●ひとみの姿勢制御の仕組み
X線天文衛星「ひとみ」(ASTRO-H)が通信を途絶してから約1カ月が経過した。ひとみに何が起きたのか。通信できない状態が続いているため、衛星の状況を直接知ることはできないものの、直前までの通信データや、地上からの観測により、かなりの部分が分かりつつある。ここで改めて、ひとみの現状についてまとめてみたい。
これまでの解析により、ひとみにはまず姿勢に異常が発生したことが分かっている。今回の事故に深く関わっているのが衛星の姿勢制御系である。衛星はどうやって姿勢を制御しているのか、最初に解説しておこう。
○ひとみの姿勢制御の仕組み
衛星の姿勢、つまり向きを制御しているのが姿勢制御系だ。何かを観測しているときには姿勢を維持する必要があるし、観測対象を変えるときには向きを動かす必要がある。また発電するためには太陽電池に光を当てなければならないし、通信するためにはアンテナを地上に向ける必要がある。姿勢制御系は、衛星の生死に関わる重要なシステムなのだ。
姿勢制御系は、現在の姿勢を調べるセンサー群と、姿勢を変える力を発生させるアクチュエータ群、そして制御するコンピュータから構成される。
アクチュエータには、リアクションホイール(RW)、磁気トルカ(MTQ)、姿勢制御スラスタ(RCS)などの種類がある。ひとみにはこのすべてが搭載されている。
リアクションホイールは、内部に高速回転する円盤を持つ装置だ。衛星の姿勢が維持されているとき、円盤の回転数を上げてみると、衛星は逆方向に回転を始める。衛星とリアクションホイールとの間では、角運動量が保存されるからだ。目標の向きになったときに円盤の回転数を元に戻せば、衛星はそこで再び静止する。
リアクションホイール1個では1方向の回転しか制御できないため、3次元で任意の姿勢を取るためには最低3個のリアクションホイールが必要になる。通常は、冗長性を持たせた4個構成になっている場合が多く、この構成なら1個が故障しても問題無く運用を続けることができる。ひとみもこのタイプだ。
磁気トルカは、要は電磁石である。地球には磁場があって、周回衛星はこの磁場の中を飛行している。ここで電磁石をオンにすると、地球磁場と作用し、回転しようとする力(トルク)が発生する。方位磁石が南北を向くのと原理は同じだ。磁気トルカを3軸分用意し、電流の向きやオンオフをうまく制御すれば、必要なトルクを得ることができる。
RCSは小型のロケットエンジンである。スラスタの組み合わせ次第で、姿勢制御にも軌道制御にも利用できる。ひとみのRCSの燃料はヒドラジン。触媒で分解させてガス化し、ノズルから噴射することで推力を発生させる。ひとみでは、4方向×2系統=8基のスラスタが底部に搭載されている。
衛星の姿勢制御は基本的にリアクションホイールで行うのだが、リアクションホイールを運用するときには、必ず「アンローディング」と呼ばれる作業が必要になる。
前述のように角運動量は保存されるから、衛星の回転速度が一定なのであれば、リアクションホイールの回転数も変わらないはずだ。ところが実際には、衛星にはさまざまな外乱(重力傾斜、大気抵抗、太陽輻射圧など)が働く。姿勢を維持するために外乱のトルクに対抗しようとすると、リアクションホイールの回転数はどんどん上昇する。
リアクションホイールの回転数には限界があるから、放置するといずれは限界に達してしまう。そうなる前に、回転数を落とす必要があり、その作業がアンローディングというわけだ。ひとみのような周回衛星は磁気トルカでアンローディングするが、地球を離れる探査機は磁気トルカが使えないため、RCSを利用する。
一方、センサーには、慣性基準装置(IRU)、スタートラッカ(STT)、太陽センサー(CSAS)などがある。ひとみにはこれらが2個ずつ搭載されており、主系に異常が発生したときには、冗長系に切り替えられるようになっている。このほか地球センサーというものもあるが、ひとみでは使われていない。
IRUはいわゆるジャイロだ。直接検出できるのは3軸分の角速度(deg/s)だが、角速度を積分することで、現在の姿勢(deg)が計算できる。ただし、時間が経つと誤差が累積して大きくなってしまうので、スタートラッカ等で補正しながら使う必要がある。
スタートラッカはカメラで視野内の恒星を撮影し、その位置関係から衛星の姿勢を計算する装置だ。恒星位置のデータベースとパターンマッチングすることで、高精度に姿勢を割り出すことができるが、視野に地球が入る時間帯(地蝕)は利用できない。ひとみのスタートラッカは望遠鏡の先端に取り付けられいる。
太陽センサーは太陽の方角を検出する。広い視野を持つ粗太陽センサーと、高い精度の精太陽センサーがあるが、ひとみに搭載されているのは粗太陽センサーである。
何か不測の事態が起こった非常時に、衛星は太陽電池を太陽に向けたままゆっくり回転する「セーフホールドモード」に移行する。まず生存に必要な電力を最優先で確保して、地上からの指示を待つという戦略だ。ひとみの粗太陽センサーは、通常の姿勢制御では利用しないが、セーフホールドモードへの移行で使われる。
なお、ひとみの座標軸は、望遠鏡の視線方向がZ軸、太陽電池側がY軸となる(残りのX軸はZ軸とY軸に直交する向き)。セーフホールドモードは、つまりY軸まわりに回転して、その回転軸を太陽に向けた状態だ。衛星の座標軸は説明の中で良く出てくるので、ぜひ覚えておいて欲しい。
●ひとみに何が起きたのか
○ひとみに何が起きたのか
ひとみとの通信が途絶したのは3月26日。かに星雲を観測していたひとみは、3時1分から姿勢変更を行い、活動銀河核の観測に移行していたところだった。内之浦局と最後に通信できたのは3時2分。その後、5時49分、7時31分、9時52分と、海外局で3回の通信を行ったものの、16時40分の通信に失敗。ここで異常が明らかになった。
その後に実施した地上からの光学/レーダー観測により、ひとみが高速に回転しており、いくつかのパーツが分離した状態であることはほぼ確実だ。破片の軌道から逆算して、分離は10時42分前後に起きたと見られる。ひとみは構造的に、1周3秒程度の高速回転(20rpm)で一部が分離する可能性があることが分かっている。
3時2分の段階で、衛星の状態は正常だった。それから半日もしない間に、どうして衛星が壊れるほどの高速回転になったのか。宇宙航空研究開発機構(JAXA)のこれまでの解析では、衛星の姿勢制御系において、以下に述べる3つの異常事態が連鎖的に起きたらしいということが分かってきている。
(事象1)姿勢決定の異常
ひとみはIRUとSTTを使い、現在の姿勢を推定する。ひとみは3時1分～3時22分に姿勢変更を実施。ちょうど3時20分～4時0分はSTTの地蝕だったため、STTは待機モードになっていたが、IRUの補正を行うために、4時9分に立ち上げて(補足モード)、4時10分頃よりデータの出力を開始(追尾モード)したと見られる。
IRUの出力には必ず誤差があるため、その誤差を推定しておいて、誤差を補正する方法がとられている。たとえば、静止した状態ならIRUの出力は0のはずだが、実際にはバイアスが乗って完全に0にはならない。IRUの出力値から誤差推定値を引いておけば、より正しい角速度が分かる、というわけだ。
姿勢変更を行った後は、IRUの誤差は大きくなる傾向がある。4時10分頃にSTTの計測値(=実際の姿勢)が届き始めると、誤差推定値も計算上、一時的に大きくなったが、この動き自体は正常だ。ただ、通常は時間が経過するとすぐ収束するはずだったのに、今回は直後にSTTがリセットするという、想定外の事象が起きたようだ。
STTの出力が止まってしまったせいで、IRUの誤差推定値は更新がストップ。Z軸では21.7deg/hという大きな値が保持され続けた。STTは4時14分頃には出力を再開したとみられるが、すでに誤差が蓄積されており、IRUによる姿勢値と、STTによる姿勢値の差が大きくなっていた。
ひとみでは、両者の差が1degを超えていた場合、IRUの方を優先するようになっており、STTの値は棄却され続けたという。この結果、実際に衛星は回転しておらず、IRUが計測していた角速度も0に近かったと思われるが、誤差推定値の分だけ衛星が回転していると思い込んでしまい、リアクションホイールを制御、衛星が回転を始めた。
結果的には、IRUとSTTの姿勢値が違ったとき、「IRUが正しい」と判断したことが誤りであったわけだが、このようなケースで、どちらが正しいのか、衛星が自律的に判断するのは簡単なことではない。今回とは逆に、STTの方が間違える場合もあるだろう。故障などさまざまな状況が考えられ、あらゆるケースで正しく判断するのはかなり難しい。
なお今回のように、一度STTの姿勢値が棄却され始めると、いつまでたっても正常な状況に戻らないように思えるが、こうした場合には、地上側で判断。衛星が日本上空に来て、内之浦局と通信できるようになったときに、コマンドを送って手動で復旧させるような運用が想定されていたようだ。
(事象2)アンローディングの異常
最初の異常により、衛星のZ軸まわりの回転が始まってしまったわけだが、回転速度は1時間に20deg程度というゆっくりしたもので、このままなら衛星が壊れることはなかった。しかし、ここで起きたのが2つめの異常。アンローディングが正常に機能しなかったのだ。
地球近傍では、重力傾斜による外乱トルクが大きく働く。この重力傾斜は、ひとみのように細長い物体に対しては、直立させるような力となる。しかし、ひとみは姿勢を維持しなければならないから、リアクションホイールで外乱トルクに対抗。結果として、リアクションホイールの回転数が上昇していく。
通常の運用では、回転数が上がりすぎないように、アンローディングを常時行っている。ところがこのときは、アンローディングが正常に機能せず、最後の通信時(9時52分)には、蓄積された角運動量が112Nmsに達していたことが分かっている。これは、制限値である120Nmsにかなり近い値だ。
なぜ正常にアンローディングが機能しなかったのか、詳しい状況はまだ不明だが、姿勢異常で衛星が回転していたことが関係していると考えられる。IRUによる姿勢値をもとに磁気トルカを制御していたとしたら、実際の姿勢はそれとは数10～100degレベルで違っていたわけで、逆効果になってた可能性もある。
(事象3)セーフホールドモードの異常
リアクションホイールの角運動量が制限値を超えた場合、ひとみはセーフホールドモードに移行するよう設計されていた。リアクションホイールの制御でセーフホールドモードに移行するケースもあるが、今回はそもそもリアクションホイールが原因なので、RCSを使って行われたはずだ(スラスタセーフホールドモード)。
スラスタセーフホールドモードでは、太陽センサーで太陽の方角を検出し、太陽電池をそちらに向けるよう、噴射が行われる。ところが、事後の検証により、スラスタを制御するパラメータが適切な値ではなかったことが明らかになっている。間違ったパラメータ設定のせいで、回転が加速したと見られる。
RCSを使った太陽捕捉制御は、2月17日の打ち上げ直後にも実施されている。このときは正常に行われたのだが、その後、観測用の伸展式光学ベンチなどを展開したことで質量バランスが変化しており、2月28日に制御パラメータを再設定したという。RCSは基本的にほとんど使わないため、2月28日以降、RCSの噴射は一度も行われていなかった。
ひとみにとって、致命傷になったのはこのミスだった。セーフホールドモードでは、IRUやSTTは使わず、太陽センサーのみを使って制御する。最初の2つの事象が起きたとしても、RCSの制御パラメータさえ正しく設定されていれば、無事にセーフホールドモードに移行できていた可能性は高いと思われる。
この制御パラメータについては、送信時のエラーのようなものではなく、作成したデータそのものが間違っていたことが分かっている。どの段階でミスが混入したのか、詳細については調査中とのことだが、送信前の検証が十分だったのかは、疑問が残るところだ。
●ひとみの現状と今後
○ひとみの現状と今後
ひとみとの通信が途絶した後、3月28日までに計3回、短時間ながらも、ひとみからの電波が受信された。そのため、完全に壊れて起動しない状態ではないと考えられるが、これ以降、電波は受信されておらず、現在はバッテリが枯渇した状態になっていると推測される。
ひとみの復旧には、通信の回復が欠かせない。それにはまず電力が必要になるが、現在は高速に回転しており、正常に発電できていないと考えられる。継続して太陽電池に光が当たり、安定して発電できる状態になるのを待つしか無い。
現在どんな回転になっているのかは不明だが、ひとみの形状だと、いずれは最大慣性主軸であるY軸まわりの回転に収束する。セーフホールドモードと同じような形になり、回転軸方向に太陽があれば、安定して発電できるようになる。問題はY軸の向きであるが、地球が公転するうちに、太陽を向くチャンスもあるだろう。
ただし、ひとみは高速回転したことで、太陽電池パドルや伸展式光学ベンチが分離している可能性が高い。形状が変わると、Y軸まわりの回転に収束するとは限らない。地上からの光学観測では形状までは見えないので、このあたりの状況は全く不明だ。
また通信が回復したとしても、完全な形での科学観測はもはや不可能だろう。太陽電池は6枚のうち、半分の3枚が残っていれば科学観測は可能だが、電力的に大きな制約が付く。伸展式光学ベンチが壊れていれば、硬X線の観測はできなくなる。ただ、軟X線と軟ガンマ線の検出器は衛星本体に内蔵されているので、こちらは無事であるかもしれない。
事故の発生からまだ1カ月しか経っておらず、現時点ではまだ諦めるような状況ではないものの、見通しはかなり厳しいと言わざるを得ない。今後、JAXAが現在進めているFTA(故障の木解析)が終わり、原因究明に区切りが付いたら、次世代機をどうするのか、具体的な検討を加速していく必要もありそうだ。
○運用体制も含めた原因究明を
ひとみは日本最大の科学衛星。そのため日本の科学衛星としては初めて、衛星バスがフル冗長構成になっており、信頼性の高さが自慢のはずだった。
ところが本格観測の開始を前に、通信途絶/機体損傷という深刻な事故が起きた。
原因の究明については、今後の検証を待つ必要があるが、筆者としては、衛星のハードウェア/ソフトウェアはもちろん、事故が起きた背景も気になっている。検証や運用に割り当てたリソースは十分だったのか、プロジェクトのマネジメント体制に問題は無かったのか。問題の再発を防ぐためにも、このあたりの検証は重要になってくるだろう。
実際、RCSの制御パラメータのミスを見逃していたというのは、どうも腑に落ちない。軌道上の実機で気軽に試せない以上、地上側で2重、3重のチェックが必要だったはずだ。しかもRCSは、セーフホールドモードの移行で使う命綱である。シミュレータのようなもので確認は行っていなかったのだろうか。
また今回、JAXAが異常に気がついたのは通信が途絶した16時40分だったのだが、その前に海外局で3回受信したテレメトリの中に、衛星の姿勢異常を示すデータが入っていた。1回目と3回目の通信の間には、4時間あった。もし1回目の通信ですぐに異常の兆候を見つけていれば、3回目の通信で何か手を打つことはできなかったか。
JAXAはもともと、内之浦局ですべてのテレメトリの受信とコマンドの送信を行い、海外局では軌道決定のためのレンジング(計測)を行う計画だった。海外局では一部のテレメトリのみ受信しておき、後日解析することになっていたそうだが、ひとみが日本上空を通過するのは、1日15周する中で5回のみ。残りの連続10周は、日本から通信はできない。
ひとみの運用では、JAXAの3カ所の海外局、マスパロマス局(スペイン領カナリア諸島)、ミンゲニュー局(オーストラリア)、サンチアゴ局(チリ)が使われていた。受信したテレメトリを自動解析して、姿勢や電力等に異常があったらすぐにアラートを出すなどして、衛星の監視間隔をもっと密にできないか、今後検討する必要もあるかもしれない。
(大塚実)