X 線天文衛星ひとみ (ASTRO-H) への FRAM 適用 有人宇宙システム株式会社 IV&V 研究センター道浦康貴 宇宙航空研究開発機構第 3 研究ユニット片平真史 石濱直樹有人宇宙システム株式会社 IV&V 研究センター野本秀樹 道浦康貴 JAXA All Rights

X線天文衛星ひとみ（ASTRO-H）への

FRAM適用

2017.11.8 有人宇宙システム株式会社 IV&V研究センター 道浦 康貴 宇宙航空研究開発機構 第３研究ユニット

概要

『X線天文衛星ASTRO-H「ひとみ」異常事象調査報告書』を

基に、FRAM分析を実施した結果を、FRAMの分析手順に沿っ

て紹介する

FRAM

分析

の流れ

Step.1:機能の把握 機能間の特徴的なインタラクションを識別し、 インタラクションすることの成功要因（メリッ Step.2:FRAMモデルの作成 Step.3:特徴の識別 Step.4:成功要因の識別 評価対象システムの機能を整理

Step.1：機能の把握

質問を通して評価対象システムの機能を把握する ××機能 機能概要 (1) その機能の開始トリガーは何か？ (2) 条件が変わった場合、どのように適応するか？ (3) オフノミナル条件に対してどのように反応するか？ (4) リソースは安定的に供給されるか？不安定要因 は？ (5) 外部環境はどのくらい安定？不安定要因は？ (6) 不安定要因はたびたび発生？ (7) 「当然」と思われている前提条件はあるか？ (8) 時間制約によるプレッシャーはどこにかかるか？ (9) 特別なスキル、特別な高機能、特別な高信頼性を 必要とする箇所は？ (10) 最適な実行方法というものが存在しているか？ まず機能の概要を把握する。 (1) その機能の目的は何か？ (2) 機能の入出力は何か？ 次に、FRAMのインタビュー技法に基づき機能の詳細を把握する。 (1) その機能の開始トリガーは何か？ (2) 条件が変わった場合、どのように適応するか？ (3) オフノミナル条件に対してどのように反応するか？ (4) リソースは安定的に供給されるか？不安定要因は？ (5) 外部環境はどのくらい安定？不安定要因は？ (6) オフノミナル条件はたびたび発生？ (7) 「当然」と思われている前提条件はあるか？ (8) 時間制約によるプレッシャーはどこにかかるか？ (9) 特別なスキル、特別な高機能、特別な高信頼性を必要とする箇所は？

Safety-I と Safety-II

•

Safety-I

–

悪い原因から悪い結果が生まれると定義する安全工学

–

悪い事象を分析

–

なぜ失敗するのかを分析してリスクを識別

•

Safety-II

–

良い原因（成功）からも悪い結果が生まれるとする安全工学

–

良い結果を生むのも、悪い結果を生むのも、同じ機能共鳴（成

功）の産物

–

なぜ成功するのかを分析してリスクを識別

失敗

Step.1：機能の把握

悪いところに着目した機能の整理 その設計だと問題が多 すぎるのではないか？ リスクが発生しないよ うに、どのような対策 をとっているのか？

© Vector Open Stock

http://free-illustrations.gatag.net/2014/09/04/050000.html 他の設計案と比較し て、リスクが少ない 根拠はあるか？ 追求が厳しい・・・ あまり話し過ぎず、無難 な回答に徹しよう。

Step.1：機能の把握

良いところに着目した機能の整理 困難な設計だけど、機能を実 現できたことがすばらしい。 考慮したポイントは？ 苦労したと思うが、 どうやって、この設 計を考案することが できたのか？

© Vector Open Stock

http://free-illustrations.gatag.net/2014/09/04/050000.html 他の設計案と比較 して、良い箇所は あるか？ 苦労して設計した所を否定せ ずに聞いてくれるので、背後 要因も含めて沢山話そう。

Step.1：機能の把握

Step.1の目的は、

システムのリスクを識別することではなく、

機能の本質を網羅的に整理すること

そのため、リスクだけに着目した質問ではなく、

システムの良いところを含めた質問を行うことが重要

成功 失敗

（引用）

ASTRO-H 姿勢制御系機器

姿勢角を取得 衛星内のホイールを回転 させ、姿勢を変更 衛星内のコイルに 電流を流し、磁気を 発生させ、角加速度 を与える 現在姿勢を推定する ために、太陽の位置 を取得 姿勢角速度を取得 推薬を噴射し姿勢を変更

ASTRO-H 姿勢制御概要

姿勢制御概要

・慣性基準装置（IRU）を用いて、衛星の各軸（X,Y,Z）の角速度を計測

・IRU角速度を時間積分し、衛星の姿勢（deg）を決定

・角速度には誤差が有るため、時間経過と共に誤差が蓄積

・精度の高いスタートラッカ（STT）の姿勢角を用いて、IRUの誤差を補正

角度誤差（deg） 1deg 姿勢変更中はSTTの姿勢角を使用していないため、 IRU角速度の時間積分による誤差が発生 STTで姿勢角の誤差を補正

ASTRO-H 姿勢制御概要

姿勢制御概要

・ASTRO-HではIRU時間積分で求めた姿勢角とSTTの姿勢角の差が

1degを超えると、STTの異常と判断する設計

・ASTRO-Hでは、姿勢角の誤差が1degを超える現象が発生

角度誤差（deg） 1deg 角度誤差が1degを超えるとSTT異常

ASTRO-H 不具合シナリオ

・IRU誤差推定値が STTデータで補正 できず、高い 誤差推定値を維持 ・カルマンフィルタ の初期化時、観測 値側に大きく振る ように値を設定

把握した各機能を、以下の６つの要素（5入力＋1出力）で定義し、

FRAMモデルを作成する。

• I Input 機能の開始トリガーとなる入力 • P Precondition 機能の開始の前提条件となる入力 • R Resource 機能の実施に必要な資源となる入力 • T Time 機能の実施の制約となる時間情報 • C Control 機能の実施方法を変える制御入力 • O Output 機能の出力 機能 I T C O R P

Step.2： FRAMモデルの作成

Step.2：FRAMモデルの作成

STT入力 IRU入力 STT１ STT2 IRU１ IRU2 カルマンフィルタ 太陽センサ1 IRU誤差推定 姿勢異常判定 モード管理 STT故障判定 誘導 _{スラスタセーフ} ホールド コマンド処理 磁気トルカアン ローディング RW制御 RW角運動量監視

特徴① 同種の複数入力

STT入力 IRU入力 粗太陽センサ入力 STT故障判定 スラスタセーフホールド 姿勢異常判定 モード管理

特徴① 同種の複数入力

スラスタセーフホールドの開始は、システムが自動で 実施するだけでなく、地上管制からのコマンドによっ て、手動で実施することが可能 ・スラスタ制御値（自動） ・太陽方位角（自動） ・スラスタセーフホールドモード遷移（手動） 太陽方位角 スラスタセーフホール ドモード遷移 スラスタ制御値

特徴① 同種の複数入力

成功要因： 緊急時に、手動でスラスターセーフモードへ移行す ることができるため、運用の自由度が高いアーキテ クチャとなっている。 リスク要因： 自由度の高さという成功要因があるが、逆に機能の 開始トリガーが複数存在するため、意図しないセー フホールド処理が発生しないように注意する必要が ある。 _{太陽方位角} スラスタセーフホール ドモード遷移 スラスタ制御値

特徴① 同種の複数入力

機能の開始トリガーが複数存在する場合： ・メリット： 運用性の自由度が高くなる ・リスク ： どちらかに優先度はあるか 想定される入力順序はあるか 優先順位、入力順序が想定外の時、何が起こるか 太陽方位角 スラスタセーフホール ドモード遷移 スラスタ制御値 特に、人とシステムが介在する場合は、誤った開始トリガーの発生に注意し、

特徴② ループ構造

主に下記の内容に沿って評価を行う ・Function AとFunction Bは、互い に共鳴により強め合う、または弱め あう、もしくは、その複合という関 係になることがある。

特徴② 大きなループ構造

大きなループ構造 STTの姿勢角を用いて RW制御を行う。 RW制御により姿勢変更 となり、姿勢変更中の 場合、STTの姿勢角の 取り込みを行わない STTから姿勢角を取得 STT入力 カルマンフィルタ RW制御 誘導 モード管理 STT2 STT1 STT入力からの姿勢角と、姿勢角の 前回値から、姿勢角推定値を計算 姿勢角推定値から、RW RW制御中 ステータス を出力 姿勢変更中 ステータス を出力

特徴② 大きなループ構造

カルマンフィルタを中心とする大ループ構造 オーソドックスなフィードバック制御をおこなっ ている • 成功要因： – カルマンフィルタを用いてSTTの姿勢角推定 値と、IRUの姿勢角速度推定値を生成するこ とで、より精度の高い姿勢制御を行うことが できる (天文衛星のポイント) – STTにカルマンゲインを寄せることで、IRU誤 差推定値を急速に収束させることができる （天文衛星のポイント） 【STT入力】 STTから姿勢角を取得 【RW制御】_{姿勢制御を実施} 【カルマンフィルタ】 姿勢角推定値と 姿勢角速度推定値を計算 【IRU入力】 【誘導】 姿勢制御量 を計算

特徴② 大きなループ構造

• リスク要因： – 急速に収束させる反面、STTのカルマンゲイ ンが大きいため、姿勢角がジャンプする可能 性がある – センサから取得した値がジャンプすると、推 定値の誤差が一時的に大きくなる [誤差が大きくなる状況] STT、IRU共に入力データが一時的に途絶えた 時、誤差が大きくなる • 姿勢変更中の時 （姿勢変更中は、STTのデータを使用しなく なるため） • 2系統あるIRUが切り替わった時 姿勢角がジャンプし、 推定値の誤差が大

特徴② 大きなループ構造

STTにカルマンゲインを寄せた結果 成功要因： 天文衛星の姿勢角をすばやく安定させる リスク要因： 姿勢角のジャンプ 対応策： 入力開始直後の姿勢角はすぐに使用開始せず、 収束に向かうまでの一定時間経過した後、姿 勢角を使用し始めることで、成功要因を生か しつつ、リスクを回避することが可能になる と考えられる。 (引用)X線天文衛星ASTRO-H「ひとみ」異常事象調査報告書P.34（4.2）異常発生メカニズム①：IRU誤差推定値の動き