機構(JAXA)

ビーコン通信の例 (提供：JAXA/ISAS)
Page 44© NEC Corporation / NTSpace Ltd. 2010

© NEC Corporation / NTSpace Ltd. 2010

一般論 － 冗長設計 (1)

一般論 － 冗長設計 (2)▐ システムから単一故障点を除去する。

▐ 待機冗長方式

z 演算機能の分散化• 多数決方式、時間軸上の冗長化 (2回演算して結果を確認する等)

z 故障検出機能の分散化• 誤り検出・訂正符号、プロセッサ間の出力の比較、等z よく使われており、フェイル・セーフ機能に重点が置かれている。

▐ ホット・スタンバイ方式
z 多数決方式• 通常は多数決回路で信号が一点に集中しており、多数決回路自身の異常・故障はシス
テムダウンにつながるため、様々な工夫で対策を取る。
(例) システムバスの二重化、記憶部の三重多数決化などで対策。

z 故障分離機能の分散化• 故障が生じた部分を物理的、あるいは論理的に隔離できること。
• 階層的なシステムを構成し、故障をマスクして他に波及させない。
• 故障した部分が自発的にシステムから離脱

z ソフトウェア通信方式• 複数のノードをシステムバス接続する場合、やはり多数決回路などによって信号を一つにまとめる必要があり、このハードウェア自体は本方式にとっては本質的でないにもかかわらず、単一故障点（シングル・フェイリャ・ポイント）を内在せざるを得ないジレンマをもっており、様々な工夫で対策を取る。

z 再構成機能の分散化• 冗長系に切り替え• 故障した部分を切り離して失われた機能を他の機能で代替• 一部の機能の縮退、性能低下許容によりシステムの運用を継続。

z FRM (Functional Redundancy Monitor)• 自ノードの出力と外部のバス信号の内容とが一致しているか否かの比較監視機能をもたせるもの。各ノードは監視モード／通常モードの走行モードを選択する。
• 比較・検出は多数決方式と異なり単一故障点とならない。
(例) JEM JCP等。

z 再同期機能の分散化• システム再構成後に、その時点まで一旦後戻りして処理を継続
組込みソフトウェア管理者・技術者育成研究会 Websiteより
http://www.sessame.jp/

Page 45© NEC Corporation / NTSpace Ltd. 2010z CRAFTSYSTEM (Compare and Rational Abort for Fault-Tolerant)• 原理的に単一故障点を有しない。

Page 46© NEC Corporation / NTSpace Ltd. 2010

一般論 － 冗長設計 (3)

今後の展開－ 高級言語によるシステム記述とハードウェア／ソフトウェアの自動生成 (1)▐ 冗長構成の開発トレンド▐ トップダウン設計の意義

z 冗長構成の進化ロードマップ

仕様検討

z ハードウェア／ソフトウェア分割プロ
セスの見える化• システム設計ノウハウの見える化• システム設計ノウハウの伝承仕様モデルの作成
仕様モデル

z 各コンポーネント、オブジェクト間の通信インタフェース選択の見える化

仕様モデルのシミュレーション• システムアーキテクトのノウハウの文書化／ソースコード化による見える化

SER出力モデルのシミュレーション

仕様モデル

SpecC

設計詳細化ツール(SER)
SW・HW探索

形式的検証

z システムレベルの評価･検証• ソフトウェア／ハードウェアを含めたシステムの機能･性能を開発早期に評価･検証• 定量的な性能解析

z 部品調達のフレキシビリティの確保• プロセッサ性能、通信デバイス性能、等を自在に選択CQ出版 DesignWaveマガジンNo.109 (2006年12月号) より
Page 47© NEC Corporation / NTSpace Ltd. 2010

Page 48© NEC Corporation / NTSpace Ltd. 2010

トランザクション精度
HW・SW協調検証

サイクル精度HW・SW協調検証

FPGAに書き込み
実機検証

TLM(SpecC)

ピン精度通信モデル(SpecC)

サイクル精度モデル(SpecC)

動作合成

RTLシミュレーション

RTLモデル(Verilog or
VHDL)

今後の展開－ 高級言語によるシステム記述とハードウェア／ソフトウェアの自動生成 (2)

今後の展開－ 高級言語によるシステム記述とハードウェア／ソフトウェアの自動生成 (3)▐ 目的▐ ソフトウェアの 実行Cycle数算出
z プロファイリングツールにて、コマンド実行に要したcycle数を確認• 分割パターン毎に、リードコマンド(32byte)、ライトコマンド(32byte)、リードモディファイライトコマンド(4byte)をサンプルとして実行し、合計のcycle数を算出

GBUS

z ビヘイビアを HW / SW に複数のパターンで分割後、各ビヘイビアのソフトウェア実行時の処理時間と、
ハードウェア規模を比較する

A

B

C

SW

HW

HW

: Behavior

HW / SW分割パターン
データ受信処理

メモリR/W処理

データ送信処理

受信データ
CRC値チェック

送信データ
CRC値生成

パターン1

SW

HW

HW

HW

HW

パターン2

HW

SW

HW

HW

HW

パターン3

HW

HW

SW

HW

HW

パターン4

HW

HW

HW

SW

HW

パターン5

HW

HW

HW

HW

SW

Page 49

リードコマンド
実行結果

5923
+6636
+6762
=19321

リードモディファイライト
コマンド実行結果

ツール実行例 (メモリR/W処理をSWにした分割パターンの結果)

Page 50© NEC Corporation / NTSpace Ltd. 2010

実行Cycle数

ライトコマンド
実行結果© NEC Corporation / NTSpace Ltd. 2010

今後の展開
－ 高級言語によるシステム記述とハードウェア／ソフトウェアの自動生成 (4)

今後の展開－ 高級言語によるシステム記述とハードウェア／ソフトウェアの自動生成 (5)▐ ハードウェア（FPGA）規模算出
z 以下の作業にてLogic Element数を確認▐ システムレベル記述から生成されたHDLをSpace Cube上のFPGAに実装し、実動作を確認▐ マッピングのパターンによる HW / SW分割試行結果

c_double_handshake b;
void main(void){par{dut.main();spwip_get.main();
}
}
}

SpecC

設計
詳細化

BDL

ソフトウェア実行
ビヘイビア

5,394

少

2,428

小

メモリR/W 処理

19,321

中

3,128

中

パターン3

データ送信処理1,022,650

多

3,761

中

パターン4

受信CRC値チェック

16,689

中

4,507

大

パターン5

送信CRC値生成674,255

多

4,452

大

z パターン1がソフトウェアの実行Cycle数が少ない
z パターン1がハードウェア規模が小さい

FPGA

論理
プログラム
合成
データ

ハードウェア／ソフトウェア分割のトレードオフを定量的に表すことが可能
Page 52

組込システム向けの軽くて高速なネットワーク規格
機器間からモジュール間まで幅広く使用可能－ ESA (ESTEC)が中心となり標準化 安価なハードウェア／軽いソフトウェア／自在な部品調達－ ESAに加え、NASA、商用衛星等でも採用計画急増
SpaceWireの効果

パケット長フリー© NEC Corporation / NTSpace Ltd. 2010

今後の展開
「はやぶさ」の技術を汎用化

今後の展開－ 自在性を追求した組込システムネットワーク規格の標準化

Large Packets
Header
画像：数MB＋
センサー：数バイト
Payload フリー
多様なデータ＋EOP 4bits
センサ
Small Packets
SpW端末

★

データ受信処理

FPGA© NEC Corporation / NTSpace Ltd. 2010

▐ SpaceWire

有効性

パターン2

Logic Element数を算出
Page 51

ハードウェア規模
FPGA Logic Element 数

パターン1

論理合成ツール

動作 Verilog
or
合成 VHDL

ソフトウェア
実行Cycle数▐ SpaceWire(組込システムネットワーク)と軽量・小型コンピュータの活用
GPS Antenna
S-band Antenna
X-band Antenna

幅広い伝送速度

Baffle数Mbps ～ 数Gbps

SpW端末

NEXTAR® 標準プラットフォーム

ImagerCameraPayload・1ch : 200Mbps（DS-DE-02)
・多チャンネルバルク転送でさらに高速化可能

Star Tracker

Bus
Payload Equipment

175mm

JAXA ELEGANT(NEC Cyber)behavior Main(void){signal unsigned bit[1] a;

検証
パターン

SpW端末
SpW端末

SpW端末
(SpaceCube)

高信頼性：フォールトトレラント
通信中の回線障害でも即座に迂回路へスイッチ

トポロジフリーThruster

各ノードがSWITCHルータとして機能
・バス型
・スター型
・リング型
・ツリー型

多様な機器間接続→ネットワーク
構成が自在

Solar Array Panel

On-orbit Configuration

宇宙だけでなく民生用としても利用可能
Page 53© NEC Corporation / NTSpace Ltd. 2010

Page 54© NEC Corporation / NTSpace Ltd. 2010

220mm
70mm
Space Cube® 2