Introduction
2007年に帰還航行へ進んだはやぶさは、地球へ近づきつつあった2009年11月、再び主推進系の重大な問題に直面した。複数搭載していたイオンエンジンは長期運転で劣化し、帰還に必要な推力を確保できる構成が限られていた。JAXAは、エンジンAの中和器とエンジンBのイオン源を組み合わせるという通常とは異なる構成を成立させ、11月19日に帰還加速を再開した。〔SRC009・SRC010〕
この出来事はしばしば「壊れた2台のエンジンを合体させた」と説明される。それでは半分正しく、半分不正確である。二つの完全なエンジンを同時に噴射したのではない。一台の推進系を構成する二つの主要機能――イオン源と中和器――を別ユニットから選び、電気的に組み合わせたのである。
CASE BRIEFING
- イオンエンジン：複数系統を搭載
- 2009年時点：各エンジンでイオン源または中和器の劣化・不調が進行
- 2009年11月：運転中エンジンの異常で帰還推力に懸念
- 対応：A系中和器 + B系イオン源
- 11月19日：新構成で帰還巡航を再開
THE QUESTION
なぜ「Aの中和器」と「Bのイオン源」を組み合わせると推進できたのか。そして、この復旧はどのような設計余地に支えられていたのか。
1. イオンエンジンを二つの機能へ分解する
イオン推進では、まずイオン源でキセノンをイオン化し、正イオンを電界で加速して後方へ噴射する。これだけなら反作用で推力は生じるように見えるが、正電荷だけを宇宙へ捨て続けると探査機本体が負に帯電する。すると正イオンが引き戻され、安定した噴射を維持できない。
そこで中和器が電子を放出し、噴射した正イオン流を電気的に中和する。〔SRC010〕 一組の推進器として機能するには、イオン源と中和器の両方が必要になる。
この構造を理解すると、「イオン源は壊れているが中和器は生きている」「中和器は劣化しているがイオン源は生きている」という状態があり得ることが分かる。完全なエンジン単位で○×を付けるだけでは、残存能力を見落とす。
2. 2009年時点の残存構成
JAXAの2009年11月20日解説では、BとDは中和器が劣化して使用困難、Aはイオン源の動作が不安定でほとんど使っていなかったため中和器は比較的健全、Cはまだ使えるが中和器がやや劣化して無理をさせにくい状態だったと説明されている。〔SRC010〕
つまり「使える完全ユニット」は非常に限られていた。一方で、部位単位に見ると、Aには健全な中和器があり、Bには動作するイオン源が残っていた。この補完関係が救済策の出発点となった。
3. なぜ別ユニット間を接続できたのか
イオン源と中和器は通常同じエンジンの組として運転する。しかし、はやぶさのイオンエンジンチームは打上げ前に、中和器系へバイパスダイオードを組み込む工夫をしていた。JAXAの解説によれば、この回路により別々のエンジンのイオン源と中和器を組み合わせる運転が可能になった。〔SRC010〕
重要なのは、2009年に宇宙空間で物理的な配線を付け替えたわけではないことである。探査機に元から存在した電気的接続・保護の余地を、運用として利用した。
これは設計上の「latent capability」、つまり通常運用では使わない潜在的能力と考えられる。すべての故障モードを事前に予測していたわけではなくても、回路が完全に閉じた専用構成ではなく、別系統間を成立させる余地を残していたことが、後の復旧可能性を高めた。
4. 地上試験していなかった構成を宇宙で使うリスク
JAXA解説は、このバイパス回路による組合せについて、打上げ前に組み込まれていたものの、その使い方を地上で実運転試験したことはなかったと説明している。〔SRC010〕
これは非常に大きなリスクである。宇宙機では故障時に「とりあえず試す」ことが難しい。誤った通電で残った健全部まで壊せば、回復不能になる。したがって、回路特性、電圧、電流、熱状態、制御シーケンスを地上で解析し、残存機能を失わない条件を見極める必要がある。
復旧策の価値は、奇抜さではなく、リスクを定量化して実行可能な操作へ落とし込んだ点にある。
5. クロス運転は「二台同時運転」ではない
一般向け説明では「AとBを組み合わせた」という表現から、二台のエンジンを同時に噴射して推力を増したように誤解されることがある。しかし、実際の機能構成は、Bのイオン源をAの中和器で支える形である。〔SRC009・SRC010〕
制御系の例で言えば、二台のインバータを並列運転したのではなく、一方の健全な電力変換部と他方の健全な出力部を、設計上許容される経路で一つの機能チェーンとして成立させたイメージに近い。
この区別は、冗長性設計を考える上で重要である。「装置単位の冗長化」は理解しやすいが、質量やコストが厳しい宇宙機では、サブシステム単位の共用・再構成可能性が高い価値を持つ場合がある。
6. なぜ帰還直前まで推力が必要だったのか
地球へ近づいているなら、後は惰性で帰れるように見える。しかし、再突入カプセルを地球へ届けるには、単に地球の近くを通るだけでは不十分である。地球との遭遇時刻、位置、速度ベクトルを適切な範囲へ入れる必要がある。
特に、帰還カプセルは最終的にオーストラリアのウーメラ周辺へ入る軌道へ誘導される。その前段では複数の軌道修正が必要であり、2010年の帰還計画にもTCM（Trajectory Correction Maneuver）が段階的に組まれていた。〔SRC011〕
したがって2009年11月の推進系異常は、「目的地まであと少し」という安心できる故障ではなかった。必要な速度変更を最後まで積めなければ、地球へ適切に接近する軌道そのものが成立しない可能性があった。
7. 故障診断の粒度を変える
この復旧から得られる工学的な示唆は、異常時に診断単位を変えることである。通常運用では「エンジンA」「エンジンB」というユニット単位が管理しやすい。しかし異常時には、イオン源、中和器、電源、バルブ、配線、制御チャネルといった下位機能へ分解しなければ、残存能力を正しく評価できない。
産業設備でも、モータ駆動系が異常だからといって「軸全体故障」と決めつけると、エンコーダ、インバータ、電源、ブレーキ、モータ巻線、通信のどこが生きているかを見失う。縮退運転を考えるなら、機能ブロックごとの健全性が必要になる。
はやぶさでは、この粒度変更が実際の推進構成変更へ結びついた。
8. 冗長性にはインターフェース設計が必要
Aの中和器とBのイオン源がそれぞれ健全でも、両者をつなぐインターフェースがなければ役に立たない。クロス運転が成立したのは、回路として電流経路を形成でき、制御上も運転状態を作れたからである。
冗長設計では、予備機の数だけでなく「どこで切り替え可能か」が重要になる。完全独立二重化は故障分離には強いが、片方ずつ異なる部位が壊れると二台とも使えなくなる。逆にクロスストラップを増やせば再構成性は上がるが、回路複雑性、故障伝播、誤接続リスクも増える。
はやぶさの例は、再構成性が実際の救命策になった一方、一般設計として無条件にクロス接続を増やせばよいことを意味しない。トレードオフとして見るべきである。
9. 2009年11月19日、帰還加速再開
JAXAは異常検討の結果、Aの中和器とBのイオン源を組み合わせた状態で必要な推力が得られることを確認し、2009年11月19日に帰還巡航を再開した。〔SRC009〕
公式発表は、この新構成が計画どおり継続して動作すれば、2010年6月ごろの地球帰還スケジュールを維持できると判断したと説明している。ここでも「直った」ではなく「注意深く監視しながら使える構成ができた」という表現が重要である。
異常後のシステムは、正常系と同じ信頼性前提で扱えない。監視項目、停止条件、運転マージンを見直し、残存寿命を消費しすぎない運用が必要になる。
10. この復旧が象徴するもの
はやぶさの技術史で2009年のクロス運転が特に印象的なのは、問題解決の構造が明確だからである。
- 完全ユニット単位では使える数が足りない。
- 機能をイオン源と中和器へ分解する。
- 各ユニットの健全部を特定する。
- 既存のバイパス回路で異系統を接続できることを確認する。
- リスクを評価して新構成を試験する。
- 推力を確認し、監視付きで運用へ移す。
これは、障害対応の一般形としても理解できる。原因を一言で決めず、機能分解し、残存資源を棚卸しし、最小構成で目的を達成する。
11. 「冗長系」をユニット単位だけで設計する限界
一般的な冗長化では、A系とB系を同じ構成で二重化し、Aが故障したらBへ切り替える。この方式は状態管理が分かりやすく、故障分離もしやすい。一方、Aの前半だけが壊れ、Bの後半だけが壊れた場合、二台とも「ユニットとしては故障」と判定される。
はやぶさの2009年状態は、それに近かった。Aはイオン源側、Bは中和器側に問題があり、完全ユニットとして見れば双方に制約がある。しかしサブシステムへ分解すると、A中和器とBイオン源は補完関係にあった。〔SRC010〕
ここから得られる設計上の論点は、冗長性と再構成性を分けることである。予備ユニットを増やすのが冗長性、健全部同士を別の組合せで機能化できるのが再構成性である。
12. クロスストラップには故障伝播リスクもある
再構成性を高めるために系統間の接続を増やせば、どんな場合でも有利になるわけではない。クロスストラップは、異常電圧や短絡が別系統へ伝播する経路にもなり得る。切替回路自体が故障点になることもある。
したがって設計では、通常時に系統を十分分離しつつ、必要時だけ安全に接続できる保護・切替構造が必要になる。バイパスダイオードは、その一例として機能した。〔SRC010〕
このトレードオフは産業制御の共通母線、冗長電源、ネットワーク冗長化でも同じである。相互接続は可用性を上げる一方、共通原因故障の範囲を広げる可能性がある。
13. 「使える」を推力だけで判定しない
新構成で推力が出たとしても、それだけで長期運用可能とは言えない。中和器電流、イオン源状態、電源負荷、温度、機体帯電、キセノン消費などを監視し、異常兆候がないか確認する必要がある。
JAXAの発表が「慎重に状態を監視しながら運用する」としているのはこのためである。〔SRC009〕 復旧構成は正常系の認定範囲外に近く、残存寿命も不確実である。出力を最大化するより、必要推力を確保しつつ壊さない運用が優先される。
異常時の縮退運転では、性能目標を下げ、監視密度を上げることが合理的な場合が多い。
14. 中和器故障が推進停止へ直結する理由を電荷収支で見る
イオン源から正イオンを毎秒一定量放出すると、同じ電荷量を電子として補わない限り探査機本体の電位は負方向へ変化する。宇宙機が強く負に帯電すれば、正イオンビームを引き戻す電場が形成される。
したがって中和器は単なる補機ではなく、推力発生の閉回路を成立させる必須要素である。機械式推進で言えば燃料ポンプの補助機器というより、燃焼を成立させる一方の反応系に近い重要度を持つ。
B/Dの中和器劣化が深刻だった理由は、イオン源が生きていても単独では正常推進へ使えないからである。〔SRC010〕
15. A中和器が「新品同然」に近かった理由
JAXA解説では、Aはイオン源の動作が不安定だったため長時間の主運転にほとんど使われず、結果として中和器の使用時間が少なく比較的健全だったと説明している。〔SRC010〕
通常なら「使えなかったユニット」は価値が低い。しかし、そのために別部位の寿命が温存されていた。この偶然性と設計上の接続余地が組み合わさり、最終局面でA中和器が資源になった。
故障機器も、機能ブロックごとに残存寿命が違う。ユニット単位で廃棄扱いにせず、健全部を資産として管理する発想が重要である。
16. 地上で未実証の構成をどう承認するか
打上げ前に回路として存在していても、A中和器+Bイオン源という運転を地上で実機確認していなかったなら、通常の試験成績書は存在しない。〔SRC010〕 それでも宇宙で使うには、理論解析、地上の同型機・試験データ、電気的境界条件、段階的通電結果を組み合わせる必要がある。
実務的には、いきなり定格運転するのではなく、低リスクの確認ステップを設け、電流・電圧・推力兆候を見ながら次段へ進む。異常があれば戻せる範囲を確保する。
これは「未検証だから使わない」でも「緊急だから一気に試す」でもない。利用可能な証拠で新しい運転包絡線を作り、段階的にAuthorityを上げる考え方である。
17. 2010年最終接近のTCMへどうつながるか
2009年11月の復旧で必要なのは、単にエンジンが動くことではなく、地球帰還に必要な軌道条件へ到達できる総推進能力を確保することだった。JAXAは新構成で必要推力が得られれば、2010年6月帰還スケジュールを維持できると判断した。〔SRC009〕
2010年に入ると、地球外縁へ導くTCM、その後オーストラリア着地点へ寄せるTCMが段階的に計画された。〔SRC011〕 この工程では、長期的な速度積み上げから、終端の精密軌道修正へ役割が変わる。
つまりクロス運転は、最終再突入を直接制御した一発の裏技ではない。終端誘導が可能な地球遭遇状態へ探査機を届けるための「帰還航路をつなぐ」措置だった。
18. 故障許容設計は、最後に人間の解析能力へ依存する
どれほど再構成可能なハードウェアがあっても、故障状態を正しく理解し、新構成を設計できなければ利用できない。2009年の復旧では、各イオンエンジンのイオン源・中和器状態を比較し、バイパス経路を利用する案を作り、動作を確認する地上チームの解析が必要だった。
自動故障診断だけで未知の組合せを創出したわけではない。宇宙機のように事前想定を超える異常では、オンボード自律系は機体を安全側へ保つ役割を担い、地上側がより長い時間スケールで再設計する。
フェイルセーフ、フォールトトレラント、自律化は、人間を不要にする技術ではなく、人間が介入できる時間を稼ぎ、利用可能な状態情報を保持する技術でもある。
19. はやぶさのクロス運転を一般化しすぎない
このエピソードは魅力的なので、「どんな装置でもクロス接続を用意すれば故障に強くなる」という教訓へ飛びつきやすい。しかし、宇宙機の質量・電力制約と、産業設備の保守可能性は違う。
地上設備なら、故障機器を停止し、予備品へ交換する方が安全で安価な場合が多い。クロス接続を増やすと回路・ソフト・検証項目が増え、保守員が誤操作するリスクも増える。
一般化すべきなのは具体的な回路ではなく、故障時に機能単位で残存能力を評価できる設計と診断情報を持つことである。はやぶさでは、それが偶然ではなく実際の帰還能力へ変換された。
20. クロス運転を成立させる前提はテレメトリの粒度だった
もし地上から「エンジンA異常」「エンジンB異常」という総合フラグしか見えなければ、A中和器とBイオン源の組合せを発想しても健全性を確認できない。サブシステムごとの電流・電圧・動作状態を取得できたからこそ、故障箇所を分解できた。
フォールトトレラント設計では、予備品だけでなく診断可能性が重要である。交換・切替手段があっても、どこが壊れたか判断できなければ安全に使えない。
はやぶさのクロス運転は、再構成可能な回路と、状態を識別できるテレメトリの両方が揃った例として読むべきである。
21. 最小構成で目的を満たすという発想
復旧後に求められたのは、打上げ時の4台構成を復元することではない。2010年の地球帰還に必要な推力を、残存機能で確保することだった。〔SRC009〕
目的を「全機能正常化」から「必要な帰還ΔV確保」へ絞ると、選択肢が増える。A中和器+Bイオン源という非標準構成でも、必要推力を安定して出せるなら十分である。
異常復旧で重要なのは、元状態への執着を捨て、最終要求に対する最小機能集合を再定義することだ。これはArticle 06の縮退運用と同じ思想である。
22. 2009年異常が最後の危機ではない
クロス運転が成立しても、地球帰還はまだ完了していない。新構成の長期運転、地球接近、TCM、カプセル分離、再突入という不可逆工程が残る。〔SRC011〕
したがって11月19日の再開を「帰還成功が決まった日」と表現するのは過剰である。正確には、2010年6月帰還計画を維持できる推進見通しが回復した段階である。
各工程を独立したゲートとして扱うことで、後知恵による成功確定の前倒しを避けられる。
23. クロス運転は電気的接続だけでは成立しない
A系中和器とB系イオン源を接続できる配線が存在しても、それだけで安全に推進できるわけではない。電源条件、放電状態、電流バランス、熱状態、制御シーケンスを監視し、組み合わせた二つの機能が一つの推進器として安定していることを確認する必要がある。JAXAがクロス運転開始後も状態を監視しながら帰還加速を再開したのは、この構成が「配線上可能」から「運用上使用可能」へ移るための確認工程だった。〔SRC009・SRC010〕
この意味で、バイパス経路は潜在的な冗長性であり、実際の冗長機能は診断・制御・運用手順まで含めて初めて成立する。設備設計でも、予備I/Oや予備電源を用意するだけではフェイルオーバーにならず、切替条件と異常検出、逆流や故障伝播の防止まで設計する必要があるのと同じである。
24. 部分故障を「利用可能な部品表」に変換する
通常の故障管理では、ユニットA=故障、ユニットB=故障というラベルを付けて除外しがちである。しかしAの中和器が健全でBのイオン源が健全なら、機能粒度で見ると利用可能な要素が二つ残っている。2009年の復旧は、故障機器一覧を作るのではなく、残存機能の組み合わせ表へ視点を変えた事例といえる。
この発想は、冗長化の設計単位をどこに置くかという問題につながる。ユニット丸ごとの二重化は分かりやすいが、質量・電力・配線が増える。機能間を安全に再構成できるインターフェースを持てば、限られた資源から別の冗長性を得られる。ただし故障伝播や検証複雑性が増すため、常に有利とは限らない。
25. 帰還航行では「推力を出せる」だけでなく期限内に積算できることが必要
低推力推進では、必要な速度変化を一瞬で得られない。復旧した推進系が小さな推力を出しても、残された運転期間、地球との幾何、電力条件を含めて必要な速度変化を積算できなければ帰還には間に合わない。したがって2009年11月の再開は、単なる機器復旧ではなく、残りの航行計画へ再び推力を組み込める状態を取り戻したことに意味がある。〔SRC009〕
Conclusion
2009年のイオンエンジン危機を救ったのは、「二台の壊れたエンジンを無理やり同時運転した」ことではない。Aに残った健全な中和器と、Bに残った健全なイオン源を、一つの推進系として再構成したことだった。その成立には、打上げ前から存在したバイパス経路と、地上での解析・運用判断が必要だった。〔SRC009・SRC010〕
この復旧によって、はやぶさは2010年の地球帰還軌道を維持できる見通しを取り戻した。次の記事では、最終軌道修正、カプセル分離、ウーメラ回収、そして容器内の微粒子が何を証明したかを追う。
FACT CHECK｜出典・参考資料
- SRC009｜ISAS/JAXA｜HAYABUSA: Resumption of return cruise by combining two ion engines｜https://www.isas.jaxa.jp/e/topics/2009/1119.shtml
- SRC010｜ISAS/JAXA｜今週のはやぶさ君 2009年11月20日｜https://www.isas.jaxa.jp/j/enterp/missions/hayabusa/weekly_2009_2.shtml
- SRC011｜ISAS/JAXA｜Return of Sample Recovery Capsule aboard Asteroid Explorer HAYABUSA｜https://www.isas.jaxa.jp/e/topics/2010/0421.shtml
RCF検証ノート / Verification Narrative
クロス運転について「2台の完全なエンジンを同時に運転」と誤読されないよう、イオン源と中和器の機能を分けて説明した。各エンジンの状態はJAXA 2009年11月解説を基礎とし、バイパスダイオードの存在と地上で未実運転だった旨も同資料に依拠した。冗長性設計への一般化は解釈として明示し、はやぶさ固有の事実と混同しないようにした。
最終確認
- Ion source / neutralizer roles correct: PASS
- “Two engines simultaneously” myth corrected: PASS
- Bypass path sourced: PASS
- Return trajectory need explained without unsupported ΔV figures: PASS
NEXT FILE
CASE088-08｜ウーメラに帰ったカプセル――イトカワ微粒子が変えた小惑星科学