CZA-2018029E
限定なし
General

ロケットペイロード

システム安全プログラム計画書/

安全データパッケージテンプレート
Launch Vehicle Payload
System Safety Program Plan/Safety Data Package Template

２０２４年 ２月 ２１日
21 February, 2024

宇 宙 航 空 研 究 開 発 機 構Japan Aerospace Exploration Agency免責条項
ここに含まれる情報は、一般的な情報提供のみを目的としています。JAXA は、かかる情報の正確性、有用性又は適時性を含め、明示又は黙示に何ら保証するものではありません。また、
JAXA は、かかる情報の利用に関連する損害について、何ら責任を負いません。
Disclaimer
The information contained herein is for general informational purposes only. JAXA makes nowarranty, express or implied, including as to the accuracy, usefulness or timeliness of any
information herein. JAXA will not be liable for any losses relating to the use of the information.

発行〒305-8505 茨城県つくば市千現 2-1-1
宇宙航空研究開発機構 安全・信頼性推進部
JAXA（Japan Aerospace Exploration Agency）

CZA-2018029E

ロケットペイロード システム安全プログラム計画書/安全データパッケージテンプレート
１．はじめに本文書に添付の様式は、JMR-002「ロケットペイロード安全標準」のアウトプットである「システム安全プログラム計画書」及び「安全データパッケージ」のテンプレートである。このテンプ
レートこれまでの安全審査の経験を元に典型的なペイロードの射場作業におけるハザード解析
結果を記したものであり、ペイロード（PL）担当組織が資料を作成するための補助を目的としている。
このテンプレートは PL 担当組織が開発するペイロードの性質に応じて自由に書き換えて使用することを意図している（このテンプレートに記載の内容は要求ではない）。また、このテンプレートは一般的なハザード解析結果を記したものであり、PL 担当組織が解析する各ペイロ
ードに必ずしも合致しない場合があるので、注意深くまた網羅的にハザードを評価し、本テンプレートにないハザードが識別された場合、ハザードレポートを追加で作成しなければならない。なお、本テンプレートに記載されたハザード以外のハザードが無い場合、本テンプレートを埋めることでハザード識別が完了したものとみなし、JMR-002 における「ハザード識別まとめ表」「ハザード解析表」「FTA」の提出は省略できる。
なお、本文書は、JMR-002 に規定される従来のハザードレポート様式のみを用いた安全解析を妨げるものではない。
２．本テンプレート使用のメリット
JAXA の安全審査は、「システム安全審査部会」による技術者審査と「安全審査委員会」による経営層審査の 2 段階で構成されている。本テンプレートを使用した場合で、テンプレートのハザードレポート以外のユニークハザードが無い場合、次ページに示す図の通り、安全審査委
員会での審査を省略でき、安全審査承認までの期間が短縮できるメリットがある。
万が一、不具合などにより射場でのハザード制御の見直しが必要になる場合でも、このテンプレートの範囲内の変更であれば、当該プロセスで審査を実施できる。

CZA-2018029E

３．本テンプレート作成の経緯
安全解析に係る評価の適正化、及び安全審査での審査ポイントの重点化を図るため、過去の衛星において安全審査の実績のあるハザード制御・検証手段を明示することが有効とされた。
そこで、従来から ISS で運用し成果を挙げている様式を参考とし、JAXA でもスタンダードハ
ザードレポートの様式が作成され、相乗り小型衛星から適用が開始された。その後、相乗り小型衛星以外のロケットペイロードにも適用が拡張された。
CZA-2018029A 改訂では、JMR-002D 改訂及びシステム安全審査部会の審査範囲変更に伴い以下の修正を行った。（B 改訂版は軽微な修正のみ）
・作業者要員のみの安全（所謂、労働安全）に係るハザードは審査対象外のため削除した。
・衛星単独でハザード解析を実施する範囲が「射場搬入からロケット引渡しまで」になったことから、スタンダードハザードレポートフォーマットの解析範囲もそのように絞った。なお、ロケット引渡し以降ペイロード分離までのハザード解析への対応については、ロケットから指示された文書に従い実施する。
CZA-2018029C 改訂では、JMR-002E 改訂に伴い、以下の全面改訂を行った。
・A 版まではスタンダードハザードレポートの様式のみであったが、システム安全プログラム
計画書及び安全データパッケージのテンプレ―トとし、安全審査提出資料の全体をカバーする様式にした。（D 改訂版は軽微な修正のみ）
E 改訂版においては、本テンプレート使用による審査期間短縮メリットの紹介、安全審査の知見を反映したハザードレポートテンプレートの更新、JERG-1-007 射場運用安全技術基準の適合性マトリクスの添付を行った。

以上

XXXXXX

A 衛星
システム安全プログラム計画書

20XX 年 4 月 1 日

A 衛星プロジェクト

1

XXXXXX

符号
初版

制定日付

承認

改訂／変更理由
-

A

B

C

D

i

XXXXXX目次
１． 総則 ..................................................................................................................... 2
１．１ 目的 ............................................................................................................ 2
１．２ 適用範囲 ..................................................................................................... 2
２．適用文書 ............................................................................................................... 2
２．１ 適用文書 ..................................................................................................... 2
３．実施内容 ............................................................................................................... 2
３．１ 組織と体制 .................................................................................................. 2
３．２ システム安全審査の方法 ............................................................................... 2
３．３ 各開発段階におけるシステム安全業務 ............................................................ 3

1

XXXXXX

１． 総則
１．１ 目的本システム安全プログラム計画書は、A 衛星の鹿児島宇宙センター搬入から射場作業打上げを経てロケ
ットからペイロードの分離までの各段階で生ずる事故を未然に防止し、開発品に起因する事故等から人の死傷及び財産を守ると共に、環境を保護するために実施するシステム安全プログラム計画を規定するものである。
１．２ 適用範囲
本計画書は、A 衛星の設計、製造及び射場作業等に関して上記目的のために A 衛星プロジェクトの実施するシステム安全業務について適用する。なお、宇宙航空研究開発機構（以下、JAXA という。）の射場以外の JAXA 敷地内で作業がある場合は現地の安全要求等に従う。
２．適用文書２．１ 適用文書（1） ロケットペイロード安全標準（文書番号 JMR-002D）（2） 射場運用安全技術基準（文書番号 JERG-1-007F）（3） 各ロケットから指定されたペイロードが実施すべき安全設計に係る文書（文書番号 XXXXXX）
３．実施内容３．１ 組織と体制
責任範囲を以下に示す。
(1)システム安全活動の責任範囲
A 衛星プロジェクトは、A 衛星の設計／製作等において、適用文書に基づきシステム安全を推進し安全を確保する。
また、安全審査に必要なデータについて JAXA 安全・信頼性推進部と調整し、適用文書にて要求されるデータを提出するとともに、JAXA システム安全審査を受審する。
以上を踏まえたシステム安全管理体制図を図 3.1-1 に示す。
(2)システム安全活動の実施
A 衛星プロジェクトは適用文書 2.1(1)の 4.3 項に従い、射場作業（射場搬入からロケット引渡しまで）のハザード解析（ハザード識別、リスク評価、各フェーズにおけるハザード解析、ハザードレポートの作成、安全検証）を実施する。なお、打上げフェーズ（ロケット引渡しからペイロード分離まで）は、適用文書 2.1(3)に基づいて、ペイロードのハザード制御・安全検証を設定する。
(3)官庁申請手続き
宇宙用高圧ガス機器の安全に係わる官庁申請手続き等の業務については、宇宙用高圧ガス機器適合審査規則等に従う。
無線設備の安全に係わる官庁申請手続き等の業務については、電波法及び関連省令等に従う。
火工品の安全に係わる官庁申請手続き等の業務については、火薬類取締法等に従う。
人工衛星の管理に係わる官庁申請手続き等の業務については、宇宙活動法等に従う。
３．２ システム安全審査の方法(1) A 衛星プロジェクトは図 3.3-1 に示す通り射場作業（射場搬入からロケット引渡しまで）について、フェーズ 0/Ⅰ/Ⅱ、フェーズⅢの 2 回の JAXA システム安全審査を受審する。シリーズペイロード／再飛行
ペイロードの場合は、後続号機の扱いを記載する（後続号機についてはフェーズΔⅡ/Ⅲの 1 回の
JAXA システム安全審査を受審する、等）。

2

XXXXXX(2) A 衛星プロジェクトは打上げフェーズ（ロケット引渡しからペイロード分離まで）については、適用文書
2.1(3)に基づいてペイロードのハザード制御・安全検証の結果をロケットに提出する。（JAXA システ
ム安全審査はロケットが受審する。）
３．３ 各開発段階におけるシステム安全業務
システム安全プログラム活動のマイルストーンを図 3.3-1 に示す。
安全活動は各フェーズで実施し、その結果について JAXA システム安全審査を受ける。
フェーズⅢ安全審査の後に変更点が発生した場合は必要に応じて JAXA システム安全審査を受ける。

3

XXXXXX

事務局
JAXA 安全審査委員会

JAXA 安全・信頼性推進部

附議

事務局
JAXA システム安全審査部会

システム安全プログラム/
ハザード解析の作成・実施の支援・指導附議

A 衛星プロジェクト・システム安全プログラム責任者；〇〇 ○○・システム安全プログラム担当者；〇〇 ○○・システム安全プログラム
計画書の作成・実施
・安全データパッケージの作成、とりまとめ

安全データパッ
ケージの提出B（システムメーカ）・システム安全プログラム
計画書の作成・実施
・衛星システムのハザード解析実施
・安全データパッケージ作成

ミッション機器
ハザード解析結果
の提出

C（ミッション機器メーカ）

図 3.1-1 システム安全体制図

4・システム安全プログラム
計画書の作成・実施
・ミッション機器のハザード解析実施

XXXXXX
実施年月(西暦)
開発段階
システム安全プログラム活動

概念設計／予備設計

基本設計

詳細設計

製造・試験

（フェーズ０）（フェーズⅠ）（フェーズⅡ）（フェーズⅢ）

安全審査（20XX/X）
基本設計審査
（ＰＤＲ）
▽

開発ﾏｲﾙ
ｽﾄ-ﾝ

A 衛星 システム安全プロ
グラム計画書

作成

制定
▽

フェーズ０
ハザード解析

実行

安全要求初期設定▽

同左見直し（必要に応じ）
フェーズⅠ
ハザード解析

（必要に応じて）安全要求設定 要求の詳細化、▽▽（20XX/ｘ）
詳細設計審査
（ＣＤＲ）
▽

維持／改訂
▽

ハザード解析

安全要求設定/見直し(20XX/X)
フェーズⅢ
安全審査

(20XX/X)
フェーズ 0/Ⅰ/Ⅱ
安全審査

全体
マイル
ストーン

実行

（20XX/ｘ）
認定試験後審査（ＰＱＲ）or搬出前審査（ＰＳＲ）▽△打上げ(20XX/X)

維持／改訂
▽

同左見直し
（必要に応じ）
フェーズⅡ
ハザード解析

運用

実行

維持/改訂、
運用段階の詳細化▽

同左見直し（必要に応じ）
フェーズⅢ
ハザード解析

同左見直し（必要に応じ）

見直し▽

図 3.3-1 ライフサイクルにおけるシステム安全プログラム活動のマイルストーン

5

備考

A 衛星
安全データパッケージ

20XX 年 4 月 1 日
A 衛星プロジェクト

1

符号

制定日付

承認

改訂／変更理由

初版

-

A

B

C

D

2

目次
１．総則 ..................................................................................................................... 4
１．１．目的 .............................................................................................................. 4
１．２．適用範囲 ....................................................................................................... 4
２．関連文書 .............................................................................................................. 4
２．１．適用文書 ....................................................................................................... 4
３．ペイロード等の説明 ............................................................................................... 4
３．１．A 衛星の基本情報 .......................................................................................... 4
３．２．A 衛星の設計及び機能の概要 ......................................................................... 5
３．３．射場作業フロー及び各作業の内容.................................................................... 6
４．ハザード解析結果 .................................................................................................. 7
４．１．ハザード識別まとめ表／４．２．ハザード解析表／４．３．FTA 等 ............................ 7
４．４．ハザードレポート ............................................................................................ 7
４．５．ロケットから求められるハザード制御に対する適合性評価 ................................... 8
４．６．安全検証追跡ログ（SVTL） .............................................................................. 8
４．７．安全要求適合性詳細検討書（NCR） .................................................................. 8

3

１．総則
１．１．目的
本文書は、「ロケットペイロード安全標準」に基づき、A 衛星のフェーズ X システム安全評価
結果をデータパッケージとして纏めたものである。
１．２．適用範囲
A 衛星について、鹿児島宇宙センターへの搬入から射場作業、打上げを経てロケットからペイロードの分離までに生ずる事故等に対して適用する。
２．関連文書２．１．適用文書(1) ロケットペイロード安全標準 （文書番号 JMR-002E）(2) 射場運用安全技術基準 （文書番号 JERG-1-007F）(3) 各ロケットから指定されたペイロードが実施すべき安全設計に係る文書（文書番号XXXXXX）
３．ペイロード等の説明
３．１．A 衛星の基本情報
A 衛星のシステムの主要諸元を表 XX に示す。
表 XX A 衛星主要諸元
打上げ時期

20XX 年

設計寿命

X年

打上げロケット観測軌道

H3 ロケット
太陽同期準回帰軌道
軌道高度 630km
軌道傾斜角 98°

打上げ時寸法XXXX mm×XXXX mm×XXXX mm

打ち上げ質量3000kg（Wet）

パドル発生電力

X kW

バス機器

バッテリ：1 台：リチウムイオン電池 XXX Ah(セル X 並列 X 直列)
太陽電池パドル：2 翼：保持解放機構：火工品
Ka バンドアンテナ：1 台：駆動機構：非火工品（ピンプラー）
4

S バンドアンテナ：1 台
ヒドラジン一液式スラスタ（X N）：X 台
推薬タンク：1 台（ヒドラジン充填量 XXX kg）
ヒートパイプ：1 式
ミッション機器

X バンドアンテナ：1 台：保持解放機構：非火工品（Split spool device）

３．２．A 衛星の設計及び機能の概要
A 衛星のシステム構成ブロック図を図 XX に示す。

図 XX システム構成ブロック図
A 衛星の打上げ時及び軌道上運用時の衛星外観を図 XX に示す。
（注：シリーズペイロード／再飛行ペイロードの場合、ベースラインペイロードに対する変更点とハザード解析への影響評価を記載する。）

5

図 XX 衛星外観図（打上げ時）

図 XX 衛星外観図（軌道上運用時）
３．３．射場作業フロー及び各作業の内容
A 衛星の射場作業フローを建屋別（STA、SAF、VAB）に図 XX に示す。
作業フローには関連ハザードを記載する。
ペイロードをロケットに引渡すポイントを識別する。
6

図 XX 射場作業フロー（吹き出しは代表的なハザード）（注：シリーズペイロード／再飛行ペイロードの場合、ベースラインペイロードに対する変更点とハザード解析への影響評価を記載する。）
４．ハザード解析結果
４．１．ハザード識別まとめ表／４．２．ハザード解析表／４．３．FTA 等
４．４．にてハザードレポートテンプレートを使用することにより、ハザード識別を実施するため、ハザード識別まとめ表、ハザード解析表、FTA 等は添付しない。
（注：仮に４．４．のハザードレポートフォーマット以外のハザードが想定される場合、その範囲において、ハザード識別まとめ表、ハザード解析表、FTA 等を添付する。）
４．４．ハザードレポート
ハザードレポートテンプレートを使用して作成したハザードレポートを別紙１に示す。テンプレートに含まれるハザード以外のハザードは無いことを確認した。
別紙１使用時の注意点
・ 安全検証の「ステータス」が CLOSED になった項目については、「検証結果」列に検証結果の概要を記載し、「文書名／文書番号」列に検証結果を示した文書名と文書番号を記載する。安全審査のために添付資料が求められる場所については、各ハザードレポートフォー
マットの添付資料に補足情報を記載する。
検証結果の記載例：7

「適切な 2FT 設計（2 つは設計対応、1 つは運用対応）になっていることを、図面および手順書にて確認した。」
・ 安全検証の「ステータス」、「検証結果」、「文書名／文書番号」は、該当審査フェーズにおいて、更新した箇所を赤字や太字等で識別して記載する。例えば、フェーズ III の安全審査資料においては、フェーズ II で CLOSED となった項目と識別するために、フェーズ III で
CLOSED となった項目を赤字や太字にする。
・ フェーズ III の安全審査資料においては、射場搬入後にしか検証が完了しない項目は「ステータス」に「CLOSE to SVTL」と記載し、4.6 項の SVTL に検証残項目を記述する。
・ シリーズペイロード／再飛行ペイロードの場合、ベースラインペイロードの安全検証項目のうち、再検証する項目、及び新たに検証が必要となった項目を識別する。
４．５．ロケットから求められるハザード制御に対する適合性評価
搭載するロケットに応じて評価結果を添付する。ロケット側に直接適合性評価を提出する場
合は本資料に含める必要は無い。
４．６．安全検証追跡ログ（SVTL）（フェーズ III の場合、必要に応じて添付する。）
４．７．安全要求適合性詳細検討書（NCR）（要求への不適合の場合、添付する。）

8

別紙１ ハザードレポートテンプレート（射場搬入～ロケット引渡し編）
No
HR5.1
適用
☐
N/A
☐

ハザード
爆発性危険雰囲気内の発火による射場施設等の重大な損傷、人員の死傷

ハザード原因(1) 機器接点
切替時の火花発生【被害の度合いは通常Ⅰ】(2)通電部への人の接触による
火花発生(3)熱源の存在(4)火工品、固体推進薬の着火(5)静電気による火花発生

ハザード制御方法（案）(1-1-1)フライト品の電気機器は、ガス蒸気防爆構造相当の対応（ポッティング、ハーメティッ
クシール、不活性ガスによる加圧等）とする。
注：非点火防爆構造を除く
注：電子機器間のケーブルの防爆性も考慮す
る

安全検証方法（案）(1-1-1-1) 図面等により防爆設計を確認する。

ｽﾃｰﾀｽ
OPEN

Ph
Ⅱ

(1-1-1-2) 現品検査等により、適切な製造を確認する。
(1-1-2-1) 射場運用計画書等で爆発性危険雰囲気
内で通電しないことを確認する。

OPEN

Ⅲ

OPEN

Ⅲ

(1-2-1-1) 図面等により防爆設計を確認する。
(1-2-1-2) 現品検査等により、適切な製造を確認
する。

OPEN
OPEN

Ⅱ
Ⅲ

(1-2-2-1)手順書等により、JERG-1-007 に従った対応が取られることを確認する。（持ち込み機器リ
ストは射場安全 Gr に提出するため、安全データパッ
ケージへの添付は不要）

OPEN

Ⅲ

(2-1)図面等により露出した通電部が無い設計（電力を供給する側のコネクタは雌コンタクトとする等）であることを確認する。
(2-2) 射場運用計画書等で爆発性危険雰囲気内で通電しないことを確認する。

OPEN

Ⅱ

OPEN

Ⅲ

(2-1)手順書等により、露出した電熱線等に通電しないことを確認する。

OPEN

Ⅲ

(4-1)爆発性危険雰囲気において火工品、固体推進薬を着火しない。

(4-1)手順書等により、火工品、固体推進薬を着火しないことを確認する。

OPEN

Ⅲ

(5-1) フライト品や GSE を適切にボンディン
グ、接地することで静電気を防止する。

(5-1-1) 接地系統図等により適切なボンディング、接地を確認する。
(5-1-2) 現品検査等により、適切なボンディング、接地を確認する。
(5-2)手順書等によりリストストラップや帯電防止
衣・靴の着用等の対応が取られることを確認する。
(6-1)目視検査等により確認する。

OPEN

Ⅱ

OPEN

Ⅲ

OPEN

Ⅲ

OPEN

Ⅲ

-

-

-

(8-1-1)図面等により分離配置した設計、異なる配管径の採用等を確認する。

OPEN

Ⅱ

(1-1-2)フライト品の非防爆機器は爆発性危
険雰囲気内で通電しない（人的操作が介在する場合は誤操作を想定する）。
(1-2-1) GSE として防爆検定品以外の機器を使わざるを得ない場合は、ガス蒸気防爆構造相当の対応（ポッティング、ハーメティックシール、不活性ガスによる加圧等）とする。
注：非点火防爆構造を除く
注：電子機器間のケーブルの防爆性も考慮する(1-2-2)爆発性危険雰囲気に電気機器(防爆検定品、非防爆機器)を持ち込む際は、JERG1-007 に従った対応を行う。（持ち込む機器のリストについて射場安全 Gr の確認を受ける）(2-1)フライト品や GSE は人が触れる部分に露出した通電部が無い設計とする。
(2-2)フライト品や GSE は人が触れる部分に露出した通電部がある（プラズマスラスタ等）
場合、爆発性危険雰囲気内で通電しない。
(3-1)爆発性危険雰囲気において露出した電熱線等に通電にしない。

(5-2)静電気を発生させない適切な作業(6)錆と可燃性
推進薬の接触(7)可燃性推進薬の漏洩(8)可燃性推進薬と酸化剤の混(6-1)可燃性推進薬と接触する可能性のある箇所（フライト品、GSE や作業場）について、錆
等がないことを管理する。
ハザード No.5.4 による。（漏洩した可燃性推
進薬と点火源との接触を防ぐための処置を別途とる場合、漏洩に対して 1FT 設計とする）(8-1) 充填時の誤操作による可燃性推進薬と酸化剤の混合を防ぐ設計

検証結果

-

文書名/番号-

本資料に配置図を添付

合（二液系推進
系のみ）(8-2) 可燃性推進薬と酸化剤の混合の無い
作業(8-3)推進薬と酸化剤充填後のフライト品内での混合防止（2FT 設計）

No
HR5.2
適用
☐

ハザード
圧力システム破裂による人員の死傷、射場施設設備の損傷(9)クラス 4 レーザの不適切な作動(9-1) クラス 4 レーザについては JIS C
6802(IEC 60825-1)に従った設計・運用を行う。

ハザード原因(1)圧力システムの設計・製造不良

ハザード制御方法（案）(1-1)宇宙用高圧ガス機器技術基準 JERG0-001 に基づいたフライト品の設計、製造。
(1-2)ヒータ等の故障によるワースト熱環境における圧力上昇や低圧側へのリーク（バルブ等の 2 故障までカウント）した場合を想定した
耐圧設計(1-3)高圧ガス保安法に基づいた加圧装置
GSE の設計、製造。

【被害の度合いは通
常Ⅰ】

N/A
☐

(2)設計圧力を
超えた加圧

No
HR5.3
適用
☐
N/A
☐

ハザード
リチウムイオン電池破裂・電解液リーク、爆発、火災による人員の死傷、射場施設設
備の損傷【被害の度合いは通常Ⅰ】
注：100Wh 以下の組電池で、かつ、爆発性危険雰囲気下で充電しない場合ハザー(2-1)設計圧力を超えた加圧に対する 2FT設計(3)不適切な加圧作業(3)JERG-1-007 に基づく加圧作業を実施する。また、設計破壊圧 1/4 以上の加圧、減圧の際には防護壁を備えた危険区域を設定する。

ハザード原因(1)セル内部の短絡

ハザード制御方法（案）(1) 内部短絡が無いセルの設計・製造。

(2)セル外部の短絡(2) バッテリ負荷側短絡が無い設計・製造。
(2-1)または(2-2)のどちらかを選択。
(2-1)セル外部の短絡に対して、2 つの保護(8-1-2)現品検査等により分離配置、配管径を確認する。
(8-2)手順書等により、充填作業時に推進薬の充填
機材と酸化剤の充填機材が混在しない作業になっていることを確認する。
(8-3-1)図面等により推進剤と酸化剤のタンクが2FT でも混合しない設計になっていることを確認する。
(8-3-2)試験等により推進剤と酸化剤のタンクが2FT でも混合しないことを確認する。
(9-1) 図面等により JIS C 6802(IEC 608251)に従った設計であることを確認する。
(9-1) 手順書等により JIS C 6802(IEC60825-1)に従った運用であることを確認する。

OPEN

Ⅲ

OPEN

Ⅲ

OPEN

Ⅱ

OPEN

Ⅲ

OPEN

Ⅱ

OPEN

Ⅲ

安全検証方法（案）(1-1-1)適合証にて適切な設計、製造を確認する。
(1-1-2)適合証の範囲外（遮断弁以降)の箇所については機能試験により適切な製造を確認する。
(1-2)図面、解析書等により、耐圧設計を確認する。

ｽﾃｰﾀｽ
OPEN
OPEN

Ph
Ⅲ
Ⅲ

OPEN

Ⅱ

(1-3)許可書にて適切な設計、製造を確認する。
（流用／借用品の場合は法定の使用前点検の結果で確認する。）(2-1)配管系統図等により、調圧弁や安全弁による2FT 設計を確認する。

OPEN

Ⅲ

OPEN

Ⅱ

(2-2)手順書等にて、モニタによる制御や加圧作業
前に安全弁が有効であること等を確認する。
(3)手順書等にて JERG-1-007 に基づいた手順になっていることと、危険区域が設定されたことを確
認する。

OPEN

Ⅲ

OPEN

Ⅲ

安全検証方法（案）(1-1) セル UN/UL 勧告適合書等により規格に基づいたセルであることを確認する。（宇宙機関認定セ
ルの場合、その機関が認定したことを確認できれば良い。）※(1-2) 打上げ環境下でセル内部の短絡を生じるセ
ルを排除するために、衛星搭載状態（またはバッテリ
組立）の環境試験（真空試験、振動試験等）前後におけるバッテリ充放電特性に変化の無いことを示す。
※

ｽﾃｰﾀｽ
OPEN

Ph
Ⅱ

OPEN

Ⅲ

本資料に充放電
特性のサマリを添付(2-1-1) 図面等により、保護機能を確認する。※

OPEN

Ⅱ

本資料に保護機
能を示すスケマ
チックを添付

本資料に 2FT設計のスケマチ
ックを添付

検証結果

文書名/番号

本資料には圧力システムのスケマチック、MDP
解析書等を添付

本資料に 2FT設計を示す配管
系統図を添付

検証結果

文書名/番号
本資料に認証番号等を添付

ド識別不要。

機能（セパレータシャットダウン機能、PTC、ヒュージブルリンク、ヒューズ等）をセル内部または外部に持つ。ただし、セルと外部保護機能間の経路に短絡が想定される部位は(2-2)に示
す二重絶縁する（当該箇所の短絡が生じた場
合、外部保護機能は機能しないため）。
(2-2)負荷側を二重絶縁する。
（通常バッテリ直近のスイッチまで）

注：Ni-MH 電池の破裂・電解液の漏洩などのハザードは識別されない。ただし、過熱による安全上の影
響がないことを確認する必要有。
注：フライト環境への耐性は、別途ロケット
別に評価が必要。

(3)過充電(4)熱制御系の故障に起因する
異常な温度環境
での使用(3-1) 射場の爆発性危険雰囲気以外で充電する場合は過充電に対して 1FT 設計、爆発性
危険雰囲気内及びロケット搭載状態で充電する場合は過充電に対して 2FT 設計とする。

(3-2) バッテリ電圧モニタは、セルのばらつ
きにより単セルの過充電の検知とならない場
合もあり、セルのばらつきを管理する。
(3-3) （過放電への対応）電池がセル／電池
パック製造業者の推奨する電圧または認定試
験で確立された電圧以下で使用しない。
(4-1)または(4-2）のどちらかを選択。
(4-1)最悪状態（ヒータ駆動回路の 2 故障後など）でも、バッテリ保証温度以下である設計。
(4-2)2 故障が生じてもヒータが ON にならない設計。

(2-1-2) 機能試験等により、保護機能が作動することを確認する。※

OPEN

Ⅲ(2-2-1) 図面等により二重絶縁の箇所を確認す
る。※

OPEN

Ⅱ

(2-2-2) 現品検査等により、二重絶縁の施工を確認する。※(3-1-1) 図面等で適切な故障許容設計を確認す
る。

OPEN

Ⅲ

OPEN

Ⅱ

(3-1-2) 機能試験等で過充電防止機能が適切に動作することを確認する。

OPEN

Ⅲ

(3-1-3) 手順書等にて、モニタによる制御が有効であることを確認する。（運用による制御がある場合のみ。）(3-2) 検査記録等でセルのばらつきの管理結果を確認する。※

OPEN

Ⅲ

OPEN

Ⅲ

(3-3)充電前のバッテリ電圧の確認（射場充電作業がある場合のみ）

OPENⅢ(4-1)最悪状態（ヒータ駆動回路の 2 故障後など）を想定した熱解析によりバッテリ保証温度以下である
ことを確認する。

OPEN

Ⅱ(4-2-1)図面等で 2 故障許容設計を確認する。
(4-2-2)機能試験等で故障許容設計が有効である
ことを確認する。

OPEN
OPEN

Ⅱ
Ⅲ

本資料に二重絶縁の箇所を示す
スケマチックを添付

本資料に FT を示すスケマチッ
クを添付※JAXA開発完了セルを使用する場合は既に検証済みであり、追加の検証は不要。

No
HR5.4
適用
☐
N/A
☐

ハザード
推進薬等の有害な流体の漏洩に伴う人員の死傷、射場施設設
備の損傷

ハザード原因(1)不適切な推進系の設計及びシールの不良ハザード制御方法（案）(1-1)各リークパス（注排弁、推薬タンク下流側等）に対して各々3 つのシールを持つ構造とする。

安全検証方法（案）(1-1)図面等により 3 つのシールを持つ構造を確認する。（注排出弁は断面図）

ｽﾃｰﾀｽ
OPEN

Ph
Ⅱ

【被害の度合いは通常Ⅰ】(2)弁駆動回路の誤動作(1-2)適切なシール材を選定する。
(2-1)電気的誤動作に対する 2FT 設計とする。

(1-2)試験等でシール性能を確認する。
(2-1-1)図面等により 2FT 設計を確認する。

OPEN
OPEN

Ⅲ
Ⅱ

(2-1-2)試験等により、2FT の有効性を確認する。
(3)JERG-1-007 に則った手順となっていることを確認する。

OPEN
OPEN

Ⅲ
Ⅲ

(3)不適切な推進薬等充填作業(3)JERG-1-007 に基づく充填作業

検証結果

文書名/番号
本資料に 3 シール構造を示す図（注排弁は断面図）を添付
本資料に 2FT設計のスケマチックを添付

(4)推進薬等を搭載するタンク等の流体不適合(5)バルブ等の異物の嚙み込み(6)推進薬等充填後のフライト品に係る重量物運搬作業での吊上げ物の落下、
衝突(4)流体適合性のある材料を使用する。

(4)材料リスト等により、適切な材料が使用されていることを確認する。

OPENⅡ(5)清浄度管理された流体を使用する。

(5)清浄度検査結果を確認する。

OPEN

Ⅲ

(6-1) マージンを持ったフライト品吊り点の設計、製造(6-1) 設計解析等で安全余裕に問題が無いこと、あるいは試験等で降伏もしくは破壊しないことを確認する。
(6-2-1) 設計解析等で労働安全衛生法に示される
安全係数に問題が無いことを確認する。「労働安全衛生法 クレーン等安全規則」にて吊り具に対する最小安全係数はワイヤロープに対しては 6、それ以外に対しては 5 が要求される。
(6-2-2) 2 倍 or 公的規格に基づいた倍率の保障
荷重試験等により現品に問題が無いことを確認する。（既存または市販品の吊具を定格範囲内で使用する場合、使用範囲に問題が無いことを確認する。）

OPEN

Ⅱ

本資料に解析結
果を添付

OPEN

Ⅱ

本資料に解析結
果を添付

OPEN

Ⅲ

(6-3)JERG-1-007 に則った手順となっていることを確認する。
-

OPEN

Ⅲ

-

-

安全検証方法（案）(1-1)図面等により FT 設計を確認する。

ｽﾃｰﾀｽ
OPEN

Ph
Ⅱ

(1-2)電気性能試験等により FT が有効であることを確認する。
(2)手順書等に、立ち入り規制区域（安全距離）と期間が明記されていることを確認する。

OPEN

Ⅲ

OPEN

Ⅲ

(6-2) 国内法規等に従った吊具の設計、製造(6-3) JERG-1-007 に基づく吊り作業(7)圧力システ
ムの破裂

ハザード No.5.2 による。

--

※推進薬および酸化剤、ヒートパイプのアンモニア等について、被害の度合いの評価結果を添付する。

No
HR5.5

ハザード
電波誤放射による人
員の負傷

適用
☐

【被害の度合いは個別で評価する。】

N/A☐

ハザード原因(1)電波放射(RF)系の設計・製造不良(2)射場での試験時の意図しな
い人員の立ち入り

ハザード制御方法（案）(1)意図しない誤放射に対する故障許容設計（1FT or 2FT)

(2) 放射試験時の人員規制（立ち入り規制・
禁止等）

検証結果

※全RF放射源に対して、被害の度合いの評価結果を添付する。

以下のハザードについての有無をチェックし、必要に応じてハザードレポートを別途起草する。
ハザード
火工品誤着火による人員の死傷、射場施設設備の損傷
病原菌等漏洩による人員の死傷、射場施設設備の汚染
電離放射線源による人員の死傷、射場施設設備の損傷
極低温流体漏洩による人員の死傷、射場施設設備の損傷
極低温流体を保有する圧力システム破裂による人員の死傷、射場施設設備の損傷
極低温流体混合（液体水素と液体酸素等）による火災、爆発による射場施設等の重大な損傷、人員の死傷
その他のハザード

該当
☐
☐
☐
☐

非該当
☐
☐
☐
☐

☐

☐

対象ハザードレポートNo.

文書名/番号
本資料に FT 設計のスケマチッ
クを添付

本資料に安全距離の計算結果と、立ち入り規制区域を添付

別紙１ ハザードレポートテンプレート（射場搬入～ロケット引渡し編）
以降、一般的には射場におけるハザードには該当しないが、ロケットとの統合フェーズにおけるハザード原因に該当する場合があるため、過去のペイロードの安全審査で実績のある典型的なハザード
制御方法、安全検証方法を記載する。実際にハザードに該当するか否かはロケットからの指示による。
HR-X.1～X.4の内容はロケットから提示されるフォーマット内にて引用するなど、適宜利用されたい。
No
HRX.1
適用
☐

ハザード
安全上重要な機構（保持解放機構等）の誤展開によるロケットの墜落
火工品使用ケース

ハザード原因(1)保持解放機
構（ロッド等）の機械的設計不良(2)回路からの誤信号による誤
解放

N/A
☐

No
HRX.2
適用
☐
N/A
☐

ハザード
安全上重要な機構（保持解放機構等）の誤展開によるロケットの墜落

ハザード原因(1)保持解放機
構（NEA 等）の機械的設計不良

NEA 等の故障許容
設計アプローチ(2)回路からの誤信号による誤解放

ハザード制御方法（案）(1)保持ロッドの健全性と強度を確保する。

(2-1)意図しない誤解放に対する故障許容設計(2FT) （エネルギ源との間に最小限 3 つの独立したインヒビットを持つ設計とする。また、3 つのインヒビットの内、少なくとも 2 つはモニタが出来る設計とする。）(2-2)電気起爆装置(EED)について、
1ADC, 1W DC をそれぞれ 5 分間通電した
とき発火しない。もしくは、NASA Standard
Initiator 等、規格に基づいたものを使用する。
(2-3)火工品に接続する EED ハーネスは火工品の最大不着火電流の 20dB 以上の減衰を与える設計とする。
(2-4)火工品結線前に迷走電流が無いこと。

ハザード制御方法（案）(1)機構の破壊に対する故障許容設計(2FT)(2)意図しない誤解放に対する故障許容設計(2FT)

安全検証方法（案）(1-1)解析等により強度余裕を確認する。

ｽﾃｰﾀｽ
OPEN

Ph
Ⅱ

(1-2)試験等により健全性を確認する。
(2-1-1)図面等により 2FT 設計を確認する。

OPEN
OPEN

Ⅲ
Ⅱ

(2-1-2)電気性能試験等により 2FT が有効である
ことを確認する。
(2-2)購入記録等を確認する。

OPEN

Ⅲ

OPEN

Ⅲ

(2-3)解析等により、20dB 以上のマージンがある
ことを確認する。

OPENⅡ(2-4)火工品の結線を行う前に火工品点火回路のス
トレイ電圧チェックを行い、火工品の最大不着火電流の 1/10 又は 50mA のいずれか低い値以上の電流を生じないことを確認する。

OPEN

Ⅲ

安全検証方法（案）(1-1)図面等により 2FT 設計を確認する。

ｽﾃｰﾀｽ
OPEN

Ph
Ⅱ

(1-2)機能試験等により 2FT が有効であることを確認する。
(2-1)図面等により 2FT 設計を確認する。

OPEN

Ⅲ

OPEN

Ⅱ

(2-2)電気性能試験等により 2FT が有効であることを確認する。

OPEN

Ⅲ「CSA-111006ロケットペイロードの機構に対するシステム安全上の取り扱い」より「機構」とは、摩擦力、磁力、スプリングによる弾性力を、安全上重要なコンフィギュレーションの保持力として用いるサブシステム（ラッチ機構等）をいう。

検証結果

文書名/番号
本資料に解析結
果概要を添付
本資料に FT 設計のスケマチッ
クを添付

本資料に解析結
果概要を添付

検証結果

文書名/番号
本資料に FT 設計のスケマチッ
クを添付

本資料に FT 設計のスケマチッ
クを添付

No
HRX.3
適用
☐
N/A
☐

ハザード
安全上重要な機構（保持解放機構等）の誤展開によるロケットの墜落

ハザード原因(1)保持解放機
構（NEA 等）の機械的設計不良リスク最小化設計ア
プローチ１ NEA 等(2)回路からの誤信号による誤解放

ハザード制御方法（案）(1-1)保持トルク／保持力 マージン １以上の確保

(1-2)スプリング機能の異常によりハザードに至る設計及び用途においては、スプリングの冗長化（スプリング機能の異常によりハザードに至らない場合は、冗長化の必要は無い）(2)意図しない誤解放に対する故障許容設計(2FT)

安全検証方法（案）(1-1-1)解析によりマージンに問題が無いことを確
認する。

ｽﾃｰﾀｽ
OPEN

Ph
Ⅱ

検証結果

文書名/番号
本資料に解析結
果を添付(1-1-2)機械環境試験により機構が保持されていることを確認する。

OPENⅢ(1-2)スプリングを冗長構成とすることを図面等により確認する。

OPEN

Ⅱ

本資料に FT 設計のスケマチッ
クを添付(2-1)図面等により 2FT 設計を確認する。

OPEN

Ⅱ

本資料に FT 設計のスケマチッ
クを添付(2-2)電気性能試験等により 2FT が有効であることを確認する。

OPEN

Ⅲ「CSA-111006ロケットペイロードの機構に対するシステム安全上の取り扱い」より
本項の前提１：当該機構が保持状態であることが求められる環境において、機構内の荷重伝達は材料の強度でなされる設計であること。（磁力等の検証困難な要素は対象が存在する場合はリスク最小化設計の対象としない）
本項の前提２：同環境において、機構の荷重経路にある構成部品間において、機構の保持状態が変化したと見なすレベルの相対的運動を生じない設計であること。（機構部の噛み込み等の考慮が必要な要素が存在する場合はリスク最小化設計の対象としない）

No
HRX.4
適用
☐
N/A
☐

ハザード
安全上重要な機構（保持解放機構等）の誤展開によるロケットの墜落

ハザード原因(1)非金属ロックワイヤ（テグス等）単体および結び目に関わる
設計不良

ハザード制御方法（案）(1-1)引張強度の確認

安全検証方法（案）(1-1)ワイヤの伸長量をパラメータにして、伸長量毎にワイヤの引張強度を確認する。
注： 「なじみ処置」（１-4）を行った場合は、なじみ処置後に試験を行う。また、引張強度確認試験に使用するワイヤはフライト品と同一ロットを使用する。さらに、ワイヤが衛星外部に曝される形態の場合、ロケ
ットのフェアリング開頭後の太陽光照射、空力加熱の影響による熱入力を考慮する。

ｽﾃｰﾀｽ
OPEN

Ph
Ⅱ

(1-2)クリープ変形量の確認(1-2)ワイヤは常温でもクリープ変位を生じるためク
リープ変位量を確認する。
注：ワイヤに印加する張力はフライト品の状態を包絡する。また、使用するワイヤはフライト品と同一ロットを使用する。さらに、荷重を印加する時間はフライトモデルに取り付けから打ち上げまでの期間を考慮する。
(1-3)結び目はフライト品を模擬し、結び目の伸び量を試験で確認する。
(1-4-1)事前伸長するための張力、時間を決められるように、ワイヤの変形量、印加する張力、張力印加
時間の関係を試験で求める。(1-1～1-3)(1-4-2)結び目のなじみ処置が必要な場合は結び目のなじみ処置にワイヤと同等のデータを取得する。

OPEN

Ⅱ

OPEN

Ⅱ

OPEN

Ⅱ

OPEN

Ⅱ

リスク最小化設計ア
プローチ２ 非金属ロックワイヤ（テグス等）(1-3)結び目の伸び確認(1-4)なじみ処置（伸ばし処置）

検証結果

文書名/番号

(1-5)ワイヤ半径方向の圧縮（かしめ等）による強度劣化(2)保持解放機
構の機械的設計不良(2-1)冗長設計※(2-2)設計張力のマージン確保(2-3)ワイヤ近接部にシャープエッジの無い設計(2-3)ワイヤと機器の擦れを防止する設計(2-4)ゆるみを考慮した張力及びワイヤ長さの設定(2-6)適切な結び方によるワイヤの結び(2-7)ワイヤの張力または変位調整が可能な
艤装設計(2-8)ワイヤ切断時の飛散防止設計(1-4-3)なじみ処置したワイヤをフライト品に使用する。
(1-5)フライト品の設計でワイヤ半径方向に圧縮される部位があるか確認し、該当箇所がある場合、フライ
ト品のコンフィギュレーションを模擬し、圧縮による強度劣化を試験で確認する。
(2-1)ワイヤは冗長構成とすることを図面等で確認する。
(2-2-1)最大荷重に対しワイヤの強度不足とならぬよう適切なマージンを確保する。ワイヤの冗長性を示すため、ワイヤ１系統でも成立することを示す。
注：ワイヤにかかる最大荷重はワイヤ施工時の最大張力、打ち上げの振動や衝撃、製造公差も考慮する。また、ワイヤの強度は、引張強度(1-1)、クリープ変形（1-2,1-3）、なじみ処置（1-4）、ワイヤの緩み（2-4）
を考慮して、最悪のワイヤ長、張力強度を算出する。

OPEN

Ⅲ

OPEN

Ⅱ

OPEN

Ⅱ

OPEN

Ⅱ

(2-2-2)振動試験および試験後の目視検査により保持状態が維持されていることを確認する。
(2-3-1)ワイヤに近接する機器類はシャープエッジを除去することを図面等で確認する。
(2-3-2)シャープエッジ除去を目視もしくは触診により確認する。
(2-3-3)振動、衝撃時にワイヤと機器との擦れが生じないよう、適切なクリアランスをとることを図面等で確認する。
(2-3-4)クリアランスが図面通りであることを測定する、もしくは目視確認する。
(2-3-5)ワイヤ取付前後、振動試験後および最終検査等にてワイヤに擦り傷がないことを目視検査する。
ワイヤ取付後の目視検査が難しい場合、ワイヤとその周辺部位とのクリアランスの検査結果、EM の振動試験結果等に基づき、ワイヤの擦れがないことを確認する。
(2-4-1)ワイヤの処置設定における張力または変位
量は、打ち上げ(衛星分離)までの時間経過によるワ
イヤのゆるみを考慮した必要張力または必要長さを
設定する。

OPEN

Ⅲ

OPEN

Ⅱ

OPEN

Ⅲ

OPEN

Ⅱ

OPEN

Ⅲ

OPEN

Ⅲ

OPEN

Ⅱ

(2-4-2)目視、触診もしくは張力の確認を行う。
(2-6-1)試験（1-3）で確認した「結び方」をフライト
品設計に反映する。
(2-6-2)所定の結び方手順に従って結んでいることを目視確認する。
(2-7-1)フライト品にワイヤを艤装する際、所定の張力や長さになるように、調整可能な設計とする。
(2-7-2)所定の張力もしくは長さが設定されていることを測定する。
(2-8)デブリ飛散防止のため、ワイヤ切断時、分離物が発生しないような設計であることを図面等で確認
する。

OPEN
OPEN

Ⅲ
Ⅱ

OPEN

Ⅲ

OPEN

Ⅱ

OPEN

Ⅲ

OPEN

Ⅱ

本資料に概略図を添付
本資料に解析結
果を添付

(2-9)せん断力が印可されない設計(3)回路からの誤信号による誤解放(3)意図しない誤解放に対する故障許容設計(2FT)(2-9)ワイヤにせん断力が印加されないことを確認する。
(3-1)図面等により 2FT 設計を確認する。

OPEN

Ⅱ

OPEN

Ⅱ

(3-2)電気性能試験等により 2FT が有効であることを確認する。

OPEN

Ⅲ

本資料に FT 設計のスケマチッ
クを添付「CSA-112040A小型衛星非金属ロックワイヤに関わる安全チェックリスト」より※破局ハザードについては、通常２故障許容設計を取る必要があるが、非金属ロックワイヤについては、本ハザードレポートのハザード制御を適用することで、リスク最小化設計がなされているものとみなす。リスク最小化設計においては、十分な強度マージンを有する設計とすることで冗長は通常必要無いが、非金属ロックワイヤについてはその機械的な脆弱性をカバーするために、冗長設計（2本のワイヤによる保持）を取ることが通常である。

HR-5.1
添付資料

図 推進薬と酸化剤の注排弁の配置と配管径（8-1-1）

図 推進薬と酸化剤のフライト品内での混合に対する2FT設計（8-3-1）

HR-5.2
添付資料

表 MDP解析書 （1-2）
MEOP
MDP
(MPa)
(MPa)

コンポ名

流体

材質

タンク上流配管、ガス注排弁、圧力計
タンク

He

Ti-6Al4V

20

He/ヒド
ラジン
ヒドラジ
ン

Ti-6Al4V
Ti-6Al4V

ヒドラジ
ン
ヒドラジ
ン
ヒドラジ
ン

タンク下流～遮断弁1/2までの
配管
フィルタ、注排弁
1/2、遮断弁1/2
遮断弁1/2～推薬弁までの配管
推薬弁
1A/2A/1B/2B

破壊試験
圧力
(MPa)

25

プルーフ
試験圧力
(MPa)
50

流体温
度
(℃)
0 to
50

20

25

50

100

20

25

50

0 to
50
0 to
50

Ti-6Al4V

20

25

50

0 to
50

Ti-6Al4V
Ti-6Al4V

20

25

50

20

25

50

0 to
50
0 to
50

図 フライト品圧力システムのスケマチック（1-2）（低圧側へのリーク（バルブ等の2故障までカウント）した場合を想定した耐圧設計を確認）

HR-5.2
添付資料

図 加圧時の配管系統図（2-1）（注釈：2故障許容を成立させている箇所（レギュレータ、安全弁、圧力モニタ）をマルで明記する。）

HR-5.3
添付資料
HR-5.3添付資料 バッテリテンプレート
本テンプレートは射場でのハザードのみならず、ロケット打上げ時のハザードを制御するために必要な情報を含んでいる。
セルの主要諸元
セル名／メーカ
バッテリタイプ（例：Li-Ion,Ni-MH）
定格電圧(V)
容量(mAh)保護回路等の有無／種類（例：ブレーカ、PTC等）
UN勧告適合またはUL認証書類番号
バッテリパック（組電池）の主要諸元構成(例：1S2P)
組電池合計容量(Wh)
被害の度合いの評価結果※※組電池として100Wh以下のリチウムイオンバッテリの爆発性危険雰囲気以外での破裂は破局ハザー
ドや重大ハザードとみなされないが、爆発性危険雰囲気における破裂は破局ハザードとみなされる。また、
Ni-MHバッテリはそのエネルギ密度が小さいことから、破裂が破局ハザードや重大ハザードとみなされない。
重大ハザード以上は、以下に示す検証を添付する。
１．セル内部の短絡に関する検証
１．１．セル／バッテリの購入先の管理
主要諸元の表にUN勧告適合品またはUL認証品であることを記入する。（宇宙機関認定セルの場合、その機関が認定したことを記入する。）
１．２．打上げ環境下で内部短絡を生じるセルの排除
打上げ環境下でセル内部の短絡を生じるセルを排除するために、衛星搭載状態（またはバッテリ組立）の環境試験（真空試験、振動試験等）前後におけるバッテリ充放電特性に変化の無いことを示す。

図 環境試験前後のバッテリ充放電特性測定結果(1-2)
２．セル外部の短絡に関する検証（２．１または２．２どちらか１つを選択）
２．１．少なくとも2つの保護機能を持つセル（PTC、セパレートシャットダウン機能等）を使用する。セルと外部保護機能間の経路に短絡が想定される部位は二重絶縁する（当該箇所の短絡が生じた場合、外部保護機能は機能しないため）。

HR-5.3
添付資料

図 保護機能の設置場所概要(2-1-1)
２．２．負荷側を二重絶縁する。（通常バッテリ直近のスイッチまで）

図 二重絶縁の施工箇所概要(2-2-1)

HR-5.3
添付資料
３．射場で充電作業を実施する場合の過充電に対する検証
フライト品

Solar Array Simulator
Component A
ON
OFFBattery Unit
モニタライン1(バッテリ電圧)

Component B

EGSE

モニタライン2（バッテリセル電圧）

Component C

モニタライン3（バッテリ電圧）

図 過充電防止機能 系統図(3-1-1)

HR-5.4
添付資料

被害の度合いの評価
毒性物質種

MMH

MON3

被害の度合いの評価
結果
備考

I

I

アンモニア
（ヒートパイプ）
III以下SFAの作業場所にて全量漏洩しても〇〇ppmにしかならず、人体に影響無し。
（注釈：ヒドラジン、MMH、MON3、NTOについては基本的に被害の度合いはI。ヒートパイプに使用されるアンモニアについては少量で漏洩しても人体に対して問題無い場合は被害の度合いIII以下となる。それ以外は個別に人体の影響を評価した上で被害の度合いを決める。）
ガス注排弁

圧力計

Ｐ

3つのシール

ヘリウムガスタンク
推進薬

3つのシール

3つのシール

3つのシール推進薬注排弁

フィルタ
注排弁２

注排弁１
遮断弁１

遮断弁２

１シール

ヘリウムガス等
の充填

２シール

推薬弁

1A

2A

1B

2B

図 フライト品の配管系統図 （1-1）（注釈：バルブ及びその内部のシール数、ガスが充填されている箇所を明確にする。それぞれ外部への漏洩に対して必要なインヒビット数を満足していることを明確にする。）

図 注排弁の断面図（1-1）（注釈：流路に対するシールの箇所を明確にする。）

HR-5.4
添付資料

図 弁制御ラインのスケマチック(2-1-1)（注釈：2故障許容が成立していることを示す。必要最小限のインヒビット（ここではインヒビット1、インヒビット2、インヒビット3）及びその制御ライン（ここではトリガ1、トリガ2、トリガ3）を記載する。
要求されている以上のインヒビットを記載しない。）【弁制御ラインの2故障許容成立性の解説】
インヒビット1、2、3はそれぞれ独立したスイッチであり、インヒビット1~3が全てONになることにより推薬弁が開く。
インヒビット1、2、3はそれぞれトリガ1、2、3からの信号によりONになる。トリガ1、2、3が共通して発動する故障モードは無い。
表 衛星吊り点の強度解析結果サマリ（4-1-1）
対象部位
安全係数
MS
アダプタ
2
1.1
吊り点
2
1.1

表 吊り具の強度解析結果サマリ（4-2-1）
対象器具
安全係数
MS
吊具
6
1.1

HR-5.5
添付資料
被害の度合いの評価
アンテナ種
周波数帯
アンテナ入力電力(W)
利得(dBi)
安全距離(m)
被害の度合いの評価結果
重大ハザード以上は、故障許容性の評価を示す。

電波放射源

図 電波放射ラインのスケマチック(1-1)（注釈：2故障許容が成立していることを示す。必要最小限のインヒビット（ここではインヒビット1、インヒビット2、インヒビット3）及びその制御ライン（ここではトリガ1、トリガ2、トリガ3）を記載する。
要求されている以上のインヒビットを記載しない。）【電波誤放射の2故障許容成立性の解説】
インヒビット1、2、3はそれぞれ独立したスイッチであり、インヒビット1~3が全てONになることにより電波が放射される。
インヒビット1、2、3はそれぞれトリガ1、2、3からの信号によりONになる。トリガ1、2、3が共通して発動する故障モードは無い。

図 電波放射試験時の立ち入り禁止区域(2)HR-5.5
添付資料

５．JMR-002 6章の適合性評価結果
５．１．漏洩時に備えた減圧ポート・推進薬や酸化剤等排出ポートの設計概要
A衛星の推進薬や酸化剤等漏洩時の減圧ポート、推進薬や酸化剤等排出ポートの設計概要を図Xに示す。

図X 推進薬漏洩時の減圧ポート、推進薬や酸化剤等排出ポートの設計概要

５．２．推進薬や酸化剤等漏洩時の減圧・推進薬や酸化剤等排出の運用方針の説明
５．２．１．ペイロード単独射場作業中に漏洩した場合の方針
SFAにて、ペイロード単独射場作業中に推進薬や酸化剤等が漏洩した場合、まず全員を退避させたのちに、SFAの立ち入り規制を設定する。その後、作業者がスケープスーツにより漏洩した場所に入り、減圧ポートに減圧用GSEを接続し減圧する。減圧完了後に、作業者が推進薬や酸化剤等排出ポートにGSEを接続し、推進薬や酸化剤等を回収する。推進薬や酸化剤等の回収が終了した後、現地に漏洩した推進薬や酸化剤等の無毒化を実施して、漏洩した場所の推進薬や酸化剤等濃度が規制
値以下まで下がったら、SFAの立ち入り規制を解除する。
５．２．２．ロケット引渡し以降に漏洩した場合の方針（ロケットの指示に従って作業する場合は、その旨を記載する。）
VABにて、ロケットとの共同作業中に推進薬や酸化剤等が漏洩した場合、ロケットの指示に従って、
減圧・推進薬や酸化剤等排出作業を実施する。

JERG-1-007F N-2適合性マトリクス

プログラム名称：
要求事項

適

不

合

適

N/A

結果・備考

合
☐

4.1 一般基準☐☐

4.1.1 安全管理要求
4.1.1.1 安全作業の組織と機能
4.1.1.2 危険作業

以下該当する危険作業にチェック

4.1.1.2.1 危険作業の識別(1) 推進薬の作業

☐

☐

☐

(2) 圧力システムの作業

☐

☐

☐

(3) 火工品及び火工品を用いたシステムの作業

☐

☐

☐

(4) 爆発性危険雰囲気区域での作業

☐

☐

☐

(5) 毒物、劇物及び有害ガス（気化して有害ガスとなる液体を含む）の作業

☐

☐

☐

(6) 放射線照射作業

☐

☐

☐

(7) 高電圧作業☐☐☐(8) 電波放射作業（人体、火工品、設備等に影響を及ぼす強度の放射の場合）

☐

☐

☐

(9) 騒音環境下での作業

☐

☐

☐

(10) タンク内及び密閉空間内での作業（酸素欠乏、有害性、爆発性または可燃性蒸気中の作業）

☐

☐

☐

(11) 極低温物質及びこれを用いたシステムの取扱い作業

☐

☐

☐

(12) 一般危険作業（フォークリフト、クレーン、玉掛、高所及び重量物運搬・移動作業）

☐

☐

☐

(13) その他の危険物等の取扱い、及び射場安全部門／組織が判断したハザードが生じる恐れのあ

☐

☐

☐

る作業
1

JERG-1-007F N-2適合性マトリクス

4.1.1.2.2 危険作業手順書

☐

☐

☐

4.1.1.2.3 危険作業に対する一般基準

☐

☐

☐

4.1.1.3 緊急事態の手順

☐

☐

☐

4.1.1.3.2 事故発生時等の措置

☐

☐

☐

4.1.1.3.3 緊急事態の復旧

☐

☐

☐

4.1.1.4 気象上の基準

☐

☐

☐

4.1.1.4.2 強風

☐

☐

☐

4.1.1.4.3 大雨

☐

☐

☐

4.1.1.4.4 津波及び地震

☐

☐

☐

4.1.1.4.5 有害推進薬の取扱い作業と気象状況

☐

☐

☐

4.1.1.5 人員規制区域

☐

☐

☐

4.1.1.5.2 人員の入退場管理

☐

☐

☐

4.1.1.5.3 有害ガス拡散に係る警戒区域

☐

☐

☐

4.1.1.6 安全教育訓練

☐

☐

☐

4.1.1.7 保安物の持込みの申請

☐

☐

☐

4.1.2 危険雰囲気

☐

☐

☐

b．固体推進薬及び火工品の爆発性危険雰囲気区域及びその存在する場所

☐

☐

☐

4.1.2.2 危険雰囲気区域に対するその他の要求

☐

☐

☐

4.1.1.3.1 全般

4.1.1.4.1 襲雷4.1.1.5.1 人員規制区域における規制

4.1.2.1 爆発性危険雰囲気
a．液体推進薬の爆発性危険雰囲気区域

2

JERG-1-007F N-2適合性マトリクス

4.1.3 材料☐☐☐

4.1.4 電波放射の作業

☐

☐

☐

4.1.5 光学系☐☐☐

4.1.6 騒音☐☐☐

4.1.7 放射線放射等の作業

☐

☐

☐

4.1.8 その他の基準

☐

☐

☐

4.1.8.2 保護具

☐

☐

☐

4.1.8.3 危険対象物の保護

☐

☐

☐

4.1.8.4 工具等の管理

☐

☐

☐

4.1.8.5 写真撮影

☐

☐

☐

4.1.8.6 発火性物品の持込み規制

☐

☐

☐

4.1.8.7 高所作業

☐

☐

☐

4.2 輸送／運搬／機材ハンドリング装置

☐

☐

☐

4.2.2 クレーン作業

☐

☐

☐

4.2.3 玉掛作業

☐

☐

☐

4.2.4 重量物運搬・移動作業

☐

☐

☐

4.2.5 エレベータ、シャッター等の使用

☐

☐

☐

4.3 推進薬の作業

☐

☐

☐

4.3.2 固体ロケットモータ

☐

☐

☐

4.3.3 その他の推進薬

☐

☐

☐

4.1.8.1 湿度管理

4.2.1 フォークリフト作業

4.3.1 液体推進薬

3

JERG-1-007F N-2適合性マトリクス

4.4 圧力システム

説明のみであるため記載不要。

4.4.1 圧力システムの区分
4.4.2 圧力システムの作業

☐

☐

☐

4.4.3 圧力システムの保護

☐

☐

☐

4.5 火工品（固体ロケットモータを除く）の作業

☐

☐

☐

4.6 電気／電子関係の作業

☐

☐

☐

4.6.2 接地☐☐☐

4.6.3 保護具等

☐

☐

☐

4.6.4 保守作業

☐

☐

☐

4.6.5 バッテリ

☐

☐

☐

4.6.1 一般要求

4

CZA-2018029E

Launch Vehicle Payload System Safety Program Plan/Safety Data Package Template
1. Introduction
The format attached to this document is a template of a “System Safety Program Plan” and a “Safety
Data Package” which is an output of JMR-002 “Launch Vehicle Payload Safety Standard”. This
template describes the results of hazard analysis for typical payload launch site operations based on
previous safety review experience and is intended to assist payload (PL) organizations in preparing
the documents.
This template is intended to be freely rewritten for use by PL organizations depending on the natureof the payload they are developing (the information in this template are not requirements). This
template is also intended to describe the results of a general hazard analysis, which may notnecessarily match each payload analyzed by the PL organization. The PL organization should evaluate
hazards carefully and comprehensively. If a hazard is identified that is not included in this template,an additional hazard report must be prepared. If there are no hazards other than those listed in thistemplate, the hazard identification is considered complete when this template is filled out, and thesubmission of the “hazards identification summary” “Hazard analysis table” “FTA” in JMR-002 may
be omitted.
Note that this document does not preclude hazard analysis using the conventional hazard reportformat specified in JMR-002.
2. An advantage of using this template
JAXA's safety review consists of two stages: an engineer review by the "System Safety Review Panel"and a management review by the "Safety Review Board". If this template is used and there is no
unique hazard other than the hazard report in the template, as shown in the figure on the next page,
the review by the Safety Review Committee can be omitted, which has the advantage of shortening
the period until the safety review approval.

CZA-2018029E

3. History of creating this template
In order to optimize evaluations related to safety analysis and clarify review points in safety review,it was effective to clearly indicate hazard control/verification measures that have a proven record ofsafety review in past satellites. Therefore, referring to the format that has been successfully used by
the ISS, the STD-HR format was created in JAXA, and its application was started from the small
satellite. Later, while revising the format, the application was extended to launch vehicle payloads
other than small satellites.
In revision A, the following revisions were made due to the revision of JMR-002D and the change ofthe review scope of the JAXA System Safety Review Panel (SSRP). (Revision B has only minor
corrections)・Hazards related to the safety of personnel only (so-called occupational safety) were excluded fromthe scope of SSRP and were deleted.
・The scope for carrying out hazard analysis on the payload alone has been changed to "From thetime of arriving to the launch site to handing over to the launch vehicle". Hazard analysis during theperiod from the time handing over to the launch vehicle to payload separation should be based on
the documents presented by the launch vehicle
In revision C, the following full revisions ware made due to the revision of JMR-002E.
・The STD-HR format was extended to the template that covers the entire safety review submission
material (Including System Safety Program Plan and the Safety Data Package).
・Revision D has only minor corrections.

CZA-2018029E

・ In the revised E, the advantages of using this template to shorten the review period wereintroduced, the hazard report template was updated to reflect the lessons learned of the past safety
review, and a compliance matrix for JERG-1-007 “Safety Regulation for Launch Site Operation” wasadded.

XXXXXXSpacecraft A
System Safety Program Plan

April 1, 20XXSpacecraft A Project1

XXXXXX

Revision

Date ofenactment

Approval

Reason for revision/change

NC

-

A

B

C

D

i

XXXXXX

Table of Contents
1. General ...................................................................... 2
1.1 Purpose ................................................................. 2
1.2 Scope ................................................................... 2
2. Related documents ............................................................. 2
2.1 Applicable documents ...................................................... 2
3. Implementation items ........................................................... 2
3.1 Organization and implementation system ...................................... 2
3.2 System safety review method ................................................ 3
3.3 System safety activities in each phase of development ............................ 3

1

XXXXXX

1. General
1.1 Purpose
This system safety program plan prescribes a program plan to be implemented to prevent accidents that may
occur at each phase from the arrival of the spacecraft A to the Kagoshima Space Center (KSC) to the separationof the payload from launch vehicle after launch from the KSC, to protect human life, properties, andenvironment from accidents caused by the development of the payload.
1.2 ScopeThis document applies to the system safety activities to be performed by the spacecraft A project for the above
purposes with respect to the design, manufacturing and launch site operations of the spacecraft A. In the casethat the operation is to be performed in the premises of JAXA other than the KSC, the operation is subject tolocal safety requirements, etc.
2. Related documents
2.1 Applicable documents（1） Launch Vehicle Payload Safety Standard (JMR-002D)（2） Safety Regulation for Launch Site Operation (JERG-1-007F)（3） Document specified the safety design to be implemented by the payload designated by each launchvehicle (XXXXXX)
3. Implementation items
3.1 Organization and implementation system
The scope of responsibility is as follows:(1) The scope of responsibility for system safety activities
The spacecraft A project promote and ensure system safety in the design/ fabrication, etc. of the spacecraft A in
accordance with the applicable documents.
In addition, the spacecraft A project coordinate with the JAXA Safety and Mission Assurance Department
regarding the data required for the safety review, submit the data, and undergo the JAXA system safety review.
Figure 3.1-1 shows a chart of the system safety management organization.
(2) Implementation of system safety activities
The spacecraft A project perform hazard analysis (hazard identification, risk assessment, hazard analysis in eachphase, preparation of hazard reports, and safety verification) of the launch site operations (from the arrival of
the launch site to handing over to the launch vehicle) in accordance with section 4.3 of the applicable document
2.1 (1). For the launch phase (from handing over to the launch vehicle to payload separation), hazard control andsafety verification of the payload are established in accordance with the applicable document 2.1 (3)(3) Application procedures for government agencies
The application procedures for the safety of high-pressure gas equipment for space use are in accordance with
the High Pressure Gas Safety Act.
The application procedures for the safety of radio equipment are in accordance with the Radio Act and related
regulations.
The application procedures for the safety of pyrotechnic devices are in accordance with the Explosives Control
Act, etc.
The application procedures for the management of spacecraft are in accordance with Space Activities Act, etc.

2

XXXXXX

3.2 System safety review method(1) As shown in figure 3.3-1 the spacecraft A project undergo two JAXA system safety reviews in Phase 0/I/II
and Phase III for the launch site operations (from arrival to the launch site to handing over to the launchvehicle). In the case of a series payload/reflight payload, the treatment of the follow-on payloads should be
described (e.g. the follow-on payloads undergo one JAXA system safety review in Phase delta II/III)(2) For the launch phase (From handing over to the launch vehicle to payload separation), the spacecraft A
project submit the results of the payload hazard control and safety verification to the launch vehicle inaccordance with the applicable document 2.1 (3). (The JAXA system safety review is to be undergone by thelaunch vehicle).
3.3 System safety activities in each phase of development
Milestones for system safety program activities are shown in figure 3.3-1.
Safety activities is conducted in each phase and the results is subject to the JAXA system safety review. If any
changes occur after the Phase III safety review, the JAXA system safety review is conducted as necessary.

3

XXXXXX

Secretariat
JAXA Safety Review
Board
JAXA Safety and Mission
Assurance Department

Submission

Secretariat
JAXA System Safety Review
Panel
Support for preparation andimplementation of systemsafety program/hazard
analysis

Submission

Spacecraft A Project・System Safety Program Manager; XXXXXX・System Safety Program person in charge; XXXX

・Development/implementation ofa system safety program plan
・Development and compilation ofsafety data package

Submission ofsafety data
package
B (System manufacturer)

Submission of hazard
analysis result ofsubsystem

C (subsystem manufacturer)・Development/implementation of asystem safety program plan・Implementation of hazard analysis ofspacecraft system
・Development of safety data package

・Development/implementation of asystem safety program plan・Implementation of hazard analysis ofsubsystem

Figure 3.1-1 System safety management organization

4

XXXXXX
Time(month/year)
Phase

Conceptual study/
Definition design

Preliminary Design(Phase 0)(Phase I)

Critical Design

System safety
Program activity(Phase II)

Overall
milestone(X/20XX)
Preliminary design review(PDR)▽

Development
milestone

Preparation(X/20XX)
Phase III
Safety review(X/20XX)
Post qualification review(PQR) or Pre shipment review(PSR)▽△Launch (X/20XX)
Implementation
Implementation
Implementation
Update/Revision
Update/Revision
Update/Revision
Enactment▽▽▽▽

Phase 0
Hazard analysis(X/20XX)
Critical design review(CDR)▽

Review(As necessary)
Phase I
hazard analysis

Review(As necessary)

Hazard analysis

Safety requirements

Operation(Phase III)

(X/20XX)
Phase 0/I/II
Safety review

Safetyreview

System safety program
plan

Manufacturing/
Verification

Phase II
Hazard analysis

Initial identificationof safety
requirements Identification ofsafety requirements▽▽

Review(As necessary)
Phase III
Hazard analysis(As necessary)
Add details to requirements/Review▽▽

Figure 3.3-1 System safety program activities in the life cycle

5

Review(As necessary)

RemarkSpacecraft A
Safety Data Package

April 1, 20XXSpacecraft A project1

Revision

Date of

Approval

Reason for revision/change

enactment
NC

-

A

B

C

D

2

Table of Contents
1. General ..................................................................................................................................4
1.1. Purpose ...........................................................................................................................4
1.2. Scope ..............................................................................................................................4
2. Related documents .................................................................................................................4
2.1. Applicable documents ......................................................................................................4
3. Description of the payload/GSE ...............................................................................................4
3.1. Basic information of the spacecraft A ................................................................................4
3.2. Overview of design and function of the spacecraft A ..........................................................5
3.3. Flowchart of the launch site operation and description of each task ....................................6
4. Hazard analysis result .............................................................................................................7
4.1. Hazard identification summary/4.2. Hazard analysis table/4.3. FTA, etc. ...............................7
4.4. Hazard report ..................................................................................................................7
4.5. Compliance assessment of safety measures required based on the results of launch vehicle
hazard analysis .......................................................................................................................84.6. Safety verification tracking log (SVTL) ................................................................................84.7. Noncompliance report (NCR) ............................................................................................83

1. General
1.1. Purpose
This document describes the results of the Phase X system safety evaluation of the spacecraft A as adata package based on the “Launch Vehicle Payload Safety Standard”.
1.2. Scope
This document is applicable to the spacecraft A from arrival to the Kagoshima Space Center (KSC) tothe launch site operations, through launch and up to the spacecraft separation from the launchvehicle.
2. Related documents
2.1. Applicable documents（1）

Launch Vehicle Payload Safety Standard (JMR-002E)（2）

Safety Regulation for Launch Site Operation (JERG-1-007F)（3）

Document specified the safety design to be implemented by the payload designated byeach launch vehicle (XXXXXX)
3. Description of the payload/GSE
3.1. Basic information of the spacecraft A
Table XX shows the main specifications of the spacecraft A system.
Table XX Spacecraft A main specifications
Launch date

20XX

Design life

X years

Launch vehicle

H3 launch vehicle

Operating orbit

Sun-synchronous orbit
Altitude 630 km
Inclination 98°

Dimensions at launch
Launch mass
Paddle generating power
Bus equipment

XXXX mm × XXXX mm × XXXX mm
3000 kg (Wet)
X kW
Battery: 1 unit
: Lithium-Ion Cells XXX Ah (X parallel, X series)
Solar array paddle: 2 wings: Retention and release mechanism: pyrotechnics
Ka-band antenna: 1 unit4

: Drive mechanism: NEA (Pin Puller)
S-band antenna: 1 unit
Hydrazine mono-propellant thrusters (XX N): X units
Propellant tank: 1 unit (filled with XXX kg of hydrazine)
Heat pipe: 1unit
Mission equipment

X-band antenna: 1 unit
: Retention and release mechanism: NEA (Split spool device)

3.2. Overview of design and function of the spacecraft A
Figure XX shows a block diagram of the spacecraft A system configuration.

Figure XX System configuration block diagram
Figure XX, XX shows the appearance of the spacecraft A at launch and during in-orbit operations.
(Note: For series payload/reflight payload, describe the difference from the baseline payload andthe impact assessment on the hazard analysis)5Figure XX External view of spacecraft A (launch configuration)

Figure XX External view of spacecraft A (on-orbit configuration)
3.3. Flowchart of the launch site operation and description of each task
Launch site operations flow of spacecraft A for each building (STA, SFA, and VAB) is shown in figureXX.
Related hazards are described in the operations flow.
6

The point at which the payload is handed over to the launch vehicle is described.

Figure XX Launch site operations flow (callouts indicate typical hazards)(Note: For series payload/reflight payload, describe the difference from the baseline payload andthe impact assessment on the hazard analysis)
4. Hazard analysis result
4.1. Hazard identification summary/4.2. Hazard analysis table/4.3. FTA, etc.
Hazard identification summary, hazard analysis table, FTA, etc. are not attached in this document
because hazard identification is performed by using the hazard report template in 4.4.
(Note: If a hazard other than the hazard report format described in 4.4. is anticipated, a hazard
identification summary, hazard analysis table, FTA, etc. should be attached to that extent.)
4.4. Hazard report
The hazard report prepared using the hazard report template is shown in Attachment-1. No hazards
other than those included in the template were identified.
Notes on using Attachment-1
・ For items for which the "Status" of safety verification has been set to CLOSED, provide a summaryof the verification results in the "Verification Results" column and the name and document
number of the document showing the verification results in the "Document Name/Number"column. For items which attachments are required for safety review, provide supplementary7

information in the attachments of each hazard report format.
Example of a verification result statement:“Verified through drawings and procedures that the two-failure tolerant design (two addressedby design and one addressed by operation) was appropriate.”・"Status", "Verification Results" and "Document Name/Number" of the safety verification are
written in the relevant review phase, with the updated items identified in red or bold type, etc.
For example, in the safety review documents of Phase III, the items that have been CLOSED in
Phase III are indicated in red or bold to distinguish them from the items that have been CLOSEDin Phase II.

・

In the Phase III safety review documents, items for which verification can be completed only
after delivery to the launch site can be described as "CLOSE to SVTL" in "Status" column and theremaining items for verification are described in SVTL in Section 4.6.

・For series payload/reflight payload, identify the safety verification items of the baseline payloadthat are to be re-verified and the new items that need to be verified.)

4.5. Compliance assessment of safety measures required based on the results of launch vehicle
hazard analysis
The evaluation result is attached in accordance with the launch vehicle to be installed. If a complianceassessment is submitted directly to the launch operator, this assessment does not need to be
included in this document.
4.6. Safety verification tracking log (SVTL)(For Phase III, SVTL is attached if necessary.)
4.7. Noncompliance report (NCR)(NCR is attached in case of noncompliance to requirements)

8

Attachment-1 Hazard report template (From payload/GSE arrival to the KSC to the moment the payload is handed over to the launch vehicle)
No

HazardHR-5.1

Death or injury of
person and loss oflaunch site facility andequipment caused byfire in the explosive
hazardous atmosphere

Apply
☐
N/A
☐

Cause
(1) Spark
generation at
equipment
contact
switching【Severity is generally
I】(2) Spark
generation due
to humancontact withenergized parts(3) Existence ofheat source(4) Ignition of
pyrotechnic
devices and solid
propellants(5) Spark
generation due
to static
electricity(6) Contact
between rustand flammablepropellant

Hazard control (example)

Safety verification method (sample)

StatusPh(1-1-1) Gas-explosion-proof or equivalent design
is applied to the payload (potting, hermetic
sealing, pressurization with inert gases).
Note: Except for the type of protection “n”.
Note: Explosion-proof is also considered forcables and electronic devices.

(1-1-1-1) Confirm explosion-proof or equivalent design
by drawing or other methods

OPEN

II

(1-1-1-2) Confirm proper fabrication by physicalinspection or other methods(1-1-2-1) Confirm that non-explosion proof equipment is
not energized by procedures or other methods

OPEN

III

OPEN

III

(1-2-1-1) Confirm explosion proof or equivalent design
by drawing or other methods(1-2-1-2) Confirm proper fabrication by physicalinspection or other methods

OPEN

II

OPEN

III

(1-2-2-1) Confirm proper measures in accordance with
JERG-1-007 by procedure or other methods(The list of equipment to be brought to the launch site is
to be submitted to the Launch Site Safety Gr, so it does
not need to be attached to the safety data package.)

OPEN

III

(2-1) Confirm design that there are no exposedenergized parts by drawing or other methods (e.g.
connectors on the side supplying power us female
contacts)(2-2) Confirm that exposed parts are not energized byprocedure or other methods

OPEN

II

OPEN

III

(2-1) Confirm that exposed heating wires are notenergized by procedure or other methods

OPEN

III

(4-1) Non-ignition of pyrotechnic devices andsolid propellants in explosive hazardous
atmospheres.

(4-1) Confirm that pyrotechnic devices and solid
propellants are not ignited by procedure or othermethods

OPENIII(5-1) Proper bonding and grounding of
payload/GSE to prevent static electricity.

(5-1-1) Confirm proper bonding and grounding bygrounding system drawing or other methods(5-1-2) Confirm proper bonding and grounding byinspection of actual products or other methods(5-2) Confirm that wrist straps and antistatic
clothing/shoes are used by procedure or other methods(6-1) Confirm that there is no rust by visual inspection orother methods

OPEN

II

OPEN

III

OPEN

III

OPEN

III

(1-1-2) Avoiding energization of non-explosion
proof equipment of the payload in an explosive
hazardous atmosphere. (Mis-operation needs tobe considered if interface by operator exists.)(1-2-1) If it is difficult to adopt explosion-proof
certified products for GSE electrical equipment,
gas-explosion proof equivalent design is applied
to the GSE (potting, hermetic sealing,pressurization with inert gases).
Note: Except for the type of protection “n”.
Note: Explosion-proof is also considered forcables and electronic devices.
(1-2-2) Electrical equipment (explosion-proof
certified and non-explosion-proof equipment) of
GSE is brought into an explosive hazardous
atmosphere in accordance with JERG-1-007.
(The list of equipment to be brought in is subject
to confirmation by the Launch Site Safety Gr.)(2-1) Design that there are no energized parts
where a person can touch them in payload/GSE.

(2-2) Avoiding energization in case that there isan exposed energized parts (e.g. plasma thruster)in payload/GSE.
(3-1) Avoiding energization of exposed heating
wires in an explosive hazardous atmosphere.

(5-2) Proper operation that does not generatestatic electricity(6-1) Controlling that there is no rust for areasthat may come in contact with flammablepropellants (payload, GSE, and operating area).

Verification results

Document
Name/number

(7) Leakage offlammable
propellant(8) Mixture of
flammable
propellant andoxidizer (only forpropellant/
oxidizer
propulsion
system)According to hazard report No. 5.4. (However, if
the separation measure to prevent contact
between leaked flammable propellant andignition source is applied, only 1FT design againstleakage of propellant prepared.)(8-1) Design to prevent mixing of flammablepropellant and oxidizer due to mishandling during
filling operation(8-2) Operation without mixing flammablepropellant and oxidizer(8-3) Prevention of mixing of propellant andoxidizer in the payload after filling (2FT design)(9) Inadequate
operation ofclass 4 lasers(9-1) Design and operation in accordance with JIS
C 6802 (IEC 60825-1)

-

-

-

(8-1-1) Confirm design of separation arrangement of theport and adoption of different pipe diameters bydrawing or other methods(8-1-2) Confirm the application of the separation
arrangement of the port and adoption of different pipe
diameters to the actual products by inspection or othermethods.
(8-2) Confirm operation that propellant filling equipment
and oxidizer filling equipment are not placed at the sametime during the filling operation by procedure or othermethods(8-3-1) Confirm 2FT design against mixing of propellant
and oxidizer by drawing or other methods

OPEN

II

OPEN

III

OPEN

III

OPEN

II

(8-3-2) Confirm 2FT design against mixing of propellant
and oxidizer by test or other methods(9-1) Confirm design in accordance with JIS C 6802 (IEC60825-1) by drawing or other methods(9-1) Confirm operation in accordance with JIS C 6802
(IEC 60825-1) by procedure or other methods

OPEN

III

OPEN

III

OPEN

III

No

HazardCause

Hazard control (example)

Safety verification method (sample)

StatusPh

HR-5.2

Death or injury of
person and loss oflaunch site facility andequipment caused bypressure system burst(1) Inadequate
design andmanufacturingof pressure
system(1-1) Design and manufacturing of payload in
accordance with JERG-0-001 “Technical Standard
for High Pressure Gas Equipment for Space
Use ”.

(1-1-1) Confirm proper design and manufacturing by thecertification.
(1-1-2) For parts outside the scope of the certification(low pressure side after the shutoff valve), confirm
proper manufacturing by functional test.
(1-2) Confirm the pressure-resistant design by drawing,
analysis or other methods

OPEN

III

OPEN

III

OPEN

II

(1-3) Confirm proper design and manufacturing by thepermit. (In case of diverted/borrowed items, confirm
results of statutory pre-use inspection.)(2-1) Confirm 2FT design including regulating valves orsafety valves by a piping system diagram or othermethods

OPEN

III

OPEN

II

(2-2) Confirm that the control by pressure monitor andthe safety valve is effective before pressurization
operation by procedure or other methods

OPEN

III

Apply
☐
N/A
☐

【Severity is generally
I】(2)
Pressurization
beyond designpressure(1-2) Pressure-resistant design assuming the caseof the worst thermal environment due to heater
failure, and leakage to low pressure side(considering 2 failures of low pressure sidevalves)(1-3) Design and manufacturing of GSE(Pressurization equipment) in accordance with
the national law “High Pressure Gas Safety Act”.
(2-1) 2 FT design for pressurization beyond
design pressure.

--

A layout drawing
is attached

A schematic of
2FT design is
attached

Verification results

Document
Name/number

A schematic and
MDP analysis
result are
attached

A piping system
diagramindicating 2FTdesign is attached(3) Inadequate
pressurization
operation(3) Pressurization operation in accordance with
JERG-1-007. When pressurizing or depressurizing
above 1/4 of the design breakdown pressure, ahazardous area with protective walls is set.

Hazard control (example)

No

HazardCause

HR-5.3

Death or injury of
person and loss oflaunch site facility andequipment caused bylithium-ion battery
rupture(1) Internal shortof a cell

Apply
☐
N/A
☐

【Severity is generally
I】
Note: Hazard
identification is not
required for
assembled batteries of
100 Wh or less, andnot charged in an
explosive atmosphere(2) External
short of the cell(2) Design and manufacturing without shortcircuit on the battery load side.
Select either (2-1) or (2-2)(2-1) Preparing two protection functions(separator shutdown function, PTC, fusible link,fuse, etc.) inside or outside of the cell against
short-circuit outside the cell.
The part where short-circuit is assumed in thepath between the cell and the external
protection function is double-insulation asshown in (2-2), because external protection
function doesn’t work in the short-circuit of thispath.
(2-2) Double-insulation the load side. (Generally
up to the switch nearest the battery)

Note: Hazard
identification is not
required for Ni-MH
battery rupture andelectrolyte leakage.
However, it isnecessary to confirm
that there is no safety
impact due tooverheating of thebattery
Note: Flightenvironment
compatibility ofbattery needs to beevaluated separately
for each launch vehicle(1) Design and manufacturing of cells without
internal short.

(3) Overcharge(3-1) 1FT design against overcharging whencharging outside the explosive hazardous
atmosphere at the launch site, and 2FT design
when charging inside the explosive hazardous
atmosphere or while the payload is on board thelaunch vehicle.

(3-2) Management of cells voltage variation.
(Because battery voltage monitor may not detect
overcharge of a single cell due to cell variation.)(3) Confirm by procedure or other methods that theoperation is based on JERG-1-007 and the hazardous
area is established.

OPEN

III

Safety verification method (sample)

StatusPh*(1-1) Confirm that cells are designed andmanufactured in accordance with UN/UL
recommendations by the certification. (In case of cells
certified by a space agency, confirm that the cells havebeen certified by the agency).
*(1-2) Confirm no change in battery charge/discharge
characteristics before and after environmental tests(vacuum test, vibration test, etc.) of the payload on
board condition (or battery assembly) by test report orother methods

OPEN

II

OPEN

III

A summary of
charge/discharge
characteristics is
attached*(2-1-1) Confirm design of protection functions bydrawing or other methods

OPEN

II

A schematic
indicating theprotectivefunction is
attached*(2-1-2) Confirm that protection functions work byfunctional test or other methods

OPEN

III

*(2-2-1) Confirm design of double-insulation by drawing
or other methods

OPEN

II

*(2-2-2) Confirm the installation of double-insulation byinspection or other methods(3-1-1) Confirm proper FT design by drawing or othermethods

OPEN

III

OPEN

II

(3-1-2) Confirm that the protection functions work
properly by functional test or other methods(3-1-3) Confirm that the control by the monitor iseffective by procedure or other methods. (Only if thereis operational hazard control.)

OPEN

III

OPEN

III

*(3-2) Confirm the results of cell variation control byinspection or other methods

OPEN

III

Verification results

Document
Name/number
UN/UL
authorization
number is
attached

A schematic
indication of
double-insulation
is attached

A schematic
indicating FTdesign is attached(4) Use inabnormaltemperatureenvironments
caused bythermal control
system failure(3-3) (Measures against over discharge)
Prohibition of use of battery below the voltagethat recommended by the cell/battery pack
manufacturer or to a certified voltage by anacceptance test.
Select either (4-1) or (4-2).
(4-1) Design environmental temperature below
the guaranteed battery temperature even underworst-case condition (after two failures of theheater driver circuit).
(4-2) 2FT design against the heater ON.

(3-3) Confirm battery voltage before charging (only ifthere is a charging operation in the launch site)

OPEN

III

(4-1) Confirm that the temperature is below theguaranteed battery temperature by thermal analysis.
(Considering after two failures of the heater drive
circuit.)

OPEN

II

(4-2-1) Confirm 2FT design by drawing or othermethods(4-2-2) Confirm that 2FT design is valid by functional
test or other methods

OPEN

II

OPEN

III

*If JAXA developed cells are used, it has already been verified and no additional verification is required.

No

HazardCause

Hazard control (example)

Safety verification method (sample)

StatusPh

HR-5.4

Death or injury of
person andcontamination oflaunch site facility andequipment caused by
toxic material leakage(1) Inadequate
design of
propulsion
subsystem andseals defect(1-1) Each leakage path (pouring/draining valve,
downstream side of propellant tank, etc.) has
three seals.

(1-1) Confirm the structure with 3 seals by drawing orother methods (Cross-sectional diagram for the
pouring/draining valve)

OPEN

II

(1-2) Selection of appropriate seal materials.

(1-2) Confirm seal performance by test or othermethods(2-1-1) Confirm 2FT design by drawing or othermethods

OPEN

III

OPEN

II

(2-1-2) Confirm the validity of 2FT by test or othermethods(3) Confirm that operation is in accordance with JERG-1007 by procedure or other methods

OPEN

III

OPEN

III

(4) Use of fluid-compatible materials.

(4) Confirm the use of appropriate materials bymaterials list or other methods

OPEN

II

(5) Use of cleanliness-controlled fluids.

(5) Confirm the cleanliness by inspection or othermethods

OPENIII(6-1) Design and manufacturing of payload
suspension points with margin.

(6-1) Confirm safety margin by design analysis or othermethods, and confirm manufacturing result by test orother methods

OPEN

II

Apply
☐
N/A
☐

【Severity is generally
I】(2) Malfunctionof propellant
valve drive
circuit(2-1) 2FT design against electrical malfunction.

(3) Inadequate
propellant filling
operation(4) Fluid
incompatibilityof tanks, etc.
againstpropellant(5) Foreign
matter caught inthe valve(6) Falling or
collision whenlifting/hoisting(3) Filling operation in accordance with JERG-1007.

Verification results

Document
Name/number
A diagramindicating 3 seals
structure (crosssectional diagramfor pouring/drawing valves) is
attached

A schematic
indicating 2FTdesign is attachedA result ofanalysis isattachedpayload after
filling with toxic
propellant.

(6-2) Design and manufacturing of lifting devices
in accordance with national regulations, etc.

(6-3) Lifting operation based on JERG-1-007(7) Burst ofpressure system

According to hazard report No. 5.2.

(6-2-1) Confirm that safety margin is in accordance withnational law“Industrial Safety and Health Law”.
The “industrial Safety and Health Law, Safety Ordinancefor Cranes” requires a minimum safety factor of 6 forwire rope and 5 for other types.
(6-2-2) Confirm proper manufacturing by proof load
test at a magnification of 2 times, or a factor defined by
official standards.
(When using existing or commercial lifting devices,confirm use within the rated range.)

OPEN

II

OPEN

III

(6-3) Confirm that the operation is in accordance with
JERG-1-007 by procedure or other methods
-

OPEN

III

-

-

A result ofanalysis isattached--* Attach the results of the assessment of the severity of the hazard for propellants, oxidizers, ammonia in heat pipes, and other hazardous materials.

No

HazardCause

HR-5.5

Injury of person
caused by inadvertent
RF radiation(1) Inadequate
design andmanufacturingof radiofrequency (RF)subsystem(2) Unintendedentry of person
during testing at
the launch site

Apply
☐
N/A
☐

【Severity is assessedindividually】

Hazard control (example)(1) Fault tolerant design (1FT or 2FT) against
inadvertent RF radiation(2) Person restrictions (keep out zone) during
radiation testing

Safety verification method (sample)

StatusPh(1-1) Confirm FT design by drawing or other methods

OPEN

II

(1-2) Confirm the FT is valid by electrical performance
tests or other methods

OPEN

III

(2) Confirm that the keep out zone (safe distance) andperiod of the restriction are specified in the procedureor other methods

OPEN

III

※The results of the evaluation of severity for all RF radiation sources are attached.

Check for the applicability of the following hazards and prepare hazard reports if necessary.
HazardDeath or injury of person and loss of launch site facility and equipment caused by inadvertent actuation of
pyrotechnic devices
Death or injury of person and contamination of launch site facility and equipment caused by pathogens leakage
Death or injury of person and loss of launch site facility and equipment caused by ionizing radiation sources
Death or injury of person and loss of launch site facility and equipment caused by cryogenic fluid leakage
Death or injury of person and loss of launch site facility and equipment caused by pressure system burst containing
cryogenic fluid
Death or injury of person and loss of launch site facility and equipment caused by fire and explosion due to mixing of
cryogenic fluids (e.g. liquid hydrogen and liquid oxygen)
Other hazards

Apply
☐

N/A
☐

☐
☐
☐

☐
☐
☐

☐

☐

Hazard report No.

Verification results

Document
Name/number
A schematic
indicating FTdesign is attachedA result of
calculation ofsafe distance andkeep out zone areattached

Attachment-1 Hazard report template (From payload/GSE arrival to the KSC to the moment the payload is handed over to the launch vehicle) Optional
Thereafter, typical hazard control and safety verification methods that have been proven in past safety reviews of payloads are described, since they are not generally applicable to hazards at the launch site, but
may be applicable to hazard causes during the integration phase with the launch vehicle. Whether or not it corresponds to a hazard depends on the instructions from the launch vehicle.
The contents of HR-X.1 through X.4 can be cited in the format provided by the launch vehicle or otherwise used as appropriate.
No

HazardCause

Hazard control (example)

Safety verification method (sample)

StatusPh

HR-X.1

Crash of a launchvehicle due to
inadvertent
deployment of safety
critical mechanisms(e.g. retention-releasemechanisms) of
payload(1) Insufficientmechanicaldesign ofretentionreleasemechanism (rod,etc.)(2) Inadvertent
release due tofalse signals
from the circuit(1) Ensuring soundness and strength of retention
rods.

(1-1) Confirm the strength margin by analysis or othermethods

OPENII(1-2) Confirm soundness by testing or other methods

OPEN

III

(2-1-1) Confirm 2FT design by drawings or othermethods

OPEN

II(2-1-2) Confirm that 2FT is valid by electricalperformance tests or other methods(2-2) Confirm purchase records or other methods

OPEN

III

OPEN

II

(2-3) Confirm that there is a margin of at least 20 dB byanalysis or other methods

OPEN

II

(2-4) Pyrotechnics firing circuits is checked for strayvoltage prior to electrically connecting, and confirm
that the result does not exceed 1/10 of the maximum
no-fire current or 50 mA, whichever is lower.

OPEN

III

Safety verification method (sample)

StatusPh(1-1) Confirm 2FT design by drawings or other methods

OPEN

II

(1-2) Confirm that 2FT is valid by functional testing orother methods

OPEN

III

Apply
☐
N/A
☐

Case of pyrotechnic
devices use(2-1) 2FT design against inadvertent release (thedesign has a minimum of three independent
inhibits to the energy source. At least two of thethree inhibits are designed to be monitored.)(2-2) An electro-explosive device (EED) does notcause fire or malfunctions when 1 A DC and 1W
DC are applied for five minutes. “No-fire” meansthat the ignition level is 0.1 % at 95 % of theconfidence level determined by Bruceton test or
equivalent statistic test methods. Or, use a NASA
Standard Initiator or other standards-based
initiator.
(2-3) For the EED, shields are equipped withequal to or greater than 20 dB attenuation
against the maximum no fire power ofpyrotechnics.
(2-4) No stray current before pyrotechnic devices
connecting.

No

HazardCause

HR-X.2

Crash of a launchvehicle due to
inadvertent
deployment of safety
critical mechanisms(e.g. retention-releasemechanisms) of(1) Insufficientmechanicaldesign ofretentionreleasemechanism
(NEA)

Apply
☐
N/A
☐

Hazard control (example)(1) 2 FT design against mechanism failure

Verification results

Document
Name/number
A summary ofanalysis results is
attached

FT design
schematics is
attached

A summary ofanalysis results is
attached

Verification results

Document
Name/number
FT design
schematics areattachedpayload
FT design approach for
NEA(2) Inadvertent
release due tofalse signals
from the circuit(2) 2FT design against inadvertent release(2-1) Confirm 2FT design by drawings or other methods

OPEN

II

(2-2) Confirm that 2FT is valid by electrical performance
tests or other methods

OPEN

III

FT design
schematics is
attached

HR-X.2 comes from “CSA-113032 Mechanical Systems Safety for Payloads launched by JAXA (Interpretation of JMR-002)”
Mechanisms mean subsystems (e. g. latch mechanisms) that use frictional force, magnetic force, and elastic force by spring as retention force of safety critical configuration.

No

HazardCause

HR-X.3

Crash of a launchvehicle due to
inadvertent
deployment of safety
critical mechanisms(e.g. retention-releasemechanisms) of
payload(1) Insufficientmechanicaldesign ofretentionreleasemechanism
(NEA)

Apply
☐
N/A
☐

Design for minimum
risk approach 1 for
NEA(2) Inadvertent
release due tofalse signals
from the circuit

Hazard control (example)(1-1) Securing retention force/torque margin
greater than 1(1-2) Adopting redundant springs where a spring
function failure could result in a hazard(redundancy is not needed if the spring function
failure does not result in a hazard)(2) 2FT design against inadvertent release

Verification results

Document
Name/number
A summary ofanalysis results is
attached

Safety verification method (sample)

StatusPh(1-1-1) Confirm that margins are sufficient by analysis,or other methods

OPEN

II

(1-1-2) Confirm that the mechanism is sound bymechanical environmental testing.

OPEN

III

(1-2) Confirm that the springs are in a redundantconfiguration by drawings or other methods

OPEN

II

FT design
schematics is
attached(2-1) Confirm 2FT design by drawings or other methods

OPEN

II

FT design
schematics is
attached(2-2) Confirm that 2FT is valid by electrical performance
tests or other methods

OPEN

III

HR-X.3 comes from “CSA-113032 Mechanical Systems Safety for Payloads launched by JAXA (Interpretation of JMR-002)”
Prerequisite 1 for HR-X.3: Under the environment where such a mechanism needs to be in retention mode, load transfer within mechanism is designed to occur within the strength of its materials. (When factorsthat make verification difficult such as magnetic force is present, design for minimum risk cannot be applied.)
Prerequisite 2 for HR-X.3: Under the same environment, relative movement at a level where retention status of mechanism is deemed changed between components on load path of the mechanisms is designed
not to occur. (When factors that require consideration such as jamming of mechanism part is present, design for minimum risk cannot be applied.)No

HazardCause

HR-X.4

Crash of a launchvehicle due to
inadvertent
deployment of safety
critical mechanisms(e.g. retention-releasemechanisms) of
payload(1) Design
related toindividual nonmetallic locking
wires and knots

Apply
☐
N/A
☐

Hazard control (example)(1-1) Confirm tensile strength

Safety verification method (sample)

StatusPh(1-1) Using elongation of wire as a parameter, confirm
tensile strength of wire per elongation
Note: If “aging treatment” (1-4) was implemented, test
after such treatment. The wire used in tensile test is thesame lot as flight items. And, when wires are exposed
to external environment of payload, consider thethermal input after opening vehicle fairing.

OPEN

II

Verification results

Document
Name/number

(1-2) Confirm creep deformation amount
Design for minimum
risk approach 2 fornon-metallic lock wire(1-3) Confirm stretch of knot
(1-4) Aging treatment (Stretch treatment)(1-5) Confirm strength deterioration bycompression in the radial direction of wire
(swage part, knot, etc.)(2) Insufficientmechanicaldesign ofretentionreleasemechanism(2-1) Redundant design*(2-2) Ensuring design tension margin(2-3) Design with no sharp edges in the wireproximity area(2-3) Design to prevent friction between wires
and equipment(1-2) Check the creep deformation amount as creep
displacement occurs at room temperature.
Note: Comprehend the flight item status when applying
tensile to the wire. The wire is the same lot as the flightitems. For the duration of applying load, consider theperiod from installation to the payload to launch.
(1-3) The knot is to simulate the flight configuration andconfirm the stretch amount of the knot by testing.
(1-4-1) As tension and duration for elongate in advancecan be determined, seek the relationships ofdeformation amount, applied tension, and duration oftension application by testing (1-1～1-3)(1-4-2) If aging treatment on the knot is necessary,
attain the data equivalent to the knot.
(1-4-3) Use wires that underwent aging treatment inadvance in the payloads.
(1-5) In the design of payload, confirm if there are any
parts that get compressed in the radial direction ofwire. And if there are applicable parts, simulate flight
configuration, and confirm strength deterioration bycompression by testing.
(2-1) Confirm by drawings or other methods that thewires are in a redundant configuration.
(2-2-1) Secure adequate margin to avoid lack ofstrength against maximum load. Present that one wire
system is valid enough to show redundancy of the wire.
Note: Seek maximum load on wire taking the maximum
tension at the time of wire processing, vibration andshock during launch, manufacturing tolerance. And
calculate the worst wire length and tension strength
considering tension strength (1-1), creep deformation(1-2, 1-3), aging treatment (1-4), loosening of wire (2-4).
(2-2-2) Confirm the lock by vibration test and visualinspection after the test.
(2-3-1) Confirm that equipment near the wire doesn’t
have sharp edges by drawings or other methods(2-3-2) Confirm removal of sharp edges by visual or
touch.
(2-3-3) Confirm that appropriate clearances areprovided to prevent friction between wires andequipment during vibration and shock by drawings orother methods(2-3-4) Confirm that clearances are as shown in thedrawings by measuring or visual inspection.
(2-3-5) Confirm that the wire doesn’t have friction
damage by vibration test, visual inspection or othermethods. If visual inspection after installation of wire isdifficult, confirm that there is no friction of wire basedon results of spatial clearance inspection and EM
vibration test or other methods.

OPEN

II

OPEN

II

OPEN

II

OPEN

II

OPEN

III

OPEN

II

OPEN

II

OPEN

II

OPEN

III

OPEN

II

OPEN

III

OPEN

II

OPEN

III

OPEN

III

Schematic isattached
A summary ofanalysis results is
attached(2-4) Tension and wire length setting consideringloosening(2-4-1) Set the required tensile and length consideringloosening of wire by time elapsed up to launch (payload
separation) for tensile and deformation level as asetting of wire.

OPEN

II

OPEN

III

OPEN

II

OPEN

III

OPEN

II

OPEN

III

OPEN

II

(2-9) Design where shear forces are not applied(2-4-2) Check the wire visually or touching or bymeasuring the tensile.
(2-6-1) Incorporate “how to knot” procedure confirmedin the test (1-3) in the payload design.
(2-6-2) Confirm the knots are made according to theproper procedure by visual inspection.
(2-7-1) When installing wires to payload, ensure thedesign allows adjustment so that the wire will be ofparticular tension and length.
(2-7-2) Confirm that specified tensile or length has been
set by measurement.
(2-8) To prevent space debris scattering, confirm thatthe design is such that no separated material isgenerated when wires are cut by drawings or othermethods(2-9) Ensure that no shear force is applied to the wire.

OPEN

II

(3) 2FT design against inadvertent release(3-1) Confirm 2FT design by drawings or other methods

OPEN

II

(3-2) Confirm that 2FT is valid by electrical performance
tests or other methods

OPEN

III

(2-6) Knotting wires using the proper knotting
procedure(2-7) Outfitting design with adjustable wiretension or displacement(2-8) Design to prevent scattering when cutting
wire(3) Inadvertent
release due tofalse signals
from the circuit

FT design
schematics is
attached

From ”CSA-113030A Safety checklist for Non-metallic Lock-wire design of the small satellite”*For catastrophic hazards, it is usually necessary to adopt a 2FT design, but the hazard control in this hazard report is a design for minimum risk approach. For the design for minimum risk, redundancy is usuallynot necessary by designing with sufficient strength margin, but for non-metallic lockwires, redundant design (retention by two wires) is usually taken to cover their mechanical vulnerability.

HR-5.1
Attachment

Figure Propellant and oxidizer pouring/draining valves arrangement and pipe diameter (8-1-1)

Figure 2FT design for propellant and oxidizer mixing in payload propulsion subsystem (8-3-1)

HR-5.2
Attachment

Component
namePiping upstreamof tank, gas
pouring/draining
valves, pressure
indicator
Tank
Piping fromdownstream oftank to shut off
valve
Filter,pouring/draining
valves, shut off
valvesShut off valvesand piping topropellant
valvesPropellant
valvesTable Maximum Design Pressure (MDP) Analysis sheet (1-2)
FluidMaterial MEOP
MDP
Proof
Burst
(MPa)
(MPa)
test
test
pressure pressure
(MPa)
(MPa)
He
Ti-6Al-4V 20
25
50

100

Fluid
temperature(°C)
0 to 50

He/Hydrazine
Hydrazine

Ti-6Al-4V
Ti-6Al-4V

20
20

25
25

50
50

0 to 50
0 to 50

Hydrazine

Ti-6Al-4V

20

25

50

0 to 50

Hydrazine

Ti-6Al-4V

20

25

50

0 to 50

Hydrazine

Ti-6Al-4V

20

25

50

0 to 50

Figure Schematic of payload pressure system (1-2)(Confirm pressure-resistant design assuming 2 faults leakage to the low pressure side)HR-5.2
Attachment

Figure Piping system diagram for pressurization operation (2-1)(Note: The points where 2FT design (regulator, safety valve, pressure indicator, etc.) should be clearlymarked with a circle.)HR-5.3
Attachment
Battery Template
This template contains information necessary to control not only the hazard at the launch site, but also thehazard during launch phase of the launch vehicle.
Cell specifications
Cell name/Manufacturer
Battery type (e.g. Li-Ion, Ni-MH)
Rated voltage (V)Capacity (mAh)
Type of protective circuits, etc. (e.g. breakers, PTCs, etc.)
UN or UL certificate document No.
Battery pack (assembly) specifications
Configuration (e.g. 1S2P)
Total capacity of batteries (Wh)Results of the assessment of the severityof hazard**A rupture of a lithium-ion battery of 100 Wh or less as a battery assembly is not considered a catastrophic or
critical hazard outside of an explosive hazardous atmosphere, but a rupture in an explosive hazardous
atmosphere is considered a catastrophic hazard. A rupture of a Ni-MH battery is not considered a catastrophic
or critical hazard due to its low energy density.
For a catastrophic or critical hazard, the following verifications are attached.
1. Verification of internal short of a cell1.1. Control of cell/battery procurement
Describe UN or UL certificate document No. in the cell specifications. (In the case of cells certified by a space
agency, describe the agency name.)
1.2. Elimination of cells that cause internal short in the launch environment
To eliminate cells that may cause internal short in the launch environment, describe that there in no change inbattery charge/discharge characteristics before and after environmental tests (vacuum test, vibration test,etc.) in the on-board condition or battery assembly.

Figure. Battery charge/discharge characteristics measurement results before and after environmental
testing (1-2)
2. Verification of external short of the cell (select one of 2.1. or 2.2.)
2.1. Preparing two protection functions (separator shutdown function, PTC etc.) against short-circuit outside
the cell. The part where short-circuit as assumed in the path between the cell and the external protection
function is double-insulate. (Because external protection function doesn’t work in the short-circuit of thispath.)

HR-5.3
Attachment

Figure. Outline of the protection function and double insulation (2-1-1)
2.2. Double insulate the load side (generally up to the switch nearest the battery)

Figure. Outline of double insulation (2-2-1)

HR-5.3
Attachment
3. Verification against overcharging when charging at the launch site.
PayloadSolar Array Simulator
Component A
ON
OFFBattery Unit
Monitor line 1 (Battery voltage)

Component B

EGSE

Monitor line 2 (Cell voltage)

Component C

Monitor line 3 (Battery voltage)

Figure. Overcharge prevention function (3-1-1)

HR-5.4
Attachment

The Assessment of severity of the hazard
Toxic material name MMH
Severity of thehazardRemarksI

MON3

Ammonia(Heat pipe)Less than III

I

Even if the entire
amount of ammonia
is leaked at the work
place of SFA, it isestimated only X
ppm and has noeffect on humanhealth.
(Note: Hydrazine, MMH, MON3, and NTO are basically classified as Severity I. Ammonia
used in heat pipes is classified as less than Severity III if the entire amount of ammonia
leaked poses no effect on human health. For other toxic materials, the severity of thehazard is determined on case-by-case basis after evaluating the effects on the human body.)
ガス注排弁

圧力計

Ｐ

3 seals

ヘリウムガスタンク
推進薬

3 seals
3 seals

3 seals

推進薬注排弁
フィルタ

注排弁２

注排弁１
遮断弁１

遮断弁２

１シール

ヘリウムガス等
の充填

２シール

推薬弁

1A

2A

1B

2B

Figure. Piping system diagram of the payload (1-1)(Note: Clarify the number of valves and their seals, and where the valve is filled with inert gas. Clarify thateach satisfies the required number of inhibits against external leakage.)HR-5.4
Attachment

Figure. Cross-sectional view of pouring/draining valve(1-1)(Note: Clarify where the seal is located against the flow path)

Figure. Schematic of valves control line (2-1-1)(Note: Describes that 2FT is satisfied. List the minimum required inhibits (here inhibit 1, inhibit 2, inhibit3) and their control lines (here trigger 1, trigger 2, trigger 3). Do not list more inhibits than required.)
Explanation of 2FT feasibility of valve control lines.
Inhibits 1,2, and 3 are independent switches and when all inhibits 1 to 3 are turned on, the propellant
valve opens.
Inhibits 1, 2, and 3 are turned on by signals from triggers 1, 2, and 3, respectively. There is no failuremode that triggers 1, 2, and 3 in common.

Table. Summary of strength analysis results for payload suspension points (4-1-1)
Parts
SafetyMargin of Safety
factor
Adapter2
1.1
Pivot hinge
2
1.1
point

Table. Summary of strength analysis results for lifting devices (4-2-1)
Devices
SafetyMargin of Safety
factorLifting6
1.1
deviceHR-5.4
Attachment

HR-5.5
Attachment
Assessment of the severity of hazard
Antenna type
Frequency band
Antenna input power(W)Gain (dBi)
Safety distance (m)Results of the assessment of theseverity of hazard
For a catastrophic or critical hazard, describes outline of fault tolerant design.

Figure. Schematic of RF radiation line (1-1)(Note: Describes that 2FT is satisfied. List the minimum required inhibits (here inhibit 1, inhibit 2, inhibit3) and their control lines (here trigger 1, trigger 2, trigger 3). Do not list more inhibits than required.)
Explanation of 2FT feasibility against inadvertent RF radiation.
Inhibits 1,2, and 3 are independent switches and when all inhibits 1 to 3 are turned on, the RF radiate.
Inhibits 1, 2, and 3 are turned on by signals from triggers 1, 2, and 3, respectively. There is no failuremode that triggers 1, 2, and 3 in common.

Figure. Keep out zone during RF radiation test (2)5. JMR-002 Chapter 6 Compliance Assessment Results
5.1. Design outline of depressurization port, propellant and oxidizer discharge port in case of leakage
Figure X shows an overview of the design of the depressurization port and the propellant and oxidizer
discharge port in case of leakage on spacecraft A.

Figure X Design overview of depressurization port and discharge ports for propellant, oxidizer, etc. in caseof leakage

5.2 Explanation of operational policy for depressurization and discharge of propellant, oxidizer in case ofleakage
5.2.1. policy in the event of a leak during payload launch site operations
If propellant or oxidizer leaks in SFA during payload launch site operations, first evacuate all persons andthen set entry restrictions for SFA. Then, personnel enter the leaking area with scape suit and connects a
GSE for depressurization to the port to depressurize. After the depressurization is complete, thepersonnel connect the GSE to the propellant or oxidizer discharge port and collects the propellant oroxidizer. After the recovery of propellant, oxidizer is completed, detoxify the leaked propellant, oxidizer
at the site, and when the concentration of propellant, oxidizer at the leaked location drops below theregulated value, the entry restrictions on SFA are lifted.
5.2.2. policy in the event of a leak after handling over to the launch vehicle (if operations obey the launchvehicle's instructions, state this)If propellant or oxidizer leaks during joint operations with the launch vehicle in the VAB, depressurizationand propellant or oxidizer discharge operations will be performed according to the launch vehicle's
instructions.

JERG-1-007F N-2 Compliance Matrix

Program Name：
Requirements
4.1 General criteria

C

NC

N/A

☐

☐

☐

Results and Remarks

4.1.1 Safety management requirement
4.1.1.1 Organization and function of safety operation
4.1.1.2 Hazardous operation

Check the following applicable hazardous

4.1.1.2.1 Identification of hazardous operation

operations(1) Propellant operation

☐

☐

☐

(2) Pressure system handling operation

☐

☐

☐

(3) Operations of pyrotechnics and systems using pyrotechnics

☐

☐

☐

(4) Operations performed within hazardous explosive atmosphere areas

☐

☐

☐

(5) Operations with toxic substances, deleterious substances, and harmful gases (including liquid

☐

☐

☐

(6) Radio-isotope operations

☐

☐

☐

(7) Operations of high-voltage electrical power

☐

☐

☐

(8) Radiation operations (where emission intensity of radiation affects personnel health,

☐

☐

☐

(9) Operations performed in high acoustic noise environments

☐

☐

☐

(10) Operations performed in tanks and enclosed spaces (operations in oxygen depletion

☐

☐

☐

☐

☐

☐

☐

☐

☐

vaporizing to harmful gases)

pyrotechnics, and facilities)

environments or in harmful, explosive or flammable vapors)(11) Handling of cryogenic materials and systems using these materials(12) General hazardous operations (forklift, crane, slinging, operation in high locations, andload transportation and transfer operations)
1

heavy

JERG-1-007F N-2 Compliance Matrix

☐

☐

☐

4.1.1.2.2 Hazardous operation procedures

☐

☐

☐

4.1.1.2.3 General regulations for hazardous operation

☐

☐

☐

4.1.1.3 Emergency procedures

☐

☐

☐

4.1.1.3.2 Responding to mishap

☐

☐

☐

4.1.1.3.3 Recovery from an emergency situation

☐

☐

☐

4.1.1.4 Weather regulations

☐

☐

☐

4.1.1.4.2 Storm

☐

☐

☐

4.1.1.4.3 Heavy rain

☐

☐

☐

4.1.1.4.4 Tidal wave and earthquake

☐

☐

☐

4.1.1.4.5 Handling of harmful propellants and weather condition

☐

☐

☐

4.1.1.5 Personnel restricted area

☐

☐

☐

4.1.1.5.2 Entry/Exit Control System

☐

☐

☐

4.1.1.5.3 Warning Area regarding harmful gas diffusion

☐

☐

☐

4.1.1.6 Safety training

☐

☐

☐

4.1.1.7 Application for delivery of hazardous products

☐

☐

☐

4.1.2 Hazardous atmosphere

☐

☐

☐

(13) Handling of other hazardous items, and operations determined to be hazardous by the Launch
Site Safety Group.

4.1.1.3.1 General

4.1.1.4.1 Lightning

4.1.1.5.1 Restriction at Personnel Restricted Area, etc.

4.1.2.1 Explosion hazard atmospherea．Explosion hazard atmosphere area of flammable liquid propellants
2

JERG-1-007F N-2 Compliance Matrix

b．Explosion hazardous atmosphere area for solid propellants and pyrotechnics and its location

☐

☐

☐

4.1.2.2 Other requirements for hazardous atmosphere area

☐

☐

☐

4.1.3 Material

☐

☐

☐

4.1.4 Operation of RF radiation

☐

☐

☐

4.1.5 Optical system

☐

☐

☐

4.1.6 Acoustic noise

☐

☐

☐

4.1.7 Use of ionizing radiation etc.

☐

☐

☐

4.1.8 Other requirements

☐

☐

☐

4.1.8.2 Protective equipment (PPE)

☐

☐

☐

4.1.8.3 Protection for hazardous objects

☐

☐

☐

4.1.8.4 Tool control

☐

☐

☐

4.1.8.5 Photography

☐

☐

☐

4.1.8.6 Restriction on ignition materials

☐

☐

☐

4.1.8.7 Operation at high elevation

☐

☐

☐

4.2 Transporting, transferring, and handling equipment

☐

☐

☐

4.2.2 Crane operation

☐

☐

☐

4.2.3 Slinging operation

☐

☐

☐

4.2.4 Transporting and transferring heavy load

☐

☐

☐

4.2.5 Use of elevators and shutters

☐

☐

☐

4.3 Use of elevators and shutters

☐

☐

☐

4.1.8.1 Humidity control

4.2.1 Forklift operation

4.3.1 Liquid propellants
3

JERG-1-007F N-2 Compliance Matrix

4.3.2 Solid rocket motors

☐

☐

☐

4.3.3 Solid rocket motors

☐

☐

☐

4.4 Pressure system.

This section is for description only; there

4.4.1 Pressure system.

are no requirements.

4.4.2 Pressure system operation

☐

☐

☐

4.4.3 Pressure system protection

☐

☐

☐

4.5 Operation of pyrotechnics (except for solid rocket motors)

☐

☐

☐

4.6 Operation of pyrotechnics (except for solid rocket motors)

☐

☐

☐

4.6.2 Grounding

☐

☐

☐

4.6.3 Protective devices

☐

☐

☐

4.6.4 Maintenance operation

☐

☐

☐

4.6.5 Battery

☐

☐

☐

4.6.1 General requirement

4