UNISEC外第23-14号

超小型衛星ミッションアッシュアランス・ハンドブック
Ver 3.0

2024年3月
特定非営利活動法人大学宇宙工学コンソーシアム(UNISEC)

1

改訂履歴VersionVer.1
Ver.2.0

改訂日時2022 年 3 月
2023 年 3 月

Ver.3.02024 年 3 月

改訂内容
第１版として発行(UNISEC 外第 21-21 号)
UNISEC アカデミー、UNISEC Global 等ででたコメントを反映
第 2 版として発行(UNISEC 外第 22-22 号)
2023 年度の調査結果を反映
第 3 版として発行(UNISEC 外第 23-14 号)

2

日本語版

3

大学・高専発超小型衛星の Mission Assurance Handbook
目次
1. はじめに
2. プロジェクトマネージメント
2.1 スケジュール管理2.2 チーム体制
2.3 効率化
2.4 周波数調整・電波免許
2.5 安全要求への適合
2.6 文書管理
2.7 不具合管理
2.8 外部ステークホルダとの関係
2.9 資金計画
2.10 リスク管理
3. ミッション定義
3.1 実現性
3.2 サクセスクライテリア
3.3 ミッションシナリオ
3.4 リスク管理
3.5 外部委託を受けて衛星を開発する場合のミッションアシュアランス
4. 概念設計
4.1 要求管理（ミッション要求、設計要求、検証要求の整合性）
4.2 過去のプロジェクトの教訓の反映
4.3 安全要求適合性確認
4.4 検証計画
4.5 リスク管理
5. 詳細設計
5.1 部品・コンポーネント選択
5.2 リスク管理、FTA、FMEA
5.3 死なない衛星を心がける
5.4 過剰な保護機能を避ける
5.5 設計変更時の留意点
5.6 運用しやすい衛星設計
5.7 試験しやすい、製造しやすい衛星設計
5.8 設計根拠の理解
5.9 FM に移行する前に5.10 安全要求適合性確認
5.11 衛星インターフェース
6. 製作
6.1 品質管理
6.2 作業外注と内製
6.3 安全要求適合性確認
7. 試験
7.1 電磁適合性試験

47.2 End-to-End ミッション試験
7.3 電気的インタフェース（噛み合わせ）試験
7.4 システム機能試験
7.5 End-to-End 長期運用試験
7.6 展開試験
7.7 フィットチェック
7.8 熱試験
7.9 振動試験
7.10 姿勢系試験
7.11 試験コンフィギュレーション（Test-as-you-Fly）
7.12 外部試験機関の利用
7.13 試験結果の評価
7.14 不具合対応
7.15 衛星の保管
7.16 安全要求適合性の確認
8. 運用
8.1 地上系準備・メンテナンス
8.2 運用計画
8.3 不具合対応
9. 運用後
9.1 Lessons Learned
9.2 記録化と成果報告・公開
9.3 ノウハウ共有
10. 大学衛星プログラムの持続可能化
10.1 プログラムとしての視点
10.2 学内基盤の強化
10.3 資金確保
10.4 外部連携

5

略語
ADCS
AIT
AT
BBM
CDR
C&DH
EM
FM
FET
FMEA
FRR
FTA
ISS
MA
MDR
MCU
MOSFET
OBC
ORR
PDR
QT
Rx
Tx

Attitude Determination and Control System
Assembly, Integration and Testing
Acceptance Test
Bread Board Model
Critical Design Review
Command and Data HandlingEngineering Model
Flight Model
Field Effect Transistor
Fault Mode Effect Analysis
Flight Readiness Review
Fault Tree Analysis
International Space Station
Mission Assurance
Mission Definition Review
Micro-Controller Unit
Metal-Oxide-Semiconductor Field Effect Transistor
OnBoard Computer
Operational Readiness Review
Preliminary Design Review
Qualification Test
ReceiverTransmitter61. はじめに本文書は大学・高専等（以下、簡単化のため「大学」とする）が開発する超小型衛星の Mission 成功率を向上させるために、教員・学生を含む開発・運用チームが念頭におくべき事項をまとめたものである。ミッション保証（Mission Assurance）とはミッションの成功を阻害する設計・製造・運用等における要因を見つけ、その影響を軽減させる一連の活動を意味する。
本文書の適用対象は「超小型衛星」であるが、 衛星のサイズや重さでその範囲を定義するのではなく、 “Lean Satellite”（衛星がもたらす価値を安く・早くにユーザ
ー・顧客・ステークホルダに届けるために従来の衛星とは異なるリスク許容型の開発・マネージメント手法をとる衛星[1]）として適用対象を捉えるべきである。リスクを許容するがために、個々の衛星は失敗するかもしれないが、次の衛星を速やかに打ち上げることで衛星プログラムとしての価値を安く・早く届けられるようにする。そのために、衛星のサイズや重さが小さなものとなっている。CubeSat を含む所謂「超小型 衛 星 」 ・ 「 小 型 衛 星 」 ( 英 語 で は pico-satellite, nano-satellite, microsatellite 等々)の多くが Lean Satellite の範疇に収まり、大学衛星は 100％当てはまるといえる。本文書では、日本語で馴染みのある「超小型衛星」を使うこととする。
大学で衛星が作られるようになって 20 年以上が経過し、超小型衛星は今や単なる学生の教育ツールとしてだけではなく、最先端の科学観測やビジネスにも使われるようになっている。いわゆる「New Space」と呼ばれる多くの新興企業が大学衛星プロジェ
クトを経験した元学生達によって立ち上げられ、躍動する宇宙セクターの原動力ともなっている。
日本においても、これまでに 20 を超える大学が超小型衛星を打ち上げているが、そのミッション成功率は未だ低いままである。世界的に見てもそれは同じであり、文献[2]によれば、大学発衛星の 25%が DOA(Dead-on-Arrival、軌道上放出後に地上局で電波を一回も受信できない）に終わっており、ミッション成功と分類される衛星は「部分的な成功」を含めても 50%に満たない。
大学衛星のミッションは「教育」「技術実証」「科学観測」が主たるものである。
しかし、たとえ「教育」をメインミッションとしていたとしても、運用によって得られる教育的効果は開発段階で得られる教育的効果に匹敵する。そのため、教育衛星といえども、地上との間で電波をやりとりして衛星に何らかの仕事をさせる、すなわち軌道上で何らかのデータを取得してダウンリンクすることを目指さなければいけない
大学衛星のミッション成功率を向上させることは、卒業後に宇宙セクターに進む人
材の教育効果を上げるだけでなく、大学衛星を活用した挑戦的な「技術実証」「科学観測」の成果を向上させることにもつながる。それらの成果は、より大きな規模で行われるミッションのパスファインダーとして活用され、宇宙セクター全体の発展に寄与することとなる。
本文書は、2020 年度に大学宇宙工学コンソーシアム(UNISEC)が行った Lessons
Learned 共有会において出されたさまざまなミッション成功・失敗事例を分析したものが基となっている。Lessons Learned 共有会のまとめは文献[3]として出版済みである。
文献[3]の 5.2 章に「超小型衛星のミッションアシュアランスのための要件項目の抽出」
として、超小型衛星ミッションを成功させる上で必要な要件項目を抽出している。本文書は、失敗事例の Root Cause Analysis をさらに行なった結果に基づいて、それら要件項目を衛星のシステムライフサイクルに沿う形で加筆・修正・再構成し、衛星プ
ロジェクトに関わる教員・学生が衛星プロジェクトをやりながら常に参照できるようにした。特に7

プロジェクトの実施形態に応じた大学における適切なマネージメント方法
プロジェクトを「効率良く」実現するポイント
ミッション定義から運用後に至るまでのプロジェクトライフサイクルの各フェー
ズ毎にミッション成功率向上のために実施すべき事項● 個々の単発のプロジェクトではなくプログラムとしてミッション成功率を確実に向上させていくために、大学衛星プログラムを持続的に行っていくためのポイン
トの４点を念頭においている。
大学衛星のミッション成功率は、初号機では極めて低く、2 号機以降は自らの教訓を反映することで大きく向上する。しかしながら、2 号機以降でも失敗がなくなるわけではない。自分達以外の多くの衛星プロジェクトと経験知を共有することで、ミッショ
ン成功率をさらに向上させることができる。そのため、本文書の対象は、初めて衛星開発に携わる教員・学生だけでなく、2 号機以降に携わる大学関係者も含んでいる。
本文書は、特定非営利活動法人大学宇宙工学コンソーシアム(UNISEC)が国立研究開
発法人 宇宙航空研究開発機構（JAXA）から受託して実施した業務 「2021 年度 超小型衛星の成功率向上に向けた JAXA 知見を活用した支援方法の調査検討」（JX－PSPC－
536920A）の一環として作成されたものである
●
●
●

8

2. プロジェクトマネージメント
2.1 スケジュール管理
大学衛星の場合、初号機からミッションに成功することは稀である。失敗原因の多
くは、経験不足からくるスケジュールの読み間違いが、最終的なシステム全体を使っての試験時間の不足につながったことにある[3]。相乗りに頼る大学衛星では、衛星納入日を自ら選べることは少ない。そこで衛星納入日を D として、スケジュール管理の目安となるマイルストーンを表１に示す。(B)〜(F)までに示された期間を短縮することは厳しい。物品の発注・調達にかかる時間は学生の頑張りだけでは短縮できない。
また(E)と(F)で全系を組み合わせてどれくらい長い期間動作させて、どれだけのハード・ソフトの欠陥を検出し修正できるかが、衛星の軌道上生存率やミッション成功率を左右する。そのため(E)や(F)の時間を縮めてスケジュールの遅れに対処しようという考えは持つべきではない。
表１
時期
D-A*月
(A)
D-13 月(B)
D-10 月
(C)
D-6 月
(D)
D-3 月
(E)
D-1 月

(F)
D

スケジュール管理の目安

マイルストーン
どのようなミッションを実施するかが決まる。MDR の実施。
Proof of Concept (BBM の使用)
平行して EM の設計
想定したミッションが実施可能である確証を得る。PDR の実施。
EM 設計・発注・調達（３ヶ月）
EM に使用する各種ハードウェアが納入され、組み立てを待っている。
EM 組み立て・統合・試験（４ヶ月）
EM の試験が完了し、衛星システムとして動作することが確認されている。CDR の実施。
FM 発注・調達（３ヶ月）
FM に使用する各種ハードウェアが納入され、組み立てを待っている。
FM 組み立て・統合・試験（2 ヶ月）
FM ハードウェア・ソフトウェアが完成し、ハードウェアに関する試験（振動・熱真空等）を終えている。
基本的な地上局ソフトウェアが完成している。
FRR または ORR の実施
ソフトウェアのバグ出し（１ヶ月）
衛星納入* 時期は衛星プロジェクトにより異なる(A)の期間中（長さはプロジェクト毎に異なる）に BBM 等のハードウェアを使って、ミッションが実施可能であることを確かめておく(PoC, Proof of Concept の実施)。複数のミッションを搭載する場合、PoC の結果が芳しくないものについては、搭載を断念する決断が必要となる。決断を後回しにするだけ、EM や FM の設計変更につながる恐れが増え、コスト増・スケジュール遅延につながる。メインミッションの場合、PoC の結果に応じてミッション要求を見直すべきである。通常は(A)の期間の最初に MDR、最後(D-13 月)に PDR がある。(A)が終わってから、すなわち PDR 実施から衛星納入までの目
安は 13 ヶ月である。
(B)の期間中（3 ヶ月）は EM の納入を待つ期間であるが、その間も安全審査対応のための構造解析や STM 振動試験、BBM を使ってのソフトウェア開発等々、やることは多く9ある。また EM の試験日程を組み、試験設備を確保しておく。
(C)の期間中（4 ヶ月）に EM の組み立て・統合・試験を行う。組み立て・統合はコン
ポーネントが全て揃ってから一度に行うのではなく、納入された物品から順にインタ
フェース適合性を確認していくべきである。組み立て時に機械インタフェースの不適合が数多く見つかるので、構造系や基板の改修が必要となる。統合時には電気的イン
タフェースの不適合が数多く見つかり、トラブルシューティングに多大な時間を要する。振動や熱真空といった環境試験は慣れていないため、スケジュールに余裕をもっておく。特に初号機の場合、EM 振動試験は 1 回で終わらない場合が多いので、複数回することを覚悟しておく。通常は(C)の期間の最後(D-6 月)に CDR がある。
(D)の期間中（３ヶ月）に FM の発注・調達を行うが、EM 試験結果に基づく FM での設計の軽微な変更が必ずある。図面の引き直しなどで予想外の時間を要する場合がある。
この間に FM の試験日程を組み、試験設備を確保しておくべきである。その際、FM の組
み立て・統合に時間を要することを考え、FM 試験日程は少なくとも Plan-A(予定通り進んだ場合)と Plan-B（予定通り進まなかった場合）の２通りを想定しておく。
(E)の期間中（2 ヶ月）に FM の組み立て•統合・環境試験(AIT)を行う。AIT 中に不適合が見つかり、FM の改修が必要となる場合が多く、２ヶ月は必要である。試験日程が刻々と変わる可能性があるので、試験実施場所が外部機関の場合は、当該機関との連絡を常にとっておく。通常は(E)の最後(D-1 月)に FRR または ORR を実施し、全ての設計・検証要求が満たされたことを確認する。納入直前にレビューを行わないのは、万が一改修の必要がでてきたとしても対応できるようにするためである。
(F)の期間中（１ヶ月）は、ハードウェアの変更は基本的に行わず、End-to-End 長期運用試験（7.5 を参照）でソフトウェアのバグ出しに専念する。ただし、ソフトウ
ェアにバグが見つかったとしても、FM のソフトを実際に変更するかどうかは、変更によるリスク（それまで動いていた部分が動かなくなる）と変更しなかった場合のリスク（軌道上でバグが発生する）を比較した上で慎重に判断すべきである。
2.2 チーム体制
大学において、衛星のプロジェクトチームを編成する際、学生だけでは必要なタレントが全て揃うことはない。足りないところは、スタッフを雇用する、学生の成長に期待する、外部機関と連携する、買い物で済ませる、といった解決策があるが、いずれも確実ではなく、ミッションの難易度や予算や地理的状況などなどを考慮してベス
トな策を得る必要がある。いずれにせよ、衛星ミッションの策定を行なっていく上で、チーム内のタレントの見極めが極めて大事である。
参考のために、表２に見極め作業で使えるようなチェックリストを示す。このチェックリストは体制の優劣を決めるものではないが、チームの経験、学生のスキルレベ
ル、専門分野の多様性等々を俯瞰するのに使える。例えば超小型衛星のプロジェクト
経験のある責任教員の関与が深まるほど(1,2,3)、プロジェクトマネージメントは楽になる。教員がプロマネをしなかったとしても、プロマネの経験が深ければ(6,7)、同様にマネージメントは楽である。またそのような場合は、ミッションの策定時にチームができること、できないことの見極めがすでについているので、間違いをおかすことはあまり考えられない。参加する教員や学生の専門分野が複数にまたがり(5,8)、また専任スタッフがいたり(4)、博士や修士の学生の参加が多く(9)、且つ多くの学生が衛星プロジェクトをすでに体験していれば(11)、ミッションの難易度を高く設定できる。
ただし、過信は禁物である。超小型衛星プロジェクトの経験をもつ外部機関が多ければ（12）、足りない分野を埋めてくれる可能性があるのでミッションの難易度も高く

10設定できるが、外部機関がビギナーである場合は逆効果である。チームがサークル化
したり低学年に学生が偏っていると(9,10)、ミッションの難易度はあまり高く設定しない方が良い。
表2

衛星プロジェクトのタレントの見極めのためのチェックリスト

No 項目
1 責任教員(P/I)が講義の時間以外に衛星プロジェクトに費やせる時間(%)
2 責任教員の衛星プロジェク
トの経験
3 衛星プロジェクトに関与する教員（学科プロパー）
4 衛星プロジェクトに専念するスタッフの数
5 教員の専門分野（複数）

100

回答選択肢
20~49 5~19 0~450~99

3 以上 2

1

0

3 人以 2
上
3
2

1

0

1

0

宇宙工 理学学
6 プロジェクトマネージャー 責任教 (P/I)以員外のプ(P/I) ロパー
教員
7 プロジェクトマネージャー 3 以上 2が経験した衛星プロジェク
トの数
8 参加学生の学科（複数）
宇宙工 理学学
9 学生の学年(複数)博士
修士
10 責任教員の研究室外の学生 推奨
限定的の参加
11 衛星プロジェクトを経験し 100
50~99
た学生の割合(%)
12 衛星プロジェクトに主体的 3 以上 2に関与する外部機関の数

機械 電気 通信メカト 情報その他
ロ
専任 博士 修士学 学部生 学部生
スタ 学生 生（研究 （研究ッフ室内） 室外）10

機械 電気 通信メカト 情報ロ

その他

学部 学部 学部
4 年 3 年 1~2 年

20~49 0~19 0
10

チーム内のタレントが把握できたとして、衛星ミッションを実施する上でチーム内では解決できない専門知識やノウハウを効率的に得られる仕組みを作ることが重要である。ここで注意すべきは、外部にコンポーネントの開発や製作について協力を要請したとしても、その仕様はミッション要求やシステム要求と合致していなければならず、仕様をチームメンバー（特にプロマネや当該コンポーネントを使用するサブシス
テム担当者）が理解している必要がある点である。またコンポーネントが納入されたとしても、システムに組み込んで衛星全体の検証を行うのは大学側の責任であり、チームメンバーがそのことを肝に銘じておく必要がある。
大学衛星プロジェクトは、たとえ専任のスタッフを雇ったとしても、学生の献身的な労働なしには成り立たない。学生のプロジェクトへの参加は、学生個々に異なるモ

11

チベーションによって支えられている。そのモチベーションの維持・向上の責任は全て教員にあることを、教員は肝に命じるべきである。衛星プロジェクトに対するモチベーションは学生個々人で差があるのは当然である。モチベーションの低い学生が重要なタスクを割り振られたがために、プロジェクト全体が進まなくこともある。そのような場合は早めの対策が必要であるが、その際にプロマネの役割は極めて大事である。教員とプロマネの間で常にコミュニケーションをとり、問題の特定と解決に努めるべきである。
研究室プロジェクトの場合、学生の卒論・修論・D 論とリンクさせることができるが、そうでない場合は学生にプロジェクトに参加する意義を見出させる必要がある。特に少人数・短期集中開発は学生も精神的に追い込まれる。ゴールの先に得られるものを学生が明確に意識できるようにしなければならない。
サークル活動の場合、学生の出入りは基本的に自由であり、学部低学年であることも多く、教員と学生のつながりも研究室プロジェクトほどには太くない。普通の部活
動と異なり、対外試合があるわけでもなく、コンテストのように数ヶ月先に明確なゴールが見えているわけでもない。教員側が積極的に関与する姿勢を見せ、学生の懸念を早期に拾い上げる努力をしなければ、学生間のつながりだけでモチベーションを維持するのは難しい。
学生のモチベーションを維持する上で、打ち上げが決まっていることが何よりも重要であり、打ち上げの決まらない学生衛星プロジェクトは漂流することになる。ただし、打ち上げが決まれば信頼性のある衛星を学生が作るわけではなく、教員が常に「打上げ日までに衛星を間に合わせるのが成功ではなく、打ち上げ後に予定していたミッションを実施できて初めて成功と言える」ということを言い続けることが必要である。教員が「ミッション成功が大事」と言い続けなければ、学生はついてこない。
また、衛星の開発期間があまりに長すぎると、学生は衛星プロジェクトの一部しか経験できず、モチベーションを持たせることが難しい。開発から運用までの一連のプロセスをすべて体験できることがモチベーションにつながる。そのためには、プロジェ
クト立ち上げから運用までを 3 年以内に実施することが望ましい。
3 年というプロジェクトのライフサイクルの設定は非常に大事である。軌道上で開発
時に見過ごしていた問題が発覚した場合、運用で回復するしかない。できることは限られているものの、衛星の設計を熟知していることにより、とりうる対策の幅は広がり、時には絶望的な状態から回復することもありうる。大学衛星プロジェクトの実施
形態は工学系の研究室を中心に行われる「研究室型」のものが多いが、学生は学部４年生から修士２年生までの 3 年間在籍するケースが多い。プロジェクト立ち上げから打ち上げまで 3 年以上を要すると、運用時には衛星の設計に精通した学生がいないということが起こり得る。多額の外部資金を獲得してきて、専任スタッフや大学院生（修士・博士）が多数参加する「研究指向型」のプロジェクトでは、専任スタッフの雇用の際に、開発完了まででスタッフの雇用期間を区切るのではなく、運用も見据えた雇用期間とすべきである。研究室外の学生も参加する「サークル型」は３年を超えたライフサイクルも可能ではある。ただし、あまりにもプロジェクトが長期化すると学生のモチベーション維持が難しい。また、研究室配属後は卒論・修論等があるので、指導教員の理解がない限り４年生以降は多くの時間をプロジェクトに割くことができない。そのため、「サークル型」であっても３年程度でライフサイクルを終わらせる
ことが大事である。
大学衛星では、P/I (Principal Investigator)である責任教員の判断が最優先される

12

が、重要事項の判断は P/I の教員が一人で行うのでなく、複数の人間で話しあって冷静に議論した上で決めるべきである。教員には、他者の意見を受け入れる度量の広さが求められる。
大学衛星で学生・ポスドク・若手教員がプロマネをする場合、上席教員（通常は P/I）
は状況を常に把握し、必要であれば外部に助けを乞う。学生やポスドクではなかなか
外部とのチャンネルもなく、助けを得難い。そのため、適切なチャンネルを外部との間に作るのも上席教員の役割である。教員は学生やポスドクに丸投げすべきではない。
一旦チャンネルができたあとは事情をよく知る学生やポスドクが直接外部に連絡する方が伝言ゲームにならなくて済む。
システム全体を見渡せるのがプロマネ 1 人である体制は、そのプロマネに事故などがあった時に非常なリスクを抱えている。システム全体に精通した人材を複数用意しておく。また、チーム内でも情報の共有を進めておく。１人の人間に依存したプロジェクトマネージメントは、リスクがあまりにも高く、するべきでない。そのためにも、
平常時からチーム全員が一つの部屋で過ごすような開発体制が望ましい。また、逆にいうと、プロマネ１人でシステム全体を見渡せないようなシステムは超小型衛星とは言い難い。また、システムが複雑になればなるほど、超小型衛星開発の経験者（システムライフサイクルの全てを経験した者）がプロマネになるのが望ましい。
2.3 効率化
文献[4]に倣って、衛星プロジェクトにおける活動を３種類に分類する。1 番目は、衛星の価値を向上させる活動。この中には MA も含まれる。2 番目は、価値は向上させないものの必要な活動。この中には安全審査対応や宇宙活動法・電波免許等に関する作業が含まれる。3 番目は、その他の「ムダ」な活動である。超小型衛星では、この「ムダ」をできる限り減らすことによって、限られた人員と資金で衛星を開発・運用する。
衛星プロジェクトにおいては、「移動」と「待ち」でムダが発生しやすい。そのムダを削減し、得られた余剰の時間を MA に振り分けるべきである。同じキャンパスの中で開発する場合であっても、チームの所在地が分散していると、ミーティングや組み立て・統合・試験作業のために一箇所に集まるための移動時間はムダである。衛星運用においても、地上局までの移動時間はムダである。コロナ禍において遠隔作業やコ
ミュニケーションは大きく進化したが、それでも対面で行う作業やコミュニケーショ
ンに対して効率は大きく劣る。キャンパス内に試験設備がない時、試験実施場所までの衛星の輸送や人員の移動はムダな時間である。メイルによるコミュニケーションは、返信が来るまでの時間は「待ち」であって、価値の向上に繋がらない。チーム全員が同じ部屋に滞在して、細々としたコミュニケーションは口頭で行うことで、時間が大きく節約される。記録として残すべき事項については、テキストメッセージ化するな
どの使い分けをすべきである。移動とコミュニケーションを効率化するには、居室、作業室、試験設備、地上局を同一建屋内に集約することが望ましい。
2.4 周波数調整・電波免許
衛星の開発が順調に進んでいたとしても、周波数調整・電波免許申請の結果、基本設計の変更、ミッションの変更、衛星納入の遅れ、衛星ミッションの断念、衛星運用の制限などに追い込まれることがある。特に、アマチュア無線と非アマチュア無線の併用、一次割り当てでない周波数の使用等については、注意が必要である。また、超小型衛星の数の増加に伴い、アマチュア無線周波数割り当てや予備免許発行にかかる13

時間が長引く傾向にある。特にアマチュア無線の精神に即しているかどうか判断が難しい衛星はアマチュア無線周波数割り当てが長引いている。周波数調整や予備免許発行が終わっていない衛星は打ち上げることができないため、電波関連の官辺手続きの遅れが衛星納入の遅れ、最悪の場合打ち上げ機会の喪失につながることを認識すべきである。
国際周波数調整並びに無線免許申請は電波法と電波関係の専門知識を必要とするので、特定のメンバーに仕事が集中しがちである。プロマネを始めとする複数のメンバーが周波数調整の進行状況を常にモニタしておく必要がある。また複数のメンバーが文献[5]に目を通しておくことが望まれる。周波数調整作業を外部コンサルタントに依頼することも厭わない姿勢をもつことが重要である。また、外部コンサルタントに依頼したとしても、プロジェクト側の人間が状況を常にモニタしておかなければいけな
いのは当然である。
2.5 安全要求への適合
安全要求への不適合は設計見直しや製作やり直しにつながり、それらに費やす時間が MA 活動に費やす時間を圧迫することになる。また安全審査を通らない衛星は打ち上げることができないので、最悪の場合は打ち上げに間に合わずダミーマス搭載という事態になりうる。実際に、そのような事例が過去にいくつか起きている(図１)。安全要求不適合による出戻りを少しでも減らすため、概念設計、詳細設計が終わったそれ
ぞれの段階で安全要求適合性に関わる課題を抽出し、打ち上げ事業者に確認をとっておくべきである。
安全審査においては、どのような方法で安全要求への適合性を検証するかが問われるが、最小限のエフォートで検証できる手法を打ち上げ事業者との間で合意すべきである。過剰な約束（大学教員は見栄をはって過剰な約束をしがちである）をすると、あとで自らを苦しめることになりかねない。安全要求への適合性の検証は必要最小限のエフォートにとどめ、MA 活動等にリソースを割り振るべきである。
システム安全の責任者は、設計や AIT の担当者に対して時に強い意見を言わなければいけない。安全要求の背後にある技術的理由を理解し、各担当者に噛み砕いて説明できる資質を備えた人材を充てるのが望ましい。

図 1 H-IIA 30 号機に搭載された小型副衛星（6 時の方向にある銀色の塊がダミーマ
ス）（写真出典：JAXA デジタルアーカイブス）

14https://s3-ap-northeast-1.amazonaws.com/jaxa-jda/http_root/photo/P100010489/5590ac570abed216cfe9acfe71681338.jpg

2.6 文書管理
衛星プロジェクトにおいて、文書が必要となるのは以下のような理由による。
a) 官辺対応（安全審査、周波数調整・電波免許、宇宙活動法）
b) プロジェクト内の意思疎通（開発・試験・運用の際に現場で必要）
c) 運用時の不具合対応に備えたトレーサビリティーの確保
d) 知識伝承e) 他プロジェクトとの知識・ノウハウ共有f) 論文作成時の源泉データ(a)と(b)については、これなしでは衛星が完成し打ち上げることができないので、否応なしに文書化作業をしなければならない。(a)については、教員・スタッフに文書化作業を行う時間的余裕や適性がないのであれば、学生がやるしかない。そのため、プロジェクト発足時に安全審査関連の文書作成を重要タスクの一つとして学生に割り振る。学生にタスクの重要性を理解させた上で、「この仕事の成否によって衛星が打ち上がるかどうかが決まる」といったモチベーションを与える。当然、学生が作成する安全審査関連書類のチェックは教員・スタッフがしないといけない。(b)については、各系の担当やプロマネが必要に迫られて作成するので問題ない。基本的に文書化作業が好きな学生はおらず、また衛星開発と同時平行で作られるので、教員が「勉強のため文書を作れ」と指導しない限り、必要最低限の文書セットが作られることになる。
(f)については、論文執筆を考えている教員・学生（多くは博士学生）が自分で作成、または他の学生を指導して作らせることになる。
MA 活動に関連するものとしては、(b),(c),(d)となる。特に大学内の世代交代により衛星の設計内容を熟知したものが運用時に欠ける状況に備える、次号機プロジェク
トを円滑に進めるといった観点で必要となる。しかし、学生にいくら「知識伝承は大事。文書で残せ」といっても、それで学生は動かない。一つの方策として、衛星プロ
ジェクトを学生の卒業論文・修士論文とリンクさせる案がある。理工系の学生にとって、卒業論文、修士論文は必須である。衛星プロジェクトにおいて、ある系やコンポーネントの開発または試験を卒論・修論のテーマとして実施すると、卒論・修論では否応無しにそれらのことを書かないといけない。体系的な文書作成にはならないが、特定分野においては、非常に詳細な設計文書ができあがることになる。例えば、アンテナ展開機構を学生の卒論とした場合、学生は、アンテナの基礎から、どのようにしてテグスを結び、どのような試験条件でどれだけ試験をおこない、その成功率はいくらであったか、失敗したとしたらその要因等々、自分のやった事項について非常に詳
細な記録を残すことになる。
2.7 不具合管理
衛星の開発作業(AIT も当然含む)中には必ず不具合が発生する。それらの不具合への対処を怠らないよう、プロマネまたは担当者に不具合情報を集約し、抜けがないような取り組みが必要である。このような取り組みは衛星が複雑になればなるほど大事である。不具合管理表を採用して管理していくことの有効性がいくつかの衛星で示されている。ただし、様々な不具合に対してミッション達成に対する影響に基づいて優先順位をつけ、リソースを分散させない注意が必要である。また、BBM フェーズなどの開発初期段階では担当者が不具合事象を不具合と見做さず、単に開発作業が終了していないだけと思うこともあり、担当者が途中で変わったりすると不具合がそのまま取り残されたりすることもある。プロマネと担当者の意思疎通が重要である。

15

2.8 外部ステークホルダとの関係
自社の製品を宇宙で実証したい企業からの依頼が大学衛星に来ることが多い。企業側には自社で衛星を作るよりも遥かに手間とコストを省けるといった利点があり、大学側には企業から資金導入できるという利点がある。また製品自体に研究開発要素があった場合、共同研究として学生や教員の論文発表につながる可能性もある。しかしながら、企業側の依頼を受ける際には、インターフェースや仕事の分担を明確に決めておくべきである。システム側（大学側）にとって負担の少ないのは電源ラインとデータラインだけを提供して、実証実験データの測定回路等は全て企業側の責任で作ってもらうことである。少なくとも衛星バスへの影響を最小限にする努力が必要である。
企業側との調整が曖昧なままであると、多大な人的リソースを企業ペイロードのために配分することになったり、プロジェクト最終段階で思わぬ設計変更を強いられたりすることがある。また、資金を得られるからと言って企業からの申し入れに安直にとびつかず、企業をステークホルダとして招くことによって衛星システムが複雑になることや調整の手間が増えることに対して、対処が可能であるかどうかをしっかりと見極めた上で判断すべきである。

図2

外部ステークホルダを入れる時のトレードオフ（イラスト出典：いらすとや）

2.9 資金計画
衛星プロジェクトにはお金がかかるものである。特に初号機においてはどれくらいのお金がかかるかを予想するのは非常に難しい。地上局やクリーンブースなどの最低限のインフラ整備にも資金が必要である。能動的姿勢制御をせず、UHF 帯の通信機しか搭載しない 1U CubeSat を開発しようとした場合、EM と FM のハードウェアにかかるコストは合計で 1000 万円程度かかると覚悟しておいた方が無難である。外国製のCubeSat プラットホームを購入するとさらに金額はあがり、EM と FM 合わせて 1000 万
円を切ることは難しい。これに地上局やクリーンブースなどのインフラや、電源や測定器などの試験用機器を加えると 1500 万円程度に経費が膨らむ。これらに学外での試
験費用や旅費等を加えると、初号機の場合、打ち上げ費用を除いて 2000 万円程度用意しておくのが望ましい。２号機以降は、インフラ等のコストがなくなり、前号機の余
剰部品の使用や経費削減のノウハウの蓄積により、プロジェクトあたりのコストは当然下がってくる。資金が足りなくなったからと言って学生の自作に頼ると、信頼度の低下やスケジュール遅延につながりかねない。また、資金難を解消するために外部ス
テークホルダを入れるなどすると、衛星が複雑になって信頼性が低下したり、プロジ
ェクト運営が難しくなったりする懸念もある。資金計画には余裕をもつことが求められる。見切り発車や楽観は危険である。

16

2.10 リスク管理
リスクとは、もしそれが現実化したら衛星ミッションに対してよくない結果をもたらすもので、発生する確率がゼロではないものである。リスク管理とはリスクを見つけ、評価し、効果的にリスクの影響を低減または発生を防止する、システム工学的なプロセスである。安全管理とリスク管理は似ているが、リスク管理は安全に関する事
項以外も扱い、衛星プロジェクトのすべてを対象とする。また、発生確率が１のもの、
すなわち絶対に起きるものはリスクとは言わず、リスク管理以前の問題として何らかの対処が必要である。
リスク管理は図 3 の流れに沿って行う。まずミッション成功を阻害する要因(リスク)を洗い出す。リスクは技術的なものだけでなく、プロジェクトマネージメントに関するもの（資金枯渇、メンバーの離脱、部品調達遅れ等々）など多岐にわたる。次にそのリスクが現実化する可能性（発生確率）と現実化した際の影響（深刻度）を掛け合
わせて、各リスクを総合的に評価し、限られたリソース（人員・予算・スケジュール
等々）の中で優先順位に対処するものを選定する（図 4）。リスクを低減する対処方法
を選び、対策を実行する。対策を実行した結果、深刻度や発生確率（またはその両方）が低下するので、リスクの優先順位を再評価する。図 3 のリスクの追跡はシステムラ
イフサイクルのすべての段階で継続すべきであり、設計変更の際には新たなリスクが発生していないかを常に吟味しないといけない。
大学では、「失敗を許されない」衛星を作ることは不可能であり、ミッション失敗のリスクを許容する。しかしながら、リスクがあっても何もしないわけではなく、リスクを適切に管理してミッション成功率を高める努力をしないといけない。リスク管理
はミッション保証の根幹をなす活動とも言える。

リスクの
追跡

リスクを
見つける

リスクを
評価する
図3

対処方法
の選択
リスク管理の流れ

17

対策の
実行

図4

リスク評価

18

3. ミッション定義
3. 1 実現性
チームの構成員の知見やスキルが衛星の開発・運用に必要なすべての範囲をカバーしていることは、まずあり得ない。新規にスタッフを雇用して足りないタレントを外部から導入するという考えも、必要となる人材を確保できる保証はない。学生の成長に期待しすぎるのも危険である。また、予算も限られている。ミッションを策定する
場合には、そのような制約条件を強く意識すべきである。用意できる予算と人員で実施可能な「身の丈にあったミッション」を策定すべきである。また、教育目的の衛星においては、新規開発の要素が多すぎるとプロジェクトが破綻する危険性があることに留意すべきである。
大学衛星は教員次第である。教員が背伸びをしても、学生がついてこれないことがある。また、教員は神ではないので、ミッションの実現性を評価する上で全てを知っているわけではない。自分の足りないところを率直に認め、外部の助けを請う、自分の不得意なところで無理をしない、といったことが重要である。外部に助けを請う時
は、経験者のコメントを真摯に受け止める姿勢が大事であるが、その前提としてコメントの良し悪しを判断できるだけの力量が必要であり、それらを身につける努力を怠るべきではない。
3.2 サクセスクライテリア
サクセスクライテリアは、プロジェクトを進めていく上での指針である。通常はミニマムサクセス（システムに何らかの不具合があったとしても、これだけは何があっても達成できる最低限の目標）、フルサクセス（システムが要求通りに機能した場合に達成できる成果の目標）、エクストラサクセス（フルサクセスを達成した上で、さらにそれを上回る成果の目標）の３つで構成される（文献[6]）。できるだけ定量的な指標（特にミニマムサクセスとフルサクセス）を使うことが求められる。表 3-5 にサクセスクライテリアの例を示す。
表3

サクセスクライテリアの例 （Store&Forward ミッション）
クライテリアミニマムサクセス
地上センサターミナルからのデータを衛星で受信し、地上局へ転送することを、1 回達成すること。
フルサクセス
複数の国に置かれた地上センサターミナルからのデータを受信し、それぞれの国にデータを配信すること
エクストラサクセス
１週間に亘ってミッションを連続的に実施すること
表4

サクセスクライテリアの例 （新型通信機の技術実証ミッション）
クライテリアミニマムサクセス
1Mbps のダウンリンク速度を達成すること
フルサクセス
20Mbps でダウンリンクを行い、データの完全な復元に成功することエクストラサクセス
20Mbps でダウンリンクを行い、10-5 のビットエラーレートを達成すること

19

表5

サクセスクライテリアの例 （カメラペイロードの技術実証ミッション）
クライテリアミニマムサクセス
なんらかのイメージを地上に返すこと
フルサクセス
100mx100m の範囲にある人文字の写真を撮影できること
エクストラサクセス
１ピクセルあたり 5m 以下の分解能で写真を撮影できることサクセスクライテリアはプロジェクト立ち上げ時に策定するが、レビュー会などプ
ロジェクトの各節目においてそのクライテリア、特にフルサクセス、を達成できるかどうかをチェックする。達成できないと思われる時は変更せざるを得ないが、それによってプロジェクト全体の意義（プロジェクトのステークホルダを満足させられるかどうか）が達成できるかを問い直すべきである。また設計変更の可能性を検討する時には、設計変更によってもミニマムサクセスクライテリアを達成できるかどうかを真摯に吟味すべきである。安易にミニマムサクセスクライテリアを変更すべきではない。
また、プロジェクトがうまくいきそうだとのことで、各サクセスクライテリアを上方修正することは、システム要求の後付けとなるので、やめておいた方がよい。システ
ム要求の後付けは、プロジェクト失敗をもたらす原因になりやすい。
また、運用時においては、各サクセスクライテリアの達成状況が運用計画を立案する際の指標となる。後述（8.2 運用計画）するように、衛星が軌道上に放出されたら速やかにミニマムサクセスクライテリア達成のための運用を行うべきである。
3.3 ミッションシナリオ
どのようなミッションを実施するかがある程度で揃った時点で、各ミッションの運用シナリオ（Concept of Operation）を策定する。地上局からコマンドアップリンク
により衛星がどのように動作し、軌道上からデータをどのようにして地上におろすかを考える。それらにより、衛星が備えるべき機能と大体の性能を算出することができる。その結果に基づいて、必要となる搭載機器を洗いだし、衛星の通信、電力、姿勢（ポインティング）のバジェット表を作成する。このバジェット表は衛星プロジェク
トの進行中に随時改訂を行い、衛星の開発・製作・検証が進むとともに数字の確度を向上させていく。ミッション定義の段階で通信、電力、姿勢のバジェットでマージンがない、またはギリギリであれば、そのミッションは成立しないと考えた方がよい。
この段階で、電力バジェットでは、太陽電池回路を一つ失ってもフルミッションサ
クセスが達成できるほどのマージンが最低でも欲しい。通信バジェットでは、ダウンリンクでは、ミニマムサクセスを達成するのに 10dB、フルサクセスを達成するのに6dB 程度のマージンが欲しい。コマンドアップリンクはこの段階では 20dB 程度のマージンが欲しい。
3.4 リスク管理
衛星プロジェクトとは未知（うまくいくかどうかわからない）を既知（うまくいく
ことに自信がある）に変えていく過程でもある。ミッションを実現する上で必要となる技術のうち、未知のものは必ず存在する。存在しないようなプロジェクトは面白くない。その技術が他機関の衛星プロジェクトでは普通に使われていたとしても、自分達のチームで使ったことがなければ、それは「未知」のものである。「未知」のもの
は、全て衛星のミッション達成を阻害するリスク要因である。ミッションシナリオが20策定されれば、どのような機能が衛星に必要かがわかるので、「未知」のものをその時点で洗い出すことは可能である。リスク管理においては、それら「未知」のものが失敗する可能性、失敗した場合のミッション達成に及ぼす影響度を評価しないといけない（図 4 参照）。開発や検証が進むにつれて「未知」の度合いが「既知」に置き換わり、それが失敗する可能性がある程度朧げに見えてくるはずである。
3.5 外部委託を受けて衛星を開発する場合のミッションアシュアランス
初号機ではまずないが、衛星の開発・運用実績を積んでいくと、外部から衛星を開発してくれないかとの依頼が来るようになる。外部委託衛星のミッションとしては下記のようなものが考えられる。
⚫ 中高生向けや企業の宣伝等のアウトリーチ⚫ 企業（主として製造業）が保有する技術の軌道上実証⚫ 企業の新たな宇宙利用のアイデアについて、ミッションフィージィビリティを実証する⚫ 学内外の理学関係者からの依頼による観測機器等の原理検証や技術実証
これらの衛星の開発資金は外部委託者が提供し、大学自身のミッションペイロードを載せる場合もあるが、あくまでもメインは外部委託ミッションである。これらの衛星の場合、大学での教育や研究を目的とした場合や外部ステークホルダが一部参加する
場合(2.8 参照)に比べて、求められるミッション成功率は高くなる。「人様のために衛星を作る」のであり、委託者の要求（顧客要求）をミッション要求、サクセスクライ
テリア、ミッションシナリオに確実に反映させる必要がある。そのためには、ミッシ
ョン定義段階での委託者とのコミュニケーションが極めて大事である。委託者の要求レベルが高い時は、安請け合いせず、必要なリソースを見極め、時には断ることも大事である。所謂 Old Space 企業との付き合いに慣れた企業や団体からの依頼の場合、大学での超小型衛星開発のやり方に戸惑うことが多いので、認識のすり合わせが必要である。また、「大学だから安い」という気持ちを委託者・衛星開発者の双方がもたずに、必要な資金はしっかりと要求すべきである。電波免許や宇宙活動法申請などの官辺手続きをどちらが行うのかについても、あらかじめ明確にしておく必要がある。

21

4. 概念設計
4.1 要求管理（ミッション要求、設計要求、検証要求の整合性）
衛星のミッション要求と設計に整合性がとれていなければならない。これは衛星の概念設計の際に、複数の人間で冷静に議論をして決定すべきである。外部の専門家・経験者に議論に加わってもらうのもよい。例えば、衛星のミッションが教育に主眼を置いていれば、「確実に動く衛星」を作ることにより運用を経験させることが望まれる。そのような時に、研究開発要素の高いコンポーネント（例えば、全く新たな設計のアンテナ）を採用することは、ミッション要求に反することになる。設計要求は、
上位のミッション要求に適合しなければいけないが、時に大学研究者の「色気」がでてきて、ついついシステム開発の基本を忘れがちである。そのような時は、別メンバ
ーまたは外部からの指摘により、目を覚ます必要がある。責任教員には、他者の意見を受け入れる度量の広さが求められる。
逆に、ミッション要求のレベルが高いのに、それにそぐわない設計を行う場合もある。理論上の最大通信容量を前提として通信回線を設計し、それに基づいてミッションが要求するデータをダウンリンク可能としがちであるが、実際の運用において最大通信容量がでる場合はほとんどない。ダウンリンクできるデータ量は理論上の最大通信容量の 10%を大きく下回ることが殆どである。このような場合も、概念設計の段階で外部からの指摘が役に立つ。
4.2 過去のプロジェクトの教訓の反映
すでにいくつかの衛星プロジェクトを経験している場合、概念設計時に過去のプロジェクトで得られた教訓を反映するのは当然のことである。軌道上で動いたものと、動かなかったものに整理をし、動いたものは非常に良い理由のない限り変更しない。
動かなかったものについては、その原因を究明した上で改良措置を施すことが大事である。外部からコンポーネントを調達する場合、調達のしやすさや、アフターケア等についての経験が得られているはずなので、同じコンポーネントを採用するかどうかを慎重に考慮すべきである。
4.3 安全要求適合性確認
概念設計が終わった段階で、詳細設計に入る前に安全適合性の課題を抽出すべきである。安全審査 Phase0/1 として実施しても良いが、経験のある専門家であれば問題になりそうな箇所を指摘するには概念設計書を一読するだけで足りるので、そのような専門家に設計をレビューしてもらうのも一案である。
問題になりそうなものとしては、展開物（アンテナや太陽電池パドル）、バッテリー（特に宇宙実績のないバッテリー）、スーパーキャパシタのようなバッテリー以外のエネルギー貯蔵装置、液体や気体の容器、カメラレンズのようなガラスが割れて飛散する可能性のあるもの、推進系（特に高圧容器を含むもの）、高電圧機器、アルミ合金以外の特殊な構造材料等々である。
また２号機以降のプロジェクトでは、前号機の安全審査担当者から安全に関する事
項（なぜこのような安全要求があって、このような検証をしないといけなかったか）について聞いておくのが良い。
4.4 検証計画
検証とは要求通りの衛星が作られているかどうかを確認する行為であり、試験以外にも解析や図面確認等により行われる。概念設計時に、各設計要求に対して、それら

22

を何時どのように(When and How)検証するかを定めた検証計画を策定する。勿論、設計・開発が進むにつれて計画は変更されていくが、検証できない設計は採用するべきではなく、「多分動く」「大丈夫だろう」という考えは禁物である。また、実施可能な「検証計画」をたてるべきである。「放射線試験で確認する」という検証計画は書
くのは易しいが、試験設備を使用可能か、チーム内に放射線試験のノウハウがあるか、等々を考慮しなければならない。放射線試験を実施しないなら、耐放射線設計は、飛行実績のある部品を使う等、放射線試験をしないという前提にたって進めないといけない。
全ての試験設備を自前でもっているところは少なく、外部の試験機関を使用する場合が多い。どこで試験を実施するかについても、概念設計時にある程度のあたりをつけて試験機関と相談を始めることが望ましい。試験に関しての経験が乏しいプロジェ
クトの場合、衛星設計や試験についての助言をできるだけの経験をもった試験機関を選ぶのがよい。
[2.5 安全要求への適合性]でも述べたように、安全要求に対する検証は必須ではあるが、一部（構造破壊の検証など）を除き衛星の価値を向上させるものではなく、その検証に割くエフォートは必要最低限のものとすべきである。衛星の価値を向上させる要求（衛星の生存率を高める、ミッションの成功率を高める、軌道上で得られるデータの質を向上させる等々）の検証により注力すべきである。例えば、バッテリーの安全性の検証は、安全審査でよく問われるところであり、学生は膨大な時間を費やしてバッテリーのスクリーニングを行っている場合が多い。また、実際に作業を行っているので、学生は「やってる感」をもちがちである。確かにバッテリーのスクリーニ
ングは要求されている限りやらなければいけない活動であるが、衛星の価値向上のた
めには他にもっとやらないといけないことがあるということをチームが理解すべきである。ただし、あまりにこれを強調するとバッテリースクリーニングのような地道な活動を行う学生のモチベーションが低下するので注意が必要である。
国際宇宙ステーションから放出される CubeSat の場合、最低限実施すべき試験は表 6の通りである。ここで“R”とある項目は“Required”を意味し、それぞれの段階で実施すべき試験である（なお、“O”は“Optional”、“N”は“Not Required”である)。
それぞれの試験の詳細は 7 章で述べる。解析としては、構造解析（共振周波数、最大許容荷重や安全余裕の算出）が必須である。
H2A やイプシロンなどのロケット打ち上げの場合は、表 3 の項目に加えて準静的荷重試験（所謂サインバースト）や正弦波振動試験、衝撃試験等が課される。
表 6 国際宇宙ステーションから放出される CubeSat において実施すべき試験
試験項目
EM(QT)FM (AT)
電磁適合性試験
R
N*1
End-to-End ミッション試RN*1
験
電気的インタフェース試RR験
システム機能試験
R
R
End-to-End 長期運用試験
N
R
展開試験
R
R
フィットチェック
R
R
熱試験
R
O*3

23

ランダム振動試験
O*2
R*1: FM 段階では End-to-End 長期運用試験に含まれる*2: 衛星毎に特段の必要があれば実施する。必要がなければ省略して構わない*3: 安全要求への適合検証のために、-15℃と+60℃に晒されたあとでも衛星が動くことを示す必要がある（文献[7]参照）。設計（使用部品の温度範囲等）で検証できなけ
れば試験が必要となる。熱真空試験や恒温槽での熱サイクル試験は、衛星毎に特段の必要があれば実施するが、必要がなければ省略して構わない。
4.5 リスク管理
超小型衛星では優先順位の高いものからリスクに対処する。優先順位は、発生確率と深刻度の積から決められる（図４）。ただし、注意が必要なのは、発生確率や深刻度を定量的に評価するにはお金や時間がかかるので、超小型衛星の場合はそれらの評
価に経験や群衆の叡智(Wisdom of Crowd)が使われる。そのため、リスク評価においては、超小型衛星の開発経験者や専門家にコメントを求めるのが良い。概念設計が固まった段階で外部の専門家にレビューを依頼することで、安全要求適合性の課題とともに、優先すべきリスク項目についても有益な意見を得ることができる。

24

5. 詳細設計
5.1 部品・コンポーネント選択
コンポーネントの購入先として海外ベンダー（売主、製造業者等を指す）を選択す
る場合は、納期・アフターサービス・インタフェース適合の観点から注意を払う。他のコンポーネントとの間でインタフェース不適合の問題が発生した際のベンダーとの調整に多大な時間を要することを理解すべきである。ただし、国内ベンダーであっても、経験の浅いベンダーの場合は注意を要する。技術力があっても、納期に難のあるベンダーもある。ベンダー選択の際、入手性、取り扱いの用意さ（インタフェースのわかりやすさ）、修理対応の良さなどにより注意を払うべきである。それらは時に、
サイズ・金額・機能を上回る価値をもつ。
部品・コンポーネントの調達数には余裕をもたせておくことが大事である。ハード
ウェアを取り扱う以上、取り扱い不注意や試験時の過負荷による故障や破損は避けられない。スケジュールが非常にタイトな中でぎりぎりの個数でやっていると、故障・破損したとしても代替品を調達する時間がなく、打ち上げ延期に追い込まれる危険がある。EM としてフライト品と同等のものを調達していれば、万が一の際には EM 品を使うことができる。実際のフライトに使われなかったとしても、運用時にコマンドの動
作確認や不具合究明に使う FM 予備機に使用できる。また、コロナ禍以降、半導体をはじめとする各種電子部品の調達が非常に難しくなっており、リスク管理の一環として早めの調達が必要となっている。部品やコンポーネントの到着が衛星納入のぎりぎりになり、システム試験の時間が確保できなくなる事態は避けなければならない。
特に新規開発要素のあるコンポーネントの場合、ベンダーとの間での作業項目のイ
ンタフェース境界をはっきりさせ、どこまでをベンダー側でやり、どこまでをシステ
ム（衛星プロジェクト側）でやるのかを明確にしておくべきである。衛星プロジェク
トをプログラムとして捉え、バス機器については、できるだけ仕様を変えず、2 号機・３号機はコンポーネントベンダー側での開発要素をなくし、同一品を納入してもらう体制が、納期短縮の観点から望ましい。ベンダー側も従業員を動かし原材料を調達して物品を製作する以上、大学衛星だからと言って過度な値引きやアカデミックディスカウント等を期待すべきではない。ベンダー側が損をすることなく、2 号機以降も長期的に付き合っていける関係を構築すべきである。
共同開発であったとしても、最終的にはベンダー側に設計やノウハウを移管し、ベンダー側が責任をもってコンポーネントを供給できる持続可能なサプライチェーン体制を構築することが望まれる。安定した製品品質を維持することを維持するには、長期的な付き合いが可能なベンダーを選択すべきである。
5.2 リスク管理、FTA、FMEA
詳細設計を行う際に、技術的なリスクを洗い出す作業として FMEA(Fault Mode
Effect Analysis)や FTA(Fault Tree Analysis)を活用する。しかしながら、FMEA やFTA を大学の講義で学ぶ学生はほとんどおらず、やり方すらも知らない。責任教員も同様である。そのため、最初から無理をして文献等にある方法をなぞったりしようとはせず、自分達で理解できる範囲から始めることが肝要である。
FTA については、ミッションシナリオをフローチャート化し、それぞれのステップがうまくいかないとすれば、どのようなコンポーネントに責任があるかを考えればよい。
FMEA については、個々のコンポーネントが壊れたらミッション遂行が「(1)問題なく実施できる、(2)制約はあるものの実施できる、(3)ミッションの実施は不可能だが衛星は動く、(4)衛星全損（通信途絶）」（ミッションに与える影響）といった場合分けを25

する程度から始めることを進める。またコンポーネントが壊れるかどうかについても「(1)飛行実績がある、(2)同様の設計のものに飛行実績がある、(3)飛行実績のあるメーカー（プロ）の設計・製作による、(4)地上環境では間違いなく動く、(5)全くの新規設計、(6)学生の手作り」（故障の起こりやすさ）といった評価指標を使うとわかりやすいかもしれない。いずれにせよ、その部品・コンポーネントが故障すると衛星全損につながる危険性のあるもの（単一故障点）について洗い出し、リスク軽減作業の優先順位を決めることから始めるべきである。単一故障点が複数あって、リソースの制約から全てに対処することが難しいときは、ミッション遂行に与える影響（先に挙げた 1-4 の数字）と故障の起こりやすさ（先にあげた 1-6 の数字）の掛け算の大きい
ものから対処することが望ましい。
また、FTA や FMEA は部品・コンポーネントといったモノについてだけ行うのではな
く、作業についても考えるべきである。「コマンドを打ち間違えたらどうなるか？」「センサーの極性を逆にしてしまったらどうなるか？」等々、人間は間違いをおかす
ものなので、それらの間違いが起きた時の結果を吟味し、間違いが起きにくくする、
間違いが起きても挽回可能にするなどの工夫を設計に反映する。
5.3 死なない衛星を心がける
どのようなことがあっても衛星全損(地上との通信途絶)の危険から抜け出すシステ
ムとしての工夫を設計に盛り込む。例えば以下のような工夫がある。
● 「神 PIC(放射線耐性の高さが軌道上で実証されている PIC16F877)」を搭載し、衛星全体の電力を落として再立ち上げ（パワーリセット）できるようにする● バッテリーが枯渇しても再充電される工夫や低電圧時に確実にセーフモードに移行する仕組み● バッテリーを喪失しても、太陽電池パネルの発電だけで衛星が動作する設計● 体積的に余裕があれば通信回線を冗長にする● 最低限の動作（地上との上下の通信回線が確保でき、バッテリーの大幅な放電を許容すればいくつかのミッションも実施可能）のための電力バジェットが以下のような場合でも成り立つようにする➢ 姿勢の喪失➢ 太陽電池パドルの展開失敗➢ 1U キューブサットの場合、太陽電池パネルの１面喪失（こうしておかないと、４〜６枚ある太陽電池パネルのうちどれか１枚でも喪失すると衛星が失われることになり、単一故障点が太陽電池パネル分（４〜６個）並列にあることになる）
ただし、これらの設計を行ったとしても、設計通りにシステムが全損の危険から抜け出せることを検証することが必須である。衛星がパワーリセットから立ち上がる時に、中途半端な状態でシステムが半死の状態に陥ることもある。軌道上での不具合状態を想定した試験を行い、衛星システムがパワーリセットから完全に立ち上がることを確かめるべきである。バッテリーの枯渇状態からの復活は、ソーラーアレイシミュ
レータを使うなどして、軌道上の発電状態を模擬して確かめるべきである。セーフモードへの移行も実機を用いて試験を行うべきである。電力バジェットについても、最悪の電力状態でのシステムの動作を確認するべきである。電力バジェットを立てる際には、発生電力・消費電力ともに測定誤差があるので、ある程度のマージンを考慮すべきである。通信系についても、冗長系の通信試験を怠るべきではない。

26

図5

バッテリー枯渇状態からの復活を示すデータ（青：地上試験、赤：軌道上データ）

5.4 過剰な保護機能を避ける
衛星設計においては、さまざまな保護機能をつけたくなる。例えば、バッテリー枯
渇を防ぐセーフモードや、低温でのバッテリー保護のためのバッテリーヒータである。
しかし、これらを設計に採用する前に、その保護機能が本当に必要か、保護機能を入れることによるリスクと効果を吟味すべきである。保護機能が自動で入るようになっているということは、電圧や温度センサーが正常に機能することを想定しているが、果たしてセンサーがどれだけ信頼できるかを考えるべきである。セーフモードは中途半端な状態に陥って立ち上がらないという危険があり、実際にそのような状態に陥った衛星もある。バッテリーヒータは電力を消費する。それによって電力収支がマイナスとなり、バッテリーが枯渇する可能性がある。
セーフモードを採用せずに、バッテリー電圧が低下したら DC/DC コンバータの入力限界を下回って衛星負荷への電力供給が自動的に遮断され、衛星の電力が一旦全て落とされるパワーリセットがかかり蝕明けに再度衛星が初期モードから立ち上がるような設計にするのも一案である。バッテリーヒータについても、自動でスイッチが入る
ようにはせず、軌道上での温度推移を見ながら地上からのコマンドで起動するような設計にしておくことが望ましい。軌道上でバッテリーが突発的に低温になることはな
い。特に軌道高度が低ければ、衛星全体は高温側にふれるので、バッテリーの断熱を十分にしておけばヒータなしでも十分に運用できる可能性は高い。
5.5 設計変更時の留意点
設計変更においては、常に設計変更によって得られる利益と設計変更によって生まれる新たなリスクを評価した上で、変更の可否を判断しなければいけない。その際の判断指標としてミニマムサクセスとフルサクセスのクライテリアがある。特にミニマ
ムサクセスの達成を阻害するリスクがあった場合は、慎重に判断すべきである。また
設計変更がフルサクセスの可能性を高めるものであった場合、設計変更によって生じるリスクが大きいかどうかを慎重に見極める。例えば、図 6 のように通信回線を多重化するために二つのアンテナと二つの通信機を RF Switch を使ってたすき掛けにするという案があったとする。通信機やアンテナに飛行実績がない場合などは考えがちである。これにより通信機とアンテナの組み合わせが一つは生き残る確率が増え、通信回線全体の信頼度があがるように見えるが、RF Switch を入れることによる電波出力の損失や RF Switch が切り替わらない、または中間状態（通信機とアンテナがつながら27

ない状態）で固定されるというリスクがあり、最悪の場合は通信自体ができない可能性がある。たすき掛けをしなかったとしても通信機とアンテナのペアが一組動けば通信は可能で、少なくともミニマムサクセスクライテリアは達成できる。たすき掛けをすることで得られる利益がリスクを上回るとは判断されない。

図6

通信機とアンテナの RF Switch を使ったたすき掛けの検討

5.6 運用しやすい衛星設計
どのようにミッションを実施するかをイメージし、2 号機以降であれば過去の運用経験から得られた教訓を最大限盛り込んだ上で、「運用しやすい衛星」を心がけるべきである。初号機の場合は、運用を経験した大学に聞くことも大事である。例えば、ストアードコマンド（予約コマンド）機能は、日本上空以外の地球上の任意の箇所での
衛星ミッションを可能にする。更に、一連の動作をあらかじめ予約しておくことで、
全動作項目の動作を一つずつアップリンクする必要がなくなる。また、ダウンリンク
を別の地上局で実施することも可能になる（ただし、周波数調整時に注意が必要）のでデータ量の増加にもつながる。
アップリンクコマンドはシンプルなものとし、アップリンクの成功率を向上させる
ためにも、少ないバイト数でコマンドをアップする工夫をすべきである。また、コマンドの暗号化はアップリンクの成功率を下げるだけなので、秘匿性の低い大学衛星においては得られる利益は少ない。
運用人員が減ってきても運用できるよう、地上局ソフトウェアが遠隔操作・自動運用に対応できるように設計することが望ましい。
パワーリセットをする際には、リセット前の姿勢制御パラメータやハウスキーピン
グデータの履歴を残すことが望ましい。姿勢制御パラメータは何回のパスにも亘ってアップリンクしなければいけないことがあり、リセット毎に初期値に戻ってしまうと、姿勢制御に多大な手間がかかる[3 のプロジェクト NO.34]。また、ハウスキーピングデ
ータの履歴は不具合原因究明に大きく役だつ。
5.7 試験しやすい、製作しやすい衛星設計
衛星設計においては、「試験しやすさ」や「作りやすさ」を考慮した設計をすべきである。衛星製作において、ファスナー（ネジ類）、ハーネス（ケーブル）、コネク
タは欠かせない。それらの絶対量や種類が少なければ少ないほど製作は容易である。
特にハーネスとそのコネクタはワークマンシップエラーが起きやすいところであり、使用を最小限にとどめる設計を心がけるべきである。ハーネスを使用せざるを得ない
場合は、学生の自作ではなく、プロに外注するのが望ましい。また部品の取り付け間28

違いを防ぐための工夫も必要である。PCB 基板の実装を表裏間違えて依頼するというよ
うなことは起こりうるが、表裏を間違えない工夫が必要である。「作業者が注意する」というようなことは解決策ではなく、間違い防止策が設計に反映されていなければな
らない。

back

front

図 7 PCB 基板の裏表を間違えない工夫。赤丸で示した斜めの切り欠きが右になる方が表システム試験、特に最初のシステム機能試験、を行なっていると、問題のあるコン
ポーネントをとりはずす必要に迫られることが多々ある。衛星全てを分解するのではなく、部分的な分解で済むような設計をこころがける。また、コンポーネントの取り外しの際、コネクタ部分での脱着を行うが、コネクタは繰り返しの脱着に耐えるものでないといけない。無理にとりはずすとコネクタを傷める場合もあるので、安全にとりはずすための工具を工夫するなどした方が良い。電気的インタフェース試験やソフトウェア開発は衛星システムを全て構体内に組み込まなくても可能であり、試験用のテストベッドを準備することを勧める。
衛星を組み立てた後でも衛星内の各種プロセッサ（マイコン）にアクセスできるよ
うに、アクセスポートを衛星の外側に設けておく。余程の自信がない限り、内部プロ
セッサに外部からアクセスできない状態にすべきではない。また同一設計の衛星を複数組み立てる際には、衛星ごとの識別が可能となるような外観上の工夫をすべきである。例えば図 8 では、各衛星の GPS アンテナにシールを貼ってある。

図8

衛星保管用の治具

試験中・組み立て中の事故防止のため、衛星の組み立て、保管、機能試験等に使わ29

れる治具（図 9 と図 10）も製作することを勧める。衛星を直にテーブルの上に置くことは傷がついたりすることがあるので避けた方がよい。また、衛星をどのようにして持つかを考えた設計をすべきである。CubeSat の場合、移動時にはペリカンケースなどに入れて移動させるが、振動試験や熱真空試験などのセッティングでは、最後の瞬間
は手持ちになる（絶対に片手でもたない）。CubeSat でない場合は、吊り上げ用の Ibolt を衛星上部の構造体に取り付けられるようにする。衛星を手でもつことは考えない方がよい。

図9

コンポーネント試験用テストベッド

図 10 システム機能試験時の様子（衛星は試験用治具にのっている）
5.8 設計根拠の理解
人間は自分のよくわからないことに、「たぶん大丈夫」という正常化バイアスをしがちで、意味もなくその判断を正当化しがちである。衛星開発において、「多分**」
や「**だろう」は禁物である。確固とした根拠に基づいた設計が必要である。特に、衛星の生死やミッションの成否を決めるクリティカルな設計項目では、自らが納得するまで設計根拠を理解する努力を怠るべきではない。わからない時にはいろんな人からの意見を聞くべきであり、設計や検証の方針を定める際に経験者のコメントを真摯に受け止める工夫が必要である。わからないことを「わからない」と自覚することが大事である。特に 2 号機以降の開発では、過去の設計を踏襲することが多いが、その設計根拠への理解を曖昧にしたまま、良かれと思って設計の変更をすると思わぬところで不具合が発生する可能性がある。例えば、シングルイベントラッチアップから抜30け出すための過電流保護回路の閾値（本来は放射線試験によりラッチアップ電流を測定した上で決定すべき）など[3 のプロジェクト No.25]、その数値がどのような経緯で決められたかを理解しておく必要がある。
5.9 FM に移行する前にEM 段階では衛星機能の完成と開発チームのスキルアップに注力する。そのためには、
機能的に FM と同等（太陽電池を除く全てのコンポが実装されている）の FM 予備機に相当するような EM を製作し、徹底的な試験を行う。実際の衛星システムをチームが触り試験を行うことにより、衛星を取り扱う作業の練度も確実にあがる（このことは未経験者が多数をしめる大学衛星では重要）。EM 段階でシステムとして最低限のミッシ
ョンが達成できることを End-to-End 試験で確認し、FM 移行後に根幹の部分の出戻りがないようにする。
EM 段階で確認されていない機能は、ミッション達成に絶対必要でない限り、FM に搭載しないという思い切りが必要である。FM 移行後でも新たな不具合は当然起きるが、不具合への対処は、金銭的・時間的・精神的に高くつく。FM 移行時に発覚した不具合
は、ミッション達成にクリティカルでないものは切り捨て、重要度の高いミッション
項目に資源を集中させるなどの覚悟も必要である。
このような判断をするためにも、ミッションが複数ある場合、どのミッションの優先度が高いか、「最低限達成しないといけないことは何か（=サクセスクライテリア）」をプロマネのみならずチーム全体で共有することが必要である。
また、FM での作業はクリーンルーム（クリーンブース）で実施することが多い。衛星プロジェクトに初めて参加する場合、クリーンルーム環境での作業経験がない場合がほとんどであるので、FM 移行前にチーム全員でクリーンルーム環境での作業のルールを確認すべきである。
5.10 安全要求適合性確認
詳細設計が終わり EM の試験が完了したところで、通常は安全審査 Phase0/1/2 が実施される。安全審査のための文書作成には非常に多くの時間を要する。安全審査担当
でなく、プロジェクトメンバー全員が高いモチベーションをもって臨むべきである。
安全審査 Phase0/1/2 においては、FM 品が安全要求に適合をしていることを検証する方法についても審議を行う。この検証方法については、安全審査を担当しているメンバーと実際に FM 製作と検証を行うメンバーとの間で意思疎通をはかり、検証が間違いなく行われるように注意しておかないといけない。コミュニケーション不足から検証が正しく行われず、打ち上げ前の安全審査 Phase3 において検証結果が不適合とされる危険がある。その場合は、無論検証作業のやり直し、最悪の場合は設計やり直しで、多大な時間的損失が発生する。

5.11 衛星インターフェース
EM および FM の組み立て・統合段階において、機器間のインターフェースの調整に多大な時間を要する。機器単体で動いたとしても、機器同士を繋ぐと動かなくなるということが常にある。機器同士の干渉や機器と構体の干渉によって衛星が組み上がらな
いというのも常である。インターフェースの非互換性は衛星プロジェクトのスケジュ
ール遅延の理由の大きな理由となる。衛星のバス機器をすべて購入品で賄い、ミッションペイロードの開発に専念しようとする時は、できるだけ単一の会社からすべての31

バス機器を購入するのがおすすめである。CubeSat の場合、CubeSat プラットホームとして衛星バス全体を販売している会社は 2022 年時点で全世界に 30 社以上ある。多すぎて選択に困るかもしれないが、各社が出している DataSheet を十分に吟味し、必要であれば各社とテレコンをするなりしてインターフェースを明確にしてから購入に進むべきである。必要となるインターフェース情報は文献[8]に挙げられている。機器単体のみを買う場合でもインターフェースを事前に明確にしておくのが大事であり、文献[8]には明らかにすべき情報がリストアップされている。CubeSat のインターフェー
スのアーキテクチャーとしては、いわゆる PC-104 バスとバックプレーン型が主流であるが、それぞれに利点・欠点がある。それらについも文献[8]を参照の上で、アーキテ
クチャーを決めるのが良い。

32

6. 製作
6.1 品質管理
超小型衛星に使用される部品は、宇宙用部品ではなく大量生産される地上民生部品がほとんどである。それらは大量生産品としてメーカー側で品質保証がされており、欠陥品が含まれる可能性は低く、個々の部品を衛星側で検査する必要はない。故障が生じるとしたら納入後の不適切な取り扱い（静電気、湿気、汚れ等々）による場合が殆どである。そのため、静電気ストラップをつけて作業する、作業前に周辺機器や作業テーブルの接地を確認する、手袋をつけて作業する等々を文化としてチーム内に浸透させるべきである。
個々の部品の品質は保証されていても、それらがコンポーネントとして製造された際に品質が保証されているとは限らない。大学衛星では基板の自作やインターネット
発注による実装サービスを使っている場合が多い。それらのコンポーネントは基本的に一品モノであり製造工程が確立していない。同じコンポーネントを複数製作しても、全てが良品であるという保証はない。そのため、コンポーネントが納入された際には、システムに組み込む前に基本的な動作試験をして、欠陥があるかどうかを調べるべきである。
6.2 作業外注と内製
大学衛星においては、衛星をすべて自分で作るのではなく、外注するところは外注するという割り切りが必要である。外注する予算がないから内製するという判断は、
スケジュール遅延やミッションの失敗につながる。大学衛星において、ハンドスキルが必要とされるところ（ハーネス、太陽電池パネル、半田付け等々）を学生にさせるかどうかは、慎重に判断すべきである。ハンドスキルに優れた学生も中にはいるので、それらの学生を見出して作業をさせることも可能であるが、それらの人材を見極める
自信がなければ、外注をするのが良い。教育衛星の目的は、ハンドスキルを身につけることではなく、システム工学とプロジェクトマネージメントを実践で学ぶことである。
外注の機器を買ってくる、または前のプロジェクトで実証できた機器を使用するな
どでコンポーネント自体に新規開発要素がない場合、学生はモチベーションが湧かな
いかもしれない。しかし、大事なのはそれらの機器をシステムとして組み立てた時にシステムとして動くためにはどのような試験が必要か、他の機器との噛み合わせをいかにおこなうかを、システム開発全体のスケジュールと歩調を合わせながら考え実行
していくことであり、それらの過程で得られるシステム工学とプロジェクトマネージ
メントの教育効果は機器を新規開発する以上に大きい。
また外部から購入したコンポーネントを動かしてみて動かないことが多々あるが、機器に問題がある場合もあるが、当該機器の正しい取り扱いがなされていないことに原因がある場合も多い。そのためには、機器が取り扱いやすい、問い合わせ対応が良好、マニュアルが親切といった観点を業者選定で考慮するとともに、動かない原因を自分達なりに真摯に考える努力も必要である。

6.3 安全要求適合性確認
FM の製造段階での記録は、安全審査 Phase3 での重要な検証文書の源泉となるものである。FM の製造に入る前にハザードの制御方法について打ち上げ事業者側と合意しておく（安全審査の Phase2）。FM 製造においては、その合意に基づいて FM に組み込ま

33

れたハザード制御方法を検証することになる。FM 製造段階に入る前に AIT チームのメ
ンバーはどのような手順に従わないといけないか、どのような文書を作らないといけないかを理解しておかねばならない。そのためにはシステム安全担当と AIT チームの意思疎通が非常に大事である。
そんなこと
は聞いてな
いよ！

測れって言ったでしょう！

安全

AIT

図 11

AIT チームと安全担当の意思疎通が重要 （イラスト出典：いらすとや）

FM の製造段階では、できる限り多くの記録を残しておく。記録をとるとは単に写真を撮ることだけではないことに注意すべきである。何を検証するためにどのようなデータや写真が必要か、を正確に理解し記録する必要がある。特に、構造部品の材料証
明、組み立て手順書通りに作業がなされた証明等が重要である。衛星の組み立ては複数名を原則として、１名は手順書確認と記録に専念しなければならない。
7. 試験
7.1 電磁適合性試験
超小型衛星の場合、打ち上げ時には電源を OFF しているため、通常は他の衛星やロケットとの間での電磁干渉を考慮する必要はない*注（ただし、間違って電源が入った際の RF 放射による安全上の懸念はあるので、安全要求では RF 放射を許容値以下に抑えることを求められている）。電磁干渉については、衛星自身が出すノイズが衛星の動作に及ぼす影響が重要であり、特にアップリンク受信に対する影響を考えなければいけない。FM を使った End-to-End 長期運用試験で衛星内のノイズによりアップリンクが通じないことがわかっても手遅れである。そのため、EM の段階で十分な通信マージ
ンがアップリンク回線で成立することを試験において確認すべきである。
まず、通信機の EM が納入された時点で、その受信感度を理想的な状態で計測する。
通信機をシールドボックスにいれ、外部から RF ケーブルにてシグナルジェネレータ等で駆動した信号を入力し、受信機がアップリンク信号をデコードできる最低の信号強度を測定する。この信号強度は受信機自らが出すノイズフロアーにおいてデコードできる信号強度の最低値を意味する。実際に通信機が衛星内で組み込まれアンテナを取り付けられた状態では、ノイズフロアーが上がることはあっても下がることはない。
またアンテナで受信することにより、様々な追加損失（ライン損失、偏波損失、ポイ
ンティング損失、反射損失等々）が発生する。これらを考慮すると、受信機単体がノイズフリーでケーブルを直結して計測した理想的な状態でかなりのマージンがなければ、通信は成立しない。
キューブサットであれば、図 12 のように衛星全体をシールドボックスに入れた試験を実施することにより、他の機器によるノイズの影響を評価できるので、ぜひ実施すべきである。また、キューブサットよりも大きな衛星であっても、電波暗室であれば、アンテナ損失のいくつかの項目も加味した試験が実施可能である。これらの試験は、

34

通信系の設計が要求を満たすかどうかを検証するために EM 段階で実施すべきである。

図 12

シールドボックス内での受信感度試験

注：MOSFET をインヒビットスイッチに使用している場合、FET のゲートに接続するラインが ISS の放射電場によって励起され FET が作動する可能性がある。そのため、FETのゲートにはプルアップやプルダウン抵抗を入れる設計にする必要があり、なされていない場合は解析・検証などが必要になる。
7.2 End-to-End ミッション試験
EM 段階において、地上局との間での End-to-End 試験を実施して、最低限のミッションが達成できることを確認すべきである。この End-to-End 試験では、地上局からコマンドを衛星に送り、衛星の受信機でコマンドを受信して、それを C&DH 系に送り、C&DH
系からミッションペイロードにコマンドが送られ、ミッションを実施したあとにそのデータを送信機に送り、送信機から地上局にデータが転送され、地上局のコンピュー
タでミッションデータを可視化できることを確認する。例えば、地球撮影ミッション
であれば、シャッターコマンドを地上局から送り、地上局で画像を確認できるところまでを指す。このようにミッションの幹の部分を先に完成させ、それが実施できることを試験により確認したのちに枝葉の作り込みにかかる。この試験は電波を空中放射して行うことが望ましいが、電波暗室等を使用できないのであれば、有線ケーブルを地上局模擬通信機と衛星通信機の間につないで実施しても構わない。

GS PC

GS radio

Satellite

GS radio

GS PC

57

図 13

End-to-End ミッション試験のコンセプト

7.3 電気的インタフェース（噛み合わせ）試験
コンポーネントが納入された後、衛星構造の中にコンポーネントを組み込む前に、衛星の他のコンポーネントとの噛み合わせ試験を実施しなければならない。この試験

35

は EM、FM のそれぞれで必要である。EM で OK だったからと言って、FM で OK ということは保証されていない。超小型衛星用コンポーネントは通常少量多品種生産で手作り要素が大きく EM と FM が同一ロットで生産されない。そのため全てのコンポーネント
が EM と FM で同じということはありえないからである。コマンド•データ処理系や電源系等と組み合わせ、機器の ON/OFF ができるか、データを正常にやりとりできるか、動作に異常がないかどうかを確認する。この際、各コンポーネントの取り外しが容易になるように、またコンポーネント付属のコネクタを傷めないように、試験用のテスト
ベッドを用意しておくことが望ましい。
7.4 システム機能試験
各コンポーネントが納入され、噛み合わせ試験が済んだ後は、速やかに衛星を組み立てて、全系合わせてのシステム試験に移行する。環境試験の前に衛星が問題なく組み立てられたことを確認するために、システム全体での機能試験を行う。その際に以下の事項を確認する。
a)衛星が軌道上に放出された瞬間から定常状態に至るまでのモード。これには衛星からのビーコンデータの受信、アンテナや太陽電池パドルの展開、回転抑制（デタンブリング）と太陽指向への移行等々を含む
b)初期運用で実施する全てのオペレーション。これには、衛星へのアップリンクとハ
ウスキーピングデータの取得、最低限実施すべきミッション（ミニマムサクセスクラ
イテリアに相当）のコマンド送信とミッションデータ受信を含む
c)定常運用で実施する全てのオペレーション。これには、フルサクセスクライテリアに相当するミッションコマンドの送信とデータ受信や各種姿勢制御を含む
d)パワーリセットやセーフモード移行と復帰など、衛星の故障対策として組み込まれている機能の確認
これらの試験においては、衛星から送られてきたデータの中身をしっかりと吟味することが大事で、各種ハウスキーピングデータやミッションデータが矛盾のないものになっているかどうかを確認しなければならない。例えば、ハウスキーピングデータ
であれば、バッテリーの電圧・電流が衛星機器の作動状態や太陽電池からの入力電力と矛盾なく推移し事前に作った電力バジェット表と一致しているか、カメラが想定通りの写真を撮っているか、姿勢系のセンサーが正しい値を返しておりリアクションホ
イールや磁気トルカといったアクチュエータがセンサー入力に沿った動作をしているか、所定の電力と周波数で衛星から電波がでているか、等々である。これらのシステ
ム機能試験で異常が見つかった場合は、環境試験に移行する前に問題を解決すべきである。この時点でのトライ&エラーには、非常に多くの時間を要するので、スケジュー
ル上は十分なマージンを持たせないといけない。衛星を初めて組み立てて１週間後に熱真空試験を行うというようなスケジュールはたてるべきではない。
7.5 End-to-End 長期運用試験
ミッションに失敗した大学衛星の多くが、スケジュールの遅れにより衛星納入前にFM の全系を統合した状態での長期間の End-to-End 試験を実施できなかったことを原因としてあげている。FM の End-to-End 長期運用試験には次のような側面がある。
a)フライトソフトウェアのバグ出し
FM までにすでに EM でシステムとしての機能試験は行われているはずであるが、FM以降後に付け加えられた細々としたソフトウェアアップデートを検証しなければならない。ハードウェアと直結した組み込みソフトウェアはプログラム用のシミュレータ

36

PC の上で動いたとしても、実際のシステムで動く保証はない。衛星が軌道上に放出された瞬間から運用終了に至るまで、衛星が迎えるあらゆる局面（正常時だけでなく、
非常時も）を想定してソフトウェアが正常に機能することを確認しなければならない。
この試験ではミッションコマンドの送信とミッションデータの受信も含まれ、ミッシ
ョンが実行できるかの確認も行う。
この試験はシステム機能試験とほとんど同じであるが、長期運用試験では、実際の軌道上の最初の１週間程度を実時間で模擬することが望ましい。その期間が最も不具合の発生する期間だからである。ソフトウェアにバグはつきものであり、時間が経つにつれて、バグの発見頻度は小さくなるが、長期運用試験はすればするだけ、衛星の信頼度は向上する。ただし、ソフトウェアの書き換えは、それ自体が新たなバグをもたらす危険性を秘めている。納入前のある時点を過ぎたら、たとえバグが見つかったとしても、重要度によっては書き直さないという判断も必要である。
b)運用リハーサル
End-to-End 長期運用試験は、地上局の操作ソフトウェアを使ってなされるべきである。衛星とのやりとりは基本的にはアップリンク・ダウンリンク信号によってのみ行う。それにより、衛星から送られてくるハウスキーピングデータから衛星の状態を知る術を見につけ、ミッションデータの処理方法を習得する。更に、アップリンクコマ
ンドに対する衛星の応答を知ることができる。地上局操作ソフトウェアを使うことにより、運用チームの練度を向上させることができる。衛星が目に見えるうちに運用訓
練を積むことで、見えない衛星と電波だけでやりとりする不安を解消させることができる。
c)地上局-衛星間の通信の確認
End-to-End 長期運用試験において、衛星と地上局の間は、できるだけ電波信号でやりとりすべきである。もちろん免許の問題をクリアするか、そうでなければ電波暗室で実施するしかないが、実際に電波でやりとりすることにより、通信回線計算を確認することができる。超小型衛星の通信回線計算において、正確に知ることが難しいのは、衛星側のアンテナ-通信機間の損失と通信機周辺のノイズフロアーである。アンテナ-通信機間の損失はアンテナおよび周辺回路の製作と取り付けのハンドスキルに左右される。また、キューブサットの場合は各機器が隣接しており、通信機周辺のノイズ
環境は複雑を極めている。特に、図 14 に示すようにアップリンク信号は空間損失によって衛星到達時には極めて弱くなっており、上記の二つの要素（衛星納入後は手が出せない）はアップリンクの成功率を大きく左右する[3 の事例 28]。通信回線が成り立つかどうかを試すには、FM の実機に対して強度のわかったアップリンク信号を空中電波によって送り、アップリンクの成功/不成功を測定するのが実際の環境に即している。
さらに、実際の飛行状態ではドップラーシフトの影響が加わり、アップリンクの成功率は更に低下することを考慮すべきである。

37

図 14 通信回線リンクバジェット（アップリンク）
7.6 展開試験
展開系を伴う多くの超小型衛星がミッション失敗に終わっている。多くのキューブ
サットがテグスでアンテナを保持する展開型の UHF/VHF アンテナを搭載しているが、大学発キューブサットの 1/4 程度が DoA(Dead on Arrival)に終わっている(文献[2])ことを考えると、このアンテナの展開に失敗している可能性も少なからずある。アンテ
ナだけでなく、太陽電池パドルの展開に失敗している衛星も数あり、膜展開や親機・子機分離を伴う衛星も成功率は高くない。
これらを考えるに、地上での展開試験が不足しているのではないかと思われる。微小重力・真空という地上と異なる環境で可動部品を動作させるのは確かに難しいが、コンピュータシミュレーションが難しい分野であるがゆえに、EM や FM という現物を用いた検証が欠かせない。EM においては、あらゆる悪条件を想定した上での試験を繰り返すべきであるし、できるだけ軌道上環境に近づけた条件での試験を行うべきである。
テグスをヒートカッターで切るタイプの展開アンテナは、衛星分離・放出直後でバッ
テリー容量が低下している状態且つヒートカッターが低温にさらされた状態でも展開可能であることを確かめるべきである。(図 15 に低温環境下での展開試験の例を示す。)展開機構は、複雑になればなるほど多くの試験が必要であるが、試験のしやすさを考慮した設計、試験回数の上限に余裕をもたせた設計とすべきである。試験環境も、
微小重力・真空環境に近づける努力を怠るべきではない。

38

図 15 恒温槽内での低温環境下アンテナ展開試験
7.7 フィットチェック
この試験の目的は、衛星とロケットの間の機械的インタフェースが合致するかを調べることである。CubeSat の場合、POD の中に CubeSat が滑らかに入り、滑らかに出てくるか、衛星のエンベロープの逸脱がないか（衛星表面に取り付けられた物が POD 内壁に接触しないか）を調べる。最近は、分離機構を大学衛星側が開発・提供することは稀である（余程の理由がない限り分離機構を大学側で開発することは避けた方が良い。分離機構の安全性検証は、衛星の安全性検証以上に大変な場合がある）ので、打ち上げ事業者側から提供される分離機構（PAF-239M 等）や POD と衛星が機械的に合致するかどうかを調べるだけでよい。
CubeSat の場合、各構造部品が図面通り作られたからと言って、組み立てられた状態
で CAD 図通りに組み立てられるとは限らない。歪みなどは必ず発生する。1U 衛星であっても、衛星引き渡し時に POD に入らないということは発生している。衛星サイズが大きくなれば歪みも大きくなるので、より注意が必要である。フィットチェックの最も簡単な方法は、打ち上げ事業者の提供する「公式 POD」を使って、衛星を入れてみることである。これは EM と FM のそれぞれの段階で実施することが望まれる。
しかし「公式 POD」などのフィットチェック用治具は期間を限定しての貸与であり、借用時期をあらかじめ綿密に打ち上げ事業者と調整しておかなければいけない。また
それらの治具は「宇宙用」として製作されており、非常に高価であるので、取り扱いには最新の注意を要する。治具の一部であっても万が一破損させた場合の弁償額は非常に高価（数百万円単位）になることがある。実際にそのような事例がある。

39

図 16

フィットチェックの様子

7.8 熱試験
熱試験は、超小型衛星であろうと大型衛星であろうとやることは同じである。そのため試験方法に差はない。

©JAXA

図 17

大型衛星の熱真空試験（左）と超小型衛星の熱真空試験

ただし、１U の CubeSat 程度であれば真空と大気環境での温度差はそれほど大きくないので、恒温槽での高温試験と低温試験で熱真空試験の代替としても構わない（文献[9]の Annex-F を参照）。その場合でも、衛星全てを真空容器の中にいれて常温での機能試験を一度は実施すべきである。
超小型衛星の場合、能動的な温度制御はバッテリーヒータ以外に殆ど行わないので、熱平衡試験は熱解析のためのデータ取得や解析結果の検証を目的として行われる。しかしながら、今や多くの超小型衛星が軌道上で運用されており、軌道上温度のデータが蓄積されている。特に CubeSat は表面の多くが太陽電池で覆われており、表面の熱放射特性に大差はない。そのため、同じ軌道を飛んだ CubeSat の温度データがあれば、運用時の最高温度と最低温度を使って、熱試験の高温・低温の温度条件を導出した方が熱解析の手間が省ける。ISS 放出の CubeSat はそれこそ多くのデータが蓄積されており、それらの利用が推奨される（文献[10]）。ISS 放出の場合に注意すべきは、ベータ角が高く全日照の状態があるので、高温条件の導出には全日照時のデータを使用することである。
7.9 振動試験
振動試験は、超小型衛星であろうと大型衛星であろうとやることは同じである。そのため試験方法に差はない。振動試験報告書は、安全審査における重要な検証文書と40なるので、明確に書くことが求められる。
7.10 姿勢系試験
微小重力や外乱トルクを地上で模擬することは難しく、姿勢系の試験はソフトウェ
アに偏りがちである。しかしながら、ミッション達成にクリティカルな機能は実機を使った試験をするべきである。永久磁石とヒステリシスダンパーを用いた受動的姿勢制御において、正しい向きに磁石を入れたかどうかが時にミッション達成に極めて重要である。磁石の極性のチェックで確実なのは、衛星をエアベアリングテーブルに載せ、衛星が磁石の極性通りの向きを向くかどうかを調べることである。

図 18

エアベアリングテーブルでの永久磁石の極性チェック

衛星の姿勢を安定化するのにヒステリシスダンパーや磁気トルカが使われる。外部
磁場を作り出すコイルケージの中のエアベアリングテーブルに衛星を置いて、衛星に擾乱を与え、設計通りの時間で衛星の姿勢が安定化するかどうかを調べる。ここで注意すべきは、磁気トルクが大気抵抗による減衰力よりも大きくなるようにすべきである。磁気トルクが小さいと衛星の姿勢が安定化したように見えても実はそれは大気抵
抗のおかげであったりするので要注意である。ヒステリシスダンパーや磁気トルカを搭載しない状態での姿勢擾乱の減衰時間をあらかじめ測定しておき、実際に搭載した状態と比較することを忘れないことである。
またリアクションホイールなどを使ったポインティング機能を有する時は、姿勢系
アルゴリズムの検証をエアベアリングテーブルを用いて Hardware-in-the-Loop で試験をすべきである。
姿勢制御においてセンサーの較正は極めて大事であり、実機に搭載した状態でセンサーが正しい値を測定しているかを調べるべきである。特に、磁気センサーは衛星内部の残留磁気だけでなく、衛星が動いている時に発生する磁気ノイズの影響も受けるので、実機に搭載した状態でのセンサーの較正をすべきである。また、万が一打ち上げ
後に間違いが発覚したとしても修正できるように、各種センサのゲインとゼロ値をアップリンクで修正できるようにしておくのが望ましい。
7.11 試験コンフィギュレーション（Test-as-you-Fly）
試験は、実際の飛行状態に近い条件で実施すべきである。実際の運用コマンドを送り、それに対する衛星からのデータを地上局ソフトで解析して、衛星の状態やミッシ
ョンの成否を判断すべきである。飛行時には衛星には外部ケーブルがついていないので、システム試験においては外部ケーブルは極力外すことが望ましい。外部ケーブル

41

を介して思わぬノイズが混入することがある[3 のプロジェクト No.25]。ミッション機
器については、真空環境において衛星システムに組み込まれた状態で機能する（単にスイッチが入って模擬データを送るのではなく、実際に測定したりデータを中継したりする）ことを確認すべきである。
7.12 外部試験機関の利用試験設備を全て自前で揃えている機関は限られており、外部機関での試験を余儀なくされるプロジェクトが多い。試験に関しての経験が乏しいプロジェクトの場合、衛星設計や試験についての助言をできるだけの経験をもった試験機関を選ぶのが望ましい。外部での試験は、決められた時間内に所定の試験を終わらせることが求められる。
そのためには、事前に試験機関と試験仕様書なり試験計画書を使った打ち合わせが欠かせない。試験目的と試験条件を明確にし、どのような機材を持ち込む必要があるのか、試験機関から得られるサポートを、事前の遠隔会議などを通じて明確にしておくべきである。
7.13 試験結果の評価
試験結果の整合性を正しく評価する努力を怠るべきではない。よくない試験結果、気になる試験結果をそのままにしておくと、思わぬバグが潜んでいる可能性がある。
事前に試験の Pass/Fail criteria を明確にしておくのは当然であるが、時に許容範囲ギリギリのどちらとも言い難い結果がでることがある。そのような時は、なぜノミナ
ルの値からずれたのか、自分達で説明を試みるべきである。また、不可解な事象がランダムに起きる場合（スイッチが入らない、異常停止する、機器間の通信がうまくいかない等々、熱真空試験等で多い）、気づき事項は必ず記録に残し、解明を試みるべきである。正常化バイアスによって「多分気のせい」「軌道上では起きないだろう」
といった楽観視は禁物である。[3 のプロジェクト No.18]電波試験等においては、専門的な器材を用いることが多く、器材の操作を間違えて電波信号強度を読み誤ることなどもある[3 のプロジェクト No.28]。一人の人間に試験セットアップを丸投げすると、間違いに気づかずにいる危険がある。試験計画書並びに試験報告書を複数で吟味する体制が望まれる。
衛星の試験が全て終了して、納入待ちとなる前にチーム内でレビュー会を開催し、それまでに発覚した不具合への対応がしっかりなされたかどうかを不具合管理表を見ながら確認すべきである。
7.14 不具合対応試験を行った結果、不具合が発生することは必ずある。逆に言うと、試験は軌道上で不具合が発生する前に地上で見つけて修理するためにある。「2.7 不具合管理」でも述べたように試験中に見つかった不具合は情報を集約し、優先順位をつけて対処する。優先順位をつける際には、リスク管理をしっかりと行い、軌道上でその不具合が発現したとして、ミッション遂行に与える影響を評価しないといけない。故障解析においては、FTA を駆使すべきであり、それが打ち上げ後に不具合が発生した時に実施す
る FTA の予行演習ともなる。FTA では論理的な思考が求められ、頭を冷やして考えることが大事である。
また不具合に対応して衛星を分解したり、改修後に再試験を行ったりする時は、衛星に与えるストレスの影響を考えるべきである。コネクタの抜き挿し回数やファスナーの使用回数には制限があり、衛星の分解•組み立て毎にそれらの部品にストレスがか42

かる。振動試験などは累積疲労を衛星各部に与えるので、再試験として AT 試験を再度全て実施すべきかどうかは慎重に判断すべきである。
7.15 衛星の保管
全ての試験が完了した状態から納入まで、予期せずして時間がかかることがある。
打ち上げロケットの遅延、安全審査の長期化、電波免許の遅延等々理由は様々であるが、そのようなことは起きうる。衛星を長期保管する際、分離スイッチに長期間のス
トレスがかかって部品の変形につながる危険があるので注意が必要である。また、
時々衛星バッテリーを補充電するが、充電作業は複数で手順書に従って行う。慣れていると思っていても、ヒューマンエラーは防げない。バッテリー充電の際に間違ったピンを触らないような工夫を設計に組み込むべきである。保管中の衛星の起動やアンテナの誤展開等を防ぐフライトピンを設計に組み込むことなどを考慮することも勧められる。
7.16 安全要求適合性の確認
FM の試験が完了したのち、その結果を元に安全審査 Phase3 が実施される。安全要求に準拠する形で衛星が作られたかを、様々なエビデンス（検証結果）を元に吟味する場である。検証文書は安全審査 Phase2 で打ち上げ事業者と合意した検証項目に対する結果を全て記載する必要がある。検証文書は、試験完了後に一気に送るのではなく、FM の製造・試験段階から打ち上げ事業者とその中身について調整を始めておくことが
望ましい。

43

8. 運用8.1 地上系準備・メンテナンス
地上系の整備は衛星納入前に完了させ、FM との間で通信が行えるかどうかを確認しておかなければいけない。地上系をおくべき場所としては、以下のようなことを考慮するのがよい。
a)周辺に高い建物がなく、低仰角まで衛星を見ることができる
b)直近にノイズ発生源（電波発信源）となるようのものがないc)アンテナの直近に無線機等を置くスペースがある。
d)無線機のある部屋は、快適に作業ができる環境にあり、普段の居室からの距離が近く、夜間でも立ち入りが可能である。
e)アンテナの置かれている場所には点検・メンテナンスのために容易にアクセスできるa),b),c)は通信回線の向上のためである。高周波の電気信号は同軸ケーブル中で簡
単に減衰する（減衰量は周波数とケーブルの仕様がわかれば簡単に計算できる）ので、c)は重要である。アンテナから無線機までの距離が長いようであれば、アンテナ直下
で低い周波数に変換することを考えた方がよい。
アンテナの設置場所を探す際にはどうしても a),b),c)に目がいきがちであるが、
d),e)も長期的な運用体制を考える際には必要であり、両者のバランスをとることが必要である。例えば、電波環境としては理想的な場所にアンテナが置かれていても、点検・メンテナンス・のためにアンテナにアクセスするのに許可の取得・業者の手配（学生では立ち入れない時）等々で数日かかるようでは、緊急時にタイムリーな運用ができない。また、夜間立ち入りが許されていない建屋に無線局があると、夜間の運用ができず、可視時間の半分を最初から失うことになる。ネットワーク運用も可能であるが、軌道上放出直後のクリティカルな状況では全ての可視時間を使って運用すべきであり、ネットワーク運用に余程の経験がなければ、無線機の前に座って運用した方がよい。夜間の運用等を考えれば、普段の居室に近いことも必要で、夜間に可視時間が複数ある場合、可視と可視の間にどこで過ごすかも考えるべきである。真夏や真冬の運用を考えると、屋上の間に合わせのスペースに無線機を置かれていると作業が苦痛なものとなる。

図 19 台風で壊れたアンテナ
アンテナは風雨に晒されるので、定期的なメンテナンスが欠かせない。アップリン44

クが通りにくい、モールス信号の音が弱いと感じたら、アンテナの向きを調べるべきである。図 20 に八木アンテナのアンテナパターンの例を示すが、10 度中心からずれるだけでゲインは 10dB 下がり、通信マージンを食い潰す可能性がある。アンテナの向きを調整する際、コンパスが指す北は「地理上の北（北極）」ではないので注意が必要。
また、アンテナから無線機までの間は複数のコネクタを介してケーブルがやってきている。コネクタの接触不良、腐食等々も、地上局の不調の原因としてよく見られる。
地上系が正常に動いているかどうかは、実際に衛星からの信号を取得して、その電波強度を調べることによって確認することができる。自らの衛星の場合、衛星側に問題があるのか、地上系に問題があるのかわからない。そのため、基準となる衛星（長年に亘りビーコン信号を出し続けている衛星）を決めて、その衛星をトラッキングし、電波強度を計測することを勧める。

図 20

地上局用八木アンテナのアンテナパターンの例

8.2 運用計画
超小型衛星は、宇宙空間での動作を保証されていない地上民生品で作られており、打ち上げ前の試験にも限界がある。そのため軌道上で予期せぬ不具合が起きることは避けられず、運用を始めて間もない段階で衛星を全損することも多々ある。

信頼性
（生存率）
1

多くの衛星が最初の数週間で死ぬ

時間

軌道放出
45

図 21 軌道放出後の衛星の生存率の低下
そのため、実施すべきはa)バッテリーや太陽電池などの衛星の基本的生存に関わる機能を確認する。
b)衛星との上下通信回線を確立させ、「総合試験」を実施し無線局の本免許を取得する。
c)ミニマムサクセスクライテリアを実現するためのミッションの実施をできるだけ早期に行なう。軌道上放出後１週間以内が望ましい。初号機の場合、衛星から送られてくる CW モールス信号の解読、基本的ハウスキーピングデータの解析に目を奪われがちであるが、早急にミッションの実施に移行すべきである。CW モールス
信号に一喜一憂しているうちに衛星との通信が途絶した衛星は少なからずある。電波の本免許取得を急ぐのは、放出直後の運用はあくまでも予備免許での運用であり、予備免許だけでは衛星ミッションの成果の公開に制約があるからである。
8.3 不具合対応
8.2 でも述べた通り、超小型衛星はいつ通信が途絶するかわからない。そのような時でもあきらめないことが大事である。2 年間通信が途絶したのに復活した衛星もある。
そのためにはチーム内のモチベーションの維持が大事であるが、その場合最も大事なのは責任教員の姿勢である。たとえ衛星を失っても、その原因を徹底的に追求し、その教訓を次号機以降に反映することの大事さをチーム全員が共有することが、2 号機以降の成功に役立つ。実際に、初号機は失敗したものの 2 号機で成功した衛星は初号機の失敗について徹底的な原因究明を行なっており、その結果を 2 号機の設計に活かしている。成功はまぐれではやってこない。また、通信は途絶しないものの、メインミッションができない事態に陥ったりした時も、「死なない衛星」として軌道上の運用
データを取り続けることが、次の衛星の設計に運用上の教訓を反映する上でも大事である。
不具合（通信途絶も含む）が発生した場合、通信の流れにそった FTA を実施することを勧める。その場合、図 22 に示すように地上局->衛星->地上局の間の情報の流れに沿って、各ブロックの中身または各ブロックのインタフェースで不具合が起きていな
いかどうかを調べることを勧める。地上側に問題があるかどうかは、地上の予備機と地上局を使えば簡単にチェックできる。衛星側のどこに問題があるかどうかは、不具合事象の分析（観測された事象のみを列挙する、不具合の発生頻度、発生時期・場所の特徴等々）、衛星からのテレメトリーデータの解析（コマンドや衛星の動作の履歴を調べる、健全なデータと不健全なデータを見分ける、データのトレンドを見る）、予備機を使っての再現実験等々で、不具合原因の候補を一つずつ潰していくことにより調べる。FTA において大きな役割を果たすのが、フライトソフトウェアの最終版のソースコード、衛星設計文書、予備機などであるが、何よりも実際に開発に携わった人員がいると大きな助けになる。軌道上での不具合は起きたら回復不能ではなく、運用を工夫することで回復できることも多々ある。そのためにも運用チームが設計を理解していることが必要である。運用時に開発メンバーが残れるようにプロジェクトのス
ケジュール作成をすることが強く望まれる。また、予備機は運用時の不具合対策に極めて大きな役割を果たすだけでなく、FM 製作段階での作業ミスによって緊急に部品の代替品が必要となった時にも使うことができるため、予備機の確保を強く勧める。尚、予備機には EM を流用してもよい。

46

図 22 地上局->衛星->地上局の情報の流れ

47

9. 運用後
9.1 Lessons Learned
衛星プロジェクトで得られた教訓を次のプロジェクトで活かすため、あるいは実社会で活かすために、Lessons Learned は欠かせない。Lessons Learned をまとめるのに良い機会は、２つある。衛星を納入し終えた時と運用を終えた時である。ただし、運用が 2、3 年の長期に亘るようなプロジェクトの場合、中心メンバーが卒業する前にLessons Learned のまとめを行うべきである。また、責任教員はプロジェクトの実施期
間中随時メモ書きでよいので、気づき事項を備忘録に書いていくことを勧める。
Lessons Learned のまとめに決まったやり方はないが、プロジェクトに関わったメンバ
ーが率直な意見交換を行える雰囲気を醸成することが何よりも大事である。尚、Lessons Learned は活かされてこそのものなので、責任教員は次のプロジェクトの際には折にふれて過去のプロジェクトの Lessons Learned を引き合いに出すことを勧める。

Lessons Learned

図 23

文書化

次のプロジェクトに向けてノウハウ共有（イラスト出典：いらすとや）9.2 記録化と成果報告・公開
衛星設計や試験結果についての文書化だけでなく、運用やマネージメントも含めた
プロジェクト全体の推移や記録をまとまった文章にしておくべきである。次のプロジ
ェクト実施に向けた重要な指針となり、次のプロジェクトに臨む学生達の参考になる。
プロジェクト全体を見渡していたプロジェクトマネージャーや責任教員が書くことが望まれるが、何らかの動機がなければ文章化も進まない。宇宙科学技術連合講演会やUNISEC の Space Takumi Conference などの各種報告会での発表は良い契機となりうる。
衛星プロジェクトを進める上で、外部機関や個人の方々の協力を得ているはずである。それらの方々にとって、衛星ミッションで得られた成果を報告することが何よりの恩返しである。そのため、ある程度成果がまとまった段階で、何らかの形でそれらの方々を対象とした成果報告会を実施することを勧める。その際の発表資料はプロジ
ェクトの記録として、後々様々な形で重宝される。また、衛星ミッションの成果は、限定された方々だけでシェアするのではなく、論文等により広く公表すべきである。
大学衛星の使命は人材育成と科学技術の進歩に貢献することにある。技術実証や科学観測を目的とした衛星は、最終的には対外発表という形で社会に成果を還元しなければならない。「教育」を目的した衛星であっても、教育手法としての超小型衛星という観点からみれば、衛星プロジェクトによってどのような教育的成果が得られたのかを公開して、他大学が参考にできるようにすべきである。これらの科学的または教育48

的成果の発表は、必ずしも査読付き学術雑誌への掲載という狭い意味での「論文発表」にとらわれる必要はない。ただし、責任教員や学生（特に博士学生）のその後のキャリアを考えると、査読付き学術雑誌への掲載が望ましいのは言うまでもない。
9.3 ノウハウ共有
超小型衛星のミッション成功のためには、それを支える衛星バスが確実に機能することが必須である。衛星バスの不具合によりミッションが達成できなかった例があまりにも多い。先進的ミッションを達成するためには、先進的バス技術が必要となるが、全てのバス機器を新規に開発し直す理由にはならない。軌道上実績を積み重ねた衛星バスについては、データ、ノウハウ、ソフトをコミュニティで共有して、「枯れた技術」を使うことが望まれる。ノウハウを共有するには、共有できる形にノウハウを加工しなければならない。共有には手間はかかる。最初から、いきなり立派な情報共有
プラットホームを作ろうとしても息が続かないので、できる範囲から始めることが望まれる。特に、軌道上データ（温度等）、軌道上での不具合の記録、搭載された部品リストなどは需要が高いと思われ、そのようなデータをどんな形であれ、他プロジェ
クトと共有する姿勢をもつことが望まれる。

49

10. 大学衛星プログラムの持続可能化
10.1 プログラムとしての視点
個々の衛星プロジェクトではなく、一連のプログラムとして衛星バスやミッション
機器の改善をはかっていく姿勢が重要である。衛星プログラムとして着実に成果をあげていくためには、得られた教訓、知見、ノウハウをどのような形で蓄積していくかを十分に考えなければならない。大学衛星の場合、個々の大学や教員の状況により、一概に正解があるわけではないが、教訓を文書で残すだけでなく、肌で知った人間が残ることが望ましい。しかし、大学衛星では学生は卒業するので、それはほぼ不可能である。教員またはスタッフにその教訓を残さざるを得ない。スタッフの場合も、ポスドクなどの場合、雇用のための資金の継続的な確保、学内規則による任期、若手研究者としてのキャリア等の課題がある。教員に蓄積するには、教員がプログラムディ
レクターとして、各衛星プロジェクトに関与し続けることが必要である。
その他にも、学生の間に集団で残していく方法として、各世代の衛星プロジェクトをオーバーラップさせ、同時期に複数のプロジェクトが進行する中で先行プロジェク
トの運用結果に基づいて、先輩が後輩に伝授する方法もある。いわば「集団的知性（Collective Intelligence）」として経験を維持する手法である。ソフトウェアなど
属人的になりがちな分野ほど、この方法は有効と思われる。ただし、この方法は自転
車操業に陥る可能性があり、教員は、よほどの覚悟を決めて資金獲得等の努力をしな
いといけない。
持続可能な教訓の伝承体制を、責任教員の直下に学生だけがいる体制で構築するのは、教員に多大な負担を強いることになるため難しいと思われる。ポスドクや助教が中間層となって支えていくことが望まれるが、それら若手人材がアカデミックなキャリアを形成できるような工夫が必要である。
また、何回もの軌道上経験を経て技術が成熟したのちには、設計やノウハウを企業等に移管する、オープンソース化するなど、社会に還元する取り組みが望ましい。電子回路や構造など技術情報を図面の形で残せるものは、企業移管やオープンソース化
といった方法で「技術の属人化」を防ぐことができると思われるが、ソフトウェアなど個人的作業が主となるものについては難しい。殆どの学生は「他人が理解できる」
形でソフトウェアを書くトレーニングを受けておらず、情報分野を得意としない教員にはソフトウェアはブラックボックス化し、できるだけ多くのコメントをつけてソフ
トを書くように指導するくらいしかできない。現状は、オープンソース化してできるだけ他者の目で揉まれる機会を増やすなどの方法しかなく、ソフトウェアの伝承は大学衛星にとっての課題である。
10.2 学内基盤の強化
大学というものは、本来「個人商店の集まり」である。大学衛星プロジェクトは、
多くの場合は責任教員の研究室のプロジェクトとして実施されている。プログラムとして持続させ、成果を着実にあげていくためには、大学からの支援が必要である。ただし、大学からの支援を得るということは、大学へのリターンをもたらす必要がある。
そのため、自分の得意でない仕事も大学から依頼されることがある。それらを厭うのであれば、大学をスポンサーとすることは諦め、外部企業など別のスポンサーを探した方がよい。
大学からの支援を得ようとした場合、大学にとって衛星プロジェクトは受験生を集める広告塔の役割を果たすが、それ以上の価値が見出されなければ、大学からの支援は限定的なものである。大学の教育あるいは研究またはその両方にとっての効果を示

50

さなければいけない。教育面は、比較的容易である。昨今の工学部教育では、デザイン能力が求められたり、Project Based Learning(PBL)をカリキュラムに取り入れたりすることが求められている。とりわけ、学部教育では、専門分野だけでなく、幅広い視野をもたせるための教育が求められている。特に宇宙工学関連の学科では、「システム工学」が最重要科目の一つであり、座学だけでなく実践を通じて学ばせることが求められている。そのような時に、衛星プロジェクトは恰好の題材であり、衛星プロ
ジェクトに参加することで何らかの単位を得られるようにすることは難しくない。カ
リキュラムの一環となれば、大学側からの継続的支援を得ることができる。ただ、この場合でも金銭的にはそれほど大きなものは期待できなず、衛星プロジェクトが教員
個人のプロジェクトから脱却するきっかけとして捉えるのが良い。
衛星プログラムの学内における位置付けをより大きく発展させるには、研究室間の連携が避けられない。「**先生のプロジェクト」から「**先生達のプログラム」への移行である。研究室間の連携では、チームメンバーの多様化、教員が増えることによるチーム内の専門的知識の拡大、衛星ミッションの多様化（理学系教員と工学系教員の連携の場合に顕著に現れる）、外部資金獲得の機会増大、等々といったプラス面がある。マイナス面としては、研究室の壁を学生が意識してしまうと学生間のコミュニ
ケーションに齟齬が生じる危険等である。そのため、教員同士の日頃からの連携が欠かせない。研究室間の連携は、宇宙理学の教員との連携（科学観測ペイロードの搭載等）だけでなく、衛星データの利活用でも考えられる。特に、IoT や AI といった分野
で、自前の衛星データを使ったプロジェクトは、衛星作りには興味がなくてもデータ解析には興味のある教員には魅力的に映るかもしれず、積極的な連携が期待できる。
10.3 資金確保
学内基盤が強化されても、定常的に衛星を製作し打ち上げ続けるのに十分な資金援助が大学から出ることは稀である。資金確保が必要であるが、それは個々の教員が知恵を絞ってやっていくしかない。プロジェクト発足当時には予期していなかった要因（購入物品の修理や追加購入等）により、経費が嵩むこともあるので、資金計画には余裕を持たせておく。科研費やその他の国の競争的資金にだけ頼っていると継続性が担保されないので、資金源の多様化をはかることが大事である。また、資金を確保す
ると同時に、衛星バスについては安く調達できるような設計を心がけるべきである。
10.4 外部連携プログラムとして持続的に衛星を作り続けるには、外部との連携が欠かせない。特にキーコンポーネントを供給してくれる企業との関係の維持は重要である。また、アマチュア無線コミュニティや JAXA と良好な関係を保つ必要性は言うまでもない。
プログラムを発展させていこうとした時に学内の他研究室の連携だけでなく、外部の大学・研究機関との連携も大きな効果をもたらす。特に海外との連携は、学生に国際経験を積ませる上で非常に有益である。衛星のミッションを考える際にも、外国で衛星利用のニーズが発掘できるなど、得られるところは多い。海外連携の場合、空間的距離や時差が障害となるが、衛星バスとミッションペイロードのインタフェースを明確にすれば、日本で衛星バス・海外でミッションペイロードの同時平行開発を行い、最終的に日本で統合して衛星を納入といったことが可能であり、その例もすでに存在する。ただし、海外連携においては、安全保障輸出管理に関する手続きの要否を必ず確認し、公知の技術（オープンソースで公開されている情報等）を用いない場合は特に念入りに確認することが望まれる。今では各大学に安全保障輸出管理を扱う部署が51

あるはずなので、当該部署と事前に相談することを強く勧める。

52

参考文献
[1] “Definition and Requirements of Small Satellites Seeking Low-Cost and FastDelivery”, Edited by Mengu Cho and Filippo Graziani, International Academy of
Astronautics, 2017, Code ISBN/EAN IAA: 978-2-917761-59-5[2]Michael Swartwout, Clay Jayne, University-Class Spacecraft by the Numbers: Success,Failure, Debris. (But Mostly Success.), 30th Annual AIAA/USU Conference on Small Satellites,
2016[3] NPO 法人大学宇宙工学コンソーシアム(UNISEC),超小型衛星ミッションサクセスのための Lessons Learned 事例分析, JAXA-CR-21-002, 宇宙航空研究開発機構契約報告, 宇宙航空研究開発機構(JAXA),2021[4]大野 耐一「トヨタ生産方式-脱規模の経営をめざして」ダイヤモンド社 1978 年[5] 「 小 型 衛 星 通 信 網 の 国 際 周 波 数 調 整 手 続 き に 関 す る マ ニ ュ ア ル 」
https://www.tele.soumu.go.jp/resource/j/freq/process/freqint/001.pdf[6] JBDB-08012D [成功基準(サクセスクライテリア)作成ガイドライン]、JAXA チーフエ
ンジニア・オフィス、2018 年 1 月[7] JX-ESPC-101132-DJEM 「ペイロードアコモデーションハンドブック, Vol.8., 超小型衛星放出インタフェース管理仕様書」 D 版、p.21, 2020 年 5 月[8]ISO-DIS-17981 “Space Systems -CubeSat Interface”[9]ISO-19683 “Space Systems – Design qualification and acceptance tests for small spacecraft
and units”, 2017.07[10] Adolfo Jara, Pooja Lepcha, “On-orbit Electrical Power System Dataset of 1U CubeSat
constellation for Machine Learning Models”, Mendeley Data, May 2022,
DOI:10.17632/8kp25ycf63.

53

英語版

54

Mission Assurance Handbook for the University-built Lean Satellite
Contents
1. Introduction
2. Project Management
2.1 Schedule Management
2.2 Team Organization
2.3 Improving Project Efficiency
2.4 Frequency Coordination and RF License
2.5 Compliance with Safety Requirements
2.6 Documentation Control
2.7 Defect Management
2.8 Relationship with External Stakeholders
2.9 Funding Plan
2.10 Risk Management
3. Defining the Mission
3.1 Feasibility
3.2 Success Criteria
3.3 Mission Scenario
3.4 Risk Management
3.5 Mission Assurance for Satellites Built by External Funding
4. Conceptual Design
4.1 Requirements Management (Consistency between Mission Requirements,
Design Requirements, and Verification Requirements）
4.2 Incorporation of the Lessons Learned from Past Projects
4.3 Safety Requirements Compliance Check
4.4 Verification Plan
4.5 Risk Management
5. Detail Design
5.1 Selection of Parts and Components
5.2 Risk Management, FTA and FMEA
5.3 Aiming for a Satellite that can Survive
5.4 Avoid Excessive Protective Functions
5.5 Points to Note in Design Changes
5.6 Satellite Design allowing Easy Operation
5.7 Satellite Design that is Easy to Test and Easy to Assemble, Integrate and Test
5.8 Understanding of Design Basis
5.9 Before advancing to FM Phase
5.10 Safety Requirements Compliance Check
5. 11 Satellite Interface
6. Satellite Assembly and Integration
6.1 Quality Control
6.2 Contracting the Work or Building Inhouse
6.3 Safety Requirements Compliance Check
7. Testing
7.1 Electromagnetic Compatibility Test
7.2 End-to-End Mission Test
7.3 Electrical Interface (Integration) Test
7.4 System Functional Test

1

7.5 End-to-End Long Term Operation Test
7.6 Deployment Test
7.7 Fit Check
7.8 Thermal Test
7.9 Vibration Test
7.10 Attitude Determination and Control System Test
7.11 Test Configuration (Test-as-you-Fly)
7.12 Use of Outside Testing Organization
7.13 Evaluation of Test Results
7.14 Defect Management
7.15 Storage of Satellite
7.16 Confirmation of Compliance with Safety Requirements
8. Satellite Operation
8.1 Preparation and Maintenance of Ground Systems
8.2 Satellite Operation Plan
8.3 Handling Anomaly and Failures in Orbit
9. After Satellite Operation
9.1 Lessons Learned
9.2 Recording, Reporting and Publication of Results
9.3 Sharing of Knowhow
10. Sustainability of University satellite Program10.1 Viewpoint as a Program
10.2 Strengthening the Research Base in University
10.3 Funding of Project10.4 Cooperation with Outside Organizations2

Abbreviation
ADCS
AIT
AT
BBM
CDR
C&DH
EM
FM
FET
FMEA
FRR
FTA
ISS
MA
MDR
MCU
MOSFET
OBC
ORR
PDR
QT
Rx
Tx

Attitude Determination and Control System
Assembly, Integration and Testing
Acceptance Test
Bread Board Model
Critical Design Review
Command and Data HandlingEngineering Model
Flight Model
Field Effect Transistor
Fault Mode Effect Analysis
Flight Readiness Review
Fault Tree Analysis
International Space Station
Mission Assurance
Mission Definition Review
Micro-Controller Unit
Metal-Oxide-Semiconductor Field Effect Transistor
OnBoard Computer
Operational Readiness Review
Preliminary Design Review
Qualification Test
ReceiverTransmitter3

1. Introduction
This document summarizes the matters that all the members of lean satellite
projects at universities and/or technical colleges (collectively referred as the
Universities), including professors, staffs and students, must remember in order toimprove the mission success rate. The phrase “Mission Assurance” means a series ofactivities to identify the factors in design, construction, operation of the satellite, etc.
that will hinder mission success and to eliminate or decrease the effects of suchfactors.
Lean satellite is a satellite that utilizes non-traditional, risk-taking development
and management approaches – with the aim to provide the satellite value to thecustomer and/or the stakeholder at low-cost and without taking much time to realize
the satellite mission[1]. Most of so-called nanosatellites and micro-satellite,
including CubeSats, fall into this category, especially the ones built by universities.
Throughout the rest of this handbook, the word of “lean satellite” is used to refer tothe nano-satellites and micro-satellites.
More than 20 years have passed since the universities started making satellites,
and a lean satellite is now not just an educational tool for students but is used for
cutting-edge scientific observation and business. Many start-up companies, the socalled “New Space,” have been launched by former students who experienced
university satellite projects. They have become the driving force behind the growing
space industry sector.
In Japan, more than 20 universities have launched lean satellites into orbit, but
the mission success rate remains low. This trend applies worldwide, and according
to Reference [2], 25% of satellites launched by the universities were DOA (Dead-onArrival; Contact is lost immediately after the satellite reached orbit), and less than
50% of satellites are said to be successful, even including those classed as partiallysuccessful.
The primary purposes of university satellites are education, technology
demonstration, and scientific observation. Even when the main purpose is education,
the educational effect by operation of the satellite is comparable to the effectobtained in development of the satellite. Accordingly, certain operations of thesatellite, such as the acquisition and downlinking of data on the orbit, should be
intended even in projects for educational purposes.
Improvement of the mission success rate of the university satellite does not only
contribute to education of students who will enter the space business sectors after
graduation, but also leads to improved results in challenging technology
demonstration and scientific observation using such satellites. Such results will
become a pathfinder of the larger scale missions and will contribute to growth of thespace sector overall.
This document is prepared based on the analysis results of both the successful andfailed missions presented at the Lessons Learned Sharing Meetings of the
University Space Engineering Consortium (UNISEC) in 2020. The summary of the
Lessons Learned Sharing Meetings is already published as Reference [3]. In Section
5.2 of Reference [3], the requirements to ensure the lean satellite mission successare listed as “Selection of Mission Assurance Requirements of Lean satellites.” The
present document is intended to be a constant reference by professors and students
participating in the satellite projects by revising the requirements in Ref.[3] basedon the further root cause analysis of the failed projects. In particular, the following
four items are considered.

4

●
●
●
●

The appropriate management method in the university according to the project
execution form
The key points to achieve the project efficiently.
The things to be done to improve the mission success rate at each phase of the
project lifecycle from mission definition to post-operation, andThe key points to make the university satellite program sustainable to improvethe mission success rate steadily as a program not as individual projects.

Mission success rate of the university satellite is extremely low for the first project.
It significantly improves, however, for the second satellite and subsequent satellites
because the lessons learned in the first satellite can be used. However, failure cannot
be completely avoided for the second and subsequent satellites. The mission successrate can be further improved by sharing lessons learned in the satellite projects byothers. Therefore, the target readers of this document are not only the professors,
staffs and students who are first engaged in the development of the satellite but also
include those engaged in the projects of the subsequent satellites.
This document was made as a part of contract, “Investigation of supporting
methods utilizing JAXA knowledge to improve the mission success rate of leansatellites, fiscal year 2021” (JX-PSPS-536920A) given to University SpaceEngineering Consortium by Japan Aerospace Exploration Agency.

52. Project Management
2.1 Schedule Management
It is quite rare for the university satellite to be successful in the mission from thefirst satellite. In many cases, the mission fails due to the lack of time for the systemtest caused by poor schedule management coming from lack of experience. Because
the university satellite is usually launched by ride share or piggy-back, it is almost
impossible for the satellite builder to determine the deadline of satellite delivery to
the launch provider. Table 1 shows the milestone chart that should be used forschedule management with the satellite delivery date designated as “D”. It isdifficult to reduce the time required for (B) through (F). Time required for orderingand procurement of the material, parts, and components cannot be reduced by
student effort alone. To what extent and for how long the entire system can be
combined and tested to find the defects of hardware and software and correct themin (E) and (F) determines the mission success rate. Therefore, maintaining theschedule by reducing the time required for (E) and (F) should never be considered.
Table 1 Schedule Management Milestones
TimingMilestones
Month D-A* Mission profile of the satellite is decided. MDR(A)Proof of Concept (use of BBM)
In parallel, designing of EM
MonthD-13 Feasibility of the conceived mission is confirmed. PDR(B)
Order placement and procurement for the EM (3 months)
MonthD-10 Variety of hardware used for the EM is received and awaiting
assembly(C)
Assembly, integration, and test of the EM (4 months)
MonthD-6
Testing of the EM is complete and functioning as the satellite
system is confirmed. CDR(D)
Order placement and procurement for the FM (3 months)
MonthD-3
Variety of hardware used for the FM is received and awaiting
assembly(E)
Assembly, integration, and test of the FM (2 months)
MonthD-1
The hardware and software of the FM is completed and testing of
the hardware (vibration, thermal, vacuum tests, etc.) is finished.
The basic software of the ground station is completed.
FRR or ORR(F)
Software debugging (1 month)D
Delivery of the satellite to the launch vehicle assembly site
* The timing differs dependent on the satellite project.
During Period (A) (the duration depends on each project), the mission feasibility
should be confirmed using hardware like BBM. The proof of concept (PoC) should beobtained. When multiple missions are planned, some missions may need to beabandoned if the PoC is not obtained. Postponing the decision may lead to designchanges at the EM or FM stages, which results in the cost increase and the schedule
delay. If PoC of the main mission is not obtained, the mission requirements should
be reviewed in detail. MDR is usually conducted at the beginning of Period (A) andPDR at the end of Period (A). After finishing Period (A), i.e. from PDR to the satellite6

delivery, the standard time is 13 months.
Period (B) (3 months) is the period waiting for delivery of the EM, but there aremany things to be done during this period, such as the structural analysis andvibration test of the STM for the safety review, software development using the BBM,
etc. The test schedule of the EM should be prepared and availability of the test
facility should be confirmed during this period.
During period (C) (4 months) the EM is assembled, integrated, and tested.
Assembly and integration should be conducted step by step using the material, partsand components received confirming compatibility of the interface, rather thanconducting assembly and integration all at once after all the components are received.
Incompatibility of the mechanical interface will require modification of thestructures and/or circuit boards. Incompatibility of the electrical interface will
require tremendous time for troubleshooting. As the members involved will not be
accustomed to environmental tests, e.g. vibration and thermal vacuum tests, ample
margin in the test schedule should be considered. Especially in the case of the firstsatellite, the vibration test of the EM will not be completed in a single test. The teamshould be prepared to do such tests multiple times. CDR is usually conducted at theend of the period (C), i.e. D minus 6 months.
During period (D) (3 months) order placement and procurement of the FM are
performed, but a certain minor modification to the FM is unavoidable according to
the test results of the EM. There are cases where an unexpectedly long time isrequired to revise the EM designs. During such time period, the schedule of the FM
test should be established and the test facility should be secured. Considering thepossibility that the time required for assembly and integration of the FM will requireconsiderable time, two schedule plans of the FM, Plan A (the processes progress asplanned) and Plan B (the processes do not progress as planned) should be prepared.
During period (E) (2 months) the FM is assembled, integrated, andenvironmentally tested (AIT). AIT requires at least 2 months because modificationof the FM will be required when problems are found during the AIT. When the test
is conducted by an outside testing organization, close communication should bemaintained with the organization as the test schedule may have to be changed
frequently. Usually at the end of (E), FRR or ORR is conducted to confirm that all
the design and verification requirements are satisfied. The final review is done one
month before the delivery to secure the time of modification if the need is identified
by the review.
During period (F) (1 month), the hardware should not be changed/modified,instead the focus will be on debugging the software by the end-to-end long-term
operation test (see 7.5). Even if a software bug is found, whether or not to modify thesoftware before the satellite delivery should be carefully decided by comparing therisk of modification (the functioning part before modification may become
nonfunctional) with the risk of non-modification (the bug may occur in orbit).
2.2 Team Organization
It is impossible for a university satellite project to find all the necessary talents inthe students alone. The shortage should be filled by using staff members, expecting
the growth of the student, cooperating with outside organizations, and by purchasing
items. The solution should be selected considering mission difficulty, project budget,
geographical conditions, etc. In any project, identification of the required talents inthe team is extremely important to formulate the satellite missions. Table 2 provides

7

the checklist to be used for identification of the talents for reference. Although thischecklist does not determine whether the team organization is good or bad, it can beused to overlook the various aspects such as the team experience, the skill level ofstudents, the diversity of the specialty, etc.
As the involvement of responsible faculty with experience in lean satellite projects,
projects deepens (1,2,3), project management becomes easier. Even if the faculty
member does not take on the role of project manager, having extensive project
management experience (6,7) similarly makes the management process smoother.
In such cases, since the team has already discerned what can be done by the teamfrom what cannot be done by the team during the mission planning phase, thelikelihood of making mistakes is considerably reduced. If the participating faculty
and students span multiple disciplines (5,8), and there are dedicated staff members(4), with a significant number of doctoral and master's students participating (9),and many students have already experienced satellite projects (11), it becomes
possible to set a high level of difficulty for the mission. However, overconfidence
should be avoided.
If there are many external organizations with experience in lean satellite projects(12), it is possible to set a higher level of difficulty for the mission as they may fill in
the gaps in expertise. However, if the external organizations are beginners, it could
have the opposite effect. If the team becomes an extracurrcular activity or if the
majority of the students are in lower academic years (9,10), it may be advisable not
to set the mission difficulty too high.
Once the talents within the team are identified, it is important to effectively
acquire the required expertise and knowhow that are not available in the team byoutsourcing. The important thing to note is the team members must fully
understand the requirements of such components and the specifications must be
consistent with the mission requirements and system requirement, even when thedevelopment and manufacture of the components are outsourced. After thecomponent is delivered to the university, it is the responsibility of the university
team to incorporate the component into the system for verification of the entire
satellite, and all the team members must remember such responsibility.
The university satellite project is not possible without devoted efforts by students
even when dedicated staff are hired. Participation in the project by the students is
supported by motivation. The level of motivation is different among the students.
Some students are highly motivated. Some are not. The professors must keep inmind that the responsibility to maintain and enhance such motivation entirely
belongs to the professors. It is natural that the motivation level is different. There isa possibility that the project schedule is delayed because a student whose motivation
is not high is assigned an important task. The role of project manager is extremely
important to catch the sign of schedule delay due to the student motivation anddiscuss the issue with the principal investigator, i.e. the professor. The project
manager and the professor should continuously communicate each other, find the
problem and the solution.
When the project is run as the laboratory project, the project activities can belinked to the bachelor thesis, master thesis, or doctoral dissertation. When this is
not the case, it is necessary to make the students find a certain meaning inparticipating in the project. If the project is run by a small team yet as a timeintensive project, there will be intensive mental pressure on the students. It isnecessary to make every student have a clear view of what he/she can get once the8project goal is achieved.
When the project is run as an extra-curricular activity where participation isdecided at the discretion of each student, the participants are mostly young
undergraduate students. The relationship between such student and the professor
is not so close compared with a project run by a lab. Such project does not involve a
competition with others like ordinary extra-curricular athletic activities and does
not have a clear goal at several months ahead like a robot competition. Unless theprofessors demonstrate an attitude of actively participating in the project and to deal
with student concerns early, it will be difficult to maintain student motivation onlyby the relationship among students.
It is absolutely important that the target launch date is secured to keep student
motivation high. A project without a definite satellite launch date may not be run
consistently. However, it does not mean that the students can build a reliable
satellite once the target launch date is fixed. The professors must always say thatthe project success is not the moment when the satellite is made by the target launchdate, but that the real success is to achieve the mission success in orbit. The students
will not really participate in the project unless professors say the mission success isthe most important.
If the development of the satellite takes too long time, a student can experience
only a part of the process, which keeps maintaining student motivation difficult. The
motivation comes when the student can experience the entire process of the satellite
development up to operation of the satellite. Therefore, it is desirable to keep the
project lifecycle from start to operation within 3 years.
The establishment of the 3-year project lifecycle is very important. If a problem
that is overlooked during development is found in orbit, such problem must be
rectified by operation. Although what the team can do is limited, recovery from ahopeless situation may become possible if the members are familiar with the designof the satellite. They know a wide range of steps available for recovery. The majorityof the university satellite projects are run as a lab-type project by a laboratory in anengineering department, where the students can generally participate in the project
during the fourth grade (senior) and 2 years in the master’s course. When the project
period exceeds 3 years from start to launch, students familiar with the design of thesatellite are no longer available at the time of satellite operation. In the case of theresearch-oriented project supported by a large amount of funding obtained byoutside organizations in which many dedicated staff and graduate school students(master’s course and doctoral students) participate, the dedicated staff should be
hired for the duration including operation of the satellite, without limiting the term
to the completion of satellite development. In the case of a club-type activity projectin which students other than those in the professor’s lab participate, a lifecycle
exceeding 3 years will be possible. However, when the project period is too long, it isdifficult to maintain student motivation. The students will not be able to spend muchtime on the project after the 4th grade, because they have to spend more time intheir final year projects (i.e. bachelor thesis). It is difficult to spend time in thesatellite project without understanding of the research supervisor. Therefore, it ispreferred to limit the lifecycle by approximately 3 years.
In the case of university satellites, while priority is given to the decisions made by
the dedicated professor who is a P/I (Principal Investigator), critical decisions should
be made not by this professor alone, but should be made after careful discussion
between team members. The professors must be open-minded and willing to hear9

opinions from others.
When the project manager is a student, postdoctoral fellow, or junior professor,
the senior professor (usually the P/I) should constantly oversee the status and should
ask assistance from outside when required. As a student or postdoctoral fellow will
not have appropriate contact with the outside, it will be difficult to obtain theassistance. Accordingly, it is the responsibility of the senior professor to establish
the appropriate contact with the outside. The professor should not leave it to thestudent or postdoctoral fellow. Once the channel is made, however, it is better forthe student or postdoctoral fellow who knows the issues the most to contact theoutside directly to avoid a message game.
In the case of project organization where the project manager alone can oversee
the entire system, a significant risk is posed as there may be an accident/incident
involving such project manager. As such, multiple team members must be familiar
with the entire system. Sharing of information between team members should beconsidered. Project management highly dependent on a single person is too risky andshould be avoided. So, the organization of the development should be preferably
established where all team members work together in a single room. To the contrary,
it is not a lean satellite project where entire the system cannot be overseen by the
project manager alone. As the system becomes complicated, the person withexperience in lean satellite development (a person who has experienced the entire
system lifecycle) should be appointed as the project manager.

10Table 2

Checklist for Identification of the Talents in the Satellite Project

No Item
1
Time available for the project 100(%) by the responsible
professor (P/I) besides timeused for lecturing
2
Experience of the responsible 3 or more
professor in satellite projects
3
Faculty members involved in 3 or more
the satellite project (full-timein the department)
4
5
6

7

8

9

Dedicated staffs involved insatellite project
Professors’ area of expertise(multiple fields)
Project manager

Number of satellite projects
experienced by project
manager
Subjects of study ofparticipating students(multiple subjects allowed)
Grade of students (multiple
grades allowed)

3

50-99

20-49

Selections of Response
5-19
0-4

2

1

0

2

1

0

2

1

0

Astronautics Science

Mechanical ElectricalCommunication Mechatronics Computerengineering engineering engineeringscience

Responsible Full-time Dedicatedprofessor
professor staff(P/I)
other thanP/I
3 or more
2
1

Doctoralstudent

Master’s course Undergraduat Undergraduat
studente (in thee (not in theprofessor’s
professor’s
lab)
lab)

0

Astronautics Science

Mechanical ElectricalCommunication Mechatronics Computerengineering engineering engineeringscience

Doctor

4th year

MasterOther

3rd yearOther

1st/2nd year0

10 Participation of students
other than those in theprofessor’s lab of the
responsible professor
11 Percentage of students withexperience of the satellite
project (%)
12 Number of outsideorganizations independently
involved in satellite project

Recommend Limited
ed

100

50~99

20~49

0~19

3 or more

2

1

0

0

1

2.3 Improving Project Efficiency
Activities in the satellite project are classified into three categories according toReference [4]. The first category is activities to enhance the value of the satellite.
This includes MA. The second category is activities that will not enhance the value
but are necessary. The second category includes activities related with the safety
review, the Space Activity Act, RF license, etc. The third category is activities thatwill create no value (useless activities, “Muda”). In a lean satellite project, thedevelopment and operation of the satellite becomes possible by a lean workforce andbudget, reducing such useless activities to the minimum.
In the satellite project, useless activities frequently arise in moving and waiting.
Such useless activities should be reduced and the time created by reducing theuseless activities should be used for MA. Even when the satellite is developed in one
campus, if individual teams are located in different buildings, the time required tomove to and meet at a certain place for meetings and AIT is useless. The timerequired to move to the ground station for operation of the satellite is also useless.
The environment for remote work and communication have significantly advanced
during the Covid-19 pandemic. But their efficiency is still not high enough comparedwith face-to-face activities and communication. When the test facility is not available
on campus, the time required to move the satellite and the team to and from thetesting place is useless. Time lost in waiting for a response by e-mail communication
will not create any value. Face-to-face communication among the team members
located in the same room will save a significant amount of time. Things should be
categorized as a matter to be recorded in text or not. The former items should becommunicated by a text message. Otherwise, a quick oral communication is goodenough. To improve the efficiency of movement and communication, it isrecommended to have the office, work room, test facility, and ground station in thesame building.
2.4 Frequency Coordination and RF License
Even when development of the satellite goes smoothly, changes in the basic design,changes of the mission, delay in delivery of the satellite, cancellation of the satellite
mission, or restriction in operation of the satellite may become necessary as a resultof frequency coordination and RF license application. Special attention is necessary
when amateur radio bands and non-amateur bands are used by one satellite and afrequency not assigned in the primary allocation band is used.
The time required for frequency coordination in amateur radio bands and for
obtaining the preliminary license is increasing due to the increase of the leansatellites. Especially the satellites whose mission is difficult to judge whether it
conforms to the spirit of amateur radio communication or not are experiencing a longtime in amateur radio frequency allocation. The project team should understand thata delay in the government procedures for radio license may lead to a delay in deliveryof the satellite or loss of the launching opportunity in the worst case, because asatellite for which frequency coordination or preliminary license has not been
completed cannot be launched.
As international frequency coordination and application for an RF license require
expertise in the regulatory and technical aspects of radio communication, specificmember(s) may be put under a heavy workload. More than one team member,including the project manager, should constantly monitor progress in frequency

2

coordination. It is also desirable that more than one member should read Reference[5] if the radio license is obtained in Japan. In each country, the team should consult
with an appropriate radio authority well in advance. It is good practice to outsource
the work necessary for frequency assignment to an outside consultant in certain
cases. Of course, certain project team members should constantly monitor progresseven when the work is outsourced to an outside consultant.
2.5 Compliance with Safety Requirements
Noncompliance with safety requirements will result in design modification and/or
rebuilding of the satellite, which will reduce the time used for MA. If the satellite
does not pass the safety review, in the worst case a dummy mass will be launchedinstead of your satellite. There have been such instances in the past (see Figure 1).
In order to avoid such a case, problems associated with compliance with safety
requirements should be identified at the respective phases when the conceptual
design and detail design are completed, and should be consulted with the launchprovider for confirmation.
The verification method of compliance with safety requirements is an issue in thesafety review. A verification that requires the minimum effort for verification
method should be agreed with the launch provider. When the commitment to an
excessive method is made (university professors tend to make an excessivecommitment wishing to show their ability), such a commitment may become aburden to the project at a later stage. The resource should be allocated to theactivities of MA, etc., limiting the efforts for safety verification to the minimum.
The person in charge of the system safety often needs to say a strong word to theperson in charge of design and AIT. It is recommended to assign a person who canunderstand the technical rationale behind the safety requirement and explain it
clearly to the system safety.

Figure 1 Small Piggyback Satellites installed in H-IIA Launch Vehicle 30 (Thesilver object located at 6 o’clock position is a dummy mass) (Source: JAXA Digital
Archives)
https://s3-ap-northeast-1.amazonaws.com/jaxajda/http_root/photo/P100010489/5590ac570abed216cfe9acfe71681338.jpg

3

2.6 Documentation Control
Documentation is required because of the following reasons in the satellite project.
a) Regulatory affairs work (Safety review, frequency assignment, radio license, andSpace Activity Act)b) Communication among the project team (Necessary during development,
testing, and operation)c) Securing traceability to investigate in-orbit anomalyd) Knowledge transfere) Sharing of knowledge and knowhow with other projectsf) Source data in writing research papers
For (a) and (b), documentation is necessary because satellite launch will become
impossible without such documentation. With respect to (a), the students must
engage in documentation work when the professor or the staff does not have enoughtime or the aptitude for documentation. Therefore, the documentation work forsafety review should be assigned to students as an important task at the start of the
project. The students must be motivated by the notion that the completion of thetask determines whether the satellite launch can be made successfully. Nevertheless,the documentation for the safety review prepared by the students must be checkedby the professors and staff.
With respect to (b), the documentation will be inevitably prepared by the persons
in charge of each subsystem or the project manager as they feel the needs. No student,
however, will be excited by such documentation work. The documentation work isalso in in parallel with the development of the satellite. The documents made tend
to become very minimum one unless the professor directs the student to prepare thedocuments for their own study. For (f), the documentation will be prepared by theprofessors and students (mostly the doctoral students) to write their own papers.
The documentation of (b), (c), and (d) is related to MA activities. Suchdocumentation is required to prepare for the situation where no one is familiar withthe detail design of the satellite in the operation phase due to generation change
within the university or for the purpose of smooth transition to the next satellite
project. However, such documentation will not be made by the students even if they
are repeatedly directed that knowledge inheritance is important and that theknowledge should be documented. One idea to solve such problem is to make thesatellite project in combination with the bachelor thesis or master’s thesis of thestudents. The bachelor thesis and master’s thesis are essential requirements forstudents in science and engineering courses. When development and/or testing ofcertain systems or components is selected as the theme of their thesis, details of thedevelopment and/or testing must be described in the thesis. While such thesis may
not cover the entire satellite, very detailed documents will be prepared in specificareas. When the deployment mechanism of the antenna is selected as the theme of
the bachelor thesis, for example, the student will make the very detailed record ofwhat he/she did describing basics of the antenna, how the threads were connected,
to what extent the tests were conducted and in what conditions, to what extent the
tests were successful, and the possible factors of the failure of the test.
2.7 Defect Management
A defect will occur when we develop a satellite. It cannot be avoided. After all, thesatellite development is a series of repeating the processes to find a defect and fix it

4

before the flight. It is important to have a management system to collect the defectinformation and make the project manager or the person in charge aware of thedefect. Based on the system, a proper action is done to each defect. The defectmanagement system, which can be as simple as an Excel sheet, becomes increasing
important as the satellite system becomes more complicated. The defectmanagement system has been proven to be effective in several university satellite
projects. It is, however, important not to divert the limited resources to solve all thedefects. It is important to prioritize the defects based on the effect on the mission
success and work according to the priority list. Also, during the early stage ofdevelopment, such as BBM phase, the person in charge may not regard the defect as
defect and think that simply the development is not complete yet. If the person in
charge changes in the middle, the defect may be left as it is. Communication between
the project manager and the person in charge is important.
2.8 Relationship with External Stakeholders
University satellites are often requested by companies to do in-orbit demonstrationof the product. It is good for the companies because they can save much labor andcost compared to the case where they build the satellites by themselves. It is also
good for the university team because they can obtain funding from the companies.
Also, if the product itself has research and development elements, the work may leadto the publication of papers as a part of joint research. When the university teamreceives such a request, however, they should clearly determine the interface andscope of work. For the system side (university), it would be much easier if they simply
provide the power supply line and data line only and have the company make all themeasurement circuits to obtain the in-orbit data. Efforts should be made to at least
minimize the impact on the satellite bus design. If the area of responsibility remains
vague, it may end up spending a large amount of human resources in the company
payload, or an unexpected design change may become necessary at the project final
stage. The principal investigator must be careful about accepting the offer from thecompanies. The principal investigator should think whether the team can handle theadditional complication to the satellite system and coordination with the external
stakeholders. The money will come with a price.

Money
Complicated system
Needs of coordina on

Figure 2 Trade-off to be made when external stakeholders are involved（illustration credit: いらすとや）
2.9 Funding plan
Satellite projects are expensive. It is very difficult to predict how much it will cost,5especially for the first satellite project. Funds are also needed for minimum
infrastructure such as a ground station and a clean booth. If the satellite is a 1U
CubeSat that does not have active attitude control and is equipped with only a UHF
band communication device, it is better to assume that the total cost of EM and FM
hardware will be about 10 million yen. Purchasing a foreign-made CubeSat platform
will increase the price even further. It will be difficult to get the EM and FM together
under 10 million yen. Adding infrastructure such as the ground station and the cleanbooth, as well as test instruments such as power supplies, oscilloscope, spectrum
analyzer, etc., adds up to about 15 million yen. In addition, costs associated withtesting and travel must be accounted. In total, as a ball park figure, the team should
prepare about 20 million yen, excluding the launch costs, for the first satellite. Fromthe second satellite, there will be no cost for the infrastructure. Also, the team canutilize the surplus parts from the previous projects, and the know-how cumulated
will save the money for testing. It is not recommended to rely on student handwork
to save the money for procurement as the quality decreases. If the external
stakeholders are invited to fill the funding gap, the satellite complexity increases
lowering the satellite reliability and increasing the project management workload.
It is necessary to have a margin in the funding plan at the project start. It isdangerous to start the project without solid funding base.
2.10 Risk Management
Risk is something that, if it materializes, could lead to unfavorable outcomes for asatellite mission, and it has the possibility of occurrence that is not zero. Risk
management is a systems engineering process that involves identifying, assessing,and effectively reducing or preventing the impact of risks. While safety management
and risk management are similar, risk management addresses issues beyond safety
and encompasses all the aspects of satellite project. An event with a probability of 1,
meaning it will definitely occur, is not considered a risk but rather an issue thatneeds to be addressed beyond the risk management.
Risk management is carried out following the flow in Figure 3. Firstly, risks that
may hinder the success of the mission are identified. Risks encompass not only
technical aspects but also various aspects related to project management (such as
funding depletion, team member departures, delays in component procurement, etc.).
Next, the likelihood of each risk materializing (probability of occurrence) is
multiplied by the impact when it occurs (severity), and each risk is comprehensively
assessed. A selection is then made to address them based on priority within theconstraints of limited resources (personnel, budget, schedule, etc.) (see Figure 4).
Measures to mitigate the risks are chosen, and the actions are implemented. As aresult of implementing these measures, the severity and probability of occurrence(or both) decrease, prompting a reassessment of the prioritization of risks. The
tracking of risks in Figure 3 should be continued throughout all stages of the system
life cycle, and during design changes, it is crucial to constantly examine whether new
risks have emerged.

6

Risk
tracking

Risk
identification

Accesshandling
optionsRisk
analysisPlan/Performmitigation

Figure 3 Flow of risk management
Small
1
Impact when it
occurs(severity)2Toppriority

3
Big

1
Low

2

3

Likelihood of materializing(probability of occurrence)high

Figure 4 Risk analysis
In university, making a satellite where "failure is not an option" is considered
impossible, and the risk of mission failure is accepted. However, this does not meanthat nothing is done about the risks. Efforts must be made to effectively manage
risks and enhance the success rate of the mission. Risk management can beconsidered a fundamental activity that underlies mission assurance.
3. Defining the Mission
3. 1 Feasibility
It is very unlikely that the knowledge and skills required for development of thesatellite are fully covered by the team members. The idea to bring in talent fromoutside that cannot be filled internally by newly hiring staff does not always
guarantee fulfillment of all the required talents. It is risky to expect the growth ofstudent talents. The budget is also limited. In formulating the mission, such
restrictions should be deeply taken into consideration. A feasible mission fitting theavailable budget and staff should be formulated. For the case of an educational
satellite project, the project may fail if too many new development elements areincorporated.
Success of the university satellite depends on the professors. Even if the professors
try something beyond their capability, the students may not be able to follow. The
professor is not a god and does not know everything in judging the mission feasibility.
It is important to accept what is lacking in his/her ability, to ask assistance from7

outside, and not to try too hard in a weak area. When assistance is requested to theoutside, an attitude of faithfully accepting comments from an experienced person isimportant. The ability to decide whether the comment is valuable or not is required
as a prerequisite, and an effort must be done to acquire such ability.
3.2 Success Criteria
The success criteria are the guidance to make progress in the project. The successcriteria are usually composed of three elements; minimum success (the minimum
target to be achieved no matter what happens), full success (the target of results tobe achieved when the system fully functions as required), and extra success (thetarget of results that is more than expected in addition to the achievement of fullsuccess) (Reference [6]). It is required to use quantitative indicators as much as
possible (especially for the minimum success and the full success). Tables 3-5 show
examples of success criteria.
Table 3 Success criteria example (Store & Forward mission)
Criteria
Minimum successReceive data from the ground sensor terminal by thesatellite and subsequently transmit it to the groundstation at least once.
Full successReceive data from ground sensor terminals located in
multiple countries and distribute the data to each
respective country.
Extra successConducting the mission continuously for one week
Table 4 Success criteria example (Technology demonstration of a new transmitter)
Criteria
Minimum successAchieve downlink speed of 1Mbps
Full successDo data downlink with 20 Mbps and succeed in decoding
the data in full
Extra successDo data downlink with 20 Mbps with bit error of 10-5 or
betterTable 5 Success criteria example (Technology demonstration of a camera payload)
Criteria
Minimum success
Return any kind of image to the ground
Full success
Capture photographs of human characters formed
within a 100m x 100m area
Extra success
Capature photographs with the resolution of 5m/pixel orbetter
The success criteria should be defined at the start of the project. Whether or not
the target, especially the target of full success, can be achieved should be checked ateach project milestone such as the review meeting. If achieving the target isconsidered impossible, the criteria need to be changed. But, it should be thoroughly
examined whether the meaning of the entire project can be achieved (whether or not
the results can satisfy the project stakeholders). If the feasibility of design change is8

reviewed, whether or not the minimum success criteria can be achieved by designchange should be seriously examined. The minimum success criteria should not bechanged easily. On the other hand, revision of the respective success criteria in the
upward direction at a late stage of the project should be avoided because it may add
something to the system requirements. Any addition to the system requirements at
a later stage tends to cause a failure of the project.
The achievement status of respective success criteria will become the indicator to
be used in formulating the satellite operation plan in the operation phase. As
explained later in 8.2 Operation Plan, once the satellite is released into orbit,
operation to achieve the minimum success criteria should be implemented as soon
as possible.
3.3 Mission Scenario
The operation scenario of respective missions, i.e. concept of operation, should beformulated after what missions will be done. It should be considered how to operate
the satellite by command link from the ground station, and how the data will be
downlinked to the ground. Based on these, the functions and general performancethat the satellite should be equipped with can be estimated, which is called
functional analysis. Based on the functional analysis results, the satellite design
requirements will be derived. Also, at this stage, budget tables for thecommunication, power, and attitude control (pointing) functions should be prepared.
The budget tables should be revised constantly during the project. The accuracy
should be improved with the progress of the design, manufacture, and verification of
the satellite. If there is no or very little margin in the communication, power, andattitude control at the mission definition stage, such mission should be considered“unfeasible”.
At this stage, the power budget should have a margin of achieving the full mission
success even if the satellite loses one solar panel. The communication link budgets
should have 10dB margin for the minimum success and 6dB margin for the fullsuccess for the downlink. For the command uplink, the margin should beapproximately 20dB at the mission definition stage.
3.4 Risk Management
The satellite project is a series of processes in which the unknowns (success or
failure is unclear) are converted to knowns (confidence in success). There are always
technical unknowns to achieve the mission success. The project without unknowns
is not exciting. Even when the technology is already used by other organizations or
teams, such technology is unknown as long as it is not used by the project team. All
the unknowns are risk items against the mission success. In a satellite project, oncethe mission scenario is defined, the functional analysis is carried out. After thefunctional analysis, it becomes clear what technical unknowns exist in the project.
In risk management, it is essential to assess the potential of failure for these"unknown" factors and the impact they would have on mission accomplishment in
the event of failure (refer to Figure 4). As development and verification progress, thedegree of "unknown" is expected to be replaced by "known," and the likelihood of
failure should become somewhat clearer.
3.5 Mission Assurance for Satellites Built by External Funding
While it will not occur for the first satellite, as experience in satellite development

9and operation accumulates, the university team will often receive requests fromexternal sources to develop satellites. Potential missions for externally fundedsatellites may include:⚫ Outreach activities targeting junir and high school students, as well as
corporate promotions.
⚫ On-orbit demonstration of technologies owned by companies, primarily in the
manufacturing industry.
⚫ Proof of mission feasibility for new space utilization ideas proposed bycompanies.
⚫ Verification of principles and technological demonstrations for scientificmeasurement devices requested by science persons both within and outside
the university.
The funding for these satellites is provided by the external commissioning entities.
While there may be cases where the university includes its own mission payload, theprimary focus is on external commissioned missions. In the case of these satellites,
the required mission success rate is higher compared to the caseswhere the purpose
is for education and research within the university or when external stakeholders
partially participate (refer to 2.8). The objective is to "make a satellite for somebody
else," and it is crucial to accurately reflect the commissioner's requests (customer
requirements) in the mission requirements, success criteria, and mission scenario.
To do so, effective communication with the commissioner during the mission
definition stage is crucial. When the commissioner's requirements are high, it isimportant not to take on more than can be handled. Assess the necessary resources,
and at times, decline the offer if necessary. When receiving requests from companies
or organizations familiar with dealing with so-called Old Space companies, which
are accustomed to traditional space industry practices, there may be confusion about
the approach taken in lean satellite development at the university. Therefore,
having the common understanding of the development philosophy is important.
Furthermore, both the commissioner and the satellite developer should avoid thesentiment of "it's cheaper because it's a university." Adequate funding should befirmly requested, and it is necessary to clarify in advance who will handle the official
procedures such as radio licenses and space activity law applications.

104. Conceptual Design
4.1 Requirements Management (Consistency between the mission requirements,
design requirements, and verification requirements)
The design of the satellite should be consistent with the mission requirements.
The mission requirements should be decided during the conceptual design of thesatellite based on careful discussion among the team members. Participation byexperts and persons from outside with experience of satellite projects is preferable.
When the satellite’s mission is primarily education of the students, for example, it isdesirable to build a satellite that will function with certainty so that the students
can experience operation of the satellite. To use a component primarily made for
R&D purposes (e.g., an antenna with a completely new design) is not consistent withthe mission requirements. The design requirements should comply with the mission
requirements. But the basics of system development is sometimes neglected becauseof the ambition of a university researcher. Such ambition should be removed throughcomments from another member of the project or from the outside. The professor
must be open to the opinions of others.
On the other hand, there are cases where the design does not reach the level of themission requirements. It is frequently the case where the communication link isdesigned assuming the maximum capacity to allow downlinking of the data requiredby the mission. But it is quite rare that the maximum channel capacity is achievedin actual operation. In reality, the amount of data that can be downlinked is typicallymuch lower than 10% of the maximum communication capacity. A comment in theconcept design phase is also effective in such a case.
4.2 Incorporation of the Lessons Learned from Past Projects
When the team has experience with some satellite projects, the lessons learned inpast projects should be incorporated in the conceptual design. The items thatsuccessfully functioned in orbit and those that did not should be distinguished. Thosethat functioned should not be changed unless such change is very reasonably
required. Correction or improvement should be applied to those that did not function
after identifying the cause. When components are procured from the outside, theteam should have experience as to whether the procurement was easier and whether
a good aftercare was provided. Based on the experience, whether to use the same
component should be carefully considered.
4.3 Safety Requirements Compliance Check
After conceptual design is complete, the issues of safety compliance should be
identified before commencing the detail design. This may be performed in Phases 0
and 1 of the Safety Review. As an experienced expert can easily identify the potential
issues just by reading the conceptual design document, it is good to ask the review
by such an expert.
Potentially safety critical items are the following, deployment (antenna or solar
paddle), battery (especially the one without space heritage), energy storage device
other than batter, e.g. super-capacitor, liquid or gas container, items that may
scatter glass such as camera lens, propulsion (especially the one involving highpressure container), high voltage device, special structure material other thanaluminum alloy.
For the second or later projects, it is recommended to get lectures from the systemsafety person of the previous projects about the safety related issues, such as what11

safety requirements were applied, what kind of verification was necessary, etc..
4.4 Verification Plan
Verification is an activity to confirm that the satellite is built according to therequirements. It can be done not only by testing, but also by analysis, drawing check,and others. The verification plan should be prepared during the conceptual design,
which defines when and how compliance with the various design requirements
should be verified. Such plan needs to be revised with the progress of design anddevelopment. It is important to keep in mind that a design that is not verifiable
should not be used. Optimism such as that the design will probably work should be
avoided. A verification plan that is doable should be made. It is easy to include astatement “to be verified by radiation test” in the plan. But it should be considered
whether the test facility is available, team members have the required knowhow for
performing the radiation test, etc. When the radiation test is not conducted, thedesign for radiation resistance should be made based on the condition that noradiation test has been conducted, such as by using parts with flight heritage.
Because most of the universities do not have all the test facilities, an outside
testing center that offer testing services to outside users is usually used. Preliminary
contact should be made with the testing center during the conceptual design phaseto check whether the testing center is available and suitable or not. If the team has
little experience in testing, a testing center that can provide advices on the satellite
design and testing should be selected.
As explained in 2.5 Compliance with Safety Requirements, verification for safety
requirements is required but it does not enhance the value of the satellite. Therefore,
the efforts used for safety verification should be kept at the minimum level. Efforts
should be concentrated on the verification of requirements that will enhance thevalue of the satellite (to increase the survival rate of the satellite, to increase thesuccess rate of the mission, to improve the quality of data obtained in orbit, etc.). For
an example, safety verification of the battery is the highlight in the safety review.
Students often spend a tremendous amount of time in the battery screening. The
students tend to have a feeling of being engaged in meaningful work because thework is real. While the battery screening is a necessary activity, the team members
must understand that much effort should be concentrated on other matters toenhance the value of the satellite. However, when such fact is emphasized too much,the motivation of the student assigned to an inconspicuous task such as the battery
screening may be lost. Therefore, careful consideration is needed.
For CubeSats released from the International Space Station (ISS), the minimum
set of required tests is listed in Table 6. Where “R” means “required” and indicates
the test to be conducted in respective phases. The mark “O” represents optional andthe mark “N” represents not required. Details of the respective tests are explainedin Section 7. As analysis used for verification, structural analysis (identification ofresonance frequency, derivation of maximum allowable load, and safety margin)
must be performed.
When the satellite is deployed directly from a launch vehicle such as piggy-backlaunch on H2A or Epsilon rocket, quasistatic load test (sine burst test), sine wave
vibration test, shock test, etc. may be required in addition to those tests listed inTable 6.
Table 6 Tests to be conducted on CubeSat released from the International Space

12

Station
Test Item
EM(QT)FM (AT)
Electromagnetic
R
N*1
Compatibility Test
End-to-End Mission TestR
N*1
Electrical Interface Test
R
R
System Functional Test
R
R
End-to-End Long-term
NR
Operation Test
Deployment TestRR
Fit Check
R
R
Thermal TestR
O*3
*2
Random Vibration Test
OR
*1: Included in the End-to-End Long-term Operation Test for the FM*2: To be conducted when specifically required for the satellite. No need to be
conducted when not required.
*3: It is required to demonstrate that the satellite is functional after exposure to 15C and +60C for verification of compliance with the safety requirements. (Seereference [7]). When verification is impossible by design (allowable temperature
range of the parts used that is obtained from the datasheet, etc.), testing is required.
The thermal vacuum test and thermal cycle test in a thermal chamber are conductedwhen the project team (not the launch provider) judges them as necessary.
Otherwise, they may be skipped.
4.5 Risk Management
In the case of lean satellites, risk mitigation starts from the ones with higher
priority that is evaluated based on a combination of occurrence probability andseverity (refer to Figure 4). However, it's important to note that quantitatively
assessing occurrence probability and severity can consume time and mony.
Therefore, in the context of lean satellites, experience and the Wisdom of the Crowd
are often employed for these assessment. It is recommended to seek comments fromexperienced developers and experts in the field for risk assessment. When theconceptual design is finished, requesting an external expert review can provide
valuable insights not only on issues related to safety requirements compliance but
also on prioritizing risk items.

13

5. Detail Design
5.1 Selection of Parts and Components
Attention should be paid to delivery time, aftermarket service, and interface
conformity when a foreign vendor (seller, manufacturer, etc.) is selected as the
supplier of components. The members must understand that tremendous time isnecessary for coordination with the vendor if any nonconformity of the interface isdiscovered. Even in the case of a domestic vendor, attention is also necessary whenthe experience of the vendor is not adequate. Even if a vendor is excellent intechnology, it may have a problem with delivery time. More attention should be paid
to availability of the product, easiness of handling (simplicity of the interface),
response to repair requests, etc., in vendor selection. Such factors are sometimes
more valuable to the project than the size, price, and function.
It is important to have a margin in the number of parts/components to be procured.
Failures or damage due to careless handling or overload during testing cannot be
avoided. If the schedule is very tight and there is not back-up, there is no time to
procure a replacement. Then, there is a risk that the launch will be postponed. If you
have procured EM equivalent to flight products, you can use EM products in case of
emergency. Even if it is not used in the actual flight, it can be used during operation
as an FM backup (TableSat) that is used to check the uplink commands in advanceand investigate the in-orbit anomaly. In addition, since the Covid-19 pandemic, it
has become extremely difficult to procure various electronic components, including
semiconductors, and early procurement is required as a part of risk mitigation. We
must avoid a situation in which parts and components arrive at the last minute forthe satellite delivery, leaving no time for system testing.
For components involving certain elements of new development, the interface of
the work between the vendor and the system (project team) should be clearly defined,
to clearly show to what point the vendor is responsible and to what point the project
team is responsible. The satellite project should be regarded as the program, andspecifications of the bus components should not be changed as much as possible, toeliminate development work by the vendor for the second, third and later projects toallow delivery of the identical component. This is preferrable from the aspect of shortdelivery time. Excessive discount or an academic discount from the vendor should
not be expected because the vendor product is produced procuring raw materials andby labor of the employees. A good relationship with the vendor to allow for long-term
relationship should be established without causing a financial loss to the vendor.
When the component is developed jointly with the vendor, the design andknowhow should be transferred to the vendor so that a sustainable supply chain
system can be established where the vendor is fully responsible for the supply of thecomponent. To maintain stable product quality, a vendor with whom a good longterm relationship can be maintained should be selected.
5.2 Risk Management, FTA and FMEA
During the detail design, FMEA (Fault Mode Effect Analysis) and FTA (Fault Tree
Analysis) should be used in activities to sort out the technical risks. But few students
learn FMEA or FTA in the university course and do not know the method. The samething applies to the professors. It is important to start analysis at the level that theteam members can understand without fully following the method available inliterature.
For FTA, a flow chart of the mission scenario should be prepared, and it should be

14

considered which component is responsible for a possible failure of the respective
step. For FMEA, it should be started from categorization of the cases; (1) The mission
can be executed without problem, (2) The mission can be executed with someproblems, (3) Execution of the mission is impossible, and (4) Complete failure of thesatellite (communication blackout) when the respective component should fail. With
respect to whether or not the component fails, use of the following indicators will be
used for convenience; (1) The component has a record of successful operation, (2) A
similar component has a record of successful operation, (3) The component isdesigned and built by a manufacturer with a record of successful operation, (4) The
component functions with certainty in the ground environment, (5) Design of thecomponent is completely new, and (6) The component is built by students. In any
case, a failure of the part or component that may result in complete failure of thesatellite (single point of failure) should be first sorted out to determine the priority
in activities to reduce the risks. When there are many single points of failures andit is difficult to deal with all of them due to the resource limitation, the items thathas the large numbers of the product of the effect on the mission (the numbers listedfrom 1 to 4) and the possibility of occurrence (the numbers listed from 1 to 6).
FTA and FMEA should be also applied to the activities in addition to physicalitems such as parts and components. As a human makes mistakes, the results of a
mistake, such as what happens when there is an error in sending a command orwhen the sensor is connected with polarity reversed, etc., should be carefully
examined to incorporate a mechanism to make it more difficult for a mistake to occur
or to make recovery action possible in the design even in the case of a mistake.
5.3 Aiming for a Satellite that can survive
The design of the satellite should incorporate a means so that the satellite can
avoid the risk of complete failure (loss of communication with the ground) under any
circumstances. Examples are as follows.
● Installation of the so-called “God PIC”, Micro Controller PIC16F877 whose
excellent radiation resistance is demonstrated in orbit, to allow power of theentire satellite system to be reset.
● Means to allow battery recharging even when the battery becomes completely
empty or to ensure it enters safe mode when the voltage drops.
● A design that allows the satellite to function using power generated by solar
panels even when the battery is dead.
● Redundant communication link when the satellite has some room in the interior
volume.
● To make the power budget feasible in the following cases for the minimum
functions of the satellite (certain missions can be executed so long as thecommunication link with the ground (up and down) can be established andsubstantial discharge of the battery is accepted)
 Loss of attitude control
 Solar paddle deployment failure Loss of functioning of one solar panel in the case of 1U CubeSat. Without
this feature loss of function of any one of solar panel, (usually 1U CubeSat
is made of 4 to 6 solar panels), will make the satellite entirely unfunctional,
which means that 4 to 6 single points of failure exist.
It is still necessary to verify that the system can avoid the risk of total failure as
designed when these designs are incorporated. When the satellite restart after power

15

reset, the system may become unfunctional at a half awake state. A test simulating
the failure conditions in orbit should be conducted, and it should be confirmed thatthe satellite can successfully restart from power reset. Recovery of the battery froma completely dry condition should be confirmed simulating the power generation
conditions in orbit using the solar array simulator, etc. Transition to safe mode
should be tested using the actual satellite. For the power budget, system
functionality should be confirmed in the worst case scenario of power conditions. A
certain margin should be kept in the power budget, because certain errors inmeasurement of the power produced and power consumed cannot be avoided.
Redundancy test of the communication system should be also conducted.

Figure 5 Data indicating the battery recovering from empty state
5.4 Avoid Excessive Protective Functions
In the design of satellite systems, a variety of protective functions tend to beinstalled. Examples are a safe mode to prevent the battery from drying up and abattery heater to protect the battery at low temperatures. But before incorporatingsuch functions, the risks and benefits of such protective functions should be carefully
examined as to whether they are really required. Automatic activation of theprotective function is based on the condition that the voltage and temperature
sensors function normally, but how much such sensors can be trusted should beconsidered. The safe mode may cause a risk of the system failing to restart because
the safe mode may cause the system to go into a suspended condition, and somesatellites have experienced such situation. The battery heater requires power, andsuch power consumption may make the battery dry up because of a negative power
balance.
Instead of using the safe mode, a design may be used where power supplied to thesatellite is automatically interrupted when battery voltage decreases to below the
input limit to the DC-DC converter and the power reset function which shuts off thepower of the satellite completely is activated. Then, when the satellite emerges fromthe eclipse, the satellite system will start up from the initial mode. A battery heater
design whereby it can be restarted by a command from the ground monitoring thebattery temperature in orbit is preferable to automatic activation. The battery
temperature will not decrease all of a sudden in orbit. When the satellite orbit
altitude is low, the temperature of the overall satellite will become higher. In such acase, appropriate insulation applied to the battery without a battery heater may be

16adequate for satellite operation.
5.5 Points to Note in Design Changes
Whether or not the design change is adopted should be always decided after
evaluating the benefits obtained and the new risks brought about by the designchange. Minimum success and full success are used as the criteria for such
evaluation. Careful decision is needed when there is a risk that will jeopardize theminimum success. When the design change increases the possibility of full success,the risks associated with such design changes should be carefully examined. For an
example, suppose there is an idea of crossed connections of two antennas and two
communication equipment using the RF switch for multiplexing the communication
link as shown in Figure 6. Such configuration is frequently considered if thecommunication equipment and antennas do not have a heritage of successful
operation. Such configuration will improve the reliability of the communication link,
giving more chances of having at least one combination of the antenna and thetransceiver survives. There will be, however, a loss of RF output, a risk thatswitching of the RF switch will become impossible or it sticks in an intermediate
position where the transceivers and antennas are disconnected, and in the worst
case, there is a risk of no communication at all. Even without such crossed connection,communication can be established when at least one pair of communicationequipment and antenna is functional and the minimum criteria can be achieved. The
benefit obtained by a crossed connection is not considered to surpass the associatedrisks.

Figure 6 Study on Crossed Connection between Transceivers and Antennas using
the RF Switch
5.6 Satellite Design allowing Easy Operation
Easy satellite operation should be intended considering how to execute the mission.
For second and subsequent projects the lessons learned from past operations in thepast should be incorporated to the maximum. When the project is for the firstsatellite, hearing from a university who has experience with satellite operation is
helpful. For example, the stored command (reserved command) system will makestarting the satellite’s missions possible at any point above the ground other than17

Japan. When a series of operations are reserved, it will not be required to uplinkindividual operations one by one. It will increase the data volume because data canbe downlinked at different ground stations (however, frequency coordination should
be carefully made).
To improve the uplink success rate, a simple uplink command should be used sothat the command can be uplinked with a small number of bytes. As command
encryption will only decrease the success rate of the uplink, the benefit obtained fromencryption is low in the case of a university satellite in which confidentiality is notreally required.
The software of the ground station is preferably designed to be compatible withremote operation and automatic operation to allow operation possible even when thenumber of operation staff decreases.
If the power reset is done, it is recommended to keep the history of attitude control
parameters and housekeeping data before the reset. The attitude control parameters
often require the uplink over multiple satellite passes. If the parameters go back to
the initial setting after each reset, every time it takes a lot of time to restart theattitude control. Also, the housekeeping data history is useful for the anomaly
investigation.
5.7 Satellite Design that is Easy to Test and Easy to Assemble, Integrate and Test
Satellite should be designed considering the easiness of assembly, integration andtesting. Fasteners (screws and bolts), cable harnesses, and connectors are essential
parts in assembly of the satellite. Assembly of the satellite will become easy when
the type and quantity of such parts are small. Particularly, as workmanship errors
can frequently occur related to the harnesses and connectors. A design thatminimizes the use of such parts should be considered. If the harness use cannot be
avoided, it is desirable to outsource the harness making to a professional rather thanin-house making by students. A mechanism to prevent mistakes in fitting the parts
is also required. Mounting the parts on the PCB may be asked with the front andback faces mistaken. A mechanism that prevents such mistake is required. It is nota solution to prevent a mistake just by the worker being careful. A mechanism toprevent human mistakes should be incorporated in the design.

front

back

Figure 7 Design not to mistake the front and back of the PCB. The diagonal notchmarked with a red circle should be on the right side when facing the front.
It is frequently required to remove a component with a problem during the systemtest, especially the first system functional test. The satellite should be designed so18

that disassembling the entire satellite is not necessary when the components and asmall number of the associated parts are removed from the satellite. The connector
should be durable for frequent connection and disconnection because
connection/disconnection is required in component removal and installation. Whenthe connector is forcibly disconnected, the connector may be damaged. A device todisconnect it smoothly should be prepared. It is recommended to prepare test beds
for the electrical interface test and software development, because such tests can bemade without installing the entire satellite system in the satellite.
Access ports should be provided in the outer panel of the satellite to allow accessto the processors (microcontrollers) after assembly of the satellite is complete. A
design that does not allow access to the processor from outside should not be used
unless you are fully confident in your software capability. When more than one
satellite with identical designs are built, identification should be applied to theexterior of the satellite to identify each satellite. For example, in Figure 8 theidentification sticker is applied on the GPS antenna of each satellite.
It is recommended to fabricate jigs used for assembly, storage, tests, etc. of thesatellite (Figures 9 and 10) to prevent an accident during tests and assembly. The
satellite should not be placed directly on the desktop because damage may be caused.
The design of the jig should consider how to hold the satellite. In the case of CubeSat,a Pelican Case, etc. is used to carry the satellite, but at the last moment it must be
held by hands when it is set for the vibration test and thermal vacuum test (neverhold the satellite using just one hand). For satellites other than the CubeSat, thedesign should allow for installation of the I-bolt used to hoist the satellite in theupper structure of the satellite. Holding the satellite by hand should not be
considered.

Figure 8 Jig for Satellite Storage

19

Figure 9 Testbed for Component Test

Figure 10 State of the System Functional Test (The satellite is placed on the testjig)
5.8 Understanding of Design Basis
Normalcy bias is a common behavior by which a human being considers whathe/she cannot completely understand as probably OK, and justify such decision
groundlessly. In the satellite development, the words “probably” or “will be” should
be avoided when making a decision. The design should be based on firm grounds.
Especially for critical design items that will decide the fate of the satellite and themission, all effort to understand the grounds of the design should be made until you
are convinced. When you do not understand, opinions should be obtained fromdifferent people, and you should accept comments from people with experience indeciding the principles of the design and verification method. It is important thatyou admit that you cannot understand if you cannot understand an item. It is acommon practice to use the same design as in the past in the development of secondand subsequent projects, but a problem may sometimes occur when a design change
is applied to a certain item when considering that such change will be effective but
without understanding the design grounds. For an example, the threshold value to20

activate the over current protection circuit to exit from the single-event-latch-up
should be determined in principle by measuring the latch-up current by a radiation
test. If the value is already decided, the team should understand the rationale behindthe number.
5.9 Before advancing to FM Phase
In the EM phase, efforts should be concentrated on completion of the satellite
functions and improving the team skills. For that purpose, an EM that isfunctionally equal to the FM (all components other than the solar panel are installed)
and can even serve as a flight spare should be made and thoroughly tested. Assembly
and testing of the actual satellite system by the team improves skills. (This is very
important for a university satellite for which a majority of the team members lackexperience.) By confirming that the satellite system will be able to achieve theminimum required mission by the end-to-end test in the EM phase, a fundamental
change of the system should be avoided when the project is moved to the FM phase.
If there is a function that could not be verified in the EM, the decision not to install
the function in the FM is necessary, unless the function is essentially required forthe mission success. A new problem will naturally be found after the project moves
to the FM phase, but handling of such defect requires higher costs, a longer time,and more mental pressure. A system defect found after moving to the FM may need
to be discarded unless such system is critical to the mission success, and works
should be concentrated on the items with higher importance.
To allow such decision, all team members as well as the project manager shouldshare understanding of which mission should be given priority, and prioritize which
items should be achieved as a minimum (success criteria).
In addition, works at the FM stage is often carried out in a clean room or a cleanbooth. When a person participate in a satellite project for the first time, mostly likely
the person has no experience working in the clean room environment. Before moving
to the FM stage, the rules regarding the works in the clean room environment should
be confirmed by all the team members.
5.10 Safety Requirements Compliance Check
Phase 0, 1, and 2 safety review is normally conducted after the detail design andtesting of the EM is complete. Documentation for safety review requires a very longtime. Such documentation work should be performed not only by the members incharge of safety review but by all the project team members maintaining highmotivation. In Phase 0, 1, and 2 safety review, the method to verify compliance of
the FM with the safety requirements is discussed. Attention should be paid to themethod of verification so that verification can be made without a problem by close
communication between the members in charge of safety review, members in chargeof satellite construction, and members in charge of verification of the FM. There aresome risks that the satellite does not pass the Phase 3 safety review if verification is
not made correctly because of a lack of communication. In such a case excessive timeloss may occur to repeat the work for verification, and in the worst case the team has
to start the design from the beginning.
5.11 Satellite Interface
During the assembly and integration stages of both EM (Engineering Model) and21

FM (Flight Model), significant time is required for adjusting interfaces between
components. Even if individual component works on its own, issues often arise whenconnecting them together. Satellite assembly is frequently hindered by interference
between components or interference between a component and the satellite structure.
Interface incompatibility is a major cause of schedule delays in satellite projects.
When planning to purchase all the bus components off-the-shelf and focus ondeveloping the mission payload, it is advisable to procure all the bus components
from a single company if possible. In the case of CubeSats, there are over 30
companies worldwide as of 2022 that sell the entire satellite bus as a CubeSat
platform. Though the abundance of options may pose a challenge, it is crucial tocarefully examine the datasheets provided by each company and, if necessary,
engage in teleconferences with them to clarify interfaces before proceeding with thepurchase. The required interface information is listed in Reference [8]. Even whenpurchasing individual pieces of component, it is essential to clarify interfaces inadvance, and Reference [8] provides a list of information that should be clarified.
The architecture of CubeSat interfaces is predominantly based on the so-called PC104 bus and backplane types, each having its own advantages and disadvantages.
Referring to Reference [8] for each, it is advisable to decide on the architecture basedon careful consideration.

22

6. Satellite Assembly and Integration
6.1 Quality Control
Most of the parts used in the lean satellite are parts mass-produced for terrestrial
consumer products, not for space applications. Quality assurance of such parts isprovided by the manufacturer as mass-produced products. The possibility of defects
in those parts are quite low and there is no need to inspect individual parts in the
project. A failure of parts, if it occurs, is mostly due to inappropriate handling of theparts after delivery such as electrostatic discharge, humidity, and contamination.
Practices such as the use of antistatic wrist straps during work, confirmation ofadequate grounding of equipment and worktables before starting work, using globes
during the work, etc., should be enforced within the team as a common practice.
The quality of individual electronics parts is assured because their manufacturing
process is established and matured already as mass-produced items. But, the qualityof components made from those parts is not assured. The components refer to atransceiver, a computer board, a power control unit, etc. The components are notmass-produced items. They are one of a kind product. Their manufacturing process
is not established. Even when the same components are ordered in multiple
quantities, it is not guaranteed that all the components have the same quality. Whensuch component is delivered, a basic functional test should be conducted before it isincorporated in the system to check for possible defects.
6.2 Contracting the Work or Building Inhouse
The decision to contract a portion of the work required to build the satellite insteadof making everything inhouse is required in the case of the university satellite. The
decision to build inhouse because of insufficient budget may result in schedule delay
or mission failure. The decision to make the students work on items that require
handyman skills (harness, solar panel, soldering, etc.) for a university satellite
should be made carefully. As some students may have excellent handyman skills, it
may be possible to have such work done by them, but when it is difficult to find such
students, the work should be contracted outside. The purpose of the educational
satellite is not acquisition of handyman skills by the students but to make thestudents learn systems engineering and project management by practice in the
project.
Students may not be motivated if the components has no new developments, suchas buying outsourced components or using the components already flight-proven inprevious projects. However, what is important is that students think what kind oftests are necessary for the satellite to work as a system when these components areassembled, and how to integrate the components with other ones, while
synchronizing with the overall system development schedule. The educational effectof systems engineering and project management obtained in those processes isgreater than simply making a new component.
In addition, there are many cases where components purchased from the outside
do not work when their functionality is checked upon delivery. There are often cases
where there is a problem in handling the component correctly rather than the defects
in the components. To select a vendor, it is necessary to consider factors such as theeasiness of handling, the prompt response to the customer inquiry, and the wellwriting operation manual, and others. At the same time, it is important to make aserious effort to think about the causes of malfunctions in your own way.

23

6.3 Safety Requirements Compliance Check
The records during the FM AIT (Assembly, Integration and Testing) are the basisof the critical verification documents in the Phase 3 safety review. Before entering
the manufacturing phase of the FM, it is crucial for the launch provider and the
project team to reach an agreement on hazard control methods (Phase 2 of safetyassessment). During the FM manufacturing process, the hazard control methods
incorporated into the FM based on this agreement need to be verified. Before
entering the FM manufacturing stage, the AIT team members must understand theprocedures they need to follow and the documents they need to produce. Effective
communication between the System Safety team and the AIT team is essential forthis purpose.
I told you tomeasure it!

That is notwhat I was
told

AIT

SafetyFigure 11 Communicaiton between AIT team and the System Safety team isimportant （illustration credit:いらすとや）
The records should be prepared during the FM AIT as much as possible. Note thatmaking the record is not simply taking photographs. The records should be preparedwhile precisely understanding what items need to be verified and what data andphotographs are required. The material certificate of the structural parts andcomponents and the proof that the satellite has been assembled according to theassembly procedure, etc. are particularly important. Assembly of the satellite should
be basically done by two persons or more, and one person must concentrate on
confirming the procedure and recording the work.

24

7. Testing
7.1 Electromagnetic Compatibility Test
In the case of the lean satellite, electromagnetic interference with other satellites
and the launch vehicle need not be considered because the power is off during thelaunch. However, restricting the RF radiation level below the allowable limit isrequired by the safety requirements because of a possible safety risk when the poweris turned on by mistake (see Note below). The effect of the RF noise produced by thesatellite on the functions of the satellite is important with respect to electromagnetic
interference, and the effect on the uplink communication should be especiallyconsidered. It is too late if it is found that the uplink communication does not workin the satellite during the end-to-end long term operation test using the FM. An
adequate margin in the uplink line should be confirmed in the EM test.
First, the receiver sensitivity of the transceiver should be measured under ideal
conditions when the transceiver EM is delivered. The minimum RF signal strength
the receiver can decode the uplink signal should be measured with the transceiverplaced in a shielded box and the RF signal from the signal generator injected via RF
cable. Such signal strength means the minimum (ideal) signal strength that thereceiver can decode in the noise floor generated by the receiver. When the transceiveris installed in the satellite and connected to the antenna, the noise floor will increase
but will never decrease. In addition, the RF signal is received through the antenna,
which will produce various losses (line loss, polarization loss, pointing loss, reflective
loss, etc.). Considering these circumstances, communication during actual operation
will not be established unless there is an adequate margin in the ideal conditions
where measurement is done with the RF cable directly connected to the receiver unit
under external noise-free environment.
For a CubeSat, the effect of noise from other components can be evaluated by atest whereby a complete satellite is placed in a shielded box as shown in Figure 12.
Even when the satellite is larger than the CubeSat, the test including some factorsof antenna loss is possible when the electromagnetic anechoic chamber is used.
These tests should be conducted in the EM phase to verify if the communication
system design satisfies the requirements.

Figure 12 Receiver Sensitivity Test in the Shielded Box
Note: When the MOSFET is used as the inhibit switch against satellite power-on,
the FET may be activated by excitation of the line connected to the gate of the FETby the radiated electric field of the ISS. That will require the design install a pull-up
or pull-down resistor to the FET gate. When the resistor is not installed, analysis
and verification will be required.

25

7.2 End-to-End Mission Test
It should be confirmed that the minimum mission can be achieved by the end-toend test with the ground station during the EM phase. In the end-to-end test, thefollowing process should be confirmed by transmitting the command from the groundstation, which is received by the satellite receiver, and then the command is sent to
the C&DH system, which in turn sends the command to the mission payload, andafter performing the mission the data are sent to the transmitter, which transmits
such data to the ground station, to be displayed on the computer screen at the groundstation. For an example, when the mission is imaging the Earth’s surface, theprocess starts by sending a shutter command from the ground station and iscompleted when the image taken can be confirmed at the ground station. As
explained above, the core element of the mission should be completed in advance.
The fact that such mission is practically possible should be demonstrated by the test.
Then the detail making should be started. This test is preferably conducted byactually transmitting the RF signal, but when the electromagnetic anechoic chambercannot be used, it may be conducted by connecting simulated communicationequipment in the ground station with the satellite transceiver via RF cable.

GS PC

GS radio

Satellite

GS radio

GS PC

57

Figure 13 Concept of End-to-End mission test
7.3 Electrical Interface (Integration) Test
The interface test with the other components of the satellite should be conductedwhen the components are delivered but before they are installed in the satellite
structure. This test is required for both EM and FM. Successful testing for the EM
does not always guarantee that the test for FM is successful. The components used
for the lean satellite are basically hand-crafted in small lots. The components for EM
and FM are not produced in the same lot. Accordingly, all the components of the EM
and FM are not always the same. In the test as to whether interfacing with the
C&DH system, power system, etc. is successful, whether equipment ON/OFF ispossible, whether data can be transmitted normally, and whether the system
functions correctly are also checked. It is desirable to prepare a test bed to allow foreasy installation and removal of components and not to cause any damage to theconnectors of the components.
7.4 System Functional Test
After the electrical interface test with the delivered components is successfullycompleted, the satellite should be assembled promptly and the system test with all
systems incorporated should be started. The functional test of all the systems should
be conducted before the environmental test to confirm that the satellite is assembled
correctly. The following items should be checked at that time.

26a) The modes from release of the satellite into orbit to the time when the steady stateis reached. Such modes include receiving of the beacon data from the satellite,
deployment of the antenna and solar panel, tumbling control (de-tumbling),
transition to sun pointing, etc.
b) All operations to be executed in the initial operation. Such operations include
uplink to the satellite, housekeeping data acquisition, command transmission andmission data reception to be executed as a minimum (equal to the minimum successcriteria).
c) All the operations to be executed in steady state operation. This includes missioncommand transmission, mission data receiving, and different types of attitudecontrols equal to the full success criteria.
d) Confirmation of the functions incorporated in the satellite as countermeasuresagainst failure, such as power reset, transition to safe mode, resetting, etc.
It is important to examine the details of data transmitted from the satellite in thistest, and whether housekeeping data, mission data, etc. are consistent should bechecked. For example, in the case of housekeeping data, it should be checked
whether the battery voltage and current change consistently with the operating
conditions of the onboard payload and with the power input from the solar panel,and that they are consistent with the power budget prepared in advance, whether
the images are taken as planned, whether the sensors of the attitude control systemsend the correct data and actuators like the reaction wheel and magnetic torquer
function correctly according to the input from sensors, and whether RF signal istransmitted according to the power and frequency as contemplated, etc. When aproblem is discovered in such system functional test, the problems should be solved
before starting the environmental test. As the trial and error process at this stage
will require a tremendous amount of time, adequate margin should be allocated in
the schedule. A schedule where conducting the thermal vacuum test takes place one
week after the satellite is first assembled should not be planned.
7.5 End-to-End Long-term Operation Test
A majority of the university satellites fails because the FM end-to-end long-term
tests could not be conducted before satellite delivery due to a delay in the schedule.
The end-to-end long-term operation test of the FM has the following aspects.
a) Flight software debugging
Although the system test is considered to be complete using the EM before the FM,verification of minor updates to software made after the FM is necessary. The
functioning of built-in software directly linked with hardware in the actual system
is not guaranteed even when it functions on the simulator PC used for programming.
Functioning of the software in any situation (in normal and also in emergency
conditions) that the satellite may encounter from the time the satellite is released inorbit to the time when the satellite operation is terminated should be confirmed.
This test includes transmission of the mission command and receiving of the mission
data, to confirm whether the mission can be achieved.
Although this test is almost the same as the system functional test, in the long-term
operation test simulating operation during the first week in orbit using the actual
time scale is desired. This is because a problem is most likely to occur in this one
week period. Software bugs are inevitable, and as the time passes, and while thenumber of bugs found decreases, the long-term operation test will improve reliabilityof the satellite. However, even if a new bug is found, there is a risk when we replace27

the sfotware. Beyond a certain time prior to the satellite delivery, a decision not torewrite software may be made even if a bug is found, depending on its criticality.
b) Operation rehearsal
The end-to-end long-term operation test should be conducted using the control
software of the ground station. Any communication with the satellite should
basically be made only by the uplink and downlink signals. By such processes, themethod to understand the satellite’s condition from housekeeping data and theprocessing method of the mission data should be learned. In addition, the satellite’s
response to the uplink command can be understood. Using the control software of
the ground station will improve the operation team’s proficiency. By experiencing
the operation with the satellite at hand, the anxiety of having communication withthe satellite in orbit by RF signals alone will be reduced.
c) Confirmation of communication between the ground station and the satellite
In the end-to-end long-term operation test, communication between the groundstation and the satellite should be made by RF signals as much as is flight
representative. The problem of the radio station license should be resolved, or thetest should be conducted in an electromagnetic anechoic chamber. The
communication with the satellite by RF signal will confirm the communication linkbudget. In the communication link budget of the lean satellite, the items that are
difficult to know precisely are the loss between the satellite antenna and thetransceiver and the noise floor around the transceiver. The loss between the satellite
antenna and the transceiver is determined by fabrication of the antenna and its
peripheral circuit and the skill in installation. In the case of CubeSat, thecomponents are closely packed and the RF noise environment around the transceiveris extremely complicated. As shown in Figure 14, the uplink signal intensity isextremely reduced due to the free space path loss when it arrives at the satellite.
The two elements above determine the success rate of the uplink. In order to check
whether the communication link works, an uplink signal with a known intensity issent via free-space radio wave and whether or not the uplink is successful or fails
should be measured. Under actual flight conditions, it should be taken into
consideration that the success rate of the uplink will be further reduced due to the
Doppler shift.

28

Figure 14 Communication Link Budget (Uplink)
7.6 Deployment Test
The missions of many lean satellites with deployable systems have failed. Many
CubeSats have deployable UHF/VHF antennas retained by threads. Consideringthat the missions of about a quarter of the university CubeSats ended up as DoA(Dead on Arrival) (Reference [2]), it can be reasonably considered that the
deployment of such antenna failed in many cases. There are many satellites in which
deployment of the solar panel also failed and the success rate of satellites with the
deployment of film or with separation between the master satellite and subsatellite
is not high.
When such facts are considered, we can say that in many cases the deployment
test on the ground was not sufficient. Because actuation of the mechanism withmovable parts in microgravity and the vacuum environment in space is certainly
difficult and computer simulation is also difficult, verification using the actual
mechanism such as the EM and FM cannot be skipped. For the EM, tests assuming
all adverse conditions should be repeated. The testd should be done in the same
conditions that will be encountered in orbit as much as possible. When the antenna
is deployed by cutting the thread with a heated cutter, successful deployment should
be confirmed by the low battery condition immediately after the satellite is separated
and released, and in the condition where the heat cutter is exposed to lowtemperatures. Figure 15 shows the example of the deployment test in a lowtemperature condition. Because the number of deployment tests increases as the
deployment system becomes more complicated, the design should consider the easeof conducting the test and the allowance in the limit to the number of tests. Effort tomake the test environment as close to microgravity and vacuum condition as possible
should be also made.

29

Figure 15 Antenna Deployment Test in Low Temperature Environment in the
Thermostatic Chamber
7.7 Fit Check
The purpose of this test is to confirm that the mechanical interface between thesatellite and the launch vehicle is consistent. In the case of CubeSat, it should bechecked that the CubeSat can be inserted into and ejected from the POD smoothly,
and that the satellite envelop fits in the POD (no contact between the items attachedto the satellite surface with the inside of the POD). Recently it is quite rare that auniversity team develops the satellite separation mechanism. Development of theseparation mechanism by the university should be avoided unless there is a very
good reason. The safety verification of the separation mechanism may sometimes bemore burdensome than the safety verification of the satellite itself. Therefore, it will
be necessary only to confirm that the separation mechanism provided by the launchprovider (PAF-239M etc.) or POD mechanically fits the satellite.
In the case of CubeSat, it does not mean that the satellite is assembled according
to the CAD drawings, even when respective structural parts are fabricated according
to the drawings. Distortion, etc. cannot be avoided. A case where the satellite cannot
be inserted into the POD when the satellite is delivered to the launch provider has
actually happened even for 1U satellite. As distortion increases with the size of thesatellite, more care needs to be taken. The simplest method of the fit check is toinsert the satellite into the official POD supplied by the launch provider. Thismethod is preferably applied both for the EM and FM phases.
As jigs used for fit checks such as the official POD are lent for a limited time, thelending period should be discussed and determined with the launch provider inadvance. Such jigs are specially manufactured for space vehicle use and are very
expensive, so very careful handling is required. When even one part of such jig may
be damaged, compensation will be very high (more than ten thousand dollars). There
have been actually such instances before.

30

Figure 16 Fit-check

7.8 Thermal Test
Items in the thermal test of lean satellites and large satellites are the same.
Accordingly, there is no difference in the test method.

©JAXA

Figure 17 Thermaal vacuum test of large satellites (left) and thermal vacuum testof lean satellite (right)
However, the temperature difference in vacuum and in atmosphere is not thatlarge for a satellite like the 1U CubeSat. Therefore, a high temperature test and low
temperature test in a thermostatic chamber may replace the thermal vacuum test.
(See Annex-F to Reference [8]) Even in such a case, a functional test with the entire
satellite placed in the vacuum chamber should be conducted at least once.
The thermal equilibrium test of the lean satellite is conducted to obtain data forthermal analysis and for verification of the thermal analysis results because active
temperature control is hardly performed for parts other than the battery heater.
Many lean satellites are operating in orbit already and sufficient temperature dataon their orbits are available. In particular, most of the surface area of CubeSat iscovered by solar cells and there is no significant difference in the thermal radiation.
The time required for thermal analysis can be saved by obtaining the high and low
temperature conditions of a thermal test using the highest and lowest temperaturesin operation, as far as the temperature data of CubeSats in the same orbit areavailable. As a lot of data from CubeSats released from the ISS are available, it isrecommended to use such data. See Ref.[9] for an example. Attention should be paid
to use the data under full solar illumination, i.e. no eclipse in orbit, in calculation of
the high temperature conditions, because those cases may be present due to the highbeta angle.

31

7.9 Vibration Test
Items in the vibration test of the lean satellite and large satellite are the same.
Therefore, the test methods are the same. Because the vibration test records
constitute the critical documents in safety review, the records should be written
clearly.
7.10 Attitude Determination and Control System Test
Simulating microgravity or external torque on Earth is challenging, and ADCS
(Attitude Determination and Control System) system tests often tend to takesoftware-based approaches. However, critical functions essential for mission successshould undergo physical testing using actual hardware. In passive attitude control
utilizing permanent magnets and hysteresis dampers, ensuring the correctorientation of the magnets is sometimes crucial for mission success. A reliable
method for checking the polarity of magnets involves placing the satellite on an airbearing table and examining whether the satellite aligns with the polarity of themagnets.

Fig.18 Polarity check of permanent magnet by an air-bearing table.
Hysteresis dampers and magnetic torquers are used to stabilize the attitude ofsatellites. The satellite is placed on an air-bearing table inside a coil cage thatgenerates an external magnetic field. Disturbances are introduced to the satellite,
and the time it takes for the satellite's attitude to stabilize as per the design is
examined. It is important to note that the magnetic torque should be greater thanthe damping force due to atmospheric resistance. Even if the satellite's attitude
seems stabilized, it might be due to atmospheric resistance. Before installinghysteresis dampers or magnetic torquers, it is crucial to measure the damping time
for attitude disturbances without them and compare it with the actual installed
configuration. When employing pointing functions using reaction wheels, etc.,
validating attitude control algorithms through Hardware-in-the-Loop testing withan air-bearing table is recommended.
Calibrating sensors is extremely important in attitude control, and it should beensured that sensors measure correct values when installed on the actual satellite.
Magnetic sensors, in particular, are affected not only by residual magnetic fields
inside the satellite but also by magnetic noise generated when the satellite isoperating. Therefore, sensor calibration in the installed state on the actual satellite
is necessary. Additionally, to prepare for the case where mistakes are found after
the launch, it is desirable to make the gains and zero values for various sensors

32

adjustable through uplink commands.
7.10 Test Configuration (Test-as-you-Fly)
The tests should be conducted in conditions similar to the actual operating
conditions. The condition of the satellite and mission accomplishment or failure
should be determined by transmitting the actual operating command and analyzing
the data received from the satellite responding to such command by the software in
the ground station. As no external cables are connected to the satellite in operation,
the external cables should not be connected as much as possible in the system test.
Unintended noise may be introduced via external cables. For the mission equipment,
its functioning when incorporated in a satellite system in a vacuum environment(not simply a transmission of the simulated data with the switch engaged but by
actual measurement and relaying the data) should be confirmed.
7.11 Use of the Outside Testing Organization
Universities having all the necessary test facilities inhouse are limited, and inmany projects testing using an outside testing center is required. It is desirable toselect a testing center with sufficient experience to provide advice for the design andtesting of the satellite when the experience of the project team is not sufficient. In atest conducted by the external testing center, it is required to complete the required
tests in the prescribed time frame. Meetings with the testing center in advance using
the test specifications and/or test plan are essential to meet such requirements.
What materials and equipment need to be brought to the testing center and what
support can be obtained by the testing center should be defined clearly, indicating
the purpose of the tests and testing conditions by video conference, etc.
7.12 Evaluation of Test Results
All effort should be made to correctly evaluate the consistency of the test results.
If test results that are not good or are worrisome are left unattended, unexpectedbugs may be hidden. The pass/fail criteria of the test should be established before
the test, but indefinite results within the allowable limit that are difficult to decide
may sometimes be obtained. In such a case, you should try to explain why the result
deviated from the nominal value. In addition, when incomprehensible events occur
randomly (relatively frequent in the thermal vacuum test), what you have noticed
should be recorded and the events should be resolved. Optimistic attitudes, such as
thinking that the event is just imagination or that the event will not occur in orbit,
based on normalcy bias should be avoided. As very specialized equipment/apparatus
are used in the RF test, etc., erroneous RF signal strength may be obtained by
mistake in operation of the equipment/apparatus. When test setup work is asked ofa single person only, a mistake may be unnoticed. A system where more than one
member examines the test plan and the test report is desirable.
7.13 Defect Management
As a result of testing, there will always be defects. In another word, testing is to findand fix problems on the ground before they occur on orbit. As described in "2.7 DefectManagement", defects found during testing should be collected, prioritized, andhandled based on the priority. When setting the priorities, it is necessary to conduct
risk management properly and evaluate the impact on mission success if amalfunction occurs in orbit. In failure analysis, the team should make full use of33

FTA, which will also serve as a rehearsal for FTA to be carried out when a problem
occurs after launch. FTAs require logical thinking, and it is important to think witha cool head.
When the team disassembles the satellite to investigate a malfunction or to retest
after repair, the stress impact on the satellite should be considered. There is a limit
to the number of times the connector can be inserted and removed, and the numberof times the fastener can be used. Vibration tests, etc. give cumulative fatigue toeach part of the satellite. It should be carefully decided whether or not to perform all
AT tests again as a retest.
7.14 Storage of Satellite
It may take an unexpectedly long time from the date all the tests are successfullycompleted to the date the satellite is delivered. The possible causes of such delay arevarious, such as delay of launch vehicle, extension of safety review, delay of the RF
license. When the satellite needs to be stored for a long time, care should be taken
because the separation switch is under stress for a long time and deformation ofparts may occur. The battery of the satellite needs to be supplementally charged asneeded, and charging should be made by more than one member according to theprocedure. Human error cannot be avoided, even if members are familiar with thework. A device that prevents hands from using wrong pins during the battery
charging should be included in the design. It is also recommended to consider
including a flight pin in the design to prevent satellite startup, antenna deployment,
etc. by mistake while the satellite is stored.
7.15 Confirmation of Compliance with Safety Requirements
The Phase 3 safety review is conducted after completion of the FM tests. It is theevent to examine whether the satellite is constructed according to the safety
requirements based on a variety of the evidence (verification results). The
verification documents should include the results of the verification methods thatare agreed with the launch provider in Phase 2 safety review. The verification
documents should not be provided to the launch provider all at once after all the
tests are completed. The documents should be provided once they are done without
waiting for other documents become complete. The details of the documents shouldbe agreed with the launch provider upon from the FM AIT phases.

34

8. Satellite Operation
8.1 Preparation and Maintenance of Ground Systems
Preparation of the ground systems should be completed before delivery of thesatellite, and whether communication can be established with the FM should be
confirmed. The following matters should be considered to determine the place where
the ground systems are located.
a) No high buildings around the site and a satellite at a low angle of elevation is kept
in line of sightb) No electromagnetic noise source (RF emission source) around the sitec) Space to set up the communication equipment, etc. is available near the antennad) A comfortable environment is maintained in the room where the communicationequipment is placed, which is closely located to the ordinary office and 24-hour accessis allowed.
e) Easy access to a place where the antenna is located is ensured for inspection andmaintenanceItems a), b), and c) are required to enhance the performance of the communication
link. As a high frequency electrical signal is easily attenuated by the coaxial cable(attenuation can be easily calculated when the frequency and the coaxial cable typeare known), item c) is very important. When the antenna is located far from thecommunication equipment, conversion to a low frequency signal near the antennashould be considered.
Items a), b), and c) tend to be focused when determining the antenna location, but
items d) and e) are also necessary when considering a long-term operation, and abalanced approach considering both requirements is necessary. For example, wheninspection and maintenance of the antenna becomes necessary, timely operation of
the satellite will become impossible in case of an emergency as it may take several
days to obtain access permission, arrange for a contractor (access to the antenna by
students is not permitted), etc.. If the radio station is located in a room to whichaccess at night is not allowed, operation of the satellite at night becomes impossible,
resulting in a 50% loss of visible time of the satellite from the beginning. While
operation via the network is possible, in critical situations such as immediately after
the satellite is released into orbit it should be operated using all the visible time.
Operation is better performed by members sitting in front of the communicationequipment unless members have adequate experience in network operation. It is
required that the operation room is located close to the office room when operation
at night is considered, and where the members should spend hours between thevisible time and the visible time during the night should also be considered. When
operation in midsummer and midwinter is considered, working in a utility space on
the rooftop where the communication equipment is located will not be comfortable.

35

Figure 19 Antenna broken by a typhoon
Periodic maintenance of the antenna is essential as the antenna is exposed toweather. If you feel there is difficulty in uplink or the Morse code tone is weak, thedirection of the antenna should be checked. Figure 20 shows the typical antenna
pattern of a Yagi antenna, which shows that the gain decreases by 10 dB when theantenna direction changes by 10 degrees from the centerline, and the communication
margin will be sacrificed. Attention should be paid in adjusting the antenna direction
because the magnetic north indicated by a compass is not the geographical north asshown on a map. The cable connects the antenna and the communication equipmentusing more than one connector. Contact failure, corrosion, etc. of the connector are
frequent causes of a failure of the ground station.
Whether the ground system is functioning properly can be confirmed measuring
the RF field strength of the signal received from the satellite. For your own satellite,
it is impossible to know whether a problem exists in your satellite or in the groundsystem. So, it is recommended to determine the satellite that should be used as thecalibrator (the satellite transmitting the beacon signal for years) and to track suchsatellite and to measure the RF field strength.

36

Figure 20 Antenna Pattern Example of Yagi Antenna for Ground Station
8.2 Operation Plan
The lean satellite is made using non-space-qualified commercial-off-the-shelf(COTS) products that are not guaranteed to function in space, and testing conductedprior to launch is limited. Accordingly, unexpected problems in orbit cannot be
avoided, which may frequently result in complete failure shortly after the start ofoperation.

Reliability(survival rate)
1

Many satellites fail in first
several weeks

Release to orbit

Time

Figure 21 Decrease of survival rate of satellite in orbit
Accordingly, the following should be implemented.
a) Check the functions that are essentially required for the survival of the satellite,37

such as the battery and solar panels.
b) The uplink and downlink should be established and an Integrated Test (In Japan,
the examination by the radio authority to check the communication is established or
not after the satellite launch is called “Integration Test”. In different countries,
different term may be used for the final exam before issuance of the full radio
license.) should be conducted to obtain an official radio station license.
c) The mission to realize the minimum success criteria should be performed as earlyas possible. This should be preferably done within one week from release of thesatellite in orbit. In the case of the first satellite, members will be occupied in
decoding the CW Morse code and analyzing the basic housekeeping data sent fromthe satellite with excitement. You should, however, proceed to execute the mission
as soon as possible. There have been many satellites where communication was lostwhile the team was busy analyzing the received CW Morse code. The reason theacquisition of a regular radio station license needs to be hurried is because the public
release of the satellite mission’s results is restricted if you have only a preliminary
license, as operation of the satellite immediately after release in orbit is made withthe preliminary license.
8.3 Handling Anomaly and Failures in orbit
As explained in 8.2, communication with the satellite may be interrupted at any
moment. But the team should never give up even in such a case. There is a satellitethat recovered after two years without communication. It is important to maintainmotivation within the team. What is the most important is the positive attitude of
the professor (principal investigator). All the team members should bear in mind theimportance of identifying the cause, even if the satellite fails completely, to reflect
the lessons learned from such investigation on the second and subsequent satellite
projects. In the case of a satellite where the second satellite succeeded after the
failure of the first satellite, this was achieved through a thorough investigation of
the failure causes in the first one, and the results were reflected in the design of thesecond one. You cannot be successful only by chance. When the main mission
becomes impossible to accomplish while communication is still maintained, it isimportant to continue acquiring operation data in orbit from the surviving satellite,
because lessons learned in operation from such data can be reflected in the design ofthe subsequent satellites.
It is recommended to perform the FTA along the flow of communication when afailure (including communication interruption) occurs. It is recommended toinvestigate whether a problem occurs within each block or at each interface of blocks
along the information flow from the ground station  satellite  ground station
shown in Figure 22. Whether the problem is in the ground station or not can be easily
checked using the flight spare and the ground station equipment. The problem inthe satellite is investigated by checking the possible causes of the failure. The
observed events should be listed first along with how frequently the events occur,when they occur, the particular location in orbit and other relevant information. The
telemetry data should be analyzed. The uplink command history and the actions of
the satellite to each command should be checked. Sound data and unsound data areseparated. The data trends are investigated. Using the flight spare, experiments toreplicating the observed event should be done.
To do FTA, the final flight software source code, the design documents of thesatellite and flight spare, etc. are important. But the most helpful is the members

38

who actually developed the satellite. A failure that occurred in orbit is not always
unrecoverable. Recovery from the defect may be possible by working out analternative plan in operation. To make such recovery possible, the operation teamshould understand the satellite design. It is strongly desired that a project schedule
is established so that members engaged in the development remain in the teamduring satellite operation. It is strongly recommended to make the flight sparebecause it plays an important role when a problem occurs in operation. The flightspare is also very useful when a replacement part becomes urgently necessary due
to a mistake during the FM AIT. The EM may be used as the flight spare.
Ground station side

Groundstation
PC

Radio
Tx

Satellite side

Antenna

Antenna

Radio
Rx

COM MCU

OBC

MissionpayloadGroundstation
PC

Radio
Rx

Antenna

Antenna

Radio
Tx

COM MCU

OBC

Figure 22 Information Flow Ground Station  Satellite  Ground Station

39

9. After Satellite Operation
9.1 Lessons Learned
Lessons learned are the essential factor in the practical application of theexperience and knowledge obtained in the satellite project in subsequent satellite
projects or activities in the real world. There are two opportunities to summarize thelessons learned. When the satellite is delivered and when the satellite operation isfinished. The lessons learned should be summarized before graduation of the core
members when the operation expands for a long time like two or three years. It is
recommended that the responsible professor (principal investigator) should record
what has been noticed in a notebook while the project is ongoing. No definite method
is prescribed in summarizing the lessons learned, but the most important thing is tocreate an atmosphere where the members participated the project can discuss freely
and openly. The importance of the lessons learned exists when they are effectively
utilized, the responsible professor (principal investigator) should refer to the lessons
learned of the past project when the situation requires.
Lessons Learned

Figure 23

Documentation

Sharing know-hows

Toward the next project (illustration credit: いらすとや)

9.2 Recording, Reporting and Publication of Results
The progress and records of the entire project including operation of the satellite
and the management should be summarized and documented in addition to thedesign and test results of the satellite. Such documentation will provide valuableguidance and will be used as a reference by students participating in subsequent
projects. Documentation should be prepared by the project manager or responsible
professor overseeing the entire project, but motivation is necessary to promote thewriting of such document. Giving a presentation in the space technology conferencesuch as Nanosatellite Symposium and other conferences such as UNISEC Space
Takumi Conference will be good opportunities.
The variety of cooperation and assistance was obtained from outside organizations
or persons during the progress of the satellite project. For such organizations andpersons, reporting of what is obtained by the project is the best reward. Accordingly,
when the summary of the project becomes available to some extent, it isrecommended to hold a reporting session to such organizations and persons. The
materials used for presentation in such sessions can be conveniently used later as arecord of the project. The results of the satellite’s mission should be published to avariety of audiences by papers, etc., and not limited to sharing among a limited
numbers of persons related to the project. The purpose of the university satellite isdeveloping human resource and making progress in science and technology. In the40case of a satellite intended for technology demonstration or scientific observation, its
results should be ultimately returned to society by publishing the results. Even in
the case of a satellite intended for the education of students, what educational
results can be obtained by the satellite project should be made public so that otheruniversities can use it as a reference, considering the nature of the lean satellite as
the method of education. Publication of such scientific or educational results should
not be restricted to publication as a peer reviewed papers in journals. Needless to
say though, publication as a peer reviewed article in a journal is desirable for the
responsible professor or student (doctoral student in particular) when their academic
career is considered.
9.3 Sharing of Knowhow
For the success of the lean satellite mission, the correct functioning of the satellite
bus supporting the mission is essential. There were so many failures of the mission
caused by failure of the satellite bus. To achieve an advanced mission, advanced bus
technology is required but it does not mean that all the bus equipment needs to be
newly developed. For the satellite bus that has a sufficient record of operation inorbit, it is desired to use reliable and proven technology, sharing the data, knowhow,and software in the community. For sharing of knowhow, the knowhow needs to be
remade to a form that can be shared. It is this work that takes time. Because it isdifficult to construct a platform for information sharing all at once, it is desirable tobegin with the extent possible. The in-orbit data (temperature etc.), the record ofdefects that occurred in orbit, the list of the parts installed, etc. are considered ashigh demand, so the willingness to share such data with other projects is desired.

41

10. Sustainability of University satellite Program10.1 Viewpoint as a Program
The approach to improve the satellite bus and mission payload as a series ofprograms rather than as an individual satellite project is important. To achieve
excellent results as the satellite program consistently, how to cumulate the lessons,knowledge, and knowhow obtained should be considered carefully. There is no
definite answer in the case of the university satellite, depending on the conditions ofindividual university, professors, etc. but it is desirable that persons with actual
experience of the project life cycle continue to serve in subsequent projects, inaddition to recording the lessons in documentation. This does not apply to thestudents because they graduate. The lessons should be inherited by the professors
and staff. Even in the case of staff, there are issues to be considered such as thefunding to continue employment, tenure according to the university rules, or careeradvancement as a researcher in the case of a postdoctoral fellow. When the lessons
are inherited by the professor, it is necessary that such professor continues to engage
in satellite projects as a program director.
As an alternative method by which the lessons are inherited by a group of students,
it is possible that senior students convey lessons to junior students based on the
results of operation in preceding projects by overlapping multiple satellite projects
simultaneously for respective grades. This is a method to retain experience ascollective intelligence. However, this method will require the professors to makeevery effort to acquire the necessary funds.
To construct a sustainable system to inherit lessons will be difficult in an
organization where only the students are directly assigned to a responsible professor,
because such organization will impose excessive burden to the professor. The
organization where the postdoctoral fellow and assistant professors support the
project as middle level members is desired. For that case, a system where juniorresearchers can build up their academic career is required.
When the technology becomes fully mature after experiencing a number of orbital
operations, an approach whereby the results of the projects are returned to society
is desired. One way is to transfer the design and knowhow to a company. Anotherway is to make them available as opensource. Information such as electronic circuits
and structures can be left in the form of drawings. Then, it is possible to prevent thetechnology from belonging to a particular person by transferring it to a company or
making it open source. But information such as software whose development work
is mostly done by single person is difficult to make the information transferrable.
Most students are not trained to write software in a way that others can understand.
For professors whose is not specialized in software the software is a black box. What
the professor can do is to suggest putting as many comments as possible only. At
present, there is no method other than making the software open source to increase
the chance of reviewed by many people. How to transfer the software know-how is
still an issue for university satellites.
10.2 Strengthening the Research Base in University
The university is “a group of small private shops” in nature. The university
satellite projects are run as a laboratory project of the responsible professor in manycases. To make the satellite project continue as a research program and steadily
obtain outcome, support from the university management is required. But support
from the university will require a return to the university. For that reason, the42professors may be asked by the university to do work what they do not want to do or
they are not good at. If the professor does not want to do such work, the idea to makethe university a project sponsor should be abandoned and enterprise(s) outside theuniversity as a sponsor should be sought.
When support from the university is sought, the university satellite is often used asa tool of student recruitment. When the value of the project is limited to such effect,
however, the support from the university will be limited. The effects on education,
research activities of the university, or both must be demonstrated. This is relatively
easy for educational activities. In recent education provided by faculty of engineering,the design capability and incorporation of Project Based Learning (PBL) are required
as prompted by JABEE. (Note: This is the case of Japan. JABEE stands for Japan
Accreditation Board for Engineering Education.) In a bachelor course of education,
learning from a wide perspective is required in addition to learning by specializingin specific fields. Particularly, in the department related to space engineering,systems engineering is one of the most important subjects, and practical training in
addition to learning by lecture is required. The satellite project is the subject best fit
for such purpose, and it will not be difficult to award credits to a student who
participates in the satellite project. When the satellite project is included in the
curriculum, support from the university will be obtained continuously. But it should
be noted that the amount of funding granted by the university will not be large
enough. Support from the university should be considered as a chance from which asatellite project can grow out from the personal project of the professors.
When you consider expanding the satellite project in the university, coordination
with other professors cannot be avoided. It is one step forward from the project ofProfessor XX to the project of Professors XX, YY, and so on. Coordination amongprofessors is expected to have positive effects such as diversification of teammembers, increase in expertise within the team owing to the increased number ofprofessors, diversification of the satellite mission (this is remarkable whencoordination is established between professors in science and engineering), theincrease of chances to obtain funding from outside, etc. There is also the associatedrisk that may arise of possible inconsistency between the students when the students
become aware of the walls existing between different laboratories. To solve suchproblem, daily cooperation between professors is necessary. With respect tocooperation between laboratories, this is true not only with professors in spacesciences (installation of scientific observation equipment, etc.), but should also be
considered professors in satellite data application. In particular, as a pilot projectusing the team’s own satellite in the fields of IoT and AI may draw the attention of
professors who are interested in data analysis but may not be interested in building
a satellite, active cooperation may become possible.
10.3 Funding of Project
Even if the research base in the university is established, it is very rare thatfunding sufficient to continue the making and launch of the satellites is provided by
the university. The team needs to acquire the funds necessary to continue suchprogram, but such funding should be achieved by the efforts of individual professors.
It is recommended that a funding plan have adequate allowance because expenses
will easily increase due to factors that cannot be estimated at the start of the project(repair of purchased parts, purchase of additional parts, etc.). As continuity of the
program cannot be guaranteed when the program relies only on KAKENHI (Grant-43

in-Aid for Scientific Research, a competitive government research funding aimed atmostly university professors) or other competitive research funding from theGovernment, it is important to acquire multiple funding sources. While adequate
funding should be acquired, the design of the satellite bus should be a type that canbe purchased at low cost.
10.4 Cooperation with Outside Organizations
Cooperation with outside organizations or persons is essential for continuing theconstruction of satellites as a program. It is important to maintain good relationships
with companies who supply key components. Needless to say, the project teamshould also have a good relationship with the community of amateur radio operatorsand the space agency.
Cooperation with other universities and outside research institutes, as well as
cooperation with other laboratories in your university, brings many benefits when
you want to expand the program. Cooperation with organizations abroad isespecially beneficial because students can experience international projects. The
students can learn matters such as finding out the needs of satellite use in othercountries in planning the satellite mission. Physical distance and difference in time
may become a problem in cooperation with foreign organizations. Simultaneousdevelopment of the satellite bus in your country and development of the mission
payload outside your country, with such payload being assembled in the satellite bus
in your country for delivery of the satellite will be possible when the interface
between the satellite bus and the mission payload is clearly defined, and such project
has actually been made. In a cooperative project with a foreign organization, therequirement for paperwork under the Security Export Control (different terms may
be used in different countries) must be confirmed, and when publicly known
technology (information available in open source) is not used, very careful checking
is required. Nowadays, many universities have a department that specially handles
the security export control matters, and contact with such department in advance isstrongly recommended.

44

References[1] “Definition and Requirements of Small Satellites Seeking Low-Cost and FastDelivery”, Edited by Mengu Cho and Filippo Graziani, International Academy of
Astronautics, 2017, Code ISBN/EAN IAA: 978-2-917761-59-5[2]Michael Swartwout, Clay Jayne, University-Class Spacecraft by the Numbers:
Success, Failure, Debris. (But Mostly Success.), 30th Annual AIAA/USU Conference
on Small Satellites, 2016
[3] “Lessons Learned Case Analysis for Micro/Nano satellite Mission Success”,
University Space Engineering Consortium, JAXA-CR-21-002, JAXA, 2021 (inJapanese)[4] Toyota Production System, Taichi Ohno, Productivity Press, 1988, ISBN9780915299140[5] Manual for International Frequency Coordination Procedures for Small Satellites,(In Japanese)
https://www.tele.soumu.go.jp/resource/j/freq/process/freqint/001.pdf[6] JBDB-08012D “Success Criteria Making Guideline”, JAXA Chief Engineer Office,January, 2018 (in Japanese)[7] JX-ESPC-101133-D , “JEM Payload Accommodation Handbook, Vol.8, Small
Satellite Deployment Interface Control Document”, Revision D, July 2020.
https://humans-in-space.jaxa.jp/kibouser/library/item/jx-espc_8d-d1_en.pdf[8]ISO-DIS-17981 “Space Systems -CubeSat Interface”[9]ISO-19683 “Space Systems – Design qualification and acceptance tests for small
spacecraft and units”, 2017.07[10] Adolfo Jara, Pooja Lepcha, “On-orbit Electrical Power System Dataset of 1U CubeSat
constellation for Machine Learning Models”, Mendeley Data, May 2022,
DOI:10.17632/8kp25ycf63.

45