Introduction
2005年11月26日の第2回タッチダウンを終えたはやぶさは、そのまま地球へ向けて順調に帰還を始めたわけではない。化学推進系から燃料が漏れ、姿勢制御能力が悪化し、電力・熱・通信条件まで連鎖的に不安定になった。12月には地球との交信が途絶し、当初予定されていた2007年帰還は断念される。〔SRC003・SRC007〕
この救出を「奇跡」と呼ぶと、技術的に重要な部分が消える。実際に行われたのは、失われた機能と残った機能を一つずつ切り分け、わずかな通信から機体状態を再構成し、化学スラスタの代わりにキセノンガスや太陽光圧を利用して姿勢を管理し、長期的に帰還可能な構成へ移行する作業だった。〔SRC007・SRC008〕
CASE BRIEFING
- 2005年11月26日：第2回タッチダウン後に化学推進系燃料漏れ
- 11月末〜12月初旬：姿勢・電力・通信状態が悪化
- 12月9日：交信途絶
- 12月14日：2007年帰還を断念し2010年帰還へ変更
- 2006年1月23日：ビーコン信号再捕捉
- 2006年〜2007年：機体状態把握、昇温、バッテリ、姿勢制御、イオンエンジン再立上げ
THE QUESTION
化学推進系と安定した通信を失った探査機を、どうやって「帰還できる宇宙機」に戻したのか。
1. 一つの故障ではなく、故障連鎖だった
タッチダウン直後に起きたのは単純な「燃料漏れ」だけではない。推進剤が漏れると、そのガス噴出自体が機体へ外乱トルクを与える。姿勢がずれれば太陽電池の受光条件が悪化し、発電量が下がる。アンテナが地球方向から外れれば通信品質が落ちる。温度条件が変われば機器の動作にも影響する。
JAXAの2006年3月報告は、燃料漏れ後の強い姿勢擾乱、通信途絶、探査機の一時的な全電力喪失、リチウムイオン電池セルの短絡現象、酸化剤圧力ゼロなど、複数系統の問題を挙げている。〔SRC007〕 したがって「壊れたスラスタを直せば戻る」という状態ではなかった。
2. 12月初旬にはキセノンを姿勢制御へ転用した
化学スラスタが十分使えない状況で、運用チームはイオンエンジン用に搭載していたキセノンガスを噴射し、姿勢を変える非常手段を導入した。JAXAの2005年12月報告では、12月4日にソフトウェアを完成させ、キセノン噴射でスピン速度を変更し、その後姿勢変更を指令した結果、12月5日には太陽・地球と機体+Z軸の角度が改善し、中利得アンテナでテレメトリを受信できる状態まで回復したとされる。〔SRC023〕
これは推進剤の「本来用途外使用」である。イオンエンジンではキセノンをイオン化して高速噴射するが、ここではガスを直接噴出して小さな反力を得る。効率は異なるが、化学スラスタを失った状況では姿勢へ介入できる貴重な手段となった。
3. それでも外乱に耐えられなかった
一時的に通信状態が改善しても、燃料漏れに由来するガス噴出は完全には終わっていなかった。12月8日には大きな姿勢擾乱が発生し、キセノンによる姿勢制御能力では抑え切れず、12月9日以降地上との交信が途絶した。〔SRC024・SRC007〕
ここで重要なのは、通信途絶が探査機の即時喪失を意味しないことだ。電波が地球へ届かない原因は、送信機故障だけでなく、アンテナが地球を向いていない、電力が不足している、姿勢が高速回転しているなど複数ある。地上側からは直接見えないため、力学モデルと過去データから可能性を評価する必要がある。
4. 「待てば戻る可能性」を定量的に評価した
JAXAは、探査機の姿勢と軌道を解析し、今後1年程度の間に電力と通信が同時に成立する姿勢条件へ入る確率を60〜70%程度と見積もっていた。〔SRC007〕 これは楽観論ではなく、救出運用を続ける根拠となる定量評価だった。
深宇宙機では、完全な状態観測ができないときでも、軌道力学、自転状態、アンテナビーム幅、太陽方向を使って「どの期間に通信が成立し得るか」を推定できる。地上局はその予測に基づき、アップリンク掃引とコマンド送信を繰り返した。
5. 2006年1月、ビーコンが戻る
2006年1月23日、アップリンク掃引とコマンド送信を繰り返す中で、無変調のビーコン信号が受信された。〔SRC007〕 これで「探査機が生きている」ことは分かったが、すぐに通常運用へ戻れたわけではない。
再捕捉時、探査機は高利得アンテナ軸が地球方向から大きく外れ、スピン状態も正常ではなかった。上り回線のコマンドも容易には通らなかった。1月26日以降、機上の自律機能が地上からの問い合わせへ応答し始め、少しずつ状態情報が得られた。〔SRC007〕
ここは故障診断の教科書的な状況である。最初からフルテレメトリを要求するのではなく、最低限の生存信号、コマンド応答、電源状態という順に観測可能範囲を広げる。通信帯域が極端に小さいときは、診断項目の優先順位そのものが復旧速度を左右する。
6. 分かったことは厳しかった
通信が戻って判明した機体状態は、楽観できるものではなかった。JAXA報告では、探査機が一度完全な電力喪失を経験したこと、リチウムイオン電池に短絡現象が見られたこと、化学推進系の酸化剤圧力がゼロを示していたことなどが挙げられている。〔SRC007〕
一方、イオンエンジン用のキセノンは約42〜44kg残っていると推定され、追加漏出がなければ地球帰還航行に足りる可能性があった。〔SRC007〕 つまり、失った機能は大きいが、主推進剤と主要計算機・イオンエンジンを回復できれば、別の運用体系で帰還を狙える余地が残っていた。
7. 帰還を3年遅らせるというシステム判断
本来の地球帰還は2007年に予定されていた。しかし、2005年末の状態では、そのウインドウへ間に合わせることは現実的でなくなった。そこでJAXAは、2010年6月へ帰還を3年延期する代替飛行計画を採った。〔SRC002・SRC007〕
これは「修理に3年かかった」という意味ではない。惑星間軌道では、地球と探査機の位置関係が合わなければ帰還できない。速度変更能力が限られる中で、次に成立する軌道条件を待つ必要がある。故障復旧と軌道力学が同時に工程表を決める。
8. 太陽光圧を外乱から制御資源へ変える
2006年以降の復旧では、キセノンガスだけでなく太陽光圧も姿勢管理へ利用された。〔SRC008〕 太陽光が物体へ当たると、ごく小さな圧力が生じる。通常、宇宙機の姿勢制御ではこの力を外乱として補償する。しかし、太陽電池パドルの向きや機体姿勢を適切に選べば、外乱トルクを逆に利用して姿勢をゆっくり制御できる。
これは制御設計として非常に興味深い。本来のアクチュエータを失ったとき、環境から受ける力をモデル化し、それを制御入力に近い形で使う。応答は遅く自由度も限られるが、推進剤を節約しながら長期間姿勢を維持できる可能性がある。
9. バッテリとカプセル収納
救出後は、帰還へ必要な一連の機能を段階的に戻した。2007年1月には、通信復旧後にゆっくり充電してきたバッテリを利用し、試料採取容器を再突入カプセルへ移送し、外フタを閉じる運用が完了した。〔SRC025〕
この工程は目立たないが重要である。仮にサンプルが入っていても、容器をカプセルへ正しく収納して密閉できなければ地球へ届けられない。探査機救出は「イオンエンジンを再点火する」だけではなく、帰還に必要な機械機構を一つずつ機能確認する作業だった。
10. 2007年、帰還航行へ
機体の昇温、姿勢制御、バッテリ、カプセル収納、イオンエンジン試験などを経て、はやぶさは帰還航行へ進んだ。〔SRC008〕 ただし、ここで「完全復旧」と考えるのは誤りである。化学推進系は元に戻っていない。リアクションホイールも制約がある。バッテリ状態も健全な新品とは異なる。
つまり、はやぶさは初期設計状態へ修理されたのではなく、縮退構成で帰還ミッションを再設計された。この違いは重要である。復旧の成功とは、すべての故障を直すことではない。残存機能で最終目的を達成できる新しい動作点を見つけることでもある。
11. 11月26日から12月9日までの異常を時間順に分解する
救出運用を理解するには、通信途絶から逆算するのではなく、タッチダウン直後から時系列に追う方がよい。第2回タッチダウン後、化学推進系から燃料が漏れ、姿勢・軌道制御系の状態が悪化した。11月29日には低利得アンテナによるビーコンが回復し、その後低速テレメトリを得ながら機器状態を確認した。〔SRC023〕
12月2日には化学エンジン再起動を試みたが、十分な運用復帰には至らなかった。12月3日には高利得アンテナ軸と太陽・地球方向のずれが大きくなり、キセノンガスを使う非常姿勢制御ソフトを急いで作成した。12月4日に機能確認、5日には通信状態が一時改善した。〔SRC023〕
しかし8日に再び大きな外乱が加わり、9日から交信が途絶した。〔SRC024〕 この流れを見ると、通信途絶は一瞬の単発故障ではなく、燃料漏れと姿勢制御能力低下が段階的に進行した結果だったことが分かる。
12. 姿勢喪失が電力・通信・熱へ波及する
宇宙機の姿勢は「どちらを向くか」以上の意味を持つ。太陽電池パドルが太陽へ向かなければ発電量が低下する。高利得アンテナが地球から外れれば通信リンクが成立しない。放熱面や機器の太陽入射条件が変われば温度分布も変化する。
したがって姿勢制御系の異常は、電気設計でいう共通原因故障に近い広がり方をする。一つのアクチュエータ故障が、電源・通信・熱へ同時に影響するためである。
2006年に通信が戻ってから、探査機が一度全電力喪失を経験した形跡や、バッテリ短絡が確認されたことは、この連鎖の深刻さを示す。〔SRC007〕
13. セーフホールドすら成立しにくい縮退状態
通常の宇宙機には、異常時に太陽を向いて発電し、低利得アンテナで最低限の通信を維持するセーフホールドモードが用意される。しかし、はやぶさではリアクションホイール2基を既に失い、化学推進系も損傷したため、その「安全姿勢へ戻すアクチュエータ」自体が大きく制約された。
この状況では、ソフトウェアが正しい判断をしても、物理的に機体を向け直す能力が足りない可能性がある。制御系はセンサ・演算・アクチュエータの鎖であり、最後のアクチュエータが失われれば制御則だけでは解決できない。
キセノンガス直接噴射は、その欠けたアクチュエータを代替するための手段だった。
14. キセノン姿勢制御は「効率の悪い代用品」でも価値がある
イオンエンジンではキセノンを電気的に加速して高い排気速度を得る。一方、非常姿勢制御ではキセノンを冷ガスとして直接噴出するため、同じ質量から得られる力積効率は低い。それでも、姿勢を数度〜数十度修正できるなら通信復旧の価値は非常に大きい。
異常時設計では、平常時効率より「最低限機能を回復できるか」が優先されることがある。通常運転では採用しない低効率手段でも、故障時だけ使えるなら復旧性を高める。
ただしキセノンは帰還用イオン推進にも必要な資源である。姿勢制御へ使いすぎれば、後のΔV余裕を減らす。このため代替利用には資源トレードオフがある。
15. 通信再捕捉は「探索問題」だった
地上から探査機の姿勢が直接見えない状態で、アンテナがいつ地球方向を向くかは推定問題になる。JAXAは、探査機のスピンと軌道を解析し、地上局のアンテナビーム内に留まる見込みを評価していた。〔SRC007〕
地上側は、周波数・時刻・コマンド条件を変えながらアップリンクを掃引し、探査機の受信系へ信号が入る機会を増やす。1月23日にビーコンを再捕捉しても、すぐ高利得通信ができるわけではない。まず存在確認、次にコマンド応答、さらに低速テレメトリ、という順で通信状態を拡張する。
これは、ネットワーク障害時にいきなりアプリケーション層を診断せず、リンク、生存応答、ルーティング、サービスの順に確認するのと似ている。
16. 状態推定では「分からないこと」を保持する
通信が戻った直後、すべての機器状態が一度に分かったわけではない。電池、酸化剤、イオンエンジン、スタートラッカ、姿勢制御計算機などは、順次確認する必要があった。〔SRC007〕
この段階で最も危険なのは、少数の正常応答から「機体はほぼ正常」と推測することだ。実際には極低温や電力リセットへさらされた機器が、次の起動で故障する可能性もある。
したがって復旧計画では、各サブシステムに `UNKNOWN / TEST_PENDING / AVAILABLE / DEGRADED / FAILED` のような状態を割り当て、未確認を未確認のまま保持する方が安全である。これは今回のCASE Workspaceで `NOT_VERIFIED` を推測補完しない方針とも同じである。
17. 太陽光圧制御はモデル誤差との戦いでもある
太陽光圧を姿勢制御へ利用するには、機体がどの方向でどれだけのトルクを受けるかを予測する必要がある。太陽電池パドルや本体表面の反射特性、重心と圧力中心の位置関係、姿勢によってトルクが変わる。
推進器のようにON/OFFで明確な力を出せるアクチュエータではなく、常に存在する外乱を利用するため、応答は遅い。モデル誤差があれば長時間で姿勢がずれる。その代わり、推進剤を消費せず利用できる。
はやぶさでは、この弱い制御手段とキセノン噴射を組み合わせ、限られた資源で長期姿勢管理を行った。〔SRC008〕 これは高性能制御より、資源制約下の持続性を優先した運用である。
18. 復旧工程は不可逆操作を後ろへ送る
異常機を復旧するとき、状態が不明な段階で大電力機器を起動したり、機械機構を動かしたりすると残存機能を失う危険がある。はやぶさの復旧も、通信・温度・電源状態を確認しながら段階的に進められた。
バッテリは急速に通常運用へ戻すのではなく、長期間かけて微速充電された。試料容器のカプセル収納・蓋閉めは2007年1月になって実施された。〔SRC025〕 これは、必要なエネルギーと機械動作信頼性を確保してから不可逆に近い操作へ進んだことを示す。
Recovery Policyとして「診断→最小patch→validation→rerun」を優先する考え方は、こうした宇宙機復旧にも通じる。
19. 2010年帰還へ変更したのは「諦め」ではなく再最適化
2007年の帰還機会を逃す判断は、ミッション期間を3年延ばし、機器寿命と運用コストを増やす。一方、無理に2007年へ間に合わせようとすれば、十分な機能確認や軌道修正余裕を持てず、カプセル帰還そのものを失う可能性が高い。
つまり、目標関数を「予定日を守る」から「試料カプセルを地球へ届ける」へ再設定した。工程遅延は通常ネガティブに見えるが、不可逆ミッションでは納期より成功確率を優先すべき局面がある。
この判断によって救出・再構成に必要な時間を確保し、2007年の帰還航行再開、2009年の推進系再構成、2010年の再突入へつながった。
20. 救出運用では「通信できる時間」そのものが資源になる
通常運用では通信回線をデータ転送手段として扱うが、異常時には通信可能時間そのものが希少資源になる。低利得アンテナ、低ビットレート、スピン状態では、短い可視時間に送受信できる情報量が限られる。
そのため、何を最初に聞くかが重要になる。電源状態、姿勢、温度、推進剤圧力のように次の操作可否を左右する項目を優先し、科学データや詳細ログは後回しにする。診断パケット設計も復旧性の一部である。
はやぶさの1月以降の状態把握は、こうした帯域制約下で一項目ずつ未知を減らす工程だった。〔SRC007〕
21. 復旧中の機器起動は新しい故障を起こし得る
長期間低温・低電力状態にあった機器を再投入すると、突入電流、ヒータ不足、絶縁、潤滑、バッテリ負荷など別のリスクが生じる。宇宙機では現場交換できないため、復旧操作そのものが故障原因になり得る。
JAXAがイオンエンジンやバッテリ、機械機構を段階的に確認したのは、残存機能を一度に失わないためでもある。〔SRC007・SRC025〕
「電源が入るなら全部ON」は最も危険な復旧方法である。異常系では依存関係を確認し、必要最小限の機器だけを順番に起動する方が安全になる。
22. 故障後のシステム仕様は事実上書き換わる
2007年の帰還航行再開時点で、はやぶさは打上げ時と同じシステムではない。使えない化学推進、減ったリアクションホイール、劣化した電池、代替姿勢制御を前提に、新しい運用制約が生まれている。
したがって復旧とは、元の仕様へ戻すことではなく、新しいAs-Is構成を正式な運用基準へすることでもある。どの操作が禁止され、どの機能を監視し、どの余裕を残すかを再定義しなければならない。
このAs-Is Authorityの更新ができなければ、旧正常系手順を誤って適用し、再故障を起こす。はやぶさの救出は、ハードウェアだけでなく運用仕様の再構築だった。
23. 復旧では「観測可能性」を先に取り戻す
深刻な異常時に最初から完全復旧を狙うと、状態が分からないまま大きな操作を加えることになる。はやぶさ救出で重要だったのは、弱いビーコンや断続的な通信からでも、機体の状態を少しずつ観測可能にすることだった。観測量が増えれば、姿勢、電源、温度、推進系の仮説を絞り込み、次の操作を小さく設計できる。〔SRC007・SRC008〕
制御工学的には、これは可制御性の前に可観測性を確保する考え方に近い。状態推定が粗い段階では、操作量を大きくするほど誤推定時の損失が増える。通信復旧を段階的に行い、得られたテレメトリに応じて復旧計画を更新したことが、不可逆な失敗を避けるうえで重要だった。
24. 冗長性が失われた後は「機能単位」で生存性を評価する
故障後の探査機を、打上げ時のブロック図のまま評価することはできない。推進、姿勢制御、電源、通信の各系統について、どの機能が残り、どの機能を別系統で代替できるかを再定義する必要がある。キセノンガスによる姿勢制御や太陽光圧の利用は、本来のアクチュエータが失われたあとに「姿勢を作る」という上位機能を別手段へ割り当てた例だった。
この再構成によって、正常時の性能は戻らなくても、帰還に必要な最低限の機能連鎖を維持できる。復旧の評価軸を「元どおり」から「目的を達成できる残存構成」へ切り替えることが、長期救出の本質である。
また、縮退状態では通常時の自動保護がそのまま使えるとは限らない。残ったセンサとアクチュエータだけで安全側を再定義し、通信が途切れても破局的状態へ進みにくい運用を組む必要がある。復旧手順そのものが暫定的な「新しい制御仕様」になる。
Conclusion
2005年末から2007年にかけての救出運用は、燃料漏れという単一故障の修理ではなかった。姿勢、電力、通信、推進、バッテリ、熱状態が絡む多変量の異常系から、観測可能な情報を少しずつ増やし、残った資源で帰還可能な構成を作り直す工程だった。
キセノンガスの姿勢制御、太陽光圧利用、ビーコンからの段階的通信復旧、帰還年の変更は、それぞれ「本来の設計どおり」ではない。しかし、制約下で目的関数を「完全復旧」から「地球へカプセルを届ける」へ切り替えることで、ミッションは継続できた。
次の記事では、ようやく帰還航行へ入った探査機を2009年に襲ったイオンエンジン異常を扱う。そこで使われたのは、エンジンを丸ごと切り替える冗長性ではなく、Aの中和器とBのイオン源を組み合わせるサブシステム再構成だった。
FACT CHECK｜出典・参考資料
- SRC002｜ISAS/JAXA｜ミッションのシナリオ｜https://www.isas.jaxa.jp/j/enterp/missions/hayabusa/scenario.shtml
- SRC003｜ISAS/JAXA｜「はやぶさ」の軌跡｜https://www.isas.jaxa.jp/j/enterp/missions/hayabusa/history.shtml
- SRC007｜ISAS/JAXA｜Current Status of Hayabusa Spacecraft – Communication and Operation Resumption｜https://www.isas.jaxa.jp/e/snews/2006/0308
- SRC008｜ISAS/JAXA｜「はやぶさ」の現状について｜https://www.isas.jaxa.jp/j/topics/topics/2007/0404.shtml
- SRC023｜ISAS/JAXA｜「はやぶさ」探査機の状況について（2005-12-07）｜https://www.isas.jaxa.jp/j/snews/2005/1207.shtml
- SRC024｜ISAS/JAXA｜Status of the Hayabusa (2005-12-14)｜https://www.isas.jaxa.jp/e/snews/2005/1214.shtml
- SRC025｜ISAS/JAXA｜「はやぶさ」試料容器のカプセル収納・蓋閉め運用が完了｜https://www.isas.jaxa.jp/j/topics/topics/2007/0130.shtml
RCF検証ノート / Verification Narrative
本稿は故障を一つの因果へ単純化せず、燃料漏れ→外乱→姿勢悪化→発電・通信条件悪化という連鎖として扱った。通信再開確率60〜70%、キセノン残量42〜44kgは2006年3月JAXA報告の当時評価であり、後から確定した絶対値として扱っていない。復旧後も化学推進系等が元状態に戻ったとは書かず、縮退運用として整理した。
最終確認
- Failure chain reconstructed: PASS
- “Miracle” excluded as causal explanation: PASS
- Recovery ≠ full repair distinction: PASS
- Article 07 boundary preserved: PASS
NEXT FILE
CASE088-07｜帰還をつないだイオンエンジン――2009年故障とクロス運転