Introduction
イトカワへの降下は、地球上の遠隔操縦のようにはできない。探査機と地上局の間には通信遅延があり、運用できるアンテナ時間にも制約がある。しかもイトカワは重力が極めて弱く、形状が不規則で、岩塊が多い。はやぶさは、地上から大局的な指令を受けつつ、最終接近ではレーザ距離計や光学航法を使って自律的に判断する必要があった。
2005年11月、本番タッチダウン前に複数回の降下リハーサルが行われた。そこでは近距離レーザ距離計の確認、ターゲットマーカを使う航法試験、小型ローバMINERVAの放出などが実施された。〔SRC006〕 これらは「本番前の練習」というより、地上では再現しきれない微小重力環境でセンサ・誘導ロジック・運用手順を実機検証する工程だった。
CASE BRIEFING
- 2005年11月4日：第1回降下リハーサル
- 11月9日：誘導航法試験、ターゲットマーカ分離練習
- 11月12日：再リハーサル、MINERVA放出
- 11月20日：第1回タッチダウン
- 11月26日：第2回タッチダウン
公式タイムラインはこの順序を示している。〔SRC003〕
THE QUESTION
微小重力の不規則天体へ降りるために、はやぶさは何を地上から制御し、何を機上で判断し、なぜリハーサルが必要だったのか。
1. 小惑星への「着陸」は、月面着陸と別物
月や火星では、着陸機は比較的明確な重力方向へ落下し、推力で降下率を抑え、脚で地面に静止する。イトカワでは重力が非常に弱く、接触後に機体を地面へ押し付ける力がほとんどない。地表に触れれば、わずかな反力でも再び離れることができる。
この環境では、長時間その場に「立つ」ことより、決めた地点へゆっくり近づき、短時間だけ接触し、サンプラを動作させて離脱する方が合理的になる。ただしそのためには、接触直前の高度と横方向のずれを高精度で管理しなければならない。
2. 地上から全部操縦できない理由
地球とイトカワの距離では、電波は往復に時間がかかる。さらに探査機の画像やテレメトリを受け取って人間が判断し、コマンドを送り返す間にも機体は移動する。数百メートル以下の最終接近で、そのループだけに頼るのは遅すぎる。
そこで運用は階層化された。地上側は降下開始、目標地域、速度プロファイル、主要イベントの許可などを管理し、機上側はセンサ入力を使って局所的な判断を行う。これは産業制御で言えば、上位SCADAが工程目標を与え、PLCやモーションコントローラがミリ秒〜秒単位の制御を閉ループで実行する構造に近い。通信が遅い上位系でサーボ制御をしないのと同じである。
3. ターゲットマーカは何のためにあるのか
イトカワ表面そのものは、画像上で特徴が豊富に見える。しかし、最終降下時に探査機が「自分が目標点からどれだけずれたか」を安定して認識するには、既知の目印がある方が扱いやすい。そこで反射性の高いターゲットマーカを表面へ投下し、機上のフラッシュで照らしてカメラで検出する方法が採られた。
この方式の利点は、自然地形の模様に依存しすぎないことにある。照明条件や岩の影が変わっても、人工マーカなら既知の光学特性を使って抽出できる。ただし、投下したマーカが想定位置へ落ち、カメラ視野に入り、探査機側の画像処理で正しく識別できることを実機で確かめなければならない。そのため11月9日の試験などで分離・誘導機能が確認された。〔SRC003〕
4. レーザ距離計は最終接近で何を測るのか
近傍航法ではLIDARが長距離の距離計測に使われたが、着陸直前にはより近距離用のセンサが必要になる。11月12日のリハーサル目的には、近距離レーザ距離計（LRF）の較正確認が明示されている。〔SRC006〕
距離計は単に「高さ」を表示するだけではない。降下速度を計算するには時間変化が必要で、地形が傾いていれば複数方向の距離から相対姿勢を判断する必要がある。地面との距離が急激に変化すれば障害物や姿勢変化の兆候になる。最終的なタッチダウンでは、こうしたセンサと誘導ロジックが連携して接近を管理する。
5. 第1回リハーサルが示した「実環境でしか分からないこと」
11月4日の第1回降下リハーサルでは、高度約700m付近で自律航法の航法誤差が許容値を逸脱したため、地上から後続試験の中止と上昇が指令された。JAXAはその時点で再度のリハーサル降下を計画すると公表し、11月12日の再試験へ進んだ。〔SRC003・SRC028〕 ここで重要なのは、中止そのものより、リハーサルが「想定外条件を本番前に顕在化させるための工程」だった点である。
新しい制御システムでは、机上モデル、シミュレータ、地上試験でカバーできない境界条件が残る。小惑星近傍では、実際の照明、地形反射、センサノイズ、通信局切替、軌道誤差が重なる。リハーサルは、それらを一度に実機で通し、どの条件で自律ロジックが想定外の判断をするかを洗い出す機会だった。
6. MINERVAはなぜイトカワに留まれなかったのか
MINERVAは、はやぶさが搭載した小型のホッピングローバである。11月12日の再リハーサルで放出されたが、イトカワ表面へ着地することはできなかった。JAXAの当日発表は、地上管制を介した放出の間に探査機位置がドリフトし、実際の分離時には高度が約200m近くになっていたため、表面へ留められなかったと説明している。〔SRC006〕
ここで「MINERVAの機械故障」と単純化してはいけない。分離自体は確認され、放出後もしばらく通信が維持された。問題は、放出タイミングと探査機の相対運動が、イトカワへ落ち着く条件から外れてしまったことにある。極低重力環境では、地球上なら小さく見える速度差でも、ローバを天体から離脱させるのに十分になり得る。
この失敗は、本番タッチダウンとは別系統である。MINERVAを失ったからタッチダウンが不可能になったわけではない。一方で、地上指令の遅延と相対位置変化がどれほど厳しいかを実例で示した。
7. NASA深宇宙追跡網との連携
11月12日の公式発表は、Muses Seaでの着陸・試料採取では日本国内から可視でない時間帯があり、NASAの深宇宙追跡局網を使う必要があること、再リハーサルでは複数局を切り替える運用性も確認したと説明している。〔SRC006〕
この点はしばしば物語から抜け落ちるが、深宇宙ミッションは探査機単体で完結しない。地上アンテナ、通信回線、運用センター、時刻同期、コマンド承認、他機関とのスケジュール調整まで含めてシステムである。探査機が正常でも、必要な時間帯に通信局が使えなければ、観測・指令・緊急対応の自由度は落ちる。
8. リハーサルで確認するのは「機能」だけではない
一般にリハーサルというと、手順書どおりに動くかの確認を想像しやすい。しかし深宇宙運用では、確認すべきものが多層にある。
第一はセンサ機能。LRFが期待距離で正しく計測できるか、カメラでターゲットマーカを識別できるか。
第二は誘導ロジック。センサ値が変化したとき、降下継続・停止・上昇などの判断が正しいか。
第三は地上運用。アンテナ切替、データ受信、コマンド送出が予定時間内に成立するか。
第四は時間管理。地上でコマンドを判断してから機上で実行されるまでの遅れを含め、イベントがどの高度・相対速度で発生するか。
MINERVA放出は、この第四の難しさを顕在化させた。予定したイベントでも、実行時刻がずれれば物理条件が変わる。
9. 自律性は「人間を排除すること」ではない
はやぶさの自律航法を語るとき、「探査機がすべて自分で考えた」と表現すると正確さを失う。実際には、地上側で軌道と計画を作り、状況に応じて指令し、機上側が遅延の大きい最終局面を処理する役割分担だった。
制御設計として重要なのは、どの判断をどちらへ置くかである。高レベルの目標変更や安全判断は人間が担える。一方、数秒以内に反応すべき距離閾値や姿勢変化は機上ロジックへ置かなければ間に合わない。さらに通信が途切れた場合に安全側へ移行するルールも必要になる。
この分担は、後の故障対応でも現れる。2005年末に通信が不安定になったとき、機上の自律機能が地上からの問い合わせに応答し、少しずつ状態が判明した。〔SRC007〕 自律性は着陸だけの機能ではなく、通信制約の大きい宇宙機全体の生存性に関わる。
10. 本番前に残ったリスク
リハーサルを行っても、すべてのリスクが消えたわけではない。リアクションホイールはすでに2基が使えない状態となり、姿勢制御の余裕は減っていた。〔SRC003〕 表面は岩塊が多く、着地点候補は限られる。MINERVA放出は狙いどおりにいかなかった。さらに、最終接近は一度しか得られない条件の組合せを含む。
したがって本番は、完成したシステムをただ実行するのではなく、既知の不具合を抱えたシステムで残存能力を最大限使う運用だった。ここがArticle 05へつながる。11月20日の第1回タッチダウンでは、当初の速報と後の詳細解析で理解が更新された。11月26日の第2回タッチダウン後には、試料採取とは別に重大な燃料漏れが発生する。
11. 降下シーケンスを状態遷移として見る
はやぶさの降下は、単純に一定速度で表面へ近づくものではない。遠距離接近、低速降下、ホバリングに近い相対速度調整、最終降下、接地検知、サンプラ作動、離脱という複数状態を順に遷移する。
各状態には、次へ進む条件と中止条件がある。高度が所定範囲へ入ったか、姿勢が許容範囲か、ターゲットマーカを認識できているか、地上からGO指令が来たか、センサが障害物を検出していないか、といった条件である。
この種のシーケンスはPLCのステップ制御とよく似ている。重要なのは、正常遷移だけでなく、入力が成立しない場合の待機・中断・上昇を明確にすることだ。深宇宙では「一度止めて人間が現場確認」という選択肢がないため、異常時遷移の設計が特に重要になる。
12. 低高度ほど、相対速度の誤差が支配的になる
高度1kmでは数メートルの位置誤差は小さい割合に見える。しかし高度数十メートルでは同じ誤差が着地点を大きく外す。さらに、横方向速度がわずかに残っていれば、降下時間中に大きな水平ずれへなる。
イトカワの重力は弱いため、「重力で真下へ落ちる」拘束も小さい。探査機の運動は、直前の速度ベクトルと微小な推力・外乱に強く依存する。このため最終接近では、単に高度を下げるだけでなく、横方向ドリフトを抑えることが重要になる。
11月12日のMINERVA放出では、地上指令を介する時間の間に探査機位置がドリフトし、分離時の条件が変わった。〔SRC006〕 この事例は、低重力環境で時間遅れが位置誤差へ直接変換されることを示している。
13. ターゲットマーカの設計は「人工ランドマーク」を作る発想
自然地形認識では、画像特徴が照明や姿勢で変化する。そこで探査機自身が認識しやすい人工物を先に置けば、相対航法の問題を単純化できる。ターゲットマーカはこの発想である。
反射体をフラッシュで照らせば、背景の岩石より強い反射を得やすい。機上画像処理は高輝度点を抽出し、画像内位置から横方向偏差を推定できる。自然特徴の完全な3D認識より計算負荷を抑えられる利点もある。
ただしArticle 05で見るように、第2回タッチダウンでは既に表面へ置かれたマーカが存在したため、新たなマーカを追加すると二つを誤識別する問題が生じた。〔SRC022〕 人工ランドマークも、環境状態が変われば新しい曖昧性を生む。
14. 障害物検知と「安全側」の意味
小惑星表面では、大きな岩へ近づいても地球から即時に見て止めることはできない。このため機上センサで危険を検知し、必要なら降下を止める仕組みが必要になる。
しかし安全側へ逃げる動作にもリスクがある。化学スラスタを噴射して上昇すれば、次回降下に使う推進剤を消費する。姿勢が悪ければ太陽電池や通信条件も変わる。したがって、単純に「異常なら停止」ではなく、どの異常でどこへ退避し、どの状態なら再試行できるかまで設計する必要がある。
深宇宙のフェイルセーフは、機械を停止して人が修理できる工場設備とは異なる。完全停止が安全とは限らず、太陽指向や通信確保など、最低限の機能を維持するセーフホールドが必要になる。
15. リアクションホイール故障が降下へ与えた意味
2005年7月にX軸、10月にY軸のリアクションホイールが使えなくなり、3基のうち1基のみが残る状態になった。〔SRC003〕 それでも降下を続けられたのは、化学スラスタ等を組み合わせて姿勢制御を補ったからである。
ただし、これは正常状態と同じ精度・余裕ではない。リアクションホイールは推進剤を消費せず連続的に姿勢を調整できるが、スラスタ利用では推進剤を消費し、微小な噴射でも並進速度へ影響し得る。近傍運用ではこの差が重要になる。
この時点で既に機体は縮退状態に入っていた。したがって11月のリハーサルとタッチダウンは、新品同様の探査機による試験ではなく、故障した姿勢制御系を抱えながら残存機能で実行する工程だった。
16. 地上局切替は通信インフラの状態遷移でもある
深宇宙追跡では、地球の自転により一つのアンテナから対象が見え続けるわけではない。ある局の可視時間が終われば、別の局へ引き継ぐ必要がある。11月12日のリハーサルでNASAの深宇宙追跡局網を使い、複数局切替の運用性を確認したことは、着陸シーケンスの一部と考えるべきである。〔SRC006〕
切替では単に電波を受け直すだけでなく、最新の軌道・時刻・運用状態を共有し、コマンド権限とデータ経路を途切れさせない必要がある。探査機側の自律制御と、地上局側のインフラ運用が同期して初めて一つの閉ループになる。
このため降下リハーサルは、探査機ソフトの試験であると同時に、国際的な地上システムの結合試験でもあった。
17. MINERVA不着陸から読み取るべき範囲
MINERVAがイトカワへ留まれなかった事実は、はやぶさ全体の自律航法が失敗したことを意味しない。ローバ放出イベントは、母船タッチダウンとは異なる速度・高度条件を持つ別シーケンスだった。
逆に「ローバだけの失敗だから無関係」と切り離すのも正しくない。放出時刻のずれ、地上指令遅延、母船位置ドリフトが結果へ影響したという点は、本番降下にも共通する時間管理上の教訓である。
異常事例を他工程へ適用するときは、故障原因をそのまま横展開するのではなく、共通する制約変数を抽出する必要がある。この場合は、通信遅延・イベント時刻・相対速度である。
18. リハーサルの価値は「本番と同じことをする」ことではない
実機リハーサルは、本番手順を完全コピーするほど良いわけではない。本番前にしかできない計測・較正を優先し、危険を抑えながら不確実性を減らす必要がある。
はやぶさでは、LRF較正、ターゲットマーカ認識、地上局切替、MINERVA放出などを別々の機会へ割り振った。すべてを一度の降下で試せば効率はよいが、一つの異常で複数目的を同時に失う。
この考え方は試運転工程にも通じる。I/Oチェック、単動、インターロック、手動シーケンス、自動運転を段階的に進めるのは、異常発生時に原因を局所化するためでもある。深宇宙探査では再試行機会が少ないため、その段階化がさらに重要になる。
19. 降下速度を下げるほど「時間遅れ」の影響が消えるわけではない
低速降下は衝突リスクを下げるが、その分、降下に時間がかかり、地上指令・地上局可視時間・探査機ドリフトの影響を受ける時間も長くなる。11月12日の再リハーサルでは慎重に速度を落としたため予定より降下時間が延び、NASA追跡局の運用時間帯へ合わせて目標条件が変化した。〔SRC006〕
したがって速度を下げれば単純に安全になるわけではない。接触エネルギーは減る一方、時間依存の誤差が増える。制御設計では、衝突リスクとドリフト・運用時間リスクのトレードオフになる。
20. 最終接近では「センサの有効レンジ」をつなぐ必要がある
遠距離では地上測距やLIDAR、より近距離ではLRF、画像処理、接触検知というように、距離帯ごとに有効なセンサが変わる。重要なのは、そのレンジが途切れず重なることだ。
あるセンサが下限へ達する前に次のセンサが十分信頼できる状態へ入らなければ、航法情報に空白が生じる。リハーサルでLRF較正を行った理由も、本番のセンサ引継ぎを成立させるためである。〔SRC006〕
これは産業設備で、長距離検出器から近接センサ、最終位置決めセンサへ切り替える設計と同じで、切替境界の検証が重要になる。
21. 本番前の残留リスクをゼロにしない判断
11月12日のMINERVA不着陸や既存のリアクションホイール故障があっても、プロジェクトはタッチダウンへ進んだ。これはリスクが消えたからではなく、主要な降下・接地機能について実行可能性が確認され、残留リスクを受容したからである。
実機ミッションでは、全不確実性をゼロにするまで試験を続けることはできない。燃料、時間、地上局、天体幾何に期限がある。どのリスクがブロッカーで、どれが監視付きで受容可能かを決めるゲート判断が必要になる。
リハーサルの目的は「絶対安全の証明」ではなく、本番判断に必要な不確実性を十分小さくすることである。
22. リハーサルでは地上系も含めて「一つの制御系」として検証する
深宇宙探査では、探査機本体だけを試験しても運用系全体の成立性は確認できない。コマンド作成、送信タイミング、地上局の切替、テレメトリ受信、状態判定、次コマンドの承認まで含めて、一連の閉ループを実環境で通す必要がある。降下リハーサルの価値は、機上センサやアクチュエータの性能確認だけでなく、この地上―宇宙機間の運用インターフェースを検証できた点にもある。〔SRC003・SRC006〕
これは産業制御でいえば、単体I/Oチェックと総合試運転の違いに近い。各機器が単独で正常でも、通信遅延、状態遷移、タイムアウト、担当間の判断境界が噛み合わなければシステムは成立しない。はやぶさのリハーサルは、そうした統合条件を本番前に露出させる工程だった。
23. 微小重力では「接地後」も制御問題が続く
地球上の着陸では、脚が接地して荷重を支えれば安定状態へ移れる。しかしイトカワでは重力が極めて小さく、わずかな反力でも探査機は再び表面から離れ得る。したがって最終降下は、接地位置だけでなく、相対速度、姿勢、接触判定、その後の離脱まで一続きのシーケンスとして設計する必要があった。次稿の二度のタッチダウンが複雑なイベントになった背景には、この環境条件がある。
最終的にリハーサルで得るべきものは成功率の数字ではなく、本番時に「どの観測を見て、どの条件なら続行・中止するか」という判断材料である。実環境試験によって判断境界を具体化できることが、予行演習以上の価値になる。
Conclusion
はやぶさの降下リハーサルは、単なる予行演習ではなかった。微小重力・不規則地形・通信遅延という地上では完全再現できない条件の中で、センサ、誘導航法、自律ロジック、地上局運用を統合試験する工程だった。
ターゲットマーカは最終接近の人工基準点、LRFは近距離の幾何計測、MINERVAは別目的の小型ローバだった。それぞれの結果を一つの「成功/失敗」にまとめると、システムとして何が確認され、何が課題として残ったかを見失う。
次の記事では二度のタッチダウンを扱う。特に重要なのは、2005年11月当時に分かっていたことと、2010年にカプセルを開け、2011年に粒子を分析して分かったことを分離することである。
FACT CHECK｜出典・参考資料
- SRC003｜ISAS/JAXA｜「はやぶさ」の軌跡｜https://www.isas.jaxa.jp/j/enterp/missions/hayabusa/history.shtml
- SRC006｜ISAS/JAXA｜「はやぶさ」のリハーサル降下再試験の結果について｜https://www.isas.jaxa.jp/j/snews/2005/1112.shtml
- SRC007｜ISAS/JAXA｜Current Status of Hayabusa Spacecraft – Communication and Operation Resumption｜https://www.isas.jaxa.jp/e/snews/2006/0308
- SRC022｜ISAS/JAXA｜「はやぶさ」の第２回着陸飛行の結果と今後の計画について｜https://www.isas.jaxa.jp/j/snews/2005/1129.shtml
- SRC028｜ISAS/JAXA｜「はやぶさ」のリハーサル降下試験の結果について｜https://www.isas.jaxa.jp/j/snews/2005/1104.shtml
RCF検証ノート / Verification Narrative
MINERVAについては「ローバ故障」と表現せず、JAXAが説明する放出時の高度・相対条件を原因として記述した。降下制御については「完全自律」と誇張せず、地上計画と機上判断の役割分担として説明した。11月4日のリハーサル詳細は本稿の主眼ではないため、未確認の細部を補わず、公式タイムラインで成立する範囲に留めた。
最終確認
- MINERVA release vs touchdown mission separated: PASS
- Ground/spacecraft control boundary explained: PASS
- Unsupported exact timing introduced: 0
- Next article scope preserved: PASS
NEXT FILE
CASE088-05｜二度のタッチダウン――採取シーケンスと帰還試料の実像