観測ロケット
ペイターズドリームMOMO4号機
事象発生原因究明および対策

インターステラテクノロジズ株式会社
2019.09.25

資料要約• 観測ロケット「ペイターズドリームMOMO4号機」の飛翔中の不具合事象である自動緊急停止の原因究明を実施.
※VHF：超短波無線• 上記の自動緊急停止の原因は機体搭載VHF受信機の機能停止.
• 上記の機能停止の原因は,以下の2点の可能性が高いと推定.
•当日の気象条件由来の静電気・雷等による搭載機器の故障．

•

機体内部の振動等の過酷環境において,施工不良や受入試験不足によるケーブル・コネクタ脱落による電源等の切断．

• 今後,MOMO5号機以降について,上記2点の改善を行う．
• 不具合原因と推定される箇所以外は積極的な変更は行わない．
2

目次
1. システム構成
2. 飛翔中に発生した現象の整理
3. 異常原因解析
4. 推定原因
5. 今後の対策

3

1. システム構成

4

ペイターズドリーム MOMO4号機概要
推進方式

液体燃料ロケット

エンジンサイクル

ガス圧送式

推進剤

エタノール／液体酸素

加圧ガス

ヘリウム

推力

12 kN（1.2トン）

全備重量1150 kg

ドライ重量330kg

機体全長9.9 m

機体直径500 mm

目標到達高度100 km

5MOMO搭載アビオニクスの主機能•

推進系動作の制御（始動/停止時のバルブ操作や燃焼中のセンサ監視）•

飛行姿勢の制御（飛行中の姿勢検知やジンバル駆動）•

打上げおよび飛行の緊急停止処理

6

MOMO搭載無線の役割•••

VHF無線：
UHF無線とC-band無線：
L-band無線：
機体
頭部

VHF受信機
UHF送信機#A

地上から各種コマンドをアップリンク
機体データをダウンリンク（C-bandは高帯域）
機体下部カメラのアナログ映像をダウンリンク
VHF送信機
UHF受信機#1
UHF受信機#2

送信データは同一

C-band送信機

地上側（設置位置は様々）

受信データは同一のはず

UHF受信機#3
C-band受信機#1～#4

UHF送信機#B
C-band受信機#5

機体
下部

L-band送信機

受信データは同一のはず

L-band受信機

7

MOMO搭載アビオニクスが行う飛行停止処理•

推進系監視： 打上げ前にセンサ値が規定値を外れたら，打上げ中止•通信系監視： 機体側でVHF受信が規定時間途絶したら，エンジン停止•

コマンド監視： 地上からの飛行停止コマンドを受信したら，エンジン停止

8

機内無線送受信のデータ経路
2. 受信したコマンドと受信強度値を，CANパケットとして全体へブロードキャスト

VHF受信機

制御コンピュータ
（OBC）

C-band送信機

3. 受信したコマンドを処理
4. VHF受信途絶の観測

1. 周期的にコマンド・アップリンク

5. CANバスに流れた全データを高速ダウンリンクとして送信

CANデータ受信バッファ
6. CANバスに流れたデータの一部（とくに重要な情報）を低速ダウンリンクとして送信

UHF送信機#A（フェアリング内）

CANバス（機体内には2系統#0,1あるが#0を利用）

CANデータ受信バッファ

7. CANバスに流れたデータの一部（とくに重要な情報）を低速ダウンリンクとして送信

UHF送信機#B（機体下部）CANデータ受信バッファ

機体内各種センサ，アクチュエータ

9アップリンク受信途絶時の緊急停止処理経路•••

コマンド受信が2秒以上途絶した場合，エンジン燃料バルブ等を閉じ，飛行を自動で中断する ．
ハード故障やソフト誤動作等が起きても停止処理できるよう，判定系は二重冗長になっている．
バルブ閉鎖のため，ソレノイド操作コマンドを送る操作と，ソレノイドそのものの電源を切る操作の両方を行うようになっている．

受信途絶時，CAN経由でバルブ閉鎖命令を送る

CAN経由で受信
コマンド伝送VHF受信機

制御コンピュータ
（OBC）

ソレノイド・
ドライバ
受信途絶時，ソレノイドの電源FETをOFF

コマンド受信パルス（CANとは別の信号線）

途絶監視冗長系
コンピュータソレノイド・
電源スイッチソレノイド
操作コマンドバルブの駆動力がなくなり，バルブが自動で閉鎖

空圧バルブ開閉用
ソレノイド

空圧バルブ
（エンジン燃料バルブ等）

ソレノイド
電源供給断

10

フェアリング部アビオニクスの主要機器配置制御コンピュータ
（OBC）
Cバンド送信器（専用アルミケース内）

アンテナコネクタのマウント部

UHF送信機
（基板の下，専用アルミケース内）

予備バッテリパッ
ク

上：途絶監視冗長系
コンピュータ
下：VHFコマンド受信機（専用アルミケース内）

CANバス相互接続ボード11

フェアリング内の無線用アンテナ設置状況

GPSユニット設置部

VHF受信アンテナ
UHF送信アンテナ

12フェアリング部主要機器間の配線接続
電源ライン（機体下部より）
CAN#0（機体下部より）

CAN相互接続ボード

CAN#0
電源
CAN#0
電源

UHF送信機#A

途絶監視冗長系

UHFアンテナへ

ソレノイド電源へ

CAN#0
コマンド受信パルス
CAN#1（機体下部より）

電源24V + GND (2芯)CAN#0 + 24V + GND (4芯)CAN#0 + 5.5V + GND (4芯)専用信号線(2芯)専用信号線(3芯)CAN#1 + GND (3芯)RF (同軸)主コンピュータ OBC

VHF受信機C-band送信機

VHFアンテナより

C-bandアンテナへ

C-band用送信データ

13

2. 飛翔中に発生した現象整理

14

打上シーケンス
2019年7月29日(土)16:20に打上げを実施した.T+63.4秒にて自動緊急停止が行われ,紙飛行機放出を実施したがVHF受信機の故障(後述)のため,放出は行われなかった．

経過時間(秒)計画
実績

高度(km)
計画
実績

○

0000

エンジン燃焼停止

○120

64.3

468.2

最高高度到達

ー

250

96

100

13.3

紙飛行機放出

×250

ーーー

機体着水

○425

172

00

事象

実施実績

リフトオフ

T+0…「燃料メインバルブOPEN」の時刻

15当日の気象条件
NOAA Air Resources
Laboratory から入手した，当日の15時と18時のSkew-Tダイアグラム

赤いグラフ: 気温↓15時 (16時20分打上げ) ↓18時
露点

気圧

氷結層の生じる温度で露点と気温が近い ＝氷結層を含む雲が発生していた可能性がある

緑のグラフ: 露点
高度8km※15時の気象条件では，
高度 約8 km以上，-10～-20℃の領域で氷結層を含む雲が発生していた可能性がある．

氷結層が生じる温度

気温

温度

露点

気温

温度

気圧

高度8km

氷結層が生じる温度

参考:http://flsc.org/portals/12/PDF/Read_Skew_T.pdf
http://www-old.takikawaskypark.jp/mt/Skew-T.pdf

16

飛翔中に発生した異常事象
飛翔中に以下の事象が発生した.
①T+64.3秒

自動緊急停止が発生②T+54秒～70秒頃

機上C-band送信について，地上受信時の正常パケットが減少・欠落③T+68秒～69秒頃

フェアリング内UHF送信#Aについて，送信停止およびデータエラー発生④T+64秒頃

機上のL-band映像が停止

17異常事象の時系列
時間と精度（単位：秒）

事象

ソース

T+10頃

機上VHF受信機の受信強度が一時的に悪化（ MOMO-F3でも観察）

C-bandダウンリンク受信 #1,2

T+61.99 ±0.6

最後に確認された，機上 VHF受信機のパケット受信情報（これ以降はなし）

UHFダウンリンク受信 #1,2,3

T+64.23 ±0.6空圧バルブ駆動系電源の電圧降下（途絶監視冗長系による停止動作の可能性）

UHFダウンリンク受信 #1,2,3

T+64.3 ±0.6制御コンピュータ OBCが自動緊急停止コマンドを発行

UHFダウンリンク受信 #1,2,3

T+64.598 ±0.03

メインエンジン燃焼停止

L-band映像

T+64.6 ±0.6

メインエンジン燃焼室圧や温度センサ値の低下

UHFダウンリンク受信 #1,2,3

T+64.765 ±0.03

L-band映像が暗転

L-band映像

T+68頃

機体フェアリング内 UHF送信器#Aの地上受信 #1,3が1秒間ほど欠落

UHFダウンリンク受信 #1,3

T+69.19 ±0.6

機体フェアリング内 UHF送信器#Aの地上受信 #1,3でデータエラー発生

UHFダウンリンク受信 #1,318

VHFアップリンクの機上受信強度••

T+61.99秒以降，機体側VHF受信機からのパケット受信情報が停止した．
VHF受信の強度は3号機と同様であったが，3号機では途絶による自動停止は起きていない．

緊急停止

この強度情報をダウンリンクする
二つの機上UHF送信機#A,Bのうち・機体下部の#Bは”-42dBm”をデータとして送信し続け，・フェアリング内の#AはT+68頃にいったんパケットを出さなくなり，T+69.58以降”0dBm”を送信し続ける，という動作不整合が起きている．

参考：MOMO 3号機での受信強度
T+62秒頃

本グラフは#Aを受信している地上受信機#1だが，同じく#Aを受信している地上受信機#3も同一内容．

パケット受信可能強度

VHF受信機が強度情報を最後にアップデートしたのがT+61.99秒であり，それ以降は，その最終強度値をUHF送信機#A,Bがそれぞれダウンリンクし続けている（地上受信機#1,2,3で同一）．

19

UHFダウンリンクの地上受信状況••••

機上送信機#A（フェアリング内）のパケットが，T+68秒頃にいったん受信できなくなった．
#Aを受信する地上系は二つあるが（設計が若干異なる），両方とも受信できていない．
信号強度は落ちていないが，パケット抽出ができていない．
機上送信機#B（機体下部）のパケットは，同期間も受信できている．

機上送信機#A
地上受信系#1パケット（赤点）が来ている

機上送信機#A
地上受信系#3パケット（赤点）が来ていない

機上送信機#B
地上受信系#2

パケット（赤点）が来ていないパケット（赤点）が来ている

20

L-band（アナログカメラ映像）の地上受信状況
••
•
•
•

VHF受信機からのパケッ
ト受信出力が途絶えた時
点では，メインエンジンは噴射．
約2秒後に，メインエンジンが停止．
メインエンジン停止後にカメラ映像が暗転．
無線送信機の電波出力はあるが，映像がなくなった状態．
T+152秒頃に電波受信がなくなったノイズ画像に変化．

21

C-bandダウンリンクの地上受信状況••••

地上受信系を五つ設置していたが，受信できたのは飛行初期の方位に向けていた#1と#2．
#1,#2とも上昇に伴い受信強度が低下し，正常パケットを抽出できたのはT+54秒頃まで．
緊急停止時にはパケット抽出ができていない．
その後T+70秒およびT+90秒頃から，受信強度が再び回復してパケット抽出可能となった．
地上受信系#1

パケット（赤線）が来ていない

地上受信系#2パケット（赤線）が来ていないパケット（赤線）が来ている

22

3. 異常原因解析
23

原因推定までの流れ
不具合原因推定にあたり以下を実施した.
1. 各データ整理・フライト現象との整合性の確認
2. FTAの実施・原因検討レビューの実施
3. FTAで挙がった不具合原因の検証・試験
4. 不具合原因の推定※FTA…Fault Tree Analysisの略．発生事象に対しその要因を探る，トップダウンの解析手法．

24

FTA要約トップ事象を以下の4つに設定し，各要因の検討を行った．
1.
2.
3.
4.

自動緊急停止が発生．
フェアリング内UHF送信#Aについて，停止ないしデータエラー発生．
機上のL-band映像が停止．
機上C-band送信について，地上受信時の正常パケットが欠落．

4つの事象に関して，•••

機体内アビオニクスからの要因
地上設備からの要因
他系(推進系・構造系・気象条件)からの要因の観点からFTA解析を実施した(別添資料参照)．

25

1. 自動緊急停止発生の原因となりうる事象(1)1-1. 地上局のVHF送信系統が故障．
•••

飛行中の送信状況は記録できていないが，リハーサルや打上げ準備中，故障や途絶の発生は一度もない．
打上げ翌日に，送信系統が正常動作していることを別受信機にて確認できており，永久故障はしていない．
可能性がゼロではないものの， 起きていないと考えられる．

1-2. 機上のVHF受信強度が低下．
••

判定発生の直前まで，過去のMOMO 3号機などと概ね同じ強度変化を示しており，十分にマージンがある．
起きていないと考えられる．

1-3. 電波妨害等により，機上でパケット抽出ができなくなる．
•

飛行中のVHF周波数帯状況は記録できていない． 可能性はゼロではないが小さいと考えられる．

26

1. 自動緊急停止発生の原因となりうる事象(2)1-4. 制御コンピュータOBCのハードウェア故障，またはファームウェア・バグ．
•

OBCが途絶判定し緊急停止を発行したことは，UHFダウンリンク記録により， 事実として 確認されている．

••

ボード・ハードウェアの故障は原因となりうる． しかし起きていないと考えられる．
理由：ボード・ハードウェア故障（物理的破壊や電源系故障等）の場合，完全な機能停止か，リセットが起こりやすい．しかし，OBCは飛行停止前後でT時刻カウントを途切れず継続し，停止後には緊急停止ステータスを維持したままとなっており，機能停止やリセットに至った形跡はない．

••

ワイヤの断線や接続不良は原因となりうる． しかし起きていないと考えられる．
理由：CANワイヤの断線・接続不良が起これば，VHF受信パケットは到達しなくなるが，OBCがジンバルコマンド等を送出することもできなくなる．電源ワイヤの断線・接続不良の場合は，OBCが機能停止する．これらいずれも観察されていない．

••

バグによる誤動作は原因となりうる． しかし起きていないと考えられる．
理由：ファームウェア開発時や打上げ準備の際，「VHF受信機から受信パケットが出ている状況では途絶判定せず， パケットを停止させると途絶判定する」ことを実動作で確認している．途絶判定に他の条件は組み込まれていない．

27

1. 自動緊急停止発生の原因となりうる事象(3)1-5. 途絶監視冗長系のハードウェア故障またはファームウェア・バグ．
•空圧バルブの駆動ソレノイドの電圧低下が観測されており，途絶監視冗長系が 途絶判定をした可能性は高い．

•制御コンピュータOBCも途絶判定をしているので，途絶監視冗長系の 単独異常動作は起きていないと考えられる．

•単独で異常動作していた場合，原因としてハードウェア故障がありうるが，可能性がゼロではないという程度で， 起きていないと考えられる． VHF受信機から出ている受信パルス伝送ケーブルが断線等を起こせば，途絶判定は発生する．しかし明確な証拠は得られていない．

•単独で異常動作しうる別の原因として，本冗長系コンピュータのファームウェア・バグがある．しかし可能性がゼロではないという程度で， 起きていないと考えられる．
理由：ファームウェア開発時や打上げ準備の際，「VHF受信機から受信パルスが出ている状況では途絶判定せず，パルスを停止させると途絶判定する」ことを実動作で確認している．途絶判定のトリガにそれ以外の条件は組み込まれておらず，接続されている外部信号も受信パルスしかない．

•28

1. 自動緊急停止発生の原因となりうる事象(4)1-6. VHF受信機のハードウェア故障・誤動作．
••
•

•
•
•
•

•

VHF受信機は，T+61.99秒頃から受信パケット（OBCやUHF受信機で処理）と受信パルス（途絶監視冗長系で処理）の両方を出さなくなり，その後も復旧しないままとなった 可能性が高い．
受信機は，受信機能を持つ専用IC（以下，受信チップ）と，それを制御しCANバスへのデータ転送を行うマイクロ・プロセッサから構成される．
受信チップは，外来ノイズの流入経路となりやすいアンテナと電気的に直結している．

静電気放電や落雷等によるサージ（非常に強いノイズ）で，受信チップが破壊またはハングアップ（一時的な機能停止）した 可能性がある．
落雷（氷結層等に由来）が起きた可能性は不明．
空気・雨滴（雲）との摩擦で発生した静電気によりフェアリング（GPRF製）表面が帯電し，裏面に静電誘導が起こる可能性が知られている．
フェアリング裏面にはVHF, UHFアンテナが絶縁物を介して取り付けられているが，静電気放電が起きたりアンテナがフェアリングと接触したりすることにより，サージがアンテナへ流入した 可能性がある．

受信機ボードのCANコネクタ（電源も供給）が振動等により破損・脱落等すれば，受信機は受信パケットと受信パルスのいずれも出さなくなる． この可能性はある．

29

1. 自動緊急停止発生の原因となりうる事象(5)1-7. VHF受信機のファームウェア・バグ．
••

受信機内のマイクロ・プロセッサが，ファームウェア・バグで暴走・停止すれば原因となりうる．しかし 起きていないと考えられる．
理由： 受信機内のマイクロ・プロセッサはCANパケット生成と受信パルス生成を行っている．しかしファームウェアは受信チップから繰り返しデータを読み取る単純なもので，受信チップがハングアップしない限りは動作停止しない．地上試験でも多くのランタイムを蓄積している．

1-8. VHF受信アンテナそのものの破損・脱落やケーブル断線．
••
•
•
•

フェアリング内に取り付けされたアンテナが破損・脱落したり，コネクタ破損やケーブル断線が起きれば原因となりうる．しかし可能性は小さいと考えられる．
これらが原因となっている場合，それまで全く正常であった受信が突如不能になることは比較的少なく，一般には，受信が断続的になったり受信強度が低下したりする等の前症状が現れ，その後で完全故障に至る場合が多い．
しかし本フライトでは，緊急停止発生までそのような前症状は観察されていない．
VHFアンテナは円形・軽量で複数の取り付け具で固定されており，一瞬で完全に脱落することは考えにくい．
MOMO 3号機の打上げ前に，フェアリングと内部電装系をあわせた全体で加振試験を行っているが，その当時には機器破損は見られなかった．MOMO 4号機では全体加振をしていないが，作りは3号機と同じである．

30

2. UHF送信#A中断の原因となりうる事象
2-1. UHF送信機のハードウェア故障・誤動作やファームウェア・バグ．
•••••

静電気放電や雷により，ハングアップを起こした 可能性はある． ただし，T+70頃から送信機能が戻っているため，破壊までは起こしていないと考えられる．
UHF送信機の回路・ボードはVHF受信機と同じものである（利用部品の定数値のみの違い）．したがい故障モード等も類似と考えられる．
送信チップはフェアリング内のUHFアンテナと接続されているため，VHF送信機内の受信チップと類似の動作環境にある．
内部プロセッサのファームウェアは一定周期でデータ送信を繰り返すだけの単純な構成だが， 送信チップがハングアップするとメインループが停止する可能性がある(※現在調査中)．
メインループの 動作が停止した場合， 0.3秒でウォッチドッグ・タイマによりリスタートがかかる点が，VHF受信機のファームウェ
アとは異なる．

2-2. UHF送信機のアンプ故障・誤動作．
•

地上での受信強度は低下しておらず， 起きていないと考えられる ．すなわち，電波信号自体は出ているが，送信チップ側のトラブルでパケットが生成されなかったと考えられる．

2-3. 地上のUHF受信機の誤動作．
•地上受信機は#1,3の二系統あり，両方でパケット瞬断が観測されているので， 起きていないと考えられる ．

31

3. L-bandカメラ映像中断の原因となりうる事象
3-1. 空力の影響等によるカメラ本体の喪失．
•

カメラはエンジンカバー最下部に貼り付けされているが，周辺環境に対する厳重なガードは施していない．
i.
液体酸素タンクより下部にあるため，飛行中に水・霜などがあたりやすい．
ii.
電気的なサージに対する保護は特にしていない．
iii.
MaxQ近辺において側面からの気流が若干でも発生すれば，容易に脱落しうる．無線機本体は機体内の奥の方に取り付けられているので，こちらが脱落することはない．

•無線機は出力を出したままカメラのみが故障ないし喪失し，映像暗転したと考えられる．

32

4. C-band送信中断の原因となりうる事象
4-1. 機体と地上局間の距離増加や，トータル・ルックアングル変化等にともなう正常現象．
•••

地上局における受信信号強度変化は，当初から予想されたものと整合している．
信号強度とパケット抽出成功率も整合している．
C-band送信アンテナは，フェアリング内壁には取り付けられていない．

•

したがい，C-band送信中断は正常な現象 であり，VHF/UHFに起きている事象とは独立と考えられる．

33

フライト後に実施した追試と結果
テスト対象のVHF受信器
ESD対策デバイス

VHFアンテナ．先端にESDガンを接触して電圧パルス印加●

ESD（Electro-Static Dischargeの略，静電気放電）試験機を用い，放電を模擬した高電圧のパルスをVHF受信器のアンテナ入力へ印加し，挙動を調査した．

●

左写真のように，アンテナとVHF受信器をRFケーブルで接続し，アンテナ先端へパルスを印加した．

●

調査の結果，1kV程度のパルス印加で，使用している受信チップがハングアップしてしまうことが判明した(受信チップのリセットで復活するため，永久的な破壊ではない)．
再現性はほぼ100%である．

●

ESD対策デバイスも調査中であるが，サージ除去素子とRFリミッタ素子が有効な可能性がある．

34

4. 推定原因35

自動緊急停止発生の推定原因
VHF受信機がパケット受信動作を恒久的に停止し，停止期間が2秒を越したため，制御コンピュータOBCおよび途絶監視冗長系が，それぞれ飛行停止処理を実行した．

VHF受信機の動作停止原因は以下の二つの可能性が高いと推定しているが，特定はできていない（次ページで詳細を述べる）．
(a)(b)

デバイスの特性や回路設計の状況から，静電気放電等のサージがチップ入力か電源系に加わった
または，VHF受信機のアンテナ線と電源線の一方または両方が外れた可能性がある．

36

(a) 静電気等のサージによるVHF無線機停止の可能性
1.

アンテナ入力に静電気放電等で高電圧パルスが入ると受信チップが機能停止することが，地上での追試で確認された．しかし，フェアリング内のアンテナにそのようなサージが入り得るのかは，まだ追試できていない．すなわち， サージが原因の可能性はあるが断定はできない ．

2.

上記の場合，VHF受信機内のマイクロ・プロセッサが停止したのではなく，受信チップが停止した可能性が高い．おそらく永久故障まではしておらず，ハングアップを起こしたと考えられる．（ハングアップは外部からのリセットトリガで回復可能ではあるが，受信チップが単体で自動的に機能回復することはない．）

3.

UHF送信機の一時停止は，類似原因の可能性がある ．UHF送信機はVHF受信機と異なり，送信動作停止をマイクロ・プロセッサ側で自動検知し，送信チップをリセットするようになっているため，機能回復できたものと考えられる．

37

参考: MOMO4号機までの設計方針，打上げ基準•

MOMO初号機～4号機の無線送受信系ハードウェアについて，静電気放電や雷などのサージ対策は行っていなかった．
•••

原因１：基幹ロケット等において監視や対策が行われている( https://fanfun.jaxa.jp/topics/detail/6905.html など)という知識は保有していたが，北海道から発射する場合における対策必要度を把握していなかった．
原因２：温度や振動など別の環境対策に開発工数を取られ，取り組みが後手に回った．

同じく，打上げ基準として，氷結層などの静電気発生原因や雷への基準は設定はしていなかった．
•同上の理由による．

38

(b) 基板・ワイヤ破損によるVHF無線機停止の可能性
1.

VHF受信機の基板の破壊，ワイヤの断線，コネクタからのワイヤ脱落等によっても，受信動作は起こらなくなる．ただし，アンテナケーブル断線やコネクタ外れなどの場合，事前に断続的なパケットドロップなどの予兆が現れうるが，それは観察されていない．短時間（1秒未満）で断線すれば観察事象と整合しうるが，そのような急激な破壊が過去に地上振動試験等で発生した事はない． すなわち，破壊や断線の可能性はあるが断定はできない ．

2.

電源系統がショートや過電圧印可等により故障すれば瞬間的に機能停止しうる．ただし他のアビオニクス機器は正常動作を続けている．VHF受信機のボードのみに電源故障が起きたならば観察事象と整合するが，落雷等であればもっと広範囲に障害が出てもおかしくない． すなわち，電源故障の可能性はあるが断定はできない ．

3.

基板上の主要部品が振動等で脱落すれば，瞬間的に機能停止しうる．ただし過去の地上振動試験では，実際よりはるかに強い振動でも発生したことはない． すなわち，部品脱落の可能性はあるが断定はできない．

39

参考: MOMO4号機までの施工基準•

MOMO初号機～4号機のアビオニクス製作においては，施工ルールが曖昧，かつチェックリスト化を含む形式知化が不十分であり，品質にばらつきが生じる状況であった．
•••

原因１：プロトタイピングしつつ問題が見つかった時点で修正していくというボトムアップ型の開発スタイルが根強く，どのような設計・製造・試験をすべきか予め分析・規定するトップダウン型のスタイルが定着途中であった．
原因２：電子部品は形態や特性の変化が急激であることから，既存の航空宇宙機における施工指針や製造規格を，実際に用いている部品に適用しにくい状況が多く発生した．
原因３：そのような場合，理想的には，様々な基礎実験を実施しフライト前に施工方法や検査方法を追及すべきであるが，多くの工数・時間を投入することができなかった．

40

5. 今後の対策
41

対策の基本方針•

MOMO次号機および短期的には，VHF受信機の誤動作原因と推定された 全事項に対して対策を実施する．具体的には次の観点で対策を検討（詳細は次ページ以降）．
•••

サージ関連：
電装品施工関連：(1) 無線機サージ耐性調査・耐性強化，(2) 冗長系追加，(3) 打上げ基準見直し．
(1) 施工管理の厳格化，(2) 無線機系の受入試験内容見直し．

中長期には，以下の事項につき調査・改善を実施し，設計・製造品質の安定化を進める．
•••

アビオニクス各部に対する冗長系必要性の分析と，冗長系の構築．
ソフトウェア中の不具合対応処理の，実装ルール確立．
現在の民生部品向けの施工法調査実験と，施工ルール確立．

42

サージ関連のアクション•

サージ耐性調査・耐性強化．
••
•
•
•

•

冗長系追加．
•••••

MOMO 4号機で使われたVHF受信機とUHF送信機につき，ESD耐性やサージ発生時挙動を調査（現在実施中）．
GFRP製フェアリングを介してサージが入力されるかを調査（今後予定）．
地上の野外無線局等でも利用されている サージ除去素子やRFリミッタ素子が有効かを調査．
サージ観測系の追加が可能かを検討．
アースが確実に取れているか，設計・施工全般を見直し．

VHF受信機とアンテナについては搭載機数を増やし，冗長系を構成．
冗長系で使用するVHF受信機については，使用受信チップやファームウェアを元設計と別にすることを検討．
設置位置についても，フェアリングと別の場所が可能かを検討．
制御コンピュータや無線途絶監視系のファームウェアを，この冗長系に対応できるよう修正．

打上げ基準の見直し．
••

氷結層を含む雲など，サージ発生要因となる環境条件を打上げ基準に追加．
当該環境の推定または測定の方法を検討．

43

施工関連のアクション•

施工管理の厳格化．
•••

コネクタ，ワイヤ，基板の加工法や機体への取付法など，技術的手法のルール化（施工品質のばらつき防止）．
機能チェック実施確認やダブルチェック手続きなど，施工実施体制・手順のルール化．

無線系の試験内容見直し．
••

無線系のフライト品につき，フライト時と同様の振動・温度状況での通電動作試験（ホットラン）と事後検査を，試験項目として追加．（※4号機までは，フライトで用いる個体に対しては，地上環境での通電機能試験と非通電の環境試験の二つを実施しており，近似飛行環境下での通電動作試験をしていない．）
フライト品の受入試験全般につき，実施基準を再検討．

44

その他のアクション•

地上に設置されているVHF送信系の冗長化．

•

地上局に，VHF送信状況のモニタリング機構を設置．

45

ペイターズドリーム MOMO4号機不具合発生原因 FTA

事象
T+64.3secに自動緊急停止が発生

1次要因

2次要因

アビオニクス系統に起因

実際には緊急停止していな
いがUHFテレメが停止を示した
機上でVHF受信途絶判定が発生した

凡例 ×原因ではない △複合要因となり得る ▲複合要因となり得、かつ、何らかの解析的・観察的裏付けがあるもの 〇単体で原因となる

3次要因

4次要因

5次要因

6次要因

確認方法

判断

カメラ映像で実際にエンジン停止している

×

打上げ前や翌日の確認では送信機は健全．ただし打ち上げ時点における状況は記録なし．
RSSI値はMOMO3と同程度で問題が発生する強度ではない

地上局からのVHF送信が途絶
受信強度の低下△気づき事項、要処置事項（解析の要否等）

本件が第一原因かどうかに関わらず，地上局のトラブルで即座にフライト失敗となるため，設計思想（冗長系等）や施工確認方法は要再検討

×

電波妨害

可能性がないとは言えないが低い△

制御コンピュータや途絶判定冗長系の故障ないし誤動作

いずれも途絶判定をしているので単独誤動作の可能性は低い

×

受信機の電源断（基板の電源系故障を含む）

T+61.99以降VHF受信機が受信関連出力を出していない〇

受信機に接続されたケーブルの断線，コネクタ外れ，コネクタと基板のはがれ等

T+61.99以降VHF受信機が受信関連出力を出していない〇

受信機内マイコンのファームウェア・バグ

T+61.99以降VHF受信機が受信関連出力を出していない△

サージやその他飛行環境下における受信機の破壊や機能停止（例：氷結層による影響）

T+61.99以降VHF受信機が受信関連出力を出していない〇（上記 ケーブル外れと共通）

T+61.99以降VHF受信機が受信関連出力を出していない受信機が稼働して居れば低い受信レベルを送出するはず〇地上局の送信状況と合わせ，5号機以降監視体制を強化

他の基板は動作しているので，もし起きたのであれば受信機のみで発生したことになる
VHF受信機の故障ないし誤動作

VHF受信アンテナの破損ないし断線

地上電気系統に起因

T+68～69頃 UHF #A
送信停止

T+64頃L-band
映像停止
搬送波と思われる信号はT+152まで受信

コマンド無線が正常に送信されていなかった

推進系統に起因

トリガーなし構造系統に起因

構造破壊により、VHFボードが破損

アビオニクス系統に起因

地上のUHF受信機の故障
または誤動作機上のUHF送信機の故障
または誤動作送信系に起因本件が第一原因かどうかの断定は，データのみでは困難．しかしそれに関わらず，設計思想（冗長系等），開発・施工・検査体制は要再検討．再現実験も行うほうがよい．
地上試験において，実際に無線途絶していないのに途絶判定が行われたケースはない．
本件が第一原因かどうかの断定は，データのみでは困難．しかしそれに関わらず，設計思想（冗長系等），開発・施工・検査体制は要再検討．再現実験も行うほうがよい．
静電気放電や雷により生じるサージにより，使用しているデバイスが機能停止あるいは破壊する可能性はある．ただし異常高温になっていた可能性は低い．
振動も基板が破損するほどのレベルであった可能性は低い（地上の振動試験で，基板に対して強い加振をしたことがあるが損傷が起きたことは過去にない）．
本件が第一原因かどうかの断定は，データのみでは困難．しかしそれに関わらず，設計思想（冗長系等），開発・施工・検査体制は要再検討．再現実験も行うほうがよい．
可能性はあるが，アンテナ系が破損した場合，まず受信レベルの低下など前症状がある場合が多いので，特定まではできない．
本件が第一原因かどうかの断定は，データのみでは困難．しかしそれに関わらず，設計思想（冗長系等），開発・施工・検査体制は要再検討．再現実験も行うほうがよい．

機体コントローラー(地上)の異常プログラムに異常が発生し、コマンド送信が一時的に停止した

動作ログの取得△

PLCの動作ログを取得していないため、明確に原因ではないと断定はできない。緊急停止直後のパケット送信確認ランプについては正常に動作していたため、可能性としては低いと考えられる。

ネットワークの異常地上局から送信局までつながるネットワークの一部に障害が発生し、コマンド送信が停止した

送信局側での状態監視△

送信パケット及び送信電力の監視は行っていなかったため、明確に原因ではないと断定はできない。緊急停止直後のパケット送信確認ランプについては正常に動作していたため、可能性としては低いと考えられる。

×

推進系によるエマスト条件はなし。またVHFアンテナとMCCが離れており、MCC破壊がVHFボードに影響を及ぼすとは考えにくい。

△

VHFボードのみが振動励起され、破壊した可能性は完全には否定できない。ただ、ボード破損に至るほどの環境条件で、他の電子部品に不具合が出ていない点が説明がつかない。

×

フェアリング搭載アビオニクスケースの破壊

VHFボード以外の健全性。他のボードも破壊に至るはず

受信機の電源断（内部の電源系故障を含む）〇

送信機#Aについては，地上では二つの受信系#1,3を設置していたが，いずれの系統でも受信できていない．
電源ワイヤの接触不良等があれば一時的に機能停止することはあり得る．電源回路が破損した場
合は永久故障になるが，通信が戻っているので，これは発生していない．

受信機内マイコン/チップのファームウェアバグ△

VHFボードと同様．地上試験でバグによる機能停止を起こしたことはない．

サージによる受信機破壊ないし誤動作（例：氷結層による影響）〇

VHFボードと回路がほぼ同一なので，同様にあり得る

電源故障

送信機の電源ワイヤ破損や電源回路故障など受信したカメラ映像の確認

×

T+152の着水まで黒色信号の映像を受信 152秒以降ノイズ

カメラ故障または喪失

カメラ接着部の破断など受信したカメラ映像の確認〇

カメラはエンジンカバー最底面に接着されているので，MaxQ近辺であれば空力の影響を受ける可能性はある

漏水による故障

受信したカメラ映像の確認

液体酸素タンクの下方にあるため，多量の水滴・霜が落下してくる部位である振動による故障

受信したカメラ映像の確認

サージによる故障

受信したカメラ映像の確認

アンテナ本体の破損

受信したカメラ映像の確認

ケーブルやコネクタの脱落

受信したカメラ映像の確認

〇
△〇
△
△

本体破損

受信したカメラ映像の確認
地上設備の点検受信したカメラ映像の確認
地上設備の点検受信したカメラ映像の確認
地上設備の点検×

T+152の着水までは暗転映像を受信していた×T+152の着水までは暗転映像を受信していた×T+152の着水までは暗転映像を受信していたアンテナ故障受信系に起因本件が第一原因かどうかの断定は，データのみでは困難．しかしそれに関わらず，設計思想（冗長系等），開発・施工・検査体制は要再検討．再現実験も行うほうがよい．
どこが切れたかは特定しにくいが，アンテナや電源，CANについてはありえる．

受信機故障

電源破損
アンテナ系故障

瞬間的に故障する可能性あり
アンテナ系が破損した場合，暗転映像ではなくノイズ画像になると思われる
アンテナ系が破損した場合，暗転映像ではなくノイズ画像になると思われる