UNISEC外第21-21号

超小型衛星ミッションアシュアランス・ハンドブック（案）

2022年3月
特定非営利活動法人大学宇宙工学コンソーシアム(UNISEC)

1

日本語版

2

大学・高専発超小型衛星の Mission Assurance Handbook
目次
1. はじめに
2. プロジェクトマネージメント
2.1 スケジュール管理2.2 チーム体制
2.3 効率化
2.4 周波数調整・電波免許
2.5 安全要求への適合
2.6 文書管理
2.7 不具合管理
3. ミッション定義
3.1 実現性
3.2 サクセスクライテリア
3.3 ミッションシナリオ
3.4 リスク管理
4. 概念設計
4.1 要求管理（ミッション要求、設計要求、検証要求の整合性）
4.2 過去のプロジェクトの教訓の反映
4.3 安全要求適合性確認
4.4 検証計画
5. 詳細設計
5.1 部品・コンポーネント選択
5.2 リスク管理、FTA、FMEA
5.3 死なない衛星を心がける
5.4 過剰な保護機能を避ける
5.5 設計変更時の留意点
5.6 運用しやすい衛星設計
5.7 試験しやすい、製造しやすい衛星設計
5.8 設計根拠の理解
5.9 FM に移行する前に5.10 安全要求適合性確認
6. 製作
6.1 品質管理
6.2 作業外注と内製
6.3 安全要求適合性確認
7. 試験
7.1 電磁適合性試験
7.2 End-to-End ミッション試験
7.3 電気的インターフェース（噛み合わせ）試験
7.4 システム機能試験
7.5 End-to-End 長期運用試験
7.6 展開試験
7.7 フィットチェック

37.8 熱試験
7.9 振動試験
7.10 試験コンフィギュレーション（Test-as-you-Fly）
7.11 外部試験機関の利用
7.12 試験結果の評価
7.13 衛星の保管
7.14 安全要求適合性の確認
8. 運用
8.1 地上系準備・メンテナンス
8.2 運用計画
8.3 不具合対応
9. 運用後
9.1 Lessons Learned
9.2 記録化と成果報告・公開
9.3 ノウハウ共有
10. 大学衛星プログラムの持続可能化
10.1 プログラムとしての視点
10.2 学内基盤の強化
10.3 資金確保
10.4 外部連携

4

略語
BBM Bread Board Model
CDR Critical Design Review
EM Engineering Model
FM Flight Model
FET Field Effect Transistor
FMEA Fault Mode Effect Analysis
FTA Fault Tree Analysis
MA Mission Assurance
MCU Micro-Controller Unit
MOSFET Metal-Oxide-Semiconductor Field Effect Transistor
OBC OnBoard Computer
PDR Preliminary Design Review
Rx ReceiverTx Transmitter51. はじめに本文書は大学・高専等（以下、簡単化のため「大学」とする）が開発する超小型衛星の Mission 成功率を向上させるために、教員・学生を含む開発・運用チームが念頭におくべき事項をまとめたものである。ミッション保証（Mission Assurance）とはミッションの成功を阻害する設計・製造・運用等における要因を見つけ、その影響を軽減させる一連の活動を意味する。
大学で衛星が作られるようになって 20 年以上が経過し、超小型衛星は今や単なる学生の教育ツールとしてだけではなく、最先端の科学観測やビジネスにも使われるようになっている。いわゆる「New Space」と呼ばれる多くの新興企業が大学衛星プロジェ
クトを経験した元学生達によって立ち上げられ、躍動する宇宙セクターの原動力ともなっている。
日本においても、これまでに 20 を超える大学が超小型衛星を打ち上げているが、そのミッション成功率は未だ低いままである。世界的に見てもそれは同じであり、文献[1]によれば、大学発衛星の 25%が DOA(Dead-on-Arrival、軌道上放出後に地上局で電波を一回も受信できない）に終わっており、ミッション成功と分類される衛星は「部分的な成功」を含めても 50%に満たない。
大学衛星のミッションは「教育」「技術実証」「科学観測」が主たるものである。
しかし、たとえ「教育」をメインミッションとしていたとしても、運用によって得られる教育的効果は開発段階で得られる教育的効果に匹敵する。そのため、教育衛星といえども、地上との間で電波をやりとりして衛星に何らかの仕事をさせる、すなわち軌道上で何らかのデータを取得してダウンリンクすることを目指さなければいけない
大学衛星のミッション成功率を向上させることは、卒業後に宇宙セクターに進む人
材の教育効果を上げるだけでなく、大学衛星を活用した挑戦的な「技術実証」「科学観測」の成果を向上させることにもつながる。それらの成果は、より大きな規模で行われるミッションのパスファインダーとして活用され、宇宙セクター全体の発展に寄与することとなる。
本文書は、2020 年度に大学宇宙工学コンソーシアム(UNISEC)が行った Lessons
Learned 共有会において出されたさまざまなミッション成功・失敗事例を分析したものが基となっている。Lessons Learned 共有会のまとめは文献[2]として出版済みである。
文献[2]の 5.2 章に「超小型衛星のミッションアシュアランスのための要件項目の抽出」
として、超小型衛星ミッションを成功させる上で必要な要件項目を抽出している。本文書は、失敗事例の Root Cause Analysis をさらに行なった結果に基づいて、それら要件項目を衛星のシステムライフサイクルに沿う形で加筆・修正・再構成し、衛星プ
ロジェクトに関わる教員・学生が衛星プロジェクトをやりながら常に参照できるようにした。特に● プロジェクトの実施形態に応じた大学における適切なマネージメント方法● プロジェクトを「効率良く」実現するポイント● ミッション定義から運用後に至るまでのプロジェクトライフサイクルの各フェー
ズ毎にミッション成功率向上のために実施すべき事項● 個々の単発のプロジェクトではなくプログラムとしてミッション成功率を確実に向上させていくために、大学衛星プログラムを持続的に行っていくためのポイン
トの４点を念頭においている。
大学衛星のミッション成功率は、初号機では極めて低く、2 号機以降は自らの教訓を反映することで大きく向上する。しかしながら、2 号機以降でも失敗がなくなるわけで6

はない。自分達以外の多くの衛星プロジェクトと経験知を共有することで、ミッショ
ン成功率をさらに向上させることができる。そのため、本文書の対象は、初めて衛星開発に携わる教員・学生だけでなく、2 号機以降に携わる大学関係者も含んでいる。
本文書は、特定非営利活動法人大学宇宙工学コンソーシアム(UNISEC)が国立研究開
発法人 宇宙航空研究開発機構（JAXA）から受託して実施した業務 「2021 年度 超小型衛星の成功率向上に向けた JAXA 知見を活用した支援方法の調査検討」（JX－PSPC－
536920A）の一環として作成されたものである

7

2. プロジェクトマネージメント
2.1 スケジュール管理
大学衛星の場合、初号機からミッションに成功することは稀である。失敗原因の多
くは、経験不足からくるスケジュールの読み間違いが、最終的なシステム全体を使っての試験時間の不足につながったことにある。相乗りに頼る大学衛星では、衛星納入
日を自ら選べることは少ない。そこで衛星納入日を D として、スケジュール管理の目安となるマイルストーンを表１に示す。(A)〜(E)までに示された期間を短縮することは厳しい。物品の発注・調達にかかる時間は学生の頑張りだけでは短縮できない。また(A)と(B)で全系を組み合わせてどれくらい長い期間動作させて、どれだけのハード・ソフトの欠陥を検出し修正できるかが、衛星の軌道上生存率やミッション成功率を左右する。そのため(A)や(B)の時間を縮めてスケジュールの遅れに対処しようという考えは持つべきではない。
表１

スケジュール管理の目安

時期
D
(A)
D-1 月

マイルストーン
衛星納入
ソフトウェアのバグ出し（１ヶ月）
FM ハードウェア・ソフトウェアが完成し、ハードウェアに関する試験（振動・熱真空等）を終えている。
基本的な地上局ソフトウェアが完成している。
(B)
FM 組み立て・統合・試験（2 ヶ月）
D-3 月
FM に使用する各種ハードウェアが納入され、組み立てを待っている。
(C)
FM 発注・調達（３ヶ月）
D-6 月
EM の試験が完了し、衛星システムとして動作することが確認されている。
(D)EM 組み立て・統合・試験（４ヶ月）
D-10 月 EM に使用する各種ハードウェアが納入され、組み立てを待っている。
(E)
EM 発注・調達（３ヶ月）
D-13 月 想定したミッションが実施可能である確証を得る。
EM の設計が完了し、発注が始まる。
(F)
Proof of Concept
D-A*月
どのようなミッションを実施するかが決まる* 時期は衛星プロジェクトにより異なる(A)の期間中（１ヶ月）は、ハードウェアの変更は基本的に行わず、End-to-End 長期運用試験（7.5 を参照）でソフトウェアのバグ出しに専念する。ただし、ソフトウ
ェアにバグが見つかったとしても、FM のソフトを実際に変更するかどうかは、変更によるリスク（それまで動いていた部分が動かなくなる）と変更しなかった場合のリスク（軌道上でバグが発生する）を比較した上で慎重に判断すべきである。
(B)の期間中（2 ヶ月）に FM の組み立て•統合・環境試験(AIT)を行う。AIT 中に不適合が見つかり、FM の改修が必要となる場合が多く、２ヶ月は必要である。試験日程が刻々と変わる可能性があるので、試験実施場所が外部機関の場合は、当該機関との連絡を常にとっておく。
(C)の期間中（３ヶ月）に FM の発注・調達を行うが、EM 試験結果に基づく FM での設計の軽微な変更が必ずある。図面の引き直しなどで予想外の時間を要する場合がある。

8

この間に FM の試験日程を組み、試験設備を確保しておくべきである。その際、FM の組
み立て・統合に時間を要することを考え、FM 試験日程は少なくとも Plan-A(予定通り進んだ場合)と Plan-B（予定通り進まなかった場合）の２通りを想定しておく。
(D)の期間中（4 ヶ月）に EM の組み立て・統合・試験を行う。組み立て・統合はコン
ポーネントが全て揃ってから一度に行うのではなく、納入された物品から順にインターフェース適合性を確認していくべきである。組み立て時に機械インターフェースの不適合が数多く見つかるので、構造系や基板の改修が必要となる。統合時には電気的インターフェースの不適合が数多く見つかり、トラブルシューティングに多大な時間を要する。振動や熱真空といった環境試験は慣れていないため、スケジュールに余裕をもっておく。特に初号機の場合、EM 振動試験は 1 回で終わらない場合が多いので、複数回することを覚悟しておく。通常は(D)の期間の最後に CDR がある。
(E)の期間中（3 ヶ月）は EM の納入を待つ期間であるが、その間も安全審査対応のための構造解析や STM 振動試験、BBM を使ってのソフトウェア開発等々、やることは多くある。また EM の試験日程を組み、試験設備を確保しておく。
(F)の期間中（長さはプロジェクト毎に異なる）に BBM 等のハードウェアを使って、ミッションが実施可能であることを確かめておく(PoC, Proof of Concept の実施)。複数のミッションを搭載する場合、PoC の結果が芳しくないものについては、搭載を断念する決断が必要となる。決断を後回しにするだけ、EM や FM の設計変更につながる恐れが増え、コスト増・スケジュール遅延につながる。メインミッションの場合、PoC の結果に応じてミッション要求を見直すべきである。通常は(F)の期間の最初に MDR、最後に PDR がある。
2.2 チーム体制
大学において、衛星のプロジェクトチームを編成する際、学生だけでは必要なタレントが全て揃うことはない。足りないところは、スタッフを雇用する、学生の成長に期待する、外部機関と連携する、買い物で済ませる、といった解決策があるが、いずれも確実ではなく、ミッションの難易度や予算や地理的状況などなどを考慮してベス
トな策を得る必要がある。いずれにせよ、衛星ミッションの策定を行なっていく上で、チーム内のタレントの見極めが極めて大事である。参考のために、表２に見極め作業で使えるようなチェックリストを示す。

9

表2

衛星プロジェクトのタレントの見極めのためのチェックリスト

項目

回答選択肢

責任教員(P/I)が講義の時間以 100

50~99

20~49

5~19 0~4

3 以上

2

1

0

3 人以上

2

1

0

3

2

1

0

機械

電気 通信 メカト 情報

外に衛星プロジェクトに費やせる時間(%)
責任教員の衛星プロジェクトの経験
衛星プロジェクトに関与する
教員（学科プロパー）
衛星プロジェクトに専念する
スタッフの数教員の専門分野（複数）宇宙工学 理学ロ
プロジェクトマネージャー

他

責任教員 (P/I)以外 専任ス 博士 修士 学部生 学部生(P/I)のプロパ タッフ 学生 学生 （研究 （研究ー教員

プロジェクトマネージャーが

その

3 以上

2

室内） 室外）10

機械

電気 通信 メカト 情報

経験した衛星プロジェクトの数
参加学生の学科（複数）

宇宙工学 理学ロ
学生の学年(複数)

学部 1~2

他

学部 3 年 学部 4 修士 博士

年
責任教員の研究室外の学生の

その

年

推奨

限定的

100

50~99

20~49

0~19 0

3 以上

2

1

0

参加
衛星プロジェクトを経験した
学生の割合(%)
衛星プロジェクトに主体的に関与する外部機関の数

チーム内のタレントが把握できたとして、衛星ミッションを実施する上でチーム内では解決できない専門知識やノウハウを効率的に得られる仕組みを作ることが重要である。ここで注意すべきは、外部にコンポーネントの開発や製作について協力を要請したとしても、その仕様はミッション要求やシステム要求と合致していなければならず、仕様をチームメンバー（特にプロマネや当該コンポーネントを使用するサブシス
テム担当者）が理解している必要がある点である。またコンポーネントが納入されたとしても、システムに組み込んで衛星全体の検証を行うのは大学側の責任であり、チームメンバーがそのことを肝に銘じておく必要がある。
大学衛星プロジェクトは、たとえ専任のスタッフを雇ったとしても、学生の献身的な労働なしには成り立たない。学生のプロジェクトへの参加は、学生個々に異なるモ
チベーションによって支えられている。そのモチベーションの維持・向上の責任は全て教員にあることを、教員は肝に命じるべきである。
研究室プロジェクトの場合、学生の卒論・修論・D 論とリンクさせることができるが、10

そうでない場合は学生にプロジェクトに参加する意義を見出させる必要がある。特に少人数・短期集中開発は学生も精神的に追い込まれる。ゴールの先に得られるものを学生が明確に意識できるようにしなければならない。
サークル活動の場合、学生の出入りは基本的に自由であり、学部低学年であることも多く、教員と学生のつながりも研究室プロジェクトほどには太くない。普通の部活
動と異なり、対外試合があるわけでもなく、コンテストのように数ヶ月先に明確なゴールが見えているわけでもない。教員側が積極的に関与する姿勢を見せ、学生の懸念を早期に拾い上げる努力をしなければ、学生間のつながりだけでモチベーションを維持するのは難しい。
学生のモチベーションを維持する上で、打ち上げが決まっていることが何よりも重要であり、打ち上げの決まらない学生衛星プロジェクトは漂流することになる。ただし、打ち上げが決まれば信頼性のある衛星を学生が作るわけではなく、教員が常に「打上げ日までに衛星を間に合わせるのが成功ではなく、打ち上げ後に予定していたミッションを実施できて初めて成功と言える」ということを言い続けることが必要である。教員が「ミッション成功が大事」と言い続けなければ、学生はついてこない。
また、衛星の開発期間があまりに長すぎると、学生は衛星プロジェクトの一部しか経験できず、モチベーションを持たせることが難しい。開発から運用までの一連のプロセスをすべて体験できることがモチベーションにつながる。そのためには、プロジェ
クト立ち上げから運用までを 3 年以内に実施することが望ましい。
3 年というプロジェクトのライフサイクルの設定は非常に大事である。軌道上で開発
時に見過ごしていた問題が発覚した場合、運用で回復するしかない。できることは限られているものの、衛星の設計を熟知していることにより、とりうる対策の幅は広がり、時には絶望的な状態から回復することもありうる。大学衛星プロジェクトの実施
形態は工学系の研究室を中心に行われる「研究室型」のものが多いが、学生は学部４年生から修士２年生までの 3 年間在籍するケースが多い。プロジェクト立ち上げから打ち上げまで 3 年以上を要すると、運用時には衛星の設計に精通した学生がいないということが起こり得る。多額の外部資金を獲得してきて、専任スタッフや大学院生（修士・博士）が多数参加する「研究指向型」のプロジェクトでは、専任スタッフの雇用の際に、開発完了まででスタッフの雇用期間を区切るのではなく、運用も見据えた雇用期間とすべきである。研究室外の学生も参加する「サークル型」は３年を超えたライフサイクルも可能ではある。ただし、あまりにもプロジェクトが長期化すると学生のモチベーション維持が難しい。また、研究室配属後は卒論・修論等があるので、指導教員の理解がない限り４年生以降は多くの時間をプロジェクトに割くことができない。そのため、「サークル型」であっても３年程度でライフサイクルを終わらせる
ことが大事である。
大学衛星では、P/I (Principal Investigator)である責任教員の判断が最優先されるが、重要事項の判断は P/I の教員が一人で行うのでなく、複数の人間で話しあって冷静に議論した上で決めるべきである。教員には、他者の意見を受け入れる度量の広さが求められる。
大学衛星で学生・ポスドク・若手教員がプロマネをする場合、上席教員（通常は P/I）
は状況を常に把握し、必要であれば外部に助けを乞う。学生やポスドクではなかなか
外部とのチャンネルもなく、助けを得難い。そのため、適切なチャンネルを外部との間に作るのも上席教員の役割である。教員は学生やポスドクに丸投げすべきではない
システム全体を見渡せるのがプロマネ 1 人である体制は、そのプロマネに事故などがあった時に非常なリスクを抱えている。システム全体に精通した人材を複数用意し11ておく。また、チーム内でも情報の共有を進めておく。１人の人間に依存したプロジェクトマネージメントは、リスクがあまりにも高く、するべきでない。そのためにも、
平常時からチーム全員が一つの部屋で過ごすような開発体制が望ましい。また、逆にいうと、プロマネ１人でシステム全体を見渡せないようなシステムは超小型衛星とは言い難い。また、システムが複雑になればなるほど、超小型衛星開発の経験者（システムライフサイクルの全てを経験した者）がプロマネになるのが望ましい。
2.3 効率化
文献[3]に倣って、衛星プロジェクトにおける活動を３種類に分類する。1 番目は、衛星の価値を向上させる活動。この中には MA も含まれる。2 番目は、価値は向上させないものの必要な活動。この中には安全審査対応や宇宙活動法・電波免許等に関する作業が含まれる。3 番目は、その他の「ムダ」な活動である。超小型衛星では、この「ムダ」をできる限り減らすことによって、限られた人員と資金で衛星を開発・運用する。
衛星プロジェクトにおいては、「移動」と「待ち」でムダが発生しやすい。そのムダを削減し、得られた余剰の時間を MA に振り分けるべきである。同じキャンパスの中で開発する場合であっても、チームの所在地が分散していると、ミーティングや組み立て・統合・試験作業のために一箇所に集まるための移動時間はムダである。衛星運用においても、地上局までの移動時間はムダである。コロナ禍において遠隔作業やコ
ミュニケーションは大きく進化したが、それでも対面で行う作業やコミュニケーショ
ンに対して効率は大きく劣る。キャンパス内に試験設備がない時、試験実施場所までの衛星の輸送や人員の移動はムダな時間である。メイルによるコミュニケーションは、返信が来るまでの時間は「待ち」であって、価値の向上に繋がらない。チーム全員が同じ部屋に滞在して、細々としたコミュニケーションは口頭で行うことで、時間が大きく節約される。記録として残すべき事項については、テキストメッセージ化するな
どの使い分けをすべきである。移動とコミュニケーションを効率化するには、居室、作業室、試験設備、地上局を同一建屋内に集約することが望ましい。
2.4 周波数調整・電波免許
衛星の開発が順調に進んでいたとしても、周波数調整・電波免許申請の結果、基本設計の変更、ミッションの変更、衛星納入の遅れ、衛星ミッションの断念、衛星運用の制限などに追い込まれることがある。特に、アマチュア無線と非アマチュア無線の併用、一次割り当てでない周波数の使用等については、注意が必要である。また、超小型衛星の数の増加に伴い、アマチュア無線周波数割り当てや予備免許発行にかかる時間が長引く傾向にある。周波数調整や予備免許発行が終わっていない衛星は打ち上げることができないため、電波関連の官辺手続きの遅れが衛星納入の遅れ、最悪の場
合打ち上げ機会の喪失につながることを認識すべきである。
国際周波数調整並びに無線免許申請は電波法と電波関係の専門知識を必要とするので、特定のメンバーに仕事が集中しがちである。プロマネを始めとする複数のメンバーが周波数調整の進行状況を常にモニタしておく必要がある。また複数のメンバーが文献[4]に目を通しておくことが望まれる。周波数調整作業を外部コンサルタントに依頼することも厭わない姿勢をもつことが重要である。また、外部コンサルタントに依頼したとしても、プロジェクト側の人間が状況を常にモニタしておかなければいけな
いのは当然である。

12

2.5 安全要求への適合
安全要求への不適合は設計見直しや製作やり直しにつながり、それらに費やす時間が MA 活動に費やす時間を圧迫することになる。また安全審査を通らない衛星は打ち上げることができないので、最悪の場合は打ち上げに間に合わずダミーマス搭載という事態になりうる。実際に、そのような事例が過去にいくつか起きている(図１)。安全要求不適合による出戻りを少しでも減らすため、概念設計、詳細設計が終わったそれ
ぞれの段階で安全要求適合性に関わる課題を抽出し、打ち上げ事業者に確認をとっておくべきである。
安全審査においては、どのような方法で安全要求への適合性を検証するかが問われるが、最小限のエフォートで検証できる手法を打ち上げ事業者との間で合意すべきである。過剰な約束（大学教員は見栄をはって過剰な約束をしがちである）をすると、あとで自らを苦しめることになりかねない。安全要求への適合性の検証は必要最小限のエフォートにとどめ、MA 活動等にリソースを割り振るべきである。

図 1 H-IIA 30 号機に搭載された小型副衛星（6 時の方向にある銀色の塊がダミーマ
ス）（写真出典：JAXA デジタルアーカイブス）
https://s3-ap-northeast-1.amazonaws.com/jaxa-jda/http_root/photo/P100010489/5590ac570abed216cfe9acfe71681338.jpg

2.6 文書管理
衛星プロジェクトにおいて、文書が必要となるのは以下のような理由による。
a) 官辺対応（安全審査、周波数調整・電波免許、宇宙活動法）
b) プロジェクト内の意思疎通（開発・試験・運用の際に現場で必要）
c) 運用時の不具合対応に備えたトレーサビリティーの確保
d) 知識伝承e) 他プロジェクトとの知識・ノウハウ共有f) 論文作成時の源泉データ(a)と(b)については、これなしでは衛星が完成し打ち上げることができないので、否応なしに文書化作業をしなければならない。(a)については、教員・スタッフに文書化作業を行う時間的余裕や適性がないのであれば、学生がやるしかない。そのため、プロジェクト発足時に安全審査関連の文書作成を重要タスクの一つとして学生に割り振る。学生にタスクの重要性を理解させた上で、「この仕事の成否によって衛星が打ち上がるかどうかが決まる」といったモチベーションを与える。当然、学生が作成す13

る安全審査関連書類のチェックは教員・スタッフがしないといけない。(b)については、各系の担当やプロマネが必要に迫られて作成するので問題ない。基本的に文書化作業が好きな学生はおらず、また衛星開発と同時平行で作られるので、教員が「勉強のため文書を作れ」と指導しない限り、必要最低限の文書セットが作られることになる。
(f)については、論文執筆を考えている教員・学生（多くは博士学生）が自分で作成、または他の学生を指導して作らせることになる。
MA 活動に関連するものとしては、(b),(c),(d)となる。特に大学内の世代交代により衛星の設計内容を熟知したものが運用時に欠ける状況に備える、次号機プロジェク
トを円滑に進めるといった観点で必要となる。しかし、学生にいくら「知識伝承は大事。文書で残せ」といっても、それで学生は動かない。一つの方策として、衛星プロ
ジェクトを学生の卒業論文・修士論文とリンクさせる案がある。理工系の学生にとって、卒業論文、修士論文は必須である。衛星プロジェクトにおいて、ある系やコンポーネントの開発または試験を卒論・修論のテーマとして実施すると、卒論・修論では否応無しにそれらのことを書かないといけない。体系的な文書作成にはならないが、特定分野においては、非常に詳細な設計文書ができあがることになる。例えば、アンテナ展開機構を学生の卒論とした場合、学生は、アンテナの基礎から、どのようにしてテグスを結び、どのような試験条件でどれだけ試験をおこない、その成功率はいくらであったか、失敗したとしたらその要因等々、自分のやった事項について非常に詳
細な記録を残すことになる。
2.7 不具合管理
衛星の開発作業中には必ず不具合が発生する。それらの不具合への対処を怠らない
よう、プロマネまたは担当者に不具合情報を集約し、抜けがないような取り組みが必要である。このような取り組みは衛星が複雑になればなるほど大事である。不具合管理表を採用して管理していくことの有効性がいくつかの衛星で示されている。ただし、様々な不具合に対してミッション達成に対する影響に基づいて優先順位をつけ、リソースを分散させない注意が必要である。

14

3. ミッション定義
3. 1 実現性
チームの構成員の知見やスキルが衛星の開発・運用に必要なすべての範囲をカバーしていることは、まずあり得ない。新規にスタッフを雇用して足りないタレントを外部から導入するという考えも、必要となる人材を確保できる保証はない。学生の成長に期待しすぎるのも危険である。また、予算も限られている。ミッションを策定する
場合には、そのような制約条件を強く意識すべきである。用意できる予算と人員で実施可能な「身の丈にあったミッション」を策定すべきである。また、教育目的の衛星においては、新規開発の要素が多すぎるとプロジェクトが破綻する危険性があることに留意すべきである。
大学衛星は教員次第である。教員が背伸びをしても、学生がついてこれないことがある。また、教員も神ではないので、ミッションの実現性を評価する上で全てを知っているわけではない。自分の足りないところを率直に認め、外部の助けを請う、自分の不得意なところで無理をしない、といったことが重要である。外部に助けを請う時
は、経験者のコメントを真摯に受け止める姿勢が大事であるが、その前提としてコメントの良し悪しを判断できるだけの力量が必要であり、それらを身につける努力を怠るべきではない。
3.2 サクセスクライテリア
サクセスクライテリアは、プロジェクトを進めていく上での指針である。通常はミニマムサクセス（システムに何らかの不具合があったとしても、これだけは何があっても達成できる最低限の目標）、フルサクセス（システムが要求通りに機能した場合に達成できる成果の目標）、エクストラサクセス（フルサクセスを達成した上で、さらにそれを上回る成果の目標）の３つで構成される（文献[5]）。できるだけ定量的な指標（特にミニマムサクセスとフルサクセス）を使うことが求められる。
サクセスクライテリアはプロジェクト立ち上げ時に策定するが、レビュー会などプ
ロジェクトの各節目においてそのクライテリア、特にフルサクセス、を達成できるかどうかをチェックする。達成できないと思われる時は変更せざるを得ないが、それによってプロジェクト全体の意義（プロジェクトのステークホルダを満足させられるかどうか）が達成できるかを問い直すべきである。また設計変更の可能性を検討する時には、設計変更によってもミニマムサクセスクライテリアを達成できるかどうかを真摯に吟味すべきである。安易にミニマムサクセスクライテリアを変更すべきではない。
また、プロジェクトがうまくいきそうだとのことで、各サクセスクライテリアを上方修正することは、システム要求の後付けとなるので、やめておいた方がよい。システ
ム要求の後付けは、プロジェクト失敗をもたらす原因になりやすい。
また、運用時においては、各サクセスクライテリアの達成状況が運用計画を立案する際の指標となる。後述（8.2 運用計画）するように、衛星が軌道上に放出されたら速やかにミニマムサクセスクライテリア達成のための運用を行うべきである。
3.3 ミッションシナリオ
どのようなミッションを実施するかがある程度で揃った時点で、各ミッションの運用シナリオを策定する。地上局からコマンドアップリンクにより衛星がどのように動作し、軌道上からデータをどのようにして地上におろすかを考える。それらにより、衛星が備えるべき機能と大体の性能を算出することができる。その結果に基づいて、必要となる搭載機器を洗いだし、衛星の通信、電力、姿勢（ポインティング）のバジ

15ェット表を作成する。このバジェット表は衛星プロジェクトの進行中に随時改訂を行
い、衛星の開発・製作・検証が進むとともに数字の確度を向上させていく。ミッショ
ン定義の段階で通信、電力、姿勢のバジェットでマージンがない、またはギリギリであれば、そのミッションは成立しないと考えた方がよい。
3.4 リスク管理
衛星プロジェクトとは未知（うまくいくかどうかわからない）を既知（うまくいく
ことに自信がある）に変えていく過程でもある。ミッションを実現する上で必要となる技術のうち、未知のものは必ず存在する。存在しないようなプロジェクトは面白くない。その技術が他機関の衛星プロジェクトでは普通に使われていたとしても、自分達のチームで使ったことがなければ、それは「未知」のものである。「未知」のもの
は、全て衛星のミッション達成を阻害するリスク要因である。ミッションシナリオが策定されれば、どのような機能が衛星に必要かがわかるので、「未知」のものをその時点で洗い出すことは可能である。リスクマネージメントにおいては、それら「未知」のものが失敗する可能性、失敗した場合のミッション達成に及ぼす影響度を評価しな
いといけない。開発や検証が進むにつれて「未知」の度合いが「既知」に置き換わり、それが失敗する可能性がある程度朧げに見えてくるはずである。リスクマネージメン
トの結果、失敗の影響度が深刻なものには重点的にその後のリソースを振り分ける必
要がある。

16

4. 概念設計
4.1 要求管理（ミッション要求、設計要求、検証要求の整合性）
衛星のミッション要求と設計に整合性がとれていなければならない。これは衛星の概念設計の際に、複数の人間で冷静に議論をして決定すべきである。外部の専門家・経験者に議論に加わってもらうのもよい。例えば、衛星のミッションが教育に主眼を置いていれば、「確実に動く衛星」を作ることにより運用を経験させることが望まれる。そのような時に、研究開発要素の高いコンポーネント（例えば、全く新たな設計のアンテナ）を採用することは、ミッション要求に反することになる。設計要求は、
上位のミッション要求に適合しなければいけないが、時に大学研究者の「色気」がでてきて、ついついシステム開発の基本を忘れがちである。そのような時は、別メンバ
ーまたは外部からの指摘により、目を覚ます必要がある。責任教員には、他者の意見を受け入れる度量の広さが求められる。
逆に、ミッション要求のレベルが高いのに、それにそぐわない設計を行う場合もある。理論上の最大通信容量を前提として通信回線を設計し、それに基づいてミッションが要求するデータをダウンリンク可能としがちであるが、実際の運用において最大通信容量がでる場合はほとんどない。このような場合も、概念設計の段階で外部からの指摘が役に立つ。
4.2 過去のプロジェクトの教訓の反映
すでにいくつかの衛星プロジェクトを経験している場合、概念設計時に過去のプロジェクトで得られた教訓を反映するのは当然のことである。軌道上で動いたものと、動かなかったものに整理をし、動いたものは非常に良い理由のない限り変更しない。
動かなかったものについては、その原因を究明した上で改良措置を施すことが大事である。外部からコンポーネントを調達する場合、調達のしやすさや、アフターケア等についての経験が得られているはずなので、同じコンポーネントを採用するかどうかを慎重に考慮すべきである。
4.3 安全要求適合性確認
概念設計が終わった段階で、詳細設計に入る前に安全適合性の課題を抽出すべきである。安全審査 Phase0/1 として実施しても良いが、経験のある専門家であれば問題になりそうな箇所を指摘するには概念設計書を一読するだけで足りるので、そのような専門家に設計をレビューしてもらうのも一案である。

4.4 検証計画
検証とは要求通りの衛星が作られているかどうかを確認する行為であり、試験以外にも解析や図面確認等により行われる。概念設計時に、各設計要求に対して、それらを何時どのように(When and How)検証するかを定めた検証計画を策定する。勿論、設計・開発が進むにつれて計画は変更されていくが、検証できない設計は採用するべきではなく、「多分動く」「大丈夫だろう」という考えは禁物である。また、実施可能な「検証計画」をたてるべきである。「放射線試験で確認する」という検証計画は書
くのは易しいが、試験設備を使用可能か、チーム内に放射線試験のノウハウがあるか、等々を考慮しなければならない。放射線試験を実施しないなら、耐放射線設計は、飛行実績のある部品を使う等、放射線試験をしないという前提にたって進めないといけない。

17

全ての試験設備を自前でもっているところは少なく、外部の試験機関を使用する場合が多い。どこで試験を実施するかについても、概念設計時にある程度のあたりをつけて試験機関と相談を始めることが望ましい。試験に関しての経験が乏しいプロジェ
クトの場合、衛星設計や試験についての助言をできるだけの経験をもった試験機関を選ぶのがよい。
[2.5 安全要求への適合性]でも述べたように、安全要求に対する検証は必須ではあるが、衛星の価値を向上させるものではなく、その検証に割くエフォートは必要最低限のものとすべきである。衛星の価値を向上させる要求（衛星の生存率を高める、ミッションの成功率を高める、軌道上で得られるデータの質を向上させる等々）の検証により注力すべきである。例えば、バッテリーの安全性の検証は、安全審査でよく問われるところであり、学生は膨大な時間を費やしてバッテリーのスクリーニングを行っている場合が多い。また、実際に作業を行っているので、学生は「やってる感」をもちがちである。確かにバッテリーのスクリーニングは要求されている限りやらなけ
ればいけない活動であるが、衛星の価値向上のためには他にもっとやらないといけな
いことがあるということをチームが理解すべきである。ただし、あまりにこれを強調するとバッテリースクリーニングのような地道な活動を行う学生のモチベーションが低下するので注意が必要である。
国際宇宙ステーションから放出される CubeSat の場合、最低限実施すべき試験は表 3の通りである。ここで“R”とある項目は“Required”を意味し、それぞれの段階で実施すべき試験である（なお、“O”は“Optional”、“N”は“Not Required”である)。
それぞれの試験の詳細は 7 章で述べる。解析としては、構造解析（共振周波数、最大許容荷重や安全余裕の算出）が必須である。
H2A やイプシロンなどのロケット打ち上げの場合は、表 3 の項目に加えて準静的荷重試験（所謂サインバースト）や正弦波振動試験、衝撃試験等が課される。
表 3 国際宇宙ステーションから放出される CubeSat において実施すべき試験
試験項目
EM(QT)FM (AT)
電磁適合性試験
R
N*1
End-to-End ミッション試RN*1
験
電気的インターフェース
R
R
試験
システム機能試験
R
R
End-to-End 長期運用試験
N
R
展開試験
R
R
フィットチェック
R
R
熱試験
R
O*3
ランダム振動試験
O*2
R*1: FM 段階では End-to-End 長期運用試験に含まれる*2: 衛星毎に特段の必要があれば実施する。必要がなければ省略して構わない*3: 安全要求への適合検証のために、-15℃と+60℃に晒されたあとでも衛星が動くことを示す必要がある（文献[6]参照）。設計（使用部品の温度範囲等）で検証できなけ
れば試験が必要となる。熱真空試験や恒温槽での熱サイクル試験は、衛星毎に特段の必要があれば実施するが、必要がなければ省略して構わない。

18

5. 詳細設計
5.1 部品・コンポーネント選択
コンポーネントの購入先として海外ベンダー（売主、製造業者等を指す）を選択す
る場合は、納期・アフターサービス・インターフェース適合の観点から注意を払う。
他のコンポーネントとの間でインターフェース不適合の問題が発生した際のベンダーとの調整に多大な時間を要することを理解すべきである。ただし、国内ベンダーであっても、経験の浅いベンダーの場合は注意を要する。技術力があっても、納期に難のあるベンダーもある。ベンダー選択の際、入手性、取り扱いの用意さ（インターフェ
ースのわかりやすさ）、修理対応の良さなどにより注意を払うべきである。それらは時に、サイズ・金額・機能を上回る価値をもつ。
特に新規開発要素のあるコンポーネントの場合、ベンダーとの間での作業項目のイ
ンターフェース境界をはっきりさせ、どこまでをベンダー側でやり、どこまでをシス
テム（衛星プロジェクト側）でやるのかを明確にしておくべきである。衛星プロジェ
クトをプログラムとして捉え、バス機器については、できるだけ仕様を変えず、2 号機・３号機はコンポーネントベンダー側での開発要素をなくし、同一品を納入してもらう体制が、納期短縮の観点から望ましい。ベンダー側も従業員を動かし原材料を調達して物品を製作する以上、大学衛星だからと言って過度な値引きやアカデミックディスカウント等を期待すべきではない。ベンダー側が損をすることなく、2 号機以降も長期的に付き合っていける関係を構築すべきである。
共同開発であったとしても、最終的にはベンダー側に設計やノウハウを移管し、ベンダー側が責任をもってコンポーネントを供給できる持続可能なサプライチェーン体制を構築することが望まれる。安定した製品品質を維持することを維持するには、長期的な付き合いが可能なベンダーを選択すべきである。
5.2 リスク管理、FTA、FMEA
大学では、「失敗を許されない」衛星を作ることは不可能であり、ミッション失敗のリスクを許容する。しかしながら、リスクがあっても何もしないわけではなく、そのリスクが現実化する可能性（発生確率）と現実化した際の影響（深刻度）を総合的に評価して、限られたリソース（人員・予算・スケジュール等々）の中で優先順位の高いものからリスクの低減化をはかる。通常は、発生確率と深刻度の積が大きいものから優先的にあたる。ただし、注意が必要なのは、発生確率や深刻度を定量的に評価するにはお金や時間がかかるので、超小型衛星の場合はそれらの評価に経験や群衆の叡智(Wisdom of Crowd)が使われる。そのため、リスク評価においては、超小型衛星の開発経験者や専門家にコメントを求めるのが良い。概念設計が固まった段階で外部の専門家にレビューを依頼することで、安全要求適合性の課題とともに、優先すべきリ
スク項目についても有益な意見を得ることができる。
技 術 的 な リ ス ク を 洗 い 出 す 作 業 と し て FMEA(Fault Mode Effect Analysis) や
FTA(Fault Tree Analysis)を活用する。しかしながら、FMEA や FTA を大学の講義で学
ぶ学生はほとんどおらず、やり方すらも知らない。責任教員も同様である。そのため、最初から無理をして文献等にある方法をなぞったりしようとはせず、自分達で理解できる範囲から始めることが肝要である。
FTA については、ミッションシナリオをフローチャート化し、それぞれのステップがうまくいかないとすれば、どのようなコンポーネントに責任があるかを考えればよい。
FMEA については、個々のコンポーネントが壊れたらミッション遂行が「(1)問題なく実施できる、(2)制約はあるものの実施できる、(3)実施は不可能、(4)衛星全損（通信途19絶）」といった場合分けをする程度から始めることを進める。またコンポーネントが壊れるかどうかについても「(1)飛行実績がある、(2)同様の設計のものに飛行実績がある、(3)飛行実績のあるメーカー（プロ）の設計・製作による、(4)地上環境では間違いなく動く、(5)全くの新規設計、(6)学生の手作り」といった評価指標を使うとわかりやすいかもしれない。いずれにせよ、その部品・コンポーネントが故障すると衛星全損につながる危険性のあるもの（単一故障点）について洗い出し、リスク軽減作
業の優先順位を決めることから始めるべきである。
また、FTA や FMEA は部品・コンポーネントといったモノについてだけ行うのではな
く、作業についても考えるべきである。「コマンドを打ち間違えたらどうなるか？」「センサーの極性を逆にしてしまったらどうなるか？」等々、人間は間違いをおかす
ものなので、それらの間違いが起きた時の結果を吟味し、間違いが起きにくくする、
間違いが起きても挽回可能にするなどの工夫を設計に反映する。
5.3 死なない衛星を心がける
どのようなことがあっても衛星全損(地上との通信途絶)の危険から抜け出すシステ
ムとしての工夫を設計に盛り込む。例えば以下のような工夫がある。
● 「神 PIC(放射線耐性の高さが軌道上で実証されている PIC16F877)」を搭載し、衛星全体の電力を落として再立ち上げ（パワーリセット）できるようにする● バッテリーが枯渇しても再充電される工夫や低電圧時に確実にセーフモードに移行する仕組み● バッテリーを喪失しても、太陽電池パネルの発電だけで衛星が動作する設計● 体積的に余裕があれば通信回線を冗長にする● 最低限の動作（地上との上下の通信回線が確保でき、バッテリーの大幅な放電を許容すればいくつかのミッションも実施可能）のための電力バジェットが以下のような場合でも成り立つようにする
 姿勢の喪失
 太陽電池パドルの展開失敗
 1U キューブサットの場合、太陽電池パネルの１面喪失（こうしておかないと、４〜６枚ある太陽電池パネルのうちどれか１枚でも喪失すると衛星が失われることになり、単一故障点が太陽電池パネル分（４〜６個）並列にあることになる）
ただし、これらの設計を行ったとしても、設計通りにシステムが全損の危険から抜け出せることを検証することが必須である。衛星がパワーリセットから立ち上がる時に、中途半端な状態でシステムが半死の状態に陥ることもある。軌道上での不具合状態を想定した試験を行い、衛星システムがパワーリセットから完全に立ち上がることを確かめるべきである。バッテリーの枯渇状態からの復活は、ソーラーアレイシミュ
レータを使うなどして、軌道上の発電状態を模擬して確かめるべきである。セーフモードへの移行も実機を用いて試験を行うべきである。電力バジェットについても、最悪の電力状態でのシステムの動作を確認するべきである。電力バジェットを立てる際には、発生電力・消費電力ともに測定誤差があるので、ある程度のマージンを考慮すべきである。通信系についても、冗長系の通信試験を怠るべきではない。
5.4 過剰な保護機能を避ける
衛星設計においては、さまざまな保護機能をつけたくなる。例えば、バッテリー枯
渇を防ぐセーフモードや、低温でのバッテリー保護のためのバッテリーヒータである。

20しかし、これらを設計に採用する前に、その保護機能が本当に必要か、保護機能を入れることによるリスクと効果を吟味すべきである。保護機能が自動で入るようになっているということは、電圧や温度センサーが正常に機能することを想定しているが、果たしてセンサーがどれだけ信頼できるかを考えるべきである。セーフモードは中途半端な状態に陥って立ち上がらないという危険があり、実際にそのような状態に陥った衛星もある。バッテリーヒータは電力を消費する。それによって電力収支がマイナスとなり、バッテリーが枯渇する可能性がある。
セーフモードを採用せずに、バッテリー電圧が低下したら DC/DC コンバータの入力限界を下回って衛星負荷への電力供給が自動的に遮断され、衛星の電力が一旦全て落とされるパワーリセットがかかり蝕明けに再度衛星が初期モードから立ち上がるような設計にするのも一案である。バッテリーヒータについても、自動でスイッチが入る
ようにはせず、軌道上での温度推移を見ながら地上からのコマンドで起動するような設計にしておくことが望ましい。軌道上でバッテリーが突発的に低温になることはな
い。特に軌道高度が低ければ、衛星全体は高温側にふれるので、バッテリーの断熱を十分にしておけばヒータなしでも十分に運用できる可能性は高い。
5.5 設計変更時の留意点
設計変更においては、常に設計変更によって得られる利益と設計変更によって生まれる新たなリスクを評価した上で、変更の可否を判断しなければいけない。その際の判断指標としてミニマムサクセスとフルサクセスのクライテリアがある。特にミニマ
ムサクセスの達成を阻害するリスクがあった場合は、慎重に判断すべきである。また
設計変更がフルサクセスの可能性を高めるものであった場合、設計変更によって生じるリスクが大きいかどうかを慎重に見極める。例えば、図 2 のように通信回線を多重化するために二つのアンテナと二つの通信機を RF Switch を使って襷掛けにするという案があったとする。通信機やアンテナに飛行実績がない場合などは考えがちである。
これにより通信回線全体の信頼度はあがることになるが、RF Switch を入れることによる電波出力の損失や RF Switch が切り替わらない、または中間状態で固定されるというリスクがあり、最悪の場合は通信自体ができない可能性がある。たすき掛けをしなかったとしても通信機とアンテナのペアが一組動けば通信は可能で、少なくともミニ
マムサクセスクライテリアは達成できる。たすき掛けをすることで得られる利益がリ
スクを上回るとは判断されない。

図2

通信機とアンテナの RF Switch を使った襷掛けの検討

21

5.6 運用しやすい衛星設計
どのようにミッションを実施するかをイメージし、2 号機以降であれば過去の運用経験から得られた教訓を最大限盛り込んだ上で、「運用しやすい衛星」を心がけるべきである。初号機の場合は、運用を経験した大学に聞くことも大事である。例えば、ストアードコマンド（予約コマンド）機能は、日本上空以外の地球上の任意の箇所での
衛星ミッションを可能にする。更に、一連の動作をあらかじめ予約しておくことで、
全動作項目の動作を一つずつアップリンクする必要がなくなる。また、ダウンリンク
を別の地上局で実施することも可能になる（ただし、周波数調整時に注意が必要）のでデータ量の増加にもつながる。
アップリンクコマンドはシンプルなものとし、アップリンクの成功率を向上させる
ためにも、少ないバイト数でコマンドをアップする工夫をすべきである。また、コマンドの暗号化はアップリンクの成功率を下げるだけなので、秘匿性の低い大学衛星においては得られる利益は少ない。
運用人員が減ってきても運用できるよう、地上局ソフトウェアが遠隔操作・自動運用に対応できるように設計することが望ましい。
また、運用の際に不具合究明をしやすいように、パワーリセットをする際にはリセ
ット前のハウスキーピングデータの履歴等が残るような設計が望ましい
5.7 試験しやすい、製作しやすい衛星設計
衛星設計においては、「試験しやすさ」や「作りやすさ」を考慮した設計をすべきである。衛星製作において、ファスナー（ネジ類）、ハーネス（ケーブル）、コネク
タは欠かせない。それらの絶対量や種類が少なければ少ないほど製作は容易である。
特にハーネスとそのコネクタはワークマンシップエラーが起きやすいところであり、使用を最小限にとどめる設計を心がけるべきである。また部品の取り付け間違いを防ぐための工夫も必要である。PCB 基板の実装を表裏間違えて依頼するというようなことは起こりうるが、表裏を間違えない工夫が必要である。「作業者が注意する」というようなことは解決策ではなく、間違い防止策が設計に反映されていなければならない。
システム試験、特に最初のシステム機能試験、を行なっていると、問題のあるコン
ポーネントをとりはずす必要に迫られることが多々ある。衛星全てを分解するのではなく、部分的な分解で済むような設計をこころがける。また、コンポーネントの取り外しの際、コネクタ部分での脱着を行うが、コネクタは繰り返しの脱着に耐えるものでないといけない。無理にとりはずすとコネクタを傷める場合もあるので、安全にとりはずすための工具を工夫するなどした方が良い。電気的インターフェース試験やソ
フトウェア開発は衛星システムを全て構体内に組み込まなくても可能であり、試験用のテストベッドを準備することを勧める。
衛星を組み立てた後でも衛星内の各種プロセッサ（マイコン）にアクセスできるよ
うに、アクセスポートを衛星の外側に設けておく。余程の自信がない限り、内部プロ
セッサに外部からアクセスできない状態にすべきではない。また同一設計の衛星を複数組み立てる際には、衛星ごとの識別が可能となるような外観上の工夫をすべきである。例えば図 3 では、各衛星の GPS アンテナにシールを貼ってある。
試験中・組み立て中の事故防止のため、衛星の組み立て、保管、機能試験等に使われる治具（図 4 と図 5）も製作することを勧める。衛星を直にテーブルの上に置くことは傷がついたりすることがあるので避けた方がよい。また、衛星をどのようにして持つかを考えた設計をすべきである。CubeSat の場合、移動時にはペリカンケースなどに入れて移動させるが、振動試験や熱真空試験などのセッティングでは、最後の瞬間は22

手持ちになる（絶対に片手でもたない）。CubeSat でない場合は、吊り上げ用の Ibolt を衛星上部の構造体に取り付けられるようにする。衛星を手でもつことは考えない方がよい。

図3

図4

図5

衛星保管用の治具

コンポーネント試験用テストベッド

システム機能試験時の様子（衛星は試験用治具にのっている）

23

5.8 設計根拠の理解
人間は自分のよくわからないことに、「たぶん大丈夫」という正常化バイアスをしがちで、意味もなくその判断を正当化しがちである。衛星開発において、「多分**」
や「**だろう」は禁物である。確固とした根拠に基づいた設計が必要である。特に、衛星の生死やミッションの成否を決めるクリティカルな設計項目では、自らが納得するまで設計根拠を理解する努力を怠るべきではない。わからない時にはいろんな人からの意見を聞くべきであり、設計や検証の方針を定める際に経験者のコメントを真摯に受け止める工夫が必要である。わからないことを「わからない」と自覚することが大事である。特に 2 号機以降の開発では、過去の設計を踏襲することが多いが、その設計根拠への理解を曖昧にしたまま、良かれと思って設計の変更をすると思わぬところで不具合が発生する可能性がある。
5.9 FM に移行する前にEM 段階では衛星機能の完成と開発チームのスキルアップに注力する。そのためには、
機能的に FM と同等（太陽電池を除く全てのコンポが実装されている）の FM 予備機に相当するような EM を製作し、徹底的な試験を行う。実際の衛星システムをチームが触り試験を行うことにより、衛星を取り扱う作業の練度も確実にあがる（このことは未経験者が多数をしめる大学衛星では重要）。EM 段階でシステムとして最低限のミッシ
ョンが達成できることを End-to-End 試験で確認し、FM 移行後に根幹の部分の出戻りがないようにする。
EM 段階で確認されていない機能は、ミッション達成に絶対必要でない限り、FM に搭載しないという思い切りが必要である。FM 移行後でも新たな不具合は当然起きるが、不具合への対処は、金銭的・時間的・精神的に高くつく。FM 移行時に発覚した不具合
は、ミッション達成にクリティカルでないものは切り捨て、重要度の高いミッション
項目に資源を集中させるなどの覚悟も必要。
このような判断をするためにも、ミッションが複数ある場合、どのミッションの優先度が高いか、「最低限達成しないといけないことは何か（=サクセスクライテリア）」をプロマネのみならずチーム全体で共有することが必要。
5.10 安全要求適合性確認
詳細設計が終わり EM の試験が完了したところで、通常は安全審査 Phase0/1/2 が実施される。安全審査のための文書作成には非常に多くの時間を要する。安全審査担当
でなく、プロジェクトメンバー全員が高いモチベーションをもって臨むべきである。
安全審査 Phase0/1/2 においては、FM 品が安全要求に適合をしていることを検証する方法についても審議を行う。この検証方法については、安全審査を担当しているメンバーと実際に FM 製作と検証を行うメンバーとの間で意思疎通をはかり、検証が間違いなく行われるように注意しておかないといけない。コミュニケーション不足から検証が正しく行われず、打ち上げ前の安全審査 Phase3 において検証結果が不適合とされる危険がある。その場合は、無論検証作業のやり直し、最悪の場合は設計やり直しで、多大な時間的損失が発生する。

24

6. 製作
6.1 品質管理
超小型衛星に使用される部品は、宇宙用部品ではなく大量生産される地上民生部品がほとんどである。それらは大量生産品としてメーカー側で品質保証がされており、欠陥品が含まれる可能性は低く、此処の部品を衛星側で検査する必要はない。故障が生じるとしたら納入後の不適切な取り扱い（静電気、湿気、汚れ等々）による場合が殆どである。そのため、静電気ストラップをつけて作業する、作業前に周辺機器や作業テーブルの接地を確認する、手袋をつけて作業する等々を文化としてチーム内に浸透させるべきである。
個々の部品の品質は保証されていても、それらがコンポーネントとして製造された際に品質が保証されているとは限らない。大学衛星では基板の自作やインターネット
発注による実装サービスを使っている場合が多い。それらのコンポーネントは基本的に一品モノであり製造工程が確立していない。同じコンポーネントを複数製作しても、全てが良品であるという保証はない。そのため、コンポーネントが納入された際には、システムに組み込む前に基本的な動作試験をして、欠陥があるかどうかを調べるべきである。
6.2 作業外注と内製
大学衛星においては、衛星をすべて自分で作るのではなく、外注するところは外注するという割り切りが必要である。外注する予算がないから内製するという判断は、
スケジュール遅延やミッションの失敗につながる。大学衛星において、ハンドスキルが必要とされるところ（ハーネス、太陽電池パネル、半田付け等々）を学生にさせるかどうかは、慎重に判断すべきである。ハンドスキルに優れた学生も中にはいるので、それらの学生を見出して作業をさせることも可能であるが、それらの人材を見極める
自信がなければ、外注をするのが良い。教育衛星の目的は、ハンドスキルを身につけることではなく、システム工学とプロジェクトマネージメントを実践で学ぶことである。
6.3 安全要求適合性確認
FM の製造段階での記録は、安全審査 Phase3 での重要な検証文書の源泉となるものである。そのため、FM の製造段階では、できる限り多くの記録を残しておく。記録をとるとは単に写真を撮ることだけではないことに注意すべきである。何を検証するためにどのようなデータや写真が必要か、を正確に理解し記録する必要がある。特に、構造部品の材料証明、組み立て手順書通りに作業がなされた証明等が重要である。衛星の組み立ては複数名を原則として、１名は手順書確認と記録に専念しなければならない。
7. 試験
7.1 電磁適合性試験
超小型衛星の場合、打ち上げ時には電源を OFF しているため、通常は他の衛星やロケットとの間での電磁干渉を考慮する必要はない*注（ただし、間違って電源が入った際の RF 放射による安全上の懸念はあるので、安全要求では RF 放射を許容値以下に抑えることを求められている）。電磁干渉については、衛星自身が出すノイズが衛星の動作に及ぼす影響が重要であり、特にアップリンク受信に対する影響を考えなければいけない。FM を使った End-to-End 長期運用試験で衛星内のノイズによりアップリンク

25

が通じないことがわかっても手遅れである。そのため、EM の段階で十分な通信マージ
ンがアップリンク回線で成立することを試験において確認すべきである。
まず、通信機の EM が納入された時点で、その受信感度を理想的な状態で計測する。
通信機をシールドボックスにいれ、外部から RF ケーブルにてシグナルジェネレータ等で駆動した信号を入力し、受信機がアップリンク信号をデコードできる最低の信号強度を測定する。この信号強度は受信機自らが出すノイズフロアーにおいてデコードできる信号強度の最低値を意味する。実際に通信機が衛星内で組み込まれアンテナを取り付けられた状態では、ノイズフロアーが上がることはあっても下がることはない。
またアンテナで受信することにより、様々な追加損失（ライン損失、偏波損失、ポイ
ンティング損失、反射損失等々）が発生する。これらを考慮すると、受信機単体がノイズフリーでケーブルを直結して計測した理想的な状態でかなりのマージンがなければ、通信は成立しない。
キューブサットであれば、図 6 のように衛星全体をシールドボックスに入れた試験を実施することにより、他の機器によるノイズの影響を評価できるので、ぜひ実施すべきである。また、キューブサットよりも大きな衛星であっても、電波暗室であれば、アンテナ損失のいくつかの項目も加味した試験が実施可能である。これらの試験は、通信系の設計が要求を満たすかどうかを検証するために EM 段階で実施すべきである。

図6

シールドボックス内での受信感度試験

注：MOSFET をインヒビットスイッチに使用している場合、FET のゲートに接続するラインが ISS の放射電場によって励起され FET が作動する可能性がある。そのため、FETのゲートにはプルアップやプルダウン抵抗を入れる設計にする必要があり、なされていない場合は解析・検証などが必要になる。
7.2 End-to-End ミッション試験
EM 段階において、地上局との間での End-to-End 試験を実施して、最低限のミッションが達成できることを確認すべきである。この End-to-End 試験では、地上局からコマンドを衛星に送り、衛星の受信機でコマンドを受信して、それを C&DH 系に送り、C&DH
系からミッションペイロードにコマンドが送られ、ミッションを実施したあとにそのデータを送信機に送り、送信機から地上局にデータが転送され、地上局のコンピュー
タでミッションデータを可視化できることを確認する。例えば、地球撮影ミッション
であれば、シャッターコマンドを地上局から送り、地上局で画像を確認できるところまでを指す。このようにミッションの幹の部分を先に完成させ、それが実施できることを試験により確認したのちに枝葉の作り込みにかかる。この試験は電波を空中放射して行うことが望ましいが、電波暗室等を使用できないのであれば、有線ケーブルを地上局模擬通信機と衛星通信機の間につないで実施しても構わない。

26

7.3 電気的インターフェース（噛み合わせ）試験
コンポーネントが納入された後、衛星構造の中にコンポーネントを組み込む前に、衛星の他のコンポーネントとの噛み合わせ試験を実施しなければならない。この試験は EM、FM のそれぞれで必要である。EM で OK だったからと言って、FM で OK ということは保証されていない。超小型衛星用コンポーネントは通常少量多品種生産で手作り要素が大きく EM と FM が同一ロットで生産されない。そのため全てのコンポーネント
が EM と FM で同じということはありえないからである。コマンド•データ処理系や電源系等と組み合わせ、機器の ON/OFF ができるか、データを正常にやりとりできるか、動作に異常がないかどうかを確認する。この際、各コンポーネントの取り外しが容易になるように、またコンポーネント付属のコネクタを傷めないように、試験用のテスト
ベッドを用意しておくことが望ましい。
7.4 システム機能試験
各コンポーネントが納入され、噛み合わせ試験が済んだ後は、速やかに衛星を組み立てて、全系合わせてのシステム試験に移行する。環境試験の前に衛星が問題なく組み立てられたことを確認するために、システム全体での機能試験を行う。その際に以下の事項を確認する。
a)衛星が軌道上に放出された瞬間から定常状態に至るまでのモード。これには衛星からのビーコンデータの受信、アンテナや太陽電池パドルの展開、回転抑制（デタンブリング）と太陽指向への移行等々を含む
b)初期運用で実施する全てのオペレーション。これには、衛星へのアップリンクとハ
ウスキーピングデータの取得、最低限実施すべきミッション（ミニマムサクセスクラ
イテリアに相当）のコマンド送信とミッションデータ受信を含む
c)定常運用で実施する全てのオペレーション。これには、フルサクセスクライテリアに相当するミッションコマンドの送信とデータ受信や各種姿勢制御を含む
d)パワーリセットやセーフモード移行と復帰など、衛星の故障対策として組み込まれている機能の確認
これらの試験においては、衛星から送られてきたデータの中身をしっかりと吟味することが大事で、各種ハウスキーピングデータやミッションデータが矛盾のないものになっているかどうかを確認しなければならない。例えば、ハウスキーピングデータ
であれば、バッテリーの電圧・電流が衛星機器の作動状態や太陽電池からの入力電力と矛盾なく推移し事前に作った電力バジェット表と一致しているか、カメラが想定通りの写真を撮っているか、姿勢系のセンサーが正しい値を返しておりリアクションホ
イールや磁気トルカといったアクチュエータがセンサー入力に沿った動作をしているか、所定の電力と周波数で衛星から電波がでているか、等々である。これらのシステ
ム機能試験で異常が見つかった場合は、環境試験に移行する前に問題を解決すべきである。この時点でのトライ&エラーには、非常に多くの時間を要するので、スケジュー
ル上は十分なマージンを持たせないといけない。衛星を初めて組み立てて１週間後に熱真空試験を行うというようなスケジュールはたてるべきではない。
7.5 End-to-End 長期運用試験
ミッションに失敗した大学衛星の多くが、スケジュールの遅れにより衛星納入前にFM の全系を統合した状態での長期間の End-to-End 試験を実施できなかったことを原因としてあげている。FM の End-to-End 長期運用試験には次のような側面がある。

27a)フライトソフトウェアのバグ出し
FM までにすでに EM でシステムとしての機能試験は行われているはずであるが、FM以降後に付け加えられた細々としたソフトウェアアップデートを検証しなければならない。ハードウェアと直結した組み込みソフトウェアはプログラム用のシミュレータ
PC の上で動いたとしても、実際のシステムで動く保証はない。衛星が軌道上に放出された瞬間から運用終了に至るまで、衛星が迎えるあらゆる局面（正常時だけでなく、
非常時も）を想定してソフトウェアが正常に機能することを確認しなければならない。
この試験ではミッションコマンドの送信とミッションデータの受信も含まれ、ミッシ
ョンが実行できるかの確認も行う。
この試験はシステム機能試験とほとんど同じであるが、長期運用試験では、実際の軌道上の最初の１週間程度を実時間で模擬することが望ましい。その期間が最も不具合の発生する期間だからである。ソフトウェアにバグはつきものであり、時間が経つにつれて、バグの発見頻度は小さくなるが、長期運用試験はすればするだけ、衛星の信頼度は向上する。ただし、ソフトウェアの書き換えは、それ自体が新たなバグをもたらす危険性を秘めている。納入前のある時点を過ぎたら、たとえバグが見つかったとしても、重要度によっては書き直さないという判断も必要である。
b)運用リハーサル
End-to-End 長期運用試験は、地上局の操作ソフトウェアを使ってなされるべきである。衛星とのやりとりは基本的にはアップリンク・ダウンリンク信号によってのみ行う。それにより、衛星から送られてくるハウスキーピングデータから衛星の状態を知る術を見につけ、ミッションデータの処理方法を習得する。更に、アップリンクコマ
ンドに対する衛星の応答を知ることができる。地上局操作ソフトウェアを使うことにより、運用チームの練度を向上させることができる。衛星が目に見えるうちに運用訓
練を積むことで、見えない衛星と電波だけでやりとりする不安を解消させることができる。
c)地上局-衛星間の通信の確認
End-to-End 長期運用試験において、衛星と地上局の間は、できるだけ電波信号でやりとりすべきである。もちろん免許の問題をクリアするか、そうでなければ電波暗室で実施するしかないが、実際に電波でやりとりすることにより、通信回線計算を確認することができる。超小型衛星の通信回線計算において、正確に知ることが難しいのは、衛星側のアンテナ-通信機間の損失と通信機周辺のノイズフロアーである。アンテナ-通信機間の損失はアンテナおよび周辺回路の製作と取り付けのハンドスキルに左右される。また、キューブサットの場合は各機器が隣接しており、通信機周辺のノイズ
環境は複雑を極めている。特に、図 7 に示すようにアップリンク信号は空間損失によって衛星到達時には極めて弱くなっており、上記の二つの要素（衛星納入後は手が出せない）はアップリンクの成功率を大きく左右する。通信回線が成り立つかどうかを試すには、FM の実機に対して強度のわかったアップリンク信号を空中電波によって送り、アップリンクの成功/不成功を測定するのが実際の環境に即している。さらに、実際の飛行状態ではドップラーシフトの影響が加わり、アップリンクの成功率は更に低下することを考慮すべきである。

28

図7

通信回線リンクバジェット（アップリンク）

7.6 展開試験
展開系を伴う多くの超小型衛星がミッション失敗に終わっている。多くのキューブ
サットがテグスでアンテナを保持する展開型の UHF/VHF アンテナを搭載しているが、大学発キューブサットの 1/4 程度が DoA(Dead on Arrival)に終わっている(文献[1])ことを考えると、このアンテナの展開に失敗している可能性も少なからずある。アンテ
ナだけでなく、太陽電池パドルの展開に失敗している衛星も数あり、膜展開や親機・子機分離を伴う衛星も成功率は高くない。
これらを考えるに、地上での展開試験が不足しているのではないかと思われる。微小重力・真空という地上と異なる環境で可動部品を動作させるのは確かに難しいが、コンピュータシミュレーションが難しい分野であるがゆえに、EM や FM という現物を用いた検証が欠かせない。EM においては、あらゆる悪条件を想定した上での試験を繰り返すべきであるし、できるだけ軌道上環境に近づけた条件での試験を行うべきである。
テグスをヒートカッターで切るタイプの展開アンテナは、衛星分離・放出直後でバッ
テリー容量が低下している状態且つヒートカッターが低温にさらされた状態でも展開可能であることを確かめるべきである。(図 8 に低温環境下での展開試験の例を示す。)展開機構は、複雑になればなるほど多くの試験が必要であるが、試験のしやすさを考慮した設計、試験回数の上限に余裕をもたせた設計とすべきである。試験環境も、
微小重力・真空環境に近づける努力を怠るべきではない。

29

図8

恒温槽内での低温環境下アンテナ展開試験

7.7 フィットチェック
この試験の目的は、衛星とロケットの間の機械的インターフェースが合致するかを調べることである。CubeSat の場合、POD の中に CubeSat が滑らかに入り、滑らかに出てくるか、衛星のエンベロープの逸脱がないか（衛星表面に取り付けられた物が POD
内壁に接触しないか）を調べる。最近は、分離機構を大学衛星側が開発・提供することは稀である（余程の理由がない限り分離機構を大学側で開発することは避けた方が良い。分離機構の安全性検証は、衛星の安全性検証以上に大変な場合がある）ので、打ち上げ事業者側から提供される分離機構（PAF-239M 等）や POD と衛星が機械的に合致するかどうかを調べるだけでよい。
CubeSat の場合、各構造部品が図面通り作られたからと言って、組み立てられた状態
で CAD 図通りに組み立てられるとは限らない。歪みなどは必ず発生する。1U 衛星であっても、衛星引き渡し時に POD に入らないということは発生している。衛星サイズが大きくなれば歪みも大きくなるので、より注意が必要である。フィットチェックの最も簡単な方法は、打ち上げ事業者の提供する「公式 POD」を使って、衛星を入れてみることである。これは EM と FM のそれぞれの段階で実施することが望まれる。
しかし「公式 POD」などのフィットチェック用治具は期間を限定しての貸与であり、借用時期をあらかじめ綿密に打ち上げ事業者と調整しておかなければいけない。また
それらの治具は「宇宙用」として製作されており、非常に高価であるので、取り扱いには最新の注意を要する。治具の一部であっても万が一破損させた場合の弁償額は非常に高価（数百万円単位）になることがある。実際にそのような事例がある。
7.8 熱試験
熱試験は、超小型衛星であろうと大型衛星であろうとやることは同じである。そのため試験方法に差はない。
ただし、１U の CubeSat 程度であれば真空と大気環境での温度差はそれほど大きくないので、恒温槽での高温試験と低温試験で熱真空試験の代替としても構わない（文献[7]の Annex-F を参照）。その場合でも、衛星全てを真空容器の中にいれて常温での機30能試験を一度は実施すべきである。
超小型衛星の場合、能動的な温度制御はバッテリーヒータ以外に殆ど行わないので、熱平衡試験は熱解析のためのデータ取得や解析結果の検証を目的として行われる。しかしながら、今や多くの超小型衛星が軌道上で運用されており、軌道上温度のデータが蓄積されている。特に CubeSat は表面の多くが太陽電池で覆われており、表面の熱放射特性に大差はない。そのため、同じ軌道を飛んだ CubeSat の温度データがあれば、運用時の最高温度と最低温度を使って、熱試験の高温・低温の温度条件を導出した方が熱解析の手間が省ける。ISS 放出の CubeSat はそれこそ多くのデータが蓄積されており、それらの利用が推奨される。ISS 放出の場合に注意すべきは、ベータ角が高く全日照の状態があるので、高温条件の導出には全日照時のデータを使用することである。
7.9 振動試験
振動試験は、超小型衛星であろうと大型衛星であろうとやることは同じである。そのため試験方法に差はない。振動試験報告書は、安全審査における重要な検証文書となるので、明確に書くことが求められる。
7.10 試験コンフィギュレーション（Test-as-you-Fly）
試験は、実際の飛行状態に近い条件で実施すべきである。実際の運用コマンドを送り、それに対する衛星からのデータを地上局ソフトで解析して、衛星の状態やミッシ
ョンの成否を判断すべきである。飛行時には衛星には外部ケーブルがついていないので、システム試験においては外部ケーブルは極力外すことが望ましい。外部ケーブルを介して思わぬノイズが混入することがある。ミッション機器については、真空環境において衛星システムに組み込まれた状態で機能する（単にスイッチが入って模擬データを送るのではなく、実際に測定したりデータを中継したりする）ことを確認すべきである。
7.11 外部試験機関の利用試験設備を全て自前で揃えている機関は限られており、外部機関での試験を余儀なくされるプロジェクトが多い。試験に関しての経験が乏しいプロジェクトの場合、衛星設計や試験についての助言をできるだけの経験をもった試験機関を選ぶのが望ましい。外部での試験は、決められた時間内に所定の試験を終わらせることが求められる。
そのためには、事前に試験機関と試験仕様書なり試験計画書を使った打ち合わせが欠かせない。試験目的と試験条件を明確にし、どのような機材を持ち込む必要があるのか、試験機関から得られるサポートを、事前の遠隔会議などを通じて明確にしておくべきである。
7.12 試験結果の評価
試験結果の整合性を正しく評価する努力を怠るべきではない。よくない試験結果、気になる試験結果をそのままにしておくと、思わぬバグが潜んでいる可能性がある。
事前に試験の Pass/Fail criteria を明確にしておくのは当然であるが、時に許容範囲ギリギリのどちらとも言い難い結果がでることがある。そのような時は、なぜノミナ
ルの値からずれたのか、自分達で説明を試みるべきである。また、不可解な事象がランダムに起きる場合（熱真空試験等で多い）、気づき事項は必ず記録に残し、解明を試みるべきである。正常化バイアスによって「多分気のせい」「軌道上では起きないだろう」といった楽観視は禁物である。電波試験等においては、専門的な器材を用い31

ることが多く、器材の操作を間違えて電波信号強度を読み誤ることなどもある。一人の人間に試験セットアップを丸投げすると、間違いに気づかずにいる危険がある。試験計画書並びに試験報告書を複数で吟味する体制が望まれる。
7.13 衛星の保管
全ての試験が完了した状態から納入まで、予期せずして時間がかかることがある。
打ち上げロケットの遅延、安全審査の長期化、電波免許の遅延等々理由は様々であるが、そのようなことは起きうる。衛星を長期保管する際、分離スイッチに長期間のス
トレスがかかって部品の変形につながる危険があるので注意が必要である。また、
時々衛星バッテリーを補充電するが、充電作業は複数で手順書に従って行う。慣れていると思っていても、ヒューマンエラーは防げない。バッテリー充電の際に間違ったピンを触らないような工夫を設計に組み込むべきである。保管中の衛星の起動やアンテナの誤展開等を防ぐフライトピンを設計に組み込むことなどを考慮することも勧められる。
7.14 安全要求適合性の確認
FM の試験が完了したのち、その結果を元に安全審査 Phase3 が実施される。安全要求に準拠する形で衛星が作られたかを、様々なエビデンス（検証結果）を元に吟味する場である。検証文書は安全審査 Phase2 で打ち上げ事業者と合意した検証項目に対する結果を全て記載する必要がある。検証文書は、試験完了後に一気に送るのではなく、FM の製造・試験段階から打ち上げ事業者とその中身について調整を始めておくことが
望ましい。

32

8. 運用8.1 地上系準備・メンテナンス
地上系の整備は衛星納入前に完了させ、FM との間で通信が行えるかどうかを確認しておかなければいけない。地上系をおくべき場所としては、以下のようなことを考慮するのがよい。
a)周辺に高い建物がなく、低仰角まで衛星を見ることができる
b)直近にノイズ発生源（電波発信源）となるようのものがないc)アンテナの直近に無線機等を置くスペースがある。
d)無線機のある部屋は、快適に作業ができる環境にあり、普段の居室からの距離が近く、夜間でも立ち入りが可能である。
e)アンテナの置かれている場所には点検・メンテナンスのために容易にアクセスできるa),b),c)は通信回線の向上のためである。高周波の電気信号は同軸ケーブル中で簡
単に減衰する（減衰量は周波数とケーブルの仕様がわかれば簡単に計算できる）ので、c)は重要である。アンテナから無線機までの距離が長いようであれば、アンテナ直下
で低い周波数に変換することを考えた方がよい。
アンテナの設置場所を探す際にはどうしても a),b),c)に目がいきがちであるが、
d),e)も長期的な運用体制を考える際には必要であり、両者のバランスをとることが必要である。例えば、電波環境としては理想的な場所にアンテナが置かれていても、点検・メンテナンスのためにアンテナにアクセスするのに許可の取得・業者の手配（学生では立ち入れない時）等々で数日かかるようでは、緊急時にタイムリーな運用ができない。また、夜間立ち入りが許されていない建屋に無線局があると、夜間の運用ができず、可視時間の半分を最初から失うことになる。ネットワーク運用も可能であるが、軌道上放出直後のクリティカルな状況では全ての可視時間を使って運用すべきであり、ネットワーク運用に余程の経験がなければ、無線機の前に座って運用した方がよい。夜間の運用等を考えれば、普段の居室に近いことも必要で、夜間に可視時間が複数ある場合、可視と可視の間にどこで過ごすかも考えるべきである。真夏や真冬の運用を考えると、屋上の間に合わせのスペースに無線機を置かれていると作業が苦痛なものとなる。
アンテナは風雨に晒されるので、定期的なメンテナンスが欠かせない。アップリン
クが通りにくい、モールス信号の音が弱いと感じたら、アンテナの向きを調べるべきである。図 9 に八木アンテナのアンテナパターンの例を示すが、10 度中心からずれるだけでゲインは 10dB 下がり、通信マージンを食い潰す可能性がある。アンテナの向きを調整する際、コンパスが指す北は「地理上の北（北極）」ではないので注意が必要。
また、アンテナから無線機までの間は複数のコネクタを介してケーブルがやってきている。コネクタの接触不良、腐食等々も、地上局の不調の原因としてよく見られる。
地上系が正常に動いているかどうかは、実際に衛星からの信号を取得して、その電波強度を調べることによって確認することができる。自らの衛星の場合、衛星側に問題があるのか、地上系に問題があるのかわからない。そのため、基準となる衛星（長年に亘りビーコン信号を出し続けている衛星）を決めて、その衛星をトラッキングし、電波強度を計測することを勧める。

33

図9

地上局用八木アンテナのアンテナパターンの例

8.2 運用計画
超小型衛星は、宇宙空間での動作を保証されていない地上民生品で作られており、打ち上げ前の試験にも限界がある。そのため軌道上で予期せぬ不具合が起きることは避けられず、運用を始めて間もない段階で衛星を全損することも多々ある。そのため、実施すべきはa)バッテリーや太陽電池などの衛星の基本的生存に関わる機能を確認する。
b)衛星との上下通信回線を確立させ、「総合試験」を実施し無線局の本免許を取得する。
c)ミニマムサクセスクライテリアを実現するためのミッションの実施をできるだけ早期に行なう。軌道上放出後１週間以内が望ましい。初号機の場合、衛星から送られてくる CW モールス信号の解読、基本的ハウスキーピングデータの解析に目を奪われがちであるが、早急にミッションの実施に移行すべきである。CW モールス
信号に一喜一憂しているうちに衛星との通信が途絶した衛星は少なからずある。電波の本免許取得を急ぐのは、放出直後の運用はあくまでも予備免許での運用であり、予備免許だけでは衛星ミッションの成果の公開に制約があるからである。
8.3 不具合対応
8.2 でも述べた通り、超小型衛星はいつ通信が途絶するかわからない。そのような時でもあきらめないことが大事である。2 年間通信が途絶したのに復活した衛星もある。
そのためにはチーム内のモチベーションの維持が大事であるが、その場合最も大事な34

のは責任教員の姿勢である。たとえ衛星を失っても、その原因を徹底的に追求し、その教訓を次号機以降に反映することの大事さをチーム全員が共有することが、2 号機以降の成功に役立つ。実際に、初号機は失敗したものの 2 号機で成功した衛星は初号機の失敗について徹底的な原因究明を行なっており、その結果を 2 号機の設計に活かしている。成功はまぐれではやってこない。また、通信は途絶しないものの、メインミッションができない事態に陥ったりした時も、「死なない衛星」として軌道上の運用
データを取り続けることが、次の衛星の設計に運用上の教訓を反映する上でも大事である。
不具合（通信途絶も含む）が発生した場合、通信の流れにそった FTA を実施することを勧める。その場合、図 10 に示すように地上局->衛星->地上局の間の情報の流れに沿って、各ブロックの中身または各ブロックのインターフェースで不具合が起きていないかどうかを調べることを勧める。地上側に問題があるかどうかは、地上の予備機と地上局を使えば簡単にチェックできる。衛星側のどこに問題があるかどうかは、不具合事象の分析（観測された事象のみを列挙する、不具合の発生頻度、発生時期・場
所の特徴等々）、衛星からのテレメトリーデータの解析（コマンドや衛星の動作の履歴を調べる、健全なデータと不健全なデータを見分ける、データのトレンドを見る）、予備機を使っての再現実験等々で、不具合原因の候補を一つずつ潰していくことにより調べる。FTA において大きな役割を果たすのが、フライトソフトウェアの最終版のソースコード、衛星設計文書、予備機などであるが、何よりも実際に開発に携わった人員がいると大きな助けになる。軌道上での不具合は起きたら回復不能ではなく、運用を工夫することで回復できることも多々ある。そのためにも運用チームが設計を理解していることが必要である。運用時に開発メンバーが残れるようにプロジェクトのス
ケジュール作成をすることが強く望まれる。また、予備機は運用時の不具合対策に極めて大きな役割を果たすだけでなく、FM 製作段階での作業ミスによって緊急に部品の代替品が必要となった時にも使うことができるため、予備機の確保を強く勧める。尚、予備機には EM を流用してもよい。

図 10

地上局->衛星->地上局の情報の流れ

35

9. 運用後
9.1 Lessons Learned
衛星プロジェクトで得られた教訓を次のプロジェクトで活かすため、あるいは実社会で活かすために、Lessons Learned は欠かせない。Lessons Learned をまとめるのに良い機会は、２つある。衛星を納入し終えた時と運用を終えた時である。ただし、運用が 2、3 年の長期に亘るようなプロジェクトの場合、中心メンバーが卒業する前にLessons Learned のまとめを行うべきである。また、責任教員はプロジェクトの実施期
間中随時メモ書きでよいので、気づき事項を備忘録に書いていくことを勧める。
Lessons Learned のまとめに決まったやり方はないが、プロジェクトに関わったメンバ
ーが率直な意見交換を行える雰囲気を醸成することが何よりも大事である。尚、Lessons Learned は活かされてこそのものなので、責任教員は次のプロジェクトの際には折にふれて過去のプロジェクトの Lessons Learned を引き合いに出すことを勧める。
9.2 記録化と成果報告・公開
衛星設計や試験結果についての文書化だけでなく、運用やマネージメントも含めた
プロジェクト全体の推移や記録をまとまった文章にしておくべきである。次のプロジ
ェクト実施に向けた重要な指針となり、次のプロジェクトに臨む学生達の参考になる。
プロジェクト全体を見渡していたプロジェクトマネージャーや責任教員が書くことが望まれるが、何らかの動機がなければ文章化も進まない。宇宙科学技術連合講演会やUNISEC の Space Takumi Conference などの各種報告会での発表は良い契機となりうる。
衛星プロジェクトを進める上で、外部機関や個人の方々の協力を得ているはずである。それらの方々にとって、衛星ミッションで得られた成果を報告することが何よりの恩返しである。そのため、ある程度成果がまとまった段階で、何らかの形でそれらの方々を対象とした成果報告会を実施することを勧める。その際の発表資料はプロジ
ェクトの記録として、後々様々な形で重宝される。また、衛星ミッションの成果は、限定された方々だけでシェアするのではなく、論文等により広く公表すべきである。
大学衛星の使命は人材育成と科学技術の進歩に貢献することにある。技術実証や科学観測を目的とした衛星は、最終的には対外発表という形で社会に成果を還元しなければならない。「教育」を目的した衛星であっても、教育手法としての超小型衛星という観点からみれば、衛星プロジェクトによってどのような教育的成果が得られたのかを公開して、他大学が参考にできるようにすべきである。これらの科学的または教育的成果の発表は、必ずしも査読付き学術雑誌への掲載という狭い意味での「論文発表」にとらわれる必要はない。ただし、責任教員や学生（特に博士学生）のその後のキャリアを考えると、査読付き学術雑誌への掲載が望ましいのは言うまでもない。
9.3 ノウハウ共有
超小型衛星のミッション成功のためには、それを支える衛星バスが確実に機能することが必須である。衛星バスの不具合によりミッションが達成できなかった例があまりにも多い。先進的ミッションを達成するためには、先進的バス技術が必要となるが、全てのバス機器を新規に開発し直す理由にはならない。軌道上実績を積み重ねた衛星バスについては、データ、ノウハウ、ソフトをコミュニティで共有して、「枯れた技術」を使うことが望まれる。ノウハウを共有するには、共有できる形にノウハウを加工しなければならない。共有には手間はかかる。最初から、いきなり立派な情報共有
プラットホームを作ろうとしても息が続かないので、できる範囲から始めることが望まれる。特に、軌道上データ（温度等）、軌道上での不具合の記録、搭載された部品

36

リストなどは需要が高いと思われ、そのようなデータをどんな形であれ、他プロジェ
クトと共有する姿勢をもつことが望まれる。

37

10. 大学衛星プログラムの持続可能化
10.1 プログラムとしての視点
個々の衛星プロジェクトではなく、一連のプログラムとして衛星バスやミッション
機器の改善をはかっていく姿勢が重要である。衛星プログラムとして着実に成果をあげていくためには、得られた教訓、知見、ノウハウをどのような形で蓄積していくかを十分に考えなければならない。大学衛星の場合、個々の大学や教員の状況により、一概に正解があるわけではないが、教訓を文書で残すだけでなく、肌で知った人間が残ることが望ましい。しかし、大学衛星では学生は卒業するので、それはほぼ不可能である。教員またはスタッフにその教訓を残さざるを得ない。スタッフの場合も、ポスドクなどの場合、雇用のための資金の継続的な確保、学内規則による任期、若手研究者としてのキャリア等の課題がある。教員に蓄積するには、教員がプログラムディ
レクターとして、各衛星プロジェクトに関与し続けることが必要である。
その他にも、学生の間に集団で残していく方法として、各世代の衛星プロジェクトをオーバーラップさせ、同時期に複数のプロジェクトが進行する中で先行プロジェク
トの運用結果に基づいて、先輩が後輩に伝授する方法もある。いわば「集団的知性（Collective Intelligence）」として経験を維持する手法である。ただし、この方法
は自転車操業に陥る可能性があり、教員は、よほどの覚悟を決めて資金獲得等の努力をしないといけない。
持続可能な教訓の伝承体制を、責任教員の直下に学生だけがいる体制で構築するのは、教員に多大な負担を強いることになるため難しいと思われる。ポスドクや助教が中間層となって支えていくことが望まれるが、それら若手人材がアカデミックなキャリアを形成できるような工夫が必要である。また、何回もの軌道上経験を経て技術が成熟したのちには、設計やノウハウを企業等に移管する、オープンソース化するなど、社会に還元する取り組みが望ましい。
10.2 学内基盤の強化
大学というものは、本来「個人商店の集まり」である。大学衛星プロジェクトは、
多くの場合は責任教員の研究室のプロジェクトとして実施されている。プログラムとして持続させ、成果を着実にあげていくためには、大学からの支援が必要である。ただし、大学からの支援を得るということは、大学へのリターンをもたらす必要がある。
そのため、自分の得意でない仕事も大学から依頼されることがある。それらを厭うのであれば、大学をスポンサーとすることは諦め、外部企業など別のスポンサーを探した方がよい。
大学からの支援を得ようとした場合、大学にとって衛星プロジェクトは受験生を集める広告塔の役割を果たすが、それ以上の価値が見出されなければ、大学からの支援は限定的なものである。大学の教育あるいは研究またはその両方にとっての効果を示さなければいけない。教育面は、比較的容易である。昨今の工学部教育では、JABEE の影響もありデザイン能力が求められたり、Project Based Learning(PBL)をカリキュラ
ムに取り入れたりすることが求められている。とりわけ、学部教育では、専門分野に特化した教育だけでなく、幅広い視野をもたせるための教育が求められている。特に宇宙工学関連の学科では、「システム工学」が最重要科目の一つであり、座学だけでなく実践を通じて学ばせることが求められている。そのような時に、衛星プロジェク
トは恰好の題材であり、衛星プロジェクトに参加することで何らかの単位を得られる
ようにすることは難しくない。カリキュラムの一環となれば、大学側からの継続的支援を得ることができる。ただ、この場合は金銭的にはそれほど大きなものは期待でき

38

ないので、注意が必要である。衛星プロジェクトが教員個人のプロジェクトから脱却するきっかけとして捉えるのが良い。
衛星プログラムの学内における位置付けをより大きく発展させようと思った場合、研究室間の連携が避けられない。「**先生のプロジェクト」から「**先生達のプログラム」への移行である。研究室間の連携では、チームメンバーの多様化、教員が増えることによるチーム内の専門的知識の拡大、衛星ミッションの多様化（理学系教員と工学系教員の連携の場合に顕著に現れる）、外部資金獲得の機会増大、等々といったプラス面がある。マイナス面としては、研究室の壁を学生が意識してしまうと学生間のコミュニケーションに齟齬が生じる危険がある。そのため、教員同士の日頃からの連携が欠かせない。研究室間の連携は、宇宙理学の教員との連携（科学観測ペイロードの搭載等）だけでなく、衛星から送られてきたデータの利活用でも考えることを勧める。特に、IoT や AI といった分野で、自前の衛星データを使ったパイロットプロジ
ェクトは、衛星作りには興味がなくてもデータ解析には興味のある教員には魅力的に映る可能性があるので、積極的な連携が期待できる。
10.3 資金確保
学内基盤が強化されたとしても、コンスタントに衛星を製作し打ち上げ続けるのに十分な資金援助が大学から出ることは稀である。そのための資金を確保する必要があ
るが、それは個々の教員が知恵を絞ってやっていくしかない。プロジェクト発足当時には予期していなかった要因（購入物品の修理や追加購入等）により、経費が嵩むこともあるので、資金計画には余裕を持たせておくことを勧める。科研費やその他の国の競争的資金にだけ頼っていると継続性が担保されないので、資金源の多様化をはかることが大事である。また、資金を確保すると同時に、衛星バスについては安く調達できるような設計を心がけるべきである。
10.4 外部連携プログラムとして持続的に衛星を作り続けるには、外部との連携が欠かせない。特にキーコンポーネントを供給してくれる企業との関係を維持することは重要である。
また、アマチュア無線コミュニティや JAXA と良好な関係を保つ必要性は言うまでもない。
プログラムを発展させていこうとした時に学内の他研究室の連携だけでなく、外部の大学・研究機関との連携も大きな効果をもたらす。特に海外との連携は、学生に国際経験を積ませる上で非常に有益である。衛星のミッションを考える際にも、外国で衛星利用を必要とするニーズが発掘できるなど、得られるところは多い。海外連携の場合、空間的距離や時差が障害となるが、衛星バスとミッションペイロードのインターフェースを明確にすれば、日本で衛星バス・海外でミッションペイロードの同時平
行開発を行い、最終的に日本でバスに組み込んで衛星を納入といったことが可能であり、その例もすでに存在する。ただし、海外連携においては、安全保障輸出管理に関する手続きの要否を必ず確認し、公知の技術（オープンソースで公開されている情報等）を用いない場合は特に念入りに確認することが望まれる。今では各大学に安全保
障輸出管理を扱う部署があるはずなので、当該部署と事前に相談することを強く勧め
る。

39

参考⽂献
[1]Michael Swartwout, Clay Jayne, University-Class Spacecraft by the Numbers: Success,Failure, Debris. (But Mostly Success.), 30th Annual AIAA/USU Conference on Small Satellites,
2016[2] NPO 法人大学宇宙工学コンソーシアム(UNISEC),超小型衛星ミッションサクセスのための Lessons Learned 事例分析, JAXA-CR-21-002, 宇宙航空研究開発機構契約報告,
宇宙航空研究開発機構(JAXA),2021[3]大野 耐一「トヨタ生産方式-脱規模の経営をめざして」ダイヤモンド社 1978 年[4] 「 小 型 衛 星 通 信 網 の 国 際 周 波 数 調 整 手 続 き に 関 す る マ ニ ュ ア ル 」
https://www.tele.soumu.go.jp/resource/j/freq/process/freqint/001.pdf[5] JBDB-08012D [成功基準(サクセスクライテリア)作成ガイドライン]、JAXA チーフ
エンジニア・オフィス、2018 年 1 月[6] JX-ESPC-101132-DJEM 「ペイロードアコモデーションハンドブック, Vol.8., 超小型衛星放出インタフェース管理仕様書」 D 版、p.21, 2020 年 5 月[7]ISO-19683 “Space
Systems – Design qualification and acceptance tests for small spacecraft andunits”, 2017.07

40

英語版

41

Mission Assurance Handbook for the University-built Lean Satellite
Contents
1. Introduction
2. Project Management
2.1 Schedule Management
2.2 Project Team Organization
2.3 Improving Project Efficiency
2.4 Frequency Coordination and RF License
2.5 Compliance with Safety Requirements
2.6 Documentation Control
2.7 Control of Defects
3. Defining the Mission
3.1 Feasibility
3.2 Success Criteria
3.3 Mission Scenario
3.4 Risk Management
4. Conceptual Design
4.1 Requirements Management (Consistency between Mission Requirements,
Design Requirements, and Verification Requirements）
4.2 Incorporation of the Lessons Learned from Past Projects
4.3 Safety Requirements Compliance Check
4.4 Verification Plan
5. Detail Design
5.1 Selection of Parts and Components
5.2 Risk Management, FTA and FMEA
5.3 Aiming for a Satellite that can Survive
5.4 Avoid Excessive Protective Functions
5.5 Points to Note in Design Changes
5.6 Satellite Design allowing Easy Operation
5.7 Satellite Design that is Easy to Test and Easy to Assemble, Integrate and Test
5.8 Understanding of Design Basis
5.9 Before advancing to FM Phase
5.10 Safety Requirements Compliance Check
6. Satellite Assembly and Integration
6.1 Quality Control
6.2 Contracting the Work or Building Inhouse
6.3 Safety Requirements Compliance Check
7. Testing
7.1 Electromagnetic Compatibility Test
7.2 End-to-End Mission Test
7.3 Electrical Interface (Integration) Test
7.4 System Functional Test
7.5 End-to-End Long Term Operation Test
7.6 Deployment Test
7.7 Fit Check
7.8 Thermal Test
7.9 Vibration Test
7.10 Test Configuration (Test-as-you-Fly)42

7.11 Use of Outside Testing Organization
7.12 Evaluation of Test Results
7.13 Storage of Satellite
7.14 Confirmation of Compliance with Safety Requirements
8. Satellite Operation
8.1 Preparation and Maintenance of Ground Systems
8.2 Satellite Operation Plan
8.3 Handling Anomaly and Failures
9. After Satellite Operation
9.1 Lessons Learned
9.2 Recording, Reporting and Publication of Results
9.3 Sharing of Knowhow
10. Sustainability of University Built Satellite Program10.1 Viewpoint as a Program
10.2 Strengthening the Research Base in University
10.3 Funding of Project10.4 Cooperation with Outside Organizations

43

Abbreviation
AIT Asssembly, Integration and Testing
BBM Bread Board Model
CDR Critical Design Review
EM
Engineering Model
FM
Flight Model
FET Field Effect Transistor
FMEA Fault Mode Effect Analysis
FTA Fault Tree Analysis
MA Mission Assurance
MCU Micro-Controller Unit
MOSFET Metal-Oxide-Semiconductor Field Effect Transistor
OBC Onboard Computer
PDR Preliminary Design Review
Rx ReceiverTx Transmitter44

1. Introduction
This document summarizes the matters that all members of the development andoperation teams of lean satellites developed by universities and/or technical colleges(collectively referred as the Universities), including professors, staffs and students,
must remember in order to improve the mission success rate. The phrase “Mission
Assurance” means a series of activities to identify the factors in design, construction,
operation of the satellite, etc. that will hinder mission success and to eliminate or
decrease the effects of such factors.
Lean satellite is a satellite that utilizes non-traditional, risk-taking development
and management approaches – with the aim to provide the satellite value to thecustomer and/or the stakeholder at low-cost and without taking much time to realize
the satellite mission[1]. Most of so-called nanosatellites and micro-satellite,
including CubeSats, fall into this category, especially the ones built by universities.
Throughout the rest of this handbook, the word of “lean satellite” is used to refer tothe nano-satellites and micro-satellites.
More than 20 years have passed since the universities started construction of thesatellites, and the lean satellite is now not just an educational tool for students but
is used for cutting-edge scientific observation and business. Many venturebusinesses, the so-called “New Space,” have been launched by former students who
experienced university-built satellite projects, and have become the driving force
behind the growing space industry sector.
In Japan, more than 20 universities have now launched lean satellites into orbit,
but the mission success rate remains low. This trend applies worldwide, andaccording to Reference [2], 25% of satellites launched by the universities were DOA(Dead-on-Arrival; Contact is lost immediately after the satellite reached orbit), andless than 50% of satellites are said to be successful, including those classed as
partially successful.
The primary purposes of university-built satellites are education, technology
demonstration, and scientific observation. Even when the main purpose is education,
the educational effect by operation of the satellite is comparable to the effectobtained in development of the satellite. Accordingly, certain operations of thesatellite, such as the acquisition and downlinking of data on the orbit, should be
intended even in projects for educational purposes.
Improvement of the mission success rate of the university-built satellite does not
only contribute to an educational effect on students who will enter the space businesssectors after graduation, but also leads to improved results in challenging technology
demonstration and scientific observation using such satellites. Such results will
become a pathfinder of the larger scale missions and will contribute to growth of thespace business sector overall.
This document is prepared based on the analysis results of both the successful andfailed missions presented at the Lessons Learned Sharing Meeting of the University
Space Engineering Consortium (UNISEC) in 2020. The summary of the Lessons
Learned Sharing Meeting is already published as Reference [3]. In Section 5.2 ofReference [3], the requirements to ensure a lean satellite mission is successful are
listed as “Selection of Mission Assurance Requirements of Lean satellites.” This
document is intended to allow constant reference by professors and students
participating in the satellite projects by revision, correction, and reconstruction of
the requirements according to the system life cycle of the satellite based on thefurther root cause analysis of the failed projects. In particular, the following four

45

items are considered.
● The appropriate management method in the university according to the project
execution form
● The key points to achieve the project efficiently.
● The things to be done to improve the mission success rate at each phase of the
project lifecycle from mission definition to post-operation, and● The key points to make the university satellite program sustainable to improvethe mission success rate steadily as a program not as individual projects
Mission success rate of the university-built satellite is extremely low for the firstsatellite but it significantly improves for the second satellite and subsequent
satellites because the lessons learned in the first satellite can be used. However,
failure cannot be completely avoided for the second and subsequent satellites. The
mission success rate can be further improved by sharing lessons learned in thesatellite projects by others. Accordingly, the target readers of this document are not
only the professors, staffs and students who are first engaged in the development of
the satellite but also include those engaged in the projects of the subsequent
satellites.
This document was made as a part of contract, “Investigation of supporting
methods utilizing JAXA knowledge to improve the mission success rate of leansatellites, fiscal year 2021” (JX-PSPS-536920A) given to University SpaceEngineering Consortium by Japan Aerospace Exploration Agency.

46

2. Project Management
2.1 Schedule Management
It is quite rare for the university-built satellite to be successful in the mission fromthe first satellite. In many cases, a failure occurs due to the lack of time for testingof the entire system caused by mis-scheduling of the project due to lack of experience.
Because the university-built satellite is usually launched by ride share or piggy-back,it is almost impossible for the satellite builder to determine the deadline of satellitedelivery to the launch provider. Table 1 shows the milestone chart that should be
used for schedule management with the satellite delivery date designated as “D”. It
is difficult to reduce the time required for (A) through (E). Time required for orderingand procurement of the material, parts, and components cannot be reduced by
student effort alone. To what extent and for how long the entire system can be
combined and operation tested to correct the defects and bugs of hardware andsoftware identified in (A) and (B) determines the survival rate in orbit and mission
success rate of the satellite. So, maintaining the schedule by reducing the timerequired for (A) and (B) should never be considered.
Table 1 Schedule Management Milestones
TimingMilestones
D
Delivery of the satellite to the launch vehicle assembly site
(A)
Software debugging (1 month)MonthD-1
The hardware and software of the FM is completed and testing of
the hardware (vibration, thermal, vacuum tests, etc.) is finished.
The basic software of the ground station is completed.
(B)
Assembly, integration, and test of the FM (2 months)
MonthD-3
Variety of hardware used for the FM is received and awaiting
assembly(C)
Order placement and procurement for the FM (3 months)
MonthD-6
Testing of the EM is complete and functioning as the satellite
system is confirmed(D)
Assembly, integration, and test of the EM (4 months)
MonthD-10 Variety of hardware used for the EM is received and awaiting
assembly(E)
Order placement and procurement for the EM (3 months)
MonthD-13 Feasibility of the conceived mission is confirmed
Design of the EM is complete and order placement starts(F)
Proof of ConceptMonth D-A* Mission profile of the satellite is decided* The timing differs dependent on the satellite project.
During period (A) (1 month), the hardware should not be changed/modified,instead the focus will be on debugging the software by the end-to-end long-term
operation test (see 7.5). Even if a software bug is found, whether or not to modify thesoftware of the FM is to be carefully decided by comparing the risk of modification(the functioning part before modification may become nonfunctional) with the riskof non-modification (the bug may occur in orbit).
During period (B) (2 months) the FM is assembled, integrated, andenvironmentally tested (AIT). AIT requires at least 2 months because modification47

of the FM will be required when nonconformity is found during the AIT. When thetest is conducted by an outside testing organization, close communication should bemaintained with the organization as a change of the test schedule will be frequently
required.
During period (C) (3 months) order placement and procurement of the FM are
performed, but a certain minor modification to the FM is unavoidable according to
the test results of the EM. There are cases where an unexpectedly long time isrequired to revise the designs of the EM. During such time period, the schedule of
the FM test should be established and availability of the test facility should beensured. Considering the possibility that the time required for assembly andintegration of the FM will require considerable time, two schedule plans of the FM,
Plan A (the processes progress as planned) and Plan B (the processes do not progressas planned) should be prepared.
During period (D) (4 months) the EM is assembled, integrated, and tested.
Assembly and integration should be conducted step by step using the material, partsand components received confirming compatibility of the interface, rather thanconducting assembly and integration after all the components are received.
Incompatibility of the mechanical interface is frequently found during assembly,
which will require modification of the structures and/or circuit boards.
Incompatibility of the electrical system is frequently found during integration which
will require tremendous time for troubleshooting. As the members involved will not
be accustomed to environmental tests like the vibration and thermal vacuum tests,
allowance in the schedule should be considered. Especially in the case of the firstsatellite, the vibration test of the EM will not be completed in a single test,
accordingly, the necessity of conducting a number of such tests should be taken into
consideration. CDR is usually conducted at the end of the period (D).
Period (E) (3 months) is the period waiting for delivery of the EM, but there aremany things to be done during this period, such as the structural analysis andvibration test of the STM for the safety review, software development using the BBM,
etc. The test schedule of the EM should be prepared and availability of the test
facility should be established during this period.
During Period (F) (the duration is different by the project), the feasibility of themission should be confirmed using hardware like BBM (PoC (Proof of Concept)
should be conducted). When multiple missions are planned, a certain mission may
need to be abandoned when the result of the PoC is not good. When such decision is
postponed, design changes to the EM and/or FM may be required later, which results
in an increase in cost and a delay in the schedule. When such a mission is the main
mission, the mission requirements should be reviewed according to the results of
PoC. MDR needs to be usually conducted at the beginning of Period (F) and PDR at
the end of Period (F).
2.2 Organization of the Team
When the satellite project team is established in the university, it is impossiblethat all the necessary talents can be found in the students alone. The talent shortage
should be filled by using staff members, expecting the growth of the students’ talents,
cooperation with outside organizations, and by purchasing items, but the results ofsuch solutions cannot be ensured, and the best solution should be selectedconsidering mission difficulty, project budget, geographical conditions, etc. In any
project, identification of the required talents in the team is extremely important in48

formulating the satellite missions. Table 2 provides the checklist to be used for
identification of the talents for reference.
Once the talents within the team are identified, it is important to establish asystem to effectively acquire the expertise and knowhow required for execution of
the satellite project that are not available in the team. The important thing to noteis the team members (particularly the project manager and the persons in charge ofthe subsystems using the components) must fully understand the specifications andmanufacturing process of such components and the specifications must be consistent
with the mission requirements and system requirement, even when the development
and manufacture of the components are outsourced to an outside organization. Even
after the component is delivered to the university, it is the responsibility of theuniversity team to incorporate such component in the system for verification of theentire satellite, and all the team members must remember such responsibility.
The university-built satellite project is not possible without devoted efforts by thestudents even when dedicated staff are hired. Participation in the project by thestudents is supported by motivation that will be different among individual students.
The professors must keep in mind that the responsibility to maintain and enhancesuch motivation entirely belongs to the professors.
When the project is run as the laboratory project, the activities of the project canbe linked to the bachelor thesis, master’s thesis, or doctoral dissertation, but when
this is not the case, it is necessary to make the students find a certain meaning inparticipating in the project. If the project is run by a small number of people as atime intensive project, there will be intensive mental pressure on the students. It is
required to make every student have a clear view of what he/she can get once theproject goal is achieved.
When the project is run as a group activity where participation is decided at thediscretion of each student, the participants will be relatively young undergraduate
students, and the relationship between such student and the professor is not so closecompared with a project run by a lab. Such project does not involve a competition
with other teams like ordinary group athletic activities and does not have a clear
goal several months ahead like a competition. Unless the professors demonstrate an
attitude of actively participating in the project and to deal with student concerns
early, it will be difficult to maintain student motivation only by the relationshipbetween students.
It is absolutely important that the target launch date is established to keep
student motivation high and ensure that a project without a definite satellite launchdate will not be run consistently. However, it does not mean that the students canbuild a reliable satellite once the target launch date is determined, and theprofessors must always say that the project success is not the moment when thesatellite becomes available by the target launch date, but that the real success isachievement of the mission planned after the launch. The students will not reallyparticipate in the project unless professors say the important thing is the mission’s
success.
If the development of the satellite takes too long time, a student can experience
only a part of the process, which makes maintaining student motivation difficult.
The motivation comes when the student can experience the entire process of thesatellite development up to operation of the satellite. So, it is desirable to make theproject term from start to operation within 3 years.
The establishment of the 3-year project lifecycle is very important. If a problem

49

that is overlooked during development is found in orbit, such problem must be
rectified by operation. Although what the team can do is limited, recovery from ahopeless situation may become possible if the members are familiar with the designof the satellite, which makes a wide range of steps available for recovery. The
majority of the university-built satellite projects are the so-called lab-type run by theprofessor’s labs in the engineering department, where the students can generally
participate in the project from the fourth grade (senior) and for 2 years in themaster’s course. When the project period exceeds 3 years from start to launch, it ispossible that a student familiar with the design of the satellite is no longer available
at the time of operation of the satellite. In the case of the research-oriented project
supported by a large amount of funding obtained by outside organizations in which
many dedicated staff and graduate school students (master’s course and doctoral
students) participate, the dedicated staff should be hired for the duration including
operation of the satellite, without limiting the term to the completion of satellite
development. In the case of a club-type activity project in which students other thanthose in the professor’s lab participate, a lifecycle exceeding 3 years will be possible.
However, when the project period is too long, it is difficult to maintain student
motivation. The students will not be able to spend much time on the project after the
4th grade for preparing their final year projects (i.e. bachelor thesis) without theunderstanding of the professors of the labs they belong to. Accordingly, it ispreferable to limit the lifecycle by approximately 3 years.
In the case of university-built satellites, while priority is given to the decisions madeby the dedicated professor who is a P/I (Principal Investigator), critical decisions
should be made not by this professor alone, but should be made after careful
discussion between team members. The professors must be open-minded and willingto hear opinions from others.
When the project manager is a student, postdoctoral fellow, or junior professor,
the senior professor (usually the P/I) should constantly oversee the status and should
ask assistance from outside when required. As a student or postdoctoral fellow will
not have appropriate contact with the outside, it will be difficult to obtain assistance.
Accordingly, it is the responsibility of the senior professor to establish theappropriate contact with the outside. The professor should not pass his/her entire
responsibility to the student or postdoctoral fellow.
In the case of project organization where the project manager alone can oversee
the entire system, a significant risk is posed as there may be an accident/incident
involving such project manager. As such, multiple team members must be familiar
with the entire system. Sharing of information between team members should beconsidered. Project management highly dependent on a single person is too risky andshould be avoided. So, the organization of the development should be preferably
established where all team members work together in a single room. To the contrary,
it is not a lean satellite project where entire the system cannot be overseen by the
project manager alone. As the system becomes complicated, the person withexperience in lean satellite development (a person who has experienced the entire
system lifecycle) should be appointed as the project manager.

50

Table 2

Checklist for Identification of the Talents in the Satellite Project

Item
Time available for the project 100
50-99(%) by the responsible
professor (P/I) besides timeused for lecturing
Experience of the responsible 3 or more
2
professor in satellite projects
Faculty members involved in 3 or more2
the satellite project (full-timein the department)
Dedicated staffs involved in 3
2
satellite project
Professors’ area of expertise Astronautics Science(multiple fields)
Project manager
Responsible Full-time
professor
professor(P/I)
other than
P/I
Number of satellite projects 3 or more2experienced by project
manager
Subjects of study of
Astronautics Science
participating students(multiple subjects allowed)
Grade of students (multiple 1st/2nd year 3rd year
grades allowed)
Participation of students
Recommend Limited

20-49

Selections of Response
5-19
0-4

1

0

1

0

1

0

Mechanicalengineering
Dedicated
staffElectricalengineering
Doctoralstudent

10Communication Mechatronics
ComputerOtherengineeringscience
Master’s course Undergraduate Undergraduate
student(in the(not in theprofessor’s lab) professor’s lab)

Mechanical ElectricalCommunication Mechatronics
engineering engineering engineering
4th year

MasterComputerscience

Other

Doctor51

other than those in theedprofessor’s lab of the
responsible professor
Percentage of students with 100
experience of the satellite
project (%)
Number of outside
3 or moreorganizations independently
involved in satellite project

50~99

20~49

0~19

2

1

0

0

52

2.3 Improving Project Efficiency
Activities in the satellite project are classified into three categories according toReference [4]. The first category is activities to enhance the value of the satellite.
This includes MA. The second category is activities that will not enhance the value
but are necessary. The second category includes activities to receive the safety
review and activities related with the Space Activity Act, RF license, etc. The third
category is activities that will create no value (useless activities, “Muda”). In a leansatellite project, the development and operation of the satellite becomes possible bya restricted workforce and budget, reducing such useless activities to the minimum.
In the satellite project, useless activities frequently arise in moving and waiting.
Such useless activities should be reduced and the time created by reducing theuseless activities should be used for MA. Even when the satellite is developed on one
campus, if individual teams are stationed in different places, the time required tomove to and meet at a certain place for meetings, assemblies, integrations, andtesting activities is useless. The time required to move to the ground station for
operation of the satellite is also useless. The environment for remote work andcommunication have significantly advanced under the COVID-19 situation, but
efficiency is still not high enough compared with face-to-face activities andcommunication. When the test facility is not available on campus, the time required
to move the satellite and staff to and from the testing place is useless. Time lost in
waiting for a response by e-mail communication will not create any value. Face-toface communication of details made between team members stationed in the sameroom will contribute to time saving. Consideration should be given for the mattersto be recorded, such as to record matters as a text message. To improve efficiency inmovement and communication, it is preferable to install the office, work room, test
facility, and ground station in the same building.
2.4 Frequency Coordination and RF License
Even when development of the satellite goes smoothly, changes in the basic design,changes of the mission, delay in delivery of the satellite, cancellation of the satellite
mission, or restriction in operation of the satellite may become required as a resultof frequency coordination and RF license application. Attention should be especiallypaid to combined use of amateur radio bands and non-amateur bands, and to use afrequency not assigned in the primary allocation band. The time required for
frequency coordination in amateur radio bands and for obtaining the preliminary
license is increasing due to the increase of the lean satellites. The project teamshould understand that a delay in the government procedures for radio license maylead to a delay in delivery of the satellite or loss of the launching opportunity in theworst case, because a satellite for which frequency coordination or preliminary
license has not been completed cannot be launched.
As international frequency coordination and application for an RF license require
expertise in the regulatory and technical aspects of radio communication, specificmember(s) may be put under a heavy workload. More than one team member,including the project manager, should constantly monitor progress in frequency
coordination. It is also desirable that more than one member should read throughReference [5] if the radio license is obtained in Japan. In each country, the teamshould consult with an appropriate radio authority well in advance. It is goodpractice to outsource the work necessary for frequency assignment to an outside53

consultant in certain cases. Of course, certain project team members should
constantly monitor progress even when the work is outsourced to an outside
consultant.
2.5 Compliance with Safety Requirements
Noncompliance with safety requirements will result in design modification and/or
rebuilding of the satellite, which will reduce the time used for MA. As a satellite that
does not pass the safety review cannot be launched, in the worst case when thesatellite cannot be delivered, the launch vehicle needs to be launched with a dummy
mass installed. There have been such instances in the past (Figure 1). In order toavoid such undelivered satellite due to noncompliance with the safety requirements
as much as possible, problems associated with compliance with safety requirements
should be identified at the respective phases when the conceptual design and detaildesign are completed, and should be consulted with the launch provider for
confirmation.
The verification method of compliance with safety requirements is an issue in thesafety review. A verification that requires the minimum effort for verification
method should be agreed with the launch provider. When the commitment to aexcessive method is made (university professors tend to make an excessivecommitment wishing to show their ability), such a commitment may become aburden to the project at a later stage. The resource should be allocated to theactivities of MA, etc., limiting the efforts for compliance verification with safety
requirements to the minimum.

Figure 1 Small Piggyback Satellites installed in H-IIA Launch Vehicle 30 (Thesilver object located at 6 o’clock position is a dummy mass) (Source: JAXA Digital
Archives)
https://s3-ap-northeast-1.amazonaws.com/jaxajda/http_root/photo/P100010489/5590ac570abed216cfe9acfe71681338.jpg
2.6 Documentation Control
Documentation is required because of the following reasons in the satellite project.
g) Regulatory affairs work (Safety review, frequency assignment, radio license, andSpace Activity Act)54h) Establishment of understanding in the project team (Necessary in the field ofdevelopment, testing, and operation)i) Establishment of traceability in responding to a trouble in operation of thesatellitej) Knowledge inheritancek) Sharing of knowledge and knowhow with other projectsl) Source data in drafting papers
For (a) and (b), documentation cannot be avoided because satellite launch will
become impossible without such documentation. With respect to (a), the students
must engage in documentation work when the professor or the staff does not haveenough time or the aptitude for documentation. So, documentation work for safety
review should be allocated to students as an important task at the start of the project.
After making the students understand the importance of the assigned task,
motivation for the project should be given by the notion that the completion of thetask determines whether the satellite launch can be made successfully. Nevertheless,the documentation for the safety review prepared by the students must be checkedby the professors and staff. With respect to (b), the documentation will be inevitably
prepared by the responsible persons of the respective systems or the project manager
as required by their tasks.
As no student will be excited by such documentation work and the documentation
is prepared in parallel with the development of the satellite, the prepareddocumentation will be the required minimum, unless the professor directs thestudent to prepare the documents for student study. For (f), the documentation will
be prepared by the professors and students (principally the doctoral students)
considering the preparation of papers or by the students under their guidance.
(b), (c), and (d) relate to MA activities. Such documentation is required to prepare
for the situation where no one is familiar with the detail design of the satellite in theoperation phase due to generation change within the university or for the purpose ofsmoothly advancing the next satellite project. However, such documentation will not
be made by the students even if they are repeatedly directed that knowledge
inheritance is important and that the knowledge should be documented. One idea tosolve such problem is to make the satellite project in combination with the bachelor
thesis or master’s thesis of the students. The bachelor thesis and master’s thesis are
essential requirements for students in science and engineering courses. Whendevelopment and/or testing of certain systems or components is selected as thetheme of the thesis, details of the development and/or testing must be described in
the thesis. While such thesis may not be systematic, very detailed documents will be
prepared in specific areas. When the deployment mechanism of the antenna isselected as the theme of the bachelor thesis, for example, the student will make thevery detailed record of what he/she did describing basics of the antenna, how thethreads were connected, to what extent the tests were conducted and in what
conditions, to what extent the tests were successful, and the possible factors of the
failure of the test.
2.7 Control of Defects
A defect will inevitably occur in development of the satellite. A system to collectthe defect information and bring it to the attention of the project manager or the
responsible person so that the proper actions can be taken for all such defects mustbe established. Such a system is important as the satellite system becomes55

complicated. Effectiveness of defect control using the defect control chart isdemonstrated in some satellite projects. However, attention should be paid not tobreak up the available resources too much by assigning priority to various defects,
weighing the significance of the effect on completing the mission.

56

3. Defining the Mission
3. 1 Feasibility
It is very unlikely that the knowledge and skills required for development of thesatellite are fully covered by the team members. The idea to bring in talent fromoutside that cannot be filled internally by newly hiring staff does not always
guarantee fulfillment of all the required talents. It is risky to expect the growth ofstudent talents. The budget is also limited. In formulating the mission, such
restrictions should be deeply taken into consideration. A feasible mission fitting theavailable budget and staff should be formulated. For the case of an educational
satellite project, the project may fail if too many new development elements areincorporated.
Success of the university-built satellite depends on the professors. When
professors try to overreach their ability, the students may not be able to catch up.
The professor is not a god and does not know everything in assessing the feasibilityof the mission. It is important to accept what is lacking in his/her ability, to ask
assistance from outside, and not to try too hard in a weak area. When assistance isrequested from the outside, an attitude of seriously accepting comment from anexperienced person is important. The ability to decide whether the comment isvaluable or not is required as a prerequisite, and effort is required to acquire suchability.
3.2 Success Criteria
The success criteria are the guidance in advancing the project. The success criteria
are usually composed of three elements; minimum success (the minimum target tobe achieved even with presence of a system defect), full success (the target of results
to be achieved when the system fully functions as required), and extra success (thetarget of results that is more than expected in addition to the achievement of fullsuccess) (Reference [6]). It is required to use quantitative indicators as much as
possible (especially for minimum success and full success).
The success criteria are to be formulated at the start of the project, and whether
or not the target, especially the target of full success, can be achieved should bechecked at respective check points in the project such as the review meeting. If
achievement of the target is considered impossible, the criteria need to be changed,
but it should be thoroughly examined whether the meaning of the entire project canbe achieved (whether or not the results can satisfy the project stakeholders). If thefeasibility of design change is reviewed, whether or not the minimum success criteria
can be achieved by design change should be seriously examined. The minimum
success criteria should not be changed thoughtlessly. To the contrary, revision of therespective success criteria in the upward direction should be avoided because it is anaddition to the system requirements, even when success of the project looks
promising. Any addition to the system requirements tends to cause a failure of the
project.
The achievement status of respective success criteria will become the indicator to
be used in formulating the satellite operation plan in the operation phase. As
explained later in 8.2 Operation Plan, once the satellite is released into orbit,
operation to achieve the minimum success criteria should be implemented as soon
as possible.
3.3 Mission Scenario

57

The operation scenario of respective missions should be formulated after the
missions to be executed become clear. It should be considered how to operate thesatellite by command link from the ground station, and how the data will be
downlinked to the ground. Based on these, the functions and general performancethat the satellite should be equipped with can be estimated. Based on the results ofsuch estimation, the devices to be equipped on the satellite should be listed and thebudget table for the communication, power, and attitude control (pointing) functions
should be prepared. Such budget table should be revised as required during progressof the project and its accuracy should be increased with the progress of the design,
manufacture, and verification of the satellite. If there is no or scarce allowance inthe budget for communication, power, and attitude control to be included in thephase of defining the mission, it should be considered that such mission is not
feasible.
3.4 Risk Management
The satellite project is a process in which the unknowns (success or failure isunclear) are converted to knowns (confidence in success). There is always an
unknown in the technologies required to realize the mission. The project without
unknowns is not exciting. Even when the technology is commonly used in satellite
projects by other organizations or teams, such technology is unknown when it is not
used by the project team. All the unknowns are risk factors in achievement of thesatellite’s mission. As to what functions are necessary in the satellite become clear
once the mission scenario is formulated, you can identify the necessary unknowns insuch timing. In the risk management possibility of failure of such unknowns and theeffect of such failure on achievement of the mission should be assessed. As thedevelopment and verification advance, such unknowns will turn into knowns andpossible failure of such unknowns will become clear to some extent. For matterswhere the effect of their failure is serious as a result of risk management, theresources of the project should be allocated with emphasis.

58

4. Conceptual Design
4.1 Requirements Management (Consistency between the mission requirements,
design requirements, and verification requirements)
The design of the satellite should be consistent with the mission requirements.
The mission requirements should be decided during the conceptual design of thesatellite based on careful discussion among the team members. Participation byexperts and persons from outside with experience of satellite projects is preferable.
When the satellite’s mission is primarily education of the students, for example, it isdesirable to build a satellite that will function with certainty so that the students
can experience operation of the satellite. To use a component primarily made for
R&D purposes (e.g., an antenna with a completely new design) is not consistent withthe mission requirements. That design requirements should comply with the mission
requirements. But the basics of system development is sometimes neglected becauseof the ambition a university researcher. Such ambition should be removed throughcomments from another member of the project or from the outside. The responsible
professor must be open to the opinions of others.
To the contrary, there are cases where the design does not reach the level of themission requirements. It is frequently the case where the communication line isdesigned with the maximum capacity to allow downlinking of the data required by
the mission. But it is quite rare that the maximum channel capacity is achieved in
actual operation. A comment in the concept design phase is also effective in such acase.
4.2 Incorporation of the Lessons Learned from Past Projects
When the team has experience with some satellite projects, the lessons learned inpast projects should be incorporated in the conceptual design. The items thatsuccessfully functioned in orbit and those that did not should be distinguished. Thosethat functioned should not be changed unless such change is very reasonably
required. Correction or improvement should be applied to those that did not function
after identifying the cause. When components are purchased from the outside, theteam should have experience as to whether the procurement was easier and whether
reasonable aftercare was provided. Based on the experience, whether to use thesame component should be carefully considered.
4.3 Safety Requirements Compliance Check
After conceptual design is complete, the issues of safety compliance should be
identified before commencing the detail design. This may be performed in Phases 0
and 1 of the Safety Review. As an experienced expert can easily identify the potential
issues just by reading the conceptual design document, it is good to ask the review
by such an expert.
4.4 Verification Plan
Verification is an activity to confirm that the satellite is built according to therequirements by analysis, drawing check, as well as testing. The verification planshould be prepared during the conceptual design, which defines when and how
compliance with the various design requirements should be verified. Such plan needs
to be revised with the progress of design and development, but a design that is notverifiable should not be used, and optimism such as that the design will probably

59

function and the design will probably be OK should be avoided. A verification planthat is practical should be established. It is easy to include the statement “to beverified by radiation test” in the plan, but it should be considered whether the test
facility is available, team members have the required knowhow for performing theradiation test, etc. When the radiation test is not conducted, the design for radiation
resistance should be made based on the condition that no radiation test has been
conducted, such as by using parts with a successful flight heritage.
Because a majority of the universities do not have all the required test facilities,
an outside testing organization is usually used. It is desired to have preliminary
contact with the testing organization during the conceptual design phase identifying
the potential organization. In the case of a project where the team has insufficientexperience of the test, a testing organization with sufficient experience capable ofproviding advice on the design and test of the satellite should be selected.
As explained in 2.5 Compliance with Safety Requirements, verification for safety
requirements is required but it does not enhance the value of the satellite, so theefforts used for such verification should be as reasonably minimum as possible.
Efforts should be concentrated on the verification of requirements that will enhancethe value of the satellite (to increase the survival rate of the satellite, to increase thesuccess rate of the mission, to improve the quality of data obtained in orbit, etc.). For
example, safety verification of the battery is the highlight in the safety review, andin many cases the students use a tremendous amount of time for screening thebattery. The students tend to have a feeling of being engaged in meaningful work
because such verification work is real. While screening of the battery is an activity
that must be completed because it is required, the team members must understandthat much effort should be concentrated on other matters to enhance the value of thesatellite. However, when such fact is emphasized too much, the motivation of thestudent assigned to an inconspicuous task such as screening of the battery may belost, so careful consideration is needed.
For the CubeSat released from the International Space Station (ISS), theminimum set of required tests is listed in Table 3. Where “R” means “required” andindicates the test to be conducted in respective phases (“O” represents optional and“N” represents not required). Details of the respective tests are explained in Section
7. Structural analysis (identification of resonance frequency, derivation of maximum
allowable load, and safety margin) must be performed.
When the satellite is deployed directly from a launch vehicle such as piggy-backlaunch on H2A or Epsilon rocket, quasistatic load test (sine burst test), sine wave
vibration test, shock test, etc. may be required in addition to those tests listed inTable 3.

60

Table 3

Tests to be conducted on CubeSat released from the International Space
StationTest Item
EM(QT)FM (AT)
Electromagnetic
R
N*1
Compatibility Test
End-to-End Mission TestR
N*1
Electrical Interface Test
R
R
System Functional Test
R
R
End-to-End Long-term
NR
Operation Test
Deployment TestRR
Fit Check
R
R
Thermal Test
R
O*3
Random Vibration Test
O*2
R
*1: Included in the End-to-End Long-term Operation Test for the FM*2: To be conducted when specifically required for the satellite. No need to be
conducted when not required.
*3: It is required to demonstrate that the satellite is functional after exposure to 15C and +60C for verification of compliance with the safety requirements. (Seereference [7]). When verification is impossible by design (allowable temperature
range of the parts used that is obtained from the datasheet, etc.), testing is required.
The thermal vacuum test and thermal cycle test in a thermal chamber are conductedwhen the project team (not the launch provider) judges them as necessary.
Otherwise, they may be skipped.

61

5. Detail Design
5.1 Selection of Parts and Components
Attention should be paid to delivery time, aftermarket service, and interface
conformity when a vendor outside Japan (seller, manufacturer, etc.) is selected as
the supplier of components. The members must understand that tremendous time isnecessary for coordination with the vendor if any nonconformity of the interface isdiscovered. Even in the case of a Japanese vendor, attention is also necessary whenthe experience of the vendor is not adequate. Even if a vendor is excellent intechnology, it may have a problem with delivery time. More attention should be paid
to availability of the product, easiness of handling (simplicity of the interface),
response to repair requests, etc., in vendor selection. Such factors are sometimes
more valuable to the project than the size, price, and function.
For components involving certain elements of new development, the interface of
the work between the vendor and the system (project team) should be clearly defined,
to clearly show to what point the vendor is responsible and to what point the project
team is responsible. The satellite project should be regarded as the program, andspecifications of the bus components should not be changed as much as possible, toeliminate development work by the vendor for the second, third and later projects toallow delivery of the identical component. This is preferrable from the aspect of shortdelivery time. Excessive discount or an academic discount from the vendor should
not be expected claiming that the project is a university satellite project, because thevendor product is produced procuring raw materials and by labor of the employees.
A good relationship with the vendor to allow for long-term relationship should beestablished without causing a financial loss to the vendor.
When the component is developed jointly with the vendor, the design andknowhow should be transferred to the vendor so that a sustainable supply chain
system can be established where the vendor is fully responsible for the supply of thecomponent. To maintain stable product quality, a vendor with whom a good longterm relationship can be maintained should be selected.
5.2 Risk Management, FTA and FMEA
It is impossible for the university to build a satellite for which failure is nottolerated. A risk of failure of the mission should be tolerated. Nevertheless, nottaking any action against such risks is not allowed. The risks must be evaluatedfrom the viewpoint of the possibility that such risk might actually occur (event
probability) and the impact when such risk is realized (severity). As the resource(manpower, budget, schedule, etc.) is limited, priority should be given to actions
against the risk in the order of a product of the event probability and the severity.
Normally, actions are taken from the risk in which a product of the event probability
and severity is largest. It should be noted that in such a case, experience and/or
Wisdom of Crowds is usually used in case of the lean satellite because quantitativeevaluation of the event probability and seriousness requires a budget and time. So,
it is a common practice to obtain opinions from the person with experience indevelopment of a lean satellite, or from an expert in risk assessment. By asking forthe review of the completed concept design to an outside expert, valuable opinions
will be obtained for the issues of compliance with safety requirements and for therisks to which priority should be given.
FMEA (Fault Mode Effect Analysis) and FTA (Fault Tree Analysis) should be usedin activities to sort out the technical risks. But few students learn FMEA or FTA in62the university course and do not know the method. The same thing applies to theprofessors. So, it is important to start analysis within the area that the teammembers can understand without fully following the method available in literature.
For FTA, a flow chart of the mission scenario should be prepared, and it should beconsidered which component is responsible for a possible failure of the respective
step. For FMEA, it should be started from categorization of the cases; (1) The mission
can be executed without problem, (2) The mission can be executed with someproblems, (3) Execution of the mission is impossible, and (4) Complete failure of thesatellite (communication blackout) when the respective component should fail. With
respect to whether or not the component fails, use of the following indicators will be
used for convenience; (1) The component has a record of successful operation, (2) A
similar component has a record of successful operation, (3) The component isdesigned and built by a manufacturer with a record of successful operation, (4) The
component functions with certainty in the ground environment, (5) Design of thecomponent is completely new, and (6) The component is built by students. In any
case, a failure of the part or component that may result in complete failure of thesatellite (single point of failure) should be first sorted out to determine the priority
in activities to reduce the risks.
FTA and FMEA should be also applied to the activities in addition to physicalitems such as parts and components. As a human makes mistakes, the results of a
mistake, such as what happens when there is an error in sending a command orwhen the sensor is connected with polarity reversed, etc., should be carefully
examined to incorporate a mechanism to make it more difficult for a mistake to occur
or to make recovery action possible in the design even in the case of a mistake.
5.3 Aiming for a Satellite that can Survive
The design of the satellite should incorporate a means within the system so thatthe satellite can avoid the risk of complete failure (loss of communication with theground) under any circumstances. Examples are as follows.
● Installation of the “God PIC”, Micro Controller PIC16F877 whose excellent
radiation resistance is demonstrated in orbit, to allow power of the entire
satellite system to be reset.
● Means to allow battery recharging even when the battery becomes completely
empty or to ensure it enters safe mode when the voltage drops● A design that allows the satellite to function using power generated by solar
panels even when the battery is dead● Redundant communication link when the satellite has some room in the interior
volume● To make the power budget feasible in the following cases for the minimum
functions of the satellite (certain missions can be executed so long as thecommunication link with the ground (up and down) can be established andsubstantial discharge of the battery is accepted)
 Loss of attitude control
 Solar paddle deployment failure Loss of functioning of one solar panel in the case of 1U CubeSat. Without
this feature loss of function of any one of solar panel, (usually 1U CubeSat
is made of 4 to 6 solar panels), will make the satellite entirely unfunctional,
which means that 4 to 6 single points of failure are present in parallel.

63

It is still necessary to verify that the system can avoid the risk of total failure as
designed when these designs are incorporated. When the satellite starts up after
power reset, the system may become almost unfunctional in a half awake state. A
test simulating the failure conditions in orbit should be conducted, and it should be
confirmed that the satellite can successfully start up from power reset. Recovery of
the battery from a completely dry condition should be confirmed simulating thegenerating conditions in orbit using the solar array simulator, etc. Transition to safe
mode should be tested using the actual satellite. For the power budget, system
functionality should be confirmed in worst case scenario power conditions. A certain
allowance should be made in establishing the power budget, because certain errors
in measurement of the power produced and power consumed cannot be avoided.
Redundancy test of the communication system should be also conducted.
5.4 Avoid Excessive Protective Functions
In the design of satellite systems, a variety of protective functions tend to beinstalled. Examples are a safe mode to prevent the battery from drying up and abattery heater to protect the battery at low temperatures. But before incorporatingsuch functions, the risks and benefits of such protective functions should be carefully
examined as to whether they are really required. Automatic activation of theprotective function is based on the condition that the voltage and temperature
sensors function normally, but to what extent such sensors are reliable should beconsidered. The safe mode may cause a risk of the system failing to start up because
the safe mode may cause the system to go into a suspended condition, and somesatellites have experienced such situation. The battery heater requires power, andsuch power consumption may make the battery dry up because of a negative power
balance.
Instead of using the safe mode, a design may be used where power supplied to thesatellite is automatically interrupted when battery voltage decreases to below the
input limit to the DC-DC converter and the power reset function which shuts off thepower of the satellite completely is activated. Then, when the satellite emerges fromthe eclipse, the satellite system will start up from the initial mode. A battery heater
design whereby it can be started up by a command from the ground monitoring thebattery temperature in orbit is preferable to automatic activation. The battery
temperature will not decrease all of a sudden in orbit. When the satellite orbit
altitude is low, the temperature of the overall satellite will become higher. In such acase, appropriate insulation applied to the battery without a battery heater may beadequate for satellite operation.
5.5 Points to Note in Design Changes
Whether or not the design change should be adopted should be always decided
after evaluating the benefits obtained and the new risks brought about by the designchange. Minimum success and full success are used as the criteria for such
evaluation. Careful decision is needed when there is a risk that will obstructachievement of the minimum success. When the design change increases thepossibility of full success, the risks associated with such design changes should be
carefully examined. For example, suppose there is an idea of crossed connections of
two antennas and two communication equipment using the RF switch formultiplexing the communication link as shown in Figure 2. Such configuration isfrequently considered if the communication equipment and antennas do not have a64

heritage of successful operation. Such configuration will improve the reliability of
the communication link but there will be a loss of RF output, a risk that switchingof the RF switch will become impossible or it sticks in an intermediate position, andin the worst case, there is a risk of no communication at all. Even without suchcrossed connection, communication can be established when at least one pair ofcommunication equipment and antenna is functional and the minimum criteria canbe achieved. The benefit obtained by a crossed connection is not considered tosurpass the associated risks.

Figure 2

Study on Crossed Connection between Transceivers and Antennas using
the RF Switch

5.6 Satellite Design allowing Easy Operation
Easy satellite operation should be intended considering how to execute the mission.
For second and subsequent projects the lessons learned from past operations in thepast should be incorporated to the maximum. When the project is for the firstsatellite, hearing from a university who has experience with satellite operation is
helpful. For example, the stored command (reserved command) system will makestarting the satellite’s missions possible at any point above the ground other thanJapan. When a series of operations are reserved, it will not be required to uplinkindividual operations one by one. It will increase the data volume because data canbe downlinked at different ground stations (however, frequency coordination should
be carefully made).
To improve the success rate of the uplink, a simple uplink command should be
used so that the command can be uplinked with a small number of bytes. As
command encryption will only decrease the success rate of the uplink, the benefit
obtained from encryption is low in the case of a university built satellite in which
confidentiality is not really required.
The software of the ground station is preferably designed to be compatible withremote operation and automatic operation to allow operation possible even when thenumber of operation staff decreases.
A design in which the housekeeping data history before power reset can beretained when power reset is executed is preferable to allow for easy trouble shooting
during operation.

65

5.7 Satellite Design that is Easy to Test and Easy to Assemble, Integrate and Test
Satellite design that considers the easiness of assembly, integration and testingshould be made. Fasteners (screws and bolts), cable harnesses, and connectors are
essential parts in assembly of the satellite. Assembly of the satellite will become easy
when the type and quantity of such parts are small. Particularly, as workmanshiperrors can frequently occur related to the harnesses and connectors, a design thatminimizes the use of such parts should be considered. A mechanism to prevent
mistakes in fitting the parts is also required. Mounting the parts on the PCB may
be asked with the front and back faces mistaken, and a mechanism that prevents
such mistake is required. It is not a solution to prevent a mistake just by the worker
being careful, and a mechanism to prevent mistakes should be incorporated in thedesign.
It is frequently required to remove a component with a problem when the systemtest, especially the first system functional test, is conducted. The design of thesatellite should consider that disassembling the entire satellite is not necessary insuch a case by making it possible to remove the components and a small number of
the associated parts. The connector should be durable for frequent connection anddisconnection because connection/disconnection is required in component removal
and installation. When the connector is forcibly disconnected, the connector may bedamaged, so a device to disconnect it smoothly should be prepared. It is
recommended to prepare test beds for the electrical interface test and softwaredevelopment, as such tests can be made without installing the entire satellite systemin the satellite.
Access ports should be provided in the outer panel of the satellite to allow accessto the processors (microcontrollers) after assembly of the satellite is complete. A
design that does not allow access to the processor from outside should not be used
unless you are fully confident. When more than one satellite with identical designs
are built, identification should be applied to the exterior of the satellite to allow
discrimination. For example, in Figure 3 the identification sticker is applied on the
GPS antenna of each satellite.
It is recommended to fabricate jigs used for assembly, storage, tests, etc. of thesatellite (Figures 4 and 5) to prevent an accident during tests and assembly. The
satellite should not be placed directly on the desktop because damage may be caused.
The design of the jig should consider how to hold the satellite. In the case of CubeSat,a Pelican Case, etc. is used to carry the satellite, but at the last momoent it must be
held by hands when it is set for the vibration test and thermal vacuum test (neverhold the satellite using just one hand). For satellites other than the CubeSat, thedesign should allow for installation of the I-bolt used to hoist the satellite in theupper structure of the satellite. Holding the satellite by hand should not be
considered.

66

Figure 3

Figure 4

Figure 5

Jig for Satellite Storage

Testbed for Component Test

State of the System Functional Test (The satellite is placed on the test
jig)

67

5.8 Understanding of Design Basis
Normalcy bias is a common behavior by which a human being considers whathe/she cannot completely understand as probably OK, and justify such decision
groundlessly. In development of the satellite, the words “probably” or “will be” should
be avoided when making a decision. The design should be based on firm grounds.
Especially for critical design items that will decide the fate of the satellite and themission, all effort to understand the grounds of the design should be made until you
are convinced. When you do not understand, opinions should be obtained fromdifferent people, and you should accept comments from people with experience indeciding the principles of the design and verification method. It is important thatyou admit that you cannot understand if you cannot understand an item. It is acommon practice to use the same design as in the past in the development of secondand subsequent projects, but a problem may sometimes occur when an design change
is applied to a certain item when considering that such change will be effective but
without understanding the design grounds.
5.9 Before advancing to FM Phase
In the EM phase, efforts should be concentrated on completion of the satellite
functions and improving the skills of the development team. For that purpose, an
EM that is functionally equal to the FM (all components other than the solar panel
are installed) and that is virtually the standby unit of the FM should be constructed
and thoroughly tested. Assembly and testing of the actual satellite system by theteam improves skills. (This is very important for a university-built satellite for whicha majority of the team members lack experience.) By confirming that the satellite
system will be able to achieve the minimum required mission by the end-to-end testin the EM phase, a fundamental change of the system should be avoided when the
project is moved to the FM phase.
Decisiveness not to install a function in the FM if the function cannot be confirmedin the EM phase is necessary, unless such function is essentially required forachievement of the mission. A new problem will naturally be found after the project
moves to the FM phase, but handling of such defect requires higher costs, a longer
time, and more mental pressure. A system defect found after moving to the FM mayneed to be discarded unless such system is critical to the achievement of the mission,and effort should be concentrated on the items of the mission with higher importance.
To allow such decision, all team members as well as the project manager shouldshare understanding of which mission should be given priority, and prioritize which
items should be achieved as a minimum (success criteria).
5.10 Safety Requirements Compliance Check
Phase 0, 1, and 2 safety review is normally conducted after the detail design andtesting of the EM is complete. Documentation for safety review requires a very longtime. Such documentation work should be performed not only by the members incharge of safety review but by all the project team members maintaining highmotivation. In Phase 0, 1, and 2 safety review, the method to verify compliance of
the FM with the safety requirements is discussed. Attention should be paid to themethod of verification so that verification can be made without a problem by close
communication between the members in charge of safety review, members in chargeof satellite construction, and members in charge of verification of the FM. There aresome risks that the result of the Phase 3 safety review prior to launch may be a68

failure if verification is not made correctly because of a lack of communication. In
such a case excessive time loss may occur to repeat the work for verification, and in
the worst case the team has to start the design from the beginning.

69

6. Satellite Assembly and Integration
6.1 Quality Control
A majority of the parts used in the lean satellite are parts mass-produced for
consumer products on the ground and not for space applications. Consistent quality
assurance of such parts is provided by the manufacturer as mass-produced products,
and possible defects of such parts are quite low and there is no need to inspectindividual parts in the project. A failure that has occurred is mostly due toinappropriate handling of these parts after delivery such as electrostatic discharge,
humidity, and contamination. Accordingly, practices such as the use of antistatic
wrist straps during work, confirmation of adequate grounding of equipment andworktables before starting work, using globes during the work, etc., should be
enforced within the team as a common practice.
Although the quality of individual parts is assured, the quality of components
constructed from such parts is not always assured. In the case of the university-built
satellite, circuit boards are usually fabricated in the laboratory of the university or
using a fabrication service to which order is placed by Internet. Such component isbasically a custom produced component and their fabrication process is not an
established one. Even when the same components are fabricated in multiple
numbers, it is not guaranteed that all components are quality products. So, whensuch component is delivered, a basic functional test should be conducted before it isincorporated in the system to check for possible defects.
6.2 Contracting the Work or Building Inhouse
The decision to contract a portion of the work required to build the satellite insteadof making everything inhouse is required in the case of the university-built satellite.
The decision to build inhouse because of insufficient budget may result in schedule
delay or mission failure. The decision to make the students work on items that
require handyman skills (harness, solar panel, soldering, etc.) for a university-built
satellite should be made carefully. As some students may have excellent handyman
skills, it may be possible to have such work done by them, but when it is difficult tofind such students, the work should be contracted outside. The purpose of theeducational satellite is not acquisition of handyman skills by the students but tomake the students learn systems engineering and project management by practicein the project.
6.3 Safety Requirements Compliance Check
The records during the FM AIT (Assembly, Integration and Testing) are the basisof the critical verification documents in the Phase 3 safety review. So, as much as
possible, the records should be prepared during the FM AIT. Note that making therecord is not simply taking photographs. The records should be prepared while
precisely understanding what items need to be verified and what data andphotographs are required. The material certificate of the structural parts andcomponents and the proof that the satellite has been assembled according to theassembly procedure, etc. are particularly important. Assembly of the satellite should
be basically done by two persons or more, and one person must concentrate on
confirming the procedure and recording the work.

707. Testing
7.1 Electromagnetic Compatibility Test
In the case of the lean satellite, electromagnetic interference with other satellites
and the launch vehicle need not be considered because the power is cut during thelaunch. However, restricting the RF radiation level below the allowable limit isrequired by the safety requirements because of a possible safety risk when the poweris turned on by mistake (see Note below). The effect of the RF noise produced by thesatellite on the functions of the satellite is important with respect to electromagnetic
interference, and the effect on the uplink communication should be especiallyconsidered. It is too late if it is found that the uplink communication does not workin the satellite during the end-to-end long term operation test using the FM. So, an
adequate margin in the uplink line should be confirmed in the EM test.
First, the receiver sensitivity of the communication equipment should bemeasured under ideal conditions when the EM of the communication equipment isdelivered. The minimum RF signal strength the receiver can decode in the uplinksignal should be measured with the communication equipment placed in a shieldedbox and the RF signal from the signal generator injected via RF cable. Such signal
strength means the minimum signal strength that the receiver can decode in thenoise floor generated by the receiver. When the communication equipment isinstalled in the satellite and connected to the antenna, the noise floor will increase
but will never decrease. In addition, the RF signal is received through the antenna,
which will produce various losses (line loss, polarization loss, pointing loss, reflective
loss, etc.). Considering these circumstances, communication during actual operation
will not be established unless there is an adequate margin in the ideal conditions
where measurement is taken with the RF cable directly connected and with thereceiver unit noise-free.
For the CubeSat, the effect of noise from other equipment can be evaluated by atest whereby the complete satellite is placed in a shielded box as shown in Figure 6,
so such test should be conducted by any means. Even when the satellite is larger
than the CubeSat, the test including some factors of antenna loss is possible whenthe electromagnetic anechoic chamber is used. These tests should be conducted in
the EM phase to verify if the communication system design satisfies therequirements.

Figure 6

Receiver Sensitivity Test in the Shielded Box

Note: When the MOSFET is used as the inhibit switch, the FET may be activated byexcitation of the line connected to the gate of the FET by the radiated electric fieldof the ISS. That will require the design install a pull-up or pull-down resistor to the
FET gate, and when it is not installed, analysis and verification will be required.

71

7.2 End-to-End Mission Test
It should be confirmed that the minimum mission can be achieved by the end-toend test with the ground station during the EM phase. In the end-to-end test, thefollowing process should be confirmed by transmitting the command from the groundstation, which is received by the satellite receiver, and then the command is sent to
the C&DH system, which in turn sends the command to the mission payload, andafter performing the mission the data are sent to the transmitter, which transmits
such data to the ground station, to be displayed by the computer in the groundstation. For example, when the mission is imaging the Earth’s surface, the process
starts by sending a shutter command from the ground station and is completed when
the image taken can be confirmed at the ground station. As explained above, the coreelement of the mission should be completed in advance and the fact that such
mission is practically possible should be demonstrated by the test, and thenconstruction of the details should be started. This test is preferably conducted byactually transmitting the RF signal, but when the electromagnetic anechoic chambercannot be used, it may be conducted by connecting simulated communicationequipment in the ground station with the communication equipment of the satellite
via RF cable.
7.3 Electrical Interface (Integration) Test
The interface test with the other components of the satellite should be conductedwhen the components are delivered but before they are installed in the satellite
structure. This test is required for both EM and FM. Successful testing for the EM
does not always guarantee that the test for FM is successful. The components used
for the lean satellite are basically hand-crafted in small lots of different products,
and the components for EM and FM are not produced in the same lot. Accordingly,
all the components of the EM and FM are not always the same. In the test as towhether interfacing with the command data processing system, power system, etc.
is successful, whether equipment ON/OFF is possible, whether data can betransmitted normally, and whether the system functions correctly are also checked.
It is desirable to prepare the test bed to be used in the engagement test to allow foreasy installation and removal of components and not to cause any damage to theconnectors of the components.
7.4 System Functional Test
After the electrical interface test with the delivered components is successfullycompleted, the satellite should be assembled promptly and the system test with all
systems incorporated should be started. The functional test of all the systems should
be conducted before the environmental test to confirm that the satellite is assembled
correctly. The following items should be checked at that time.
a) The modes from release of the satellite in orbit to the time when the steady stateis reached. Such modes include receiving of the beacon data from the satellite,
deployment of the antenna and solar panel, tumbling control (de-tumbling),
transition to sun pointing, etc.
b) All operations to be executed in the initial operation. Such operations include
uplink to the satellite, housekeeping data acquisition, command transmission andmission data reception to be executed as a minimum (equal to the minimum successcriteria).
c) All the operations to be executed in steady state operation. This includes mission72command transmission, mission data receiving, and different types of attitudecontrols equal to the full success criteria.
d) Confirmation of the functions incorporated in the satellite as countermeasuresagainst failure, such as power reset, transition to safe mode, resetting, etc.
It is important to examine the details of data transmitted from the satellite in thistest, and whether housekeeping data, mission data, etc. are consistent should bechecked. For example, in the case of housekeeping data, it should be checked
whether the battery voltage and current change consistently with the operating
conditions of the onboard payload and with the power input from the solar panel,and that they are consistent with the power budget prepared in advance, whether
the images are taken as planned, whether the sensors of the attitude control systemsend the correct data and actuators like the reaction wheel and magnetic torquer
function correctly according to the input from sensors, and whether RF signal istransmitted according to the power and frequency as contemplated, etc. When aproblem is discovered in such system functional test, the problems should be solved
before starting the environmental test. As the trial and error process at this stage
will require tremendous time, adequate allowance should be allocated in theschedule. A schedule where conducting the thermal vacuum test takes place one
week after the satellite is first assembled should not be planned.
7.5 End-to-End Long-term Operation Test
A majority of the university-built satellites that failed a mission stated that thecause of failure was because the end-to-end long-term tests while all the FM systems
integrated could not be conducted before satellite delivery due to a delay in theschedule. The end-to-end long-term operation test of the FM has the following
aspects.
a) Flight software debugging
Although the system test is considered to be complete using the EM before the FM,verification of minor updates to software made after the FM is necessary. The
functioning of built-in software directly linked with hardware in the actual system
is not guaranteed even when it functions on the simulator PC used for programming.
Functioning of the software in any situation (in normal and also in emergency
conditions) that the satellite may encounter from the time the satellite is released inorbit to the time operation of the satellite is terminated should be confirmed. This
test includes transmission of the mission command and receiving of the mission data,to confirm whether the mission can be achieved.
Although this test is almost the same as the system functional test, in the long-term
operation test simulating operation during the first week in orbit using the actual
time scale is desired. This is because a problem is most likely to occur in this one
week period. Software bugs are inevitable, and as the time passes, and while thenumber of bugs found decreases, the long-term operation test will improve reliabilityof the satellite as much as is practical. However, the risk of new bugs is associatedwith software rewrite. So, beyond a certain time prior to delivery of the satellite, adecision not to rewrite software may be made even if a bug is found, depending on
its criticality.
b) Operation rehearsal
The end-to-end long-term operation test should be conducted using the control
software of the ground station. Any communication with the satellite should
basically be made only by the uplink and downlink signals. By such processes, the73method to understand the satellite’s condition from housekeeping data and theprocessing method of the mission data should be learned. In addition, the satellite’s
response to the uplink command can be understood. Using the control software of
the ground station will improve the operation team’s proficiency. By experiencing
the operation with the satellite at hand, the anxiety of having communication withthe satellite in orbit by RF signals alone will be reduced.
c) Confirmation of communication between the ground station and the satellite
In the end-to-end long-term operation test, communication between the groundstation and the satellite should be made by RF signals as much as is flight
representative. The problem of the radio station license should be resolved, or thetest should be conducted in an electromagnetic anechoic chamber, andcommunication with the satellite by RF signal will confirm the possible
communication line calculation. In the communication line calculation of the leansatellite, the items that are difficult to know precisely are the loss between thesatellite antenna and the communication equipment and the noise floor around thecommunication equipment. The loss between the satellite antenna and thecommunication equipment is determined by fabrication of the antenna and its
peripheral circuit and the skill in installation. In the case of CubeSat, thecomponents are closely packed and the RF noise environment around thecommunication equipment is extremely complicated. As shown in Figure 7, theuplink signal intensity is extremely reduced due to the free space path loss when it
arrives at the satellite, and the two elements above (cannot be corrected after
delivery of the satellite) determine the success rate of the uplink. In order to check
whether the communication line can work, an uplink signal with a known intensity
is sent via free-space RF wave and whether or not the uplink is successful or fails
should be measured to confirm suitability for the actual environment. Under actual
flight conditions, it should be taken into consideration that the success rate of theuplink will be further reduced with the doppler shift.

Figure 7

Communication Link Budget (Uplink)74

7.6 Deployment Test
The missions of many lean satellites with deployable systems have failed. Many
CubeSats have deployable UHF/VHF antennas retained by threads. Consideringthat the missions of about a quarter of the university-built CubeSats ended up as
DoA (Dead on Arrival) (Reference [1]), it can be reasonably considered that the
deployment of such antenna failed in many cases. There are many satellites in which
deployment of the solar panel also failed and the success rate of satellites with the
deployment of film or with separation between the master satellite and subsatellite
is not high.
When such facts are considered, we can say that in many cases the deployment
test on the ground was not sufficient. Because actuation of the mechanism withmovable parts in microgravity and the vacuum environment in space is certainly
difficult and computer simulation is also difficult, verification using the actual
mechanism such as the EM and FM cannot be skipped. For the EM, tests assuming
all adverse conditions should be repeated and in the same conditions that will be
encountered in orbit. When the antenna is deployed by cutting the thread with aheated cutter, successful deployment should be confirmed by the low battery
condition immediately after the satellite is separated and released, and in thecondition where the heat cutter is exposed to low temperatures. Figure 8 shows theexample of the deployment test in a low temperature condition. Because the numberof deployment tests increases as the deployment system becomes more complicated,the design should consider the ease of conducting the test and the allowance in thelimit to the number of tests. Effort to make the test environment as close to
microgravity and vacuum condition as possible should be also made.

Figure 8

Antenna Deployment Test in Low Temperature Environment in the
Thermostatic Chamber

7.7 Fit Check
The purpose of this test is to confirm that the mechanical interface between the75satellite and the launch vehicle is consistent. In the case of CubeSat, it should bechecked that the CubeSat can be inserted into and ejected from the POD smoothly,
and that the satellite envelop fits in the POD (no contact between the items attachedto the satellite surface with the inside of the POD). Recently it is quite rare that auniversity team develops the satellite separation mechanism. Development of theseparation mechanism by the university should be avoided unless there is a very
good reason as the safety verification of the separation mechanism may sometimes
be more burdensome than the safety verification of the satellite itself. Therefore, itwill be necessary only to confirm that the separation mechanism provided by thelaunch provider (PAF-239M etc.) or POD mechanically fits the satellite.
In the case of CubeSat, it does not mean that the satellite is assembled according
to the CAD drawings as assembled, even when respective structural parts arefabricated according to the drawings. Distortion, etc. cannot be avoided. A casewhere the satellite cannot be inserted into the POD when the satellite is delivered
to the launch provider has actually happened even in 1U satellite. As distortion
increases with the size of the satellite, more care needs to be taken. The simplest
method of the fit check is to insert the satellite into the official POD supplied by thelaunch provider. This method is preferably applied both for the EM and FM phases.
As jigs used for fit checks such as the official POD are lent for a limited time, thelending period should be discussed and determined with the launch provider inadvance. Such jigs are specially manufactured for space vehicle use and are very
expensive, so very careful handling is required. When even one part of such jig may
be damaged, compensation will be very high (more than ten thousand dollars). In
actuality, there have been such instances.
7.8 Thermal Test
Items in the thermal test of lean satellites and large satellites are the same.
Accordingly, there is no difference in the test method.
However, the temperature difference in vacuum and in atmosphere is not thatlarge for a satellite like the 1U CubeSat, so a high temperature test and low
temperature test in a thermostatic chamber may replace the thermal vacuum test.
(See Annex-F to Reference [7]) Even in such a case, a functional test with the entire
satellite placed in the vacuum chamber should be conducted at least once.
The thermal equilibrium test of the lean satellite is conducted to obtain data forthermal analysis and for verification of the thermal analysis results because active
temperature control is hardly performed for parts other than the battery heater.
Many lean satellites are operating in orbit now and sufficient temperature data on
their orbits are available. In particular, the large outer surface area of CubeSat iscovered by solar cells and there is no significant difference in the thermal radiation
properties of the outer surface. Accordingly, the time required for thermal analysis
can be saved by obtaining the high and low temperature conditions of a thermal test
using the highest and lowest temperatures in operation, as far as the temperature
data of CubeSats in the same orbit are available. As a lot of data from CubeSats
released from the ISS are available, it is recommended to use such data. Attention
should be paid to use the data under full solar radiation in calculation of the hightemperature conditions, because full solar radiation conditions may be present due
to the high beta angle.

767.9 Vibration Test
Items in the vibration test of the lean satellite and large satellite are the same, so
the test methods are the same. Because the vibration test records make up thecritical documents in safety review, the records should be prepared in clear form.
7.10 Test Configuration (Test-as-you-Fly)
The tests should be conducted in conditions similar to the actual operating
conditions. The condition of the satellite and mission accomplishment or failure
should be determined by transmitting the actual operating command and analyzing
the data received from the satellite responding to such command by the software in
the ground station. As no external cables are connected to the satellite in operation,
the external cables should not be connected as much as possible in the system test.
Unintended noise may be introduced via external cables. For the mission equipment,
its functioning when incorporated in a satellite system in a vacuum environment(not simply a transmission of the simulated data with the switch engaged but by
actual measurement and relaying the data) should be confirmed.
7.11 Use of the Outside Testing Organization
Organizations having all the necessary test facilities inhouse are limited, and inmany projects testing using an outside organization is required. It is desirable toselect a testing organization with sufficient experience to provide advice for thedesign and testing of the satellite when the experience of the project team is not
sufficient. In a test conducted by the outside organization, it is required to complete
the required tests in the prescribed time frame. Meetings with the testingorganization in advance using the test specifications and/or test plan are essential
requirements to meet such requirements. What materials and equipment need to bebrought to the testing organization and what support can be obtained by the testingorganization should be defined clearly, indicating the purpose of the tests and testing
conditions by videoconference, etc.
7.12 Evaluation of Test Results
All effort should be made to correctly evaluate the consistency of the test results.
If test results that are not good or are worrisome are left unattended, unexpectedbugs may be hidden. The pass/fail criteria of the test should be established before
the test, but indefinite results within the allowable limit that are difficult to decide
may sometimes be obtained. In such a case, you should try to explain why the result
deviated from the nominal value. In addition, when incomprehensible events occur
randomly (relatively frequent in the thermal vacuum test), what you have noticed
should be recorded, as it can then be used for the resolution of such events.
Optimistic attitudes, such as thinking that the event is just imagination or that theevent will not occur in orbit, that are based on normalcy bias should be avoided. Asvery specialized equipment/apparatus are used in the RF test, etc., erroneous RF
signal strength may be obtained by mistake in operation of the equipment/apparatus.
When test setup work is asked of a single person completely, a mistake may beneglected. A system where more than one member examines the test plan and thetest report is desirable.
7.13 Storage of Satellite
It may take an unexpectedly long time from the date all the tests are successfully77completed to the date the satellite is delivered. The possible causes of such delay arevarious, such as delay of launch vehicle, extension of safety review, delay of the
granting of the RF license. When the satellite needs to be stored for a long time, careshould be taken because the separation switch is under stress for a long time anddeformation of parts may result. The battery of the satellite needs to besupplementally charged as needed, and charging should be made by more than one
member according to the procedure. Human error cannot be avoided, even if
members are familiar with the work. A device that prevents hands from making
contact with wrong pins during the battery charging should be included in the design.
It is also recommended to consider including a flight pin in the design to prevent
satellite startup, antenna deployment, etc. by mistake while the satellite is stored.
7.14 Confirmation of Compliance with Safety Requirements
The Phase 3 safety review is conducted after completion of the FM tests based on
the results of such tests. It is the event to examine whether the satellite isconstructed according to the safety requirements based on a variety of the evidence(verification results). The verification documents should include the results of theverification items that are agreed with the launch provider in Phase 2 safety review.
The verification documents should not be provided to the launch provider all at once
after all the tests are completed. The documents should be provided once they aredone without waiting for other documents become complete. The details of the
documents should be agreed upon from the FM AIT phases.

78

8. Satellite Operation
8.1 Preparation and Maintenance of Ground Systems
Preparation of the ground systems should be completed before delivery of thesatellite, and whether communication can be established with the FM should be
confirmed. The following matters should be considered to determine the place where
the ground systems are located.
a) No high buildings around the site and a satellite at a low angle of elevation is kept
in line of sightb) No electromagnetic noise source (RF emission source) around the sitec) Space to set up the communication equipment, etc. is available near the antennad) A comfortable environment is maintained in the room where the communicationequipment is placed, which is closely located to the ordinary working room and 24hour access is allowed.
e) Easy access to a place where the antenna is located is ensured for inspection andmaintenanceItems a), b), and c) are required for enhancing the performance of thecommunication line. As a high frequency electric signal is easily attenuated by the
coaxial cable (attenuation can be easily calculated when the frequency and thecoaxial cable type are known), item c) is very important. When the antenna is located
far from the communication equipment, conversion to a low frequency signal at theplace of the antenna should be considered.
Items a), b), and c) tend to be focused on when determining the antenna location,
but items d) and e) are also necessary when considering a long-term operation
system, and a balanced approach considering both requirements is necessary. For
example, when the antenna is located at a location where the RF environment is
considered ideal, timely operation of the satellite will become impossible in case ofan emergency as it may take several days to obtain access permission, arrange for acontractor (access to the antenna by students is not permitted), etc. when inspection
and maintenance of the antenna becomes necessary. If the radio station is located ina room to which access at night is not allowed, operation of the satellite at night
becomes impossible, resulting in a 50% loss of visible time of the satellite from the
beginning. While operation via the network is possible, in critical situations
immediately after the satellite is released in orbit it should be operated using all thevisible time, as operation is better performed by members sitting in front of thecommunication equipment unless members have adequate experience in network
operation. It is required that the operation room is located close to the ordinary workroom when operation at night is considered, and where the members should spend
hours between the visible time and the visible time during the night should also be
considered. When operation in midsummer and midwinter is considered, working ina utility space on the rooftop where the communication equipment is located will not
be comfortable.
Periodic maintenance of the antenna is essential as the antenna is exposed toweather. If you feel there is difficulty in uplink or the Morse code tone is weak, thedirection of the antenna should be checked. Figure 9 shows the typical antenna
pattern of a Yagi antenna, which shows that the gain decreases by 10 dB when theantenna direction changes by 10 degrees from the centerline, and the communication
margin will be sacrificed. Attention should be paid in adjusting the antenna direction
because the magnetic north indicated by a compass is not the geographical north as79

shown on a map. The cable connects the antenna and the communication equipmentusing more than one connector. Contact failure, corrosion, etc. of the connector are
frequent causes of a failure of the ground station.
Whether the ground system is functioning properly can be confirmed measuring
the RF field strength of the signal received from the satellite. For your own satellite,
it is impossible to know whether a problem exists in your satellite or in the groundsystem. So, it is recommended to determine the satellite that should be used as thecalibrator (the satellite transmitting the beacon signal for years) and to track suchsatellite and to measure the RF field strength.

Figure 9

Antenna Pattern Example of Yagi Antenna for Ground Station

8.2 Operation Plan
The lean satellite is made using non-space-qualified commercial-off-the-shelf(COTS) products that are not guaranteed to function in space, and testing conductedprior to launch is limited. Accordingly, unexpected problems in orbit cannot be
avoided, which may frequently result in complete failure shortly after the start ofoperation. Accordingly, the following should be implemented.
a) Check the functions that are essentially required for the survival of the satellite,
such as the battery and solar panels.
b) The uplink and downlink lines should be established and an Integrated Test (InJapan, the examination by the radio authority to check the communication isestablished or not after the satellite launch is called “Integration Test”. In different
countries, different term may be used for the final exam before issuance of the fullradio license.) should be conducted to obtain an official radio station license.

80c) The mission to realize the minimum success criteria should be performed as earlyas possible. This should be preferably done within one week from release of thesatellite in orbit. In the case of the first satellite, members will be occupied in
decoding the CW Morse code and analyzing the basic housekeeping data sent fromthe satellite with excitement. You should, however, proceed to execute the mission
as soon as possible. There have been many satellites where communication was lostwhile the team was busy analyzing the received CW Morse code. The reason theacquisition of a regular radio station license needs to be hurried is because the public
release of the satellite mission’s results is restricted if you have only a preliminary
license, as operation of the satellite immediately after release in orbit is made withthe preliminary license.
8.3 Handling Anomaly and Failures
As explained in 8.2, communication may be interrupted at any moment in the caseof a lean satellite. But you should never give up in such a case. There is the example
of a satellite that recovered after two years without communication. It is important
to maintain motivation within the team to realize such success, and what is mostimportant is the positive attitude of the professor (principal investigator). All theteam members should bear in mind the importance of identifying the cause, even if
the satellite fails completely, to reflect the lessons learned from such investigationon the second and subsequent satellite projects. In the case of a satellite where thesecond satellite succeeded after the failure of the first satellite, this was achieved
through a thorough investigation of the cause of failure in the first one, and theresults were reflected in the design of the second one. You cannot be successful only
by chance. When the main mission becomes impossible to accomplish while
communication is still maintained, it is important to continue acquiring operation
data in orbit from the surviving satellite, because lessons learned in operation fromsuch data can be reflected in the design of the subsequent satellites.
It is recommended to perform the FTA along the flow of communication when afailure (including communication interruption) occurs. It is recommended toinvestigate whether a problem occurs within respective blocks or at the interface ofblocks along the information flow from the ground station  satellite  groundstation shown in Figure 10 in performing FTA. Whether a problem is in the groundstation can be easily checked using the flight spare and the ground stationequipment. A problem in the satellite is investigated by screening the candidate
causes of the failure by analyzing the events caused by a failure (only events actuallyobserved should be listed, along with the frequency of failure occurrences, theirtiming, the particulars of the location they occurred, etc.), analyzing the telemetry
data from the satellite (investigate the command history and the actions of thesatellite, identify sound data and unsound data, and investigate data trends), andreplicating the experiment using the flight spare, etc. Important information in FTA
is provided by the source code of the final flight software, the design documents ofthe satellite and flight spare, etc. but the members who actually engaged in thedevelopment are most helpful. A defect that occurred in orbit is not always
unrecoverable, but recovery may be possible by working out an alternative plan inoperation. To make such recovery possible, the operation team should understandthe design of the satellite. It is strongly desired that a project schedule is establishedso that members engaged in the development remain in the team during satellite
operation. It is strongly recommended to make the flight spare because it plays quite81

an important role to formulate the actions when a problem occurs in operation andis available when a replacement part becomes urgently necessary due to a mistakethat occurred in constructing the FM. The EM may be used as the flight spare.
Ground station side

Groundstation
PC

Radio
Tx

Satellite side

Antenna

Antenna

Radio
Rx

COM MCU

OBC

MissionpayloadGroundstation
PC

Radio
Rx

Figure 10

Antenna

Antenna

Radio
Tx

COM MCU

OBC

Information Flow Ground Station  Satellite  Ground Station82

9. After Satellite Operation
9.1 Lessons Learned
Lessons learned are the essential factor in the practical application of theexperience and knowledge obtained in the satellite project in subsequent satellite
projects or activities in the real world. There are two opportunities to summarize thelessons learned. When the satellite is delivered and when the satellite operation isfinished. The lessons learned should be summarized before graduation of the core
members when the operation expands for a long time like two or three years. It is
recommended that the responsible professor (principal investigator) should record
what has been noticed in a notebook while the project is ongoing. No definite method
is prescribed in summarizing the lessons learned, but the most important thing is tocreate an atmosphere where the members participated the project can discuss freely
and openly. The importance of the lessons learned exists when they are effectively
utilized, the responsible professor (principal investigator) should refer to the lessons
learned of the past project when the situation requires.
9.2 Recording, Reporting and Publication of Results
The progress and records of the entire project including operation of the satellite
and the management should be summarized and documented in addition to thedesign and test results of the satellite. Such documentation will provide valuableguidance and will be used as a reference by students participating in subsequent
projects. Documentation should be prepared by the project manager or responsible
professor overseeing the entire project, but motivation is necessary to promote thewriting of such document. Giving a presentation in the space technology conferencesuch as Nanosatellite Symposium and other conferences such as UNISEC Space
Takumi Conference will be good opportunities.
The variety of cooperation and assistance was obtained from outside organizations
or persons during the progress of the satellite project. For such organizations andpersons, reporting of what is obtained by the project is the best reward. Accordingly,
when the summary of the project becomes available to some extent, it isrecommended to hold a reporting session to such organizations and persons. The
materials used for presentation in such sessions can be conveniently used later as arecord of the project. The results of the satellite’s mission should be published to avariety of audiences by papers, etc., and not limited to sharing among a limited
numbers of persons related to the project. The purpose of the university-built
satellite is enhancement of human resource and progress in science and technology.
In the case of a satellite intended for technology demonstration or scientificobservation, its results should be ultimately returned to society by publishing theresults. Even in the case of a satellite intended for the education of students, what
educational results can be obtained by the satellite project should be made public sothat other universities can use it as a reference, considering the nature of the leansatellite as the method of education. Publication of such scientific or educational
results should not be restricted to publication as a peer reviewed papers in journals.
Needless to say though, publication as a peer reviewed article in a journal isdesirable for the responsible professor or student (doctoral student in particular)when their academic career is considered.
9.3 Sharing of Knowhow
For the success of the lean satellite mission, the correct functioning of the satellite83bus supporting the mission is essential. There were so many failures of the mission
caused by failure of the satellite bus. To achieve an advanced mission, advanced bus
technology is required but it does not mean that all the bus equipment needs to be
newly developed. For the satellite bus that has a sufficient record of operation inorbit, it is desired to use reliable and proven technology, sharing the data, knowhow,and software in the community. For sharing of knowhow, the knowhow needs to be
remade to a form that can be shared. It is this work that takes time. Because it isdifficult to construct a platform for information sharing all at once, it is desirable tobegin with the extent possible. The in-orbit data (temperature etc.), the record ofdefects that occurred in orbit, the list of the parts installed, etc. are considered ashigh demand, so the willingness to share such data with other projects is desired.

84

10. Sustainability of University built Satellite Program10.1 Viewpoint as a Program
The approach to improve the satellite bus and mission equipment as a series ofprograms rather than as an individual satellite project is important. To achieve
excellent results as the satellite program consistently, building up the lessons,knowledge, and knowhow obtained and in what form should be fully considered.
There is no definite answer in the case of the university-built satellite, depending on
the conditions of individual university, professors, etc. but it is desirable that persons
with actual experience of the project process continue to serve in subsequent projects,
in addition to recording the lessons in documentation. This does not apply to thestudents due to graduation in the case of the university-built satellite. The lessons
should be inherited by the professors and staff. Even in the case of staff, there areissues to be considered such as the funding to continue employment, tenureaccording to the university rules, or career advancement as a researcher in the caseof a postdoctoral fellow. When the lessons are inherited by the professor, it isnecessary that such professor continues to engage in satellite projects as a program
director.
As an alternative method by which the lessons are inherited by a group of students,
it is possible that senior students convey lessons to junior students based on the
results of operation in preceding projects by overlapping multiple satellite projects
for respective grades that are advanced simultaneously. This is a method to retain
experience as collective intelligence. However, this method will require day-to-day
management of funding and the professors are required to make every effort toacquire the necessary funds.
To construct a sustainable system to inherit lessons will be difficult in an
organization where only the students are directly assigned to a responsible professor,
because such organization will impose excessive burden to the professor. The
organization where the postdoctoral students and assistant professors support the
project as middle echelon members is desired, but a system where junior researchers
can build up their academic career is required. When the technology is fully grownafter experiencing a number of orbital operations, an approach whereby the resultsof the projects are returned to society is desired by transferring the design andknowhow to enterprise, such as by making them available as opensource.
10.2 Strengthening the Research Base in University
The university is “an aggregate of private businesses” in nature. The universitybuilt satellite projects are run as a laboratory project of the responsible professor inmany cases. To make the satellite project continue as a research program andsteadily obtain outcome, support from the university management is required. But
support from the university will require a return to the university. For that reason,
the professors may be asked by the university to do work what they do not want to
do or are not proficient in. If you do not want to do such work, the idea to make theuniversity a project sponsor should be abandoned and enterprise(s) outside theuniversity as a sponsor should be sought.
When support from the university is sought, the university-built satellite can be usedas the item to draw the attention of candidates, but when the value of the project islimited to such effect, support from the university will be limited. The effectivenesstoward education, research activities of the university, or both must be demonstrated.
This is relatively easy for educational activities. In recent education provided by85

faculty of engineering, the design capability and incorporation of Project Based
Learning (PBL) are required as prompted by JABEE. (Note: This is the case of Japan.
JABEE stands for Japan Accreditation Board for Engineering Education.) In abachelor course of education, learning from a wide perspective is required in addition
to learning by specializing in specific fields. Particularly, in the department related
to space engineering, systems engineering is one of the most important subjects, andpractical training in addition to learning by lecture is required. The satellite projectis the subject best fit for such purpose, and it will not be difficult to award credits toa student who participates in the satellite project. When the satellite project isincluded in the curriculum, support from the university will be obtained
continuously. But it should be noted that the amount of funding granted by theuniversity will not be large enough. Support from the university should beconsidered as a chance from which a satellite project can grow out from the personal
project of the professors.
When you consider more widely expanding the satellite project in the university,
coordination between professors’ laboratories cannot be avoided. It is one step
forward from the project of Professor XX to the project of Professors XX, YY, and soon. Coordination between professors’ laboratories is expected to have positive effects
such as diversification of team members, increase in expertise within the team owing
to the increased number of professors, diversification of the satellite mission (this isremarkable when coordination is established between professors in science andengineering), the increase of chances to obtain funding from outside, etc. There isalso the associated risk that may arise of possible inconsistency between thestudents when the students become aware of the walls existing between different
laboratories. To solve such problem, daily cooperation between professors isnecessary. With respect to cooperation between laboratories, this is true not onlywith professors in space sciences (installation of scientific observation equipment,etc.), but should also be considered in use of the data from the satellite. In particular,
as a pilot project using the team’s own satellite in the fields of IoT and AI may draw
the attention of professors who are interested in data analysis but may not beinterested in building a satellite, active cooperation may become possible.
10.3 Funding of Project
Even if the research base in the university is established, it is very rare thatfunding sufficient to continue the making and launch of the satellites is provided by
the university. The team needs to acquire the funds necessary to continue suchprogram, but such funding should be achieved by the efforts of individual professors.
It is recommended that a funding plan have adequate allowance because expenses
will easily increase due to factors that cannot be estimated at the start of the project(repair of purchased parts, purchase of additional parts, etc.). As continuity of the
program cannot be guaranteed when the program relies only on KAKENHI (Grantin-Aid for Scientific Research, a competitive government research funding aimed atmostly university professors) or other competitive research funding from theGovernment, it is important to acquire multiple funding sources. While adequate
funding should be acquired, the design of the satellite bus should be a type that canbe purchased at low cost.
10.4 Cooperation with Outside Organizations
Cooperation with outside organizations or persons is essential for continuing the86construction of satellites as a program. It is important to maintain good relationships
with companies who supply key components. Needless to say, the project teamshould also have a good relationship with the community of amateur radio operators
and JAXA.
Cooperation with other universities and outside research institutes, as well as
cooperation with other laboratories in your university, brings many benefits when
you want to expand the program. Cooperation with organizations outside Japan isespecially beneficial because students can experience international projects. You will
be able to learn matters such as finding out the needs of satellite use in othercountries in planning the satellite mission. Physical distance and difference in time
may become a problem in cooperation with foreign organizations, but simultaneousdevelopment of the satellite bus in your country and development of the mission
payload outside your country, with such payload being assembled in the satellite bus
in your country for delivery of the satellite will be possible when the interface
between the satellite bus and the mission payload is clearly defined, and such project
has actually been made. In a cooperative project with an foreign organization, therequirement for paperwork under the Security Export Control (different terms may
be used in different countries) must be confirmed, and when publicly known
technology (information available in open source) is not used, very careful checking
is required. Nowadays, many universities have a department that specially handles
the security export control matters, and contact with such department in advance isstrongly recommended.

87References[1] “Definition and Requirements of Small Satellites Seeking Low-Cost and FastDelivery”, Edited by Mengu Cho and Filippo Graziani, International Academy of
Astronautics, 2017, Code ISBN/EAN IAA: 978-2-917761-59-5[2]Michael Swartwout, Clay Jayne, University-Class Spacecraft by the Numbers:
Success, Failure, Debris. (But Mostly Success.), 30th Annual AIAA/USU Conference
on Small Satellites, 2016
[3] “Lessons Learned Case Analysis for Micro/Nano satellite Mission Success”,
University Space Engineering Consortium, JAXA-CR-21-002, JAXA, 2021 (inJapanese)[4] Toyota Production System, Taichi Ohno, Productivity Press, 1988, ISBN9780915299140[5] Manual for International Frequency Coordination Procedures for Small Satellites,(In Japanese)
https://www.tele.soumu.go.jp/resource/j/freq/process/freqint/001.pdf[6] JBDB-08012D “Success Criteria Making Guideline”, JAXA Chief Engineer Office,January, 2018 (in Japanese)[7] JX-ESPC-101133-D , “JEM Payload Accommodation Handbook, Vol.8, Small
Satellite Deployment Interface Control Document”, Revision D, July 2020.
https://humans-in-space.jaxa.jp/kibouser/library/item/jx-espc_8d-d1_en.pdf[8]]ISO-19683 “Space Systems – Design qualification and acceptance tests for small
spacecraft and units”, 2017.07

88