システム・運用#50

セーフモード通信 — 姿勢不明の探査機が「生きている」と伝える設計

姿勢を失い、電源も機器も不安定なセーフモードで、探査機はどうやって最低限の生存確認だけは地球に届け続けるのか。LGAの全方位カバレッジ、残留搬送波への極端な回帰、ステータストーンによる簡易符号化、そして保守的なリンクマージン設計を数式で追う。

前提知識: pcm-psk-pm

セーフモードビーコン信号リンクマージン低利得アンテナ運用

この回で学ぶこと

HGA・MGA・LGAの回では、探査機が姿勢の確度に応じて複数のアンテナを使い分けること、そして「姿勢制御系に異常が起きたり、想定外のイベントで太陽電池パドルが十分な発電をできなくなったりすると、探査機は安全を優先した簡易姿勢に移行する」局面――セーフモード――に軽く触れました。この回では、その先を掘り下げます。探査機が自律的にセーフモードへ移行したとき、通信システムに何が起きるのか、そして地上局とのリンクを最低限でも維持し続けるために、どのような設計思想がとられているのかを数式とともに理解します。

セーフモードは、姿勢喪失・電源異常・機器故障のような「探査機の搭載コンピュータが自力では解決できない異常」を検知した際に、搭載ソフトウェアのフォールトプロテクション(自律的な異常対処)機構が自動的に発動する、あらかじめ規定された安全姿勢・安全構成への移行です。このとき通信システムに課される要求は、定常運用時とはまったく性格が異なります。定常運用では「できるだけ高いデータレートで科学データを送る」ことが目標でしたが、セーフモードでは目標がただ1つに絞られます。**「探査機が生きていて、大まかにどんな状態にあるかを、どんな姿勢・どんな条件になっても地球に伝え続けること」**です。

この回では、PCM/PSK/PMで学んだ残留搬送波の考え方と変調損失の回で定式化した電力配分のトレードオフ、そしてHGA・MGA・LGAの回で見た利得とビーム幅の関係を、セーフモードという極限状況に適用し直します。すでに学んだ道具を、もう一段厳しい制約条件のもとで再利用する回だと思ってください。

直感的導入: 何も分からないときに、何を最優先すべきか

定常運用中の探査機は、自分がどちらを向いているか(姿勢)、どこにいるか(軌道)、そして電源や推進系がどういう状態かを、高い精度で把握しています。この「把握できている」という前提の上に、HGAの精密な地球指向や、高いデータレートでの科学データダウンリンクが成り立っていました。

ところがセーフモードに移行する状況では、この前提そのものが崩れています。姿勢センサが故障して姿勢が分からなくなった、あるいはリアクションホイールが飽和して姿勢制御そのものができなくなった、電源系の異常でどの機器がどれだけ生きているか地上側からは判断できない――こうした状況では、探査機自身も、地上局も、「今どちらを向いているか」を確信を持って言うことができません。

このとき通信設計者が立てるべき問いは、定常運用時とは逆転します。定常運用では「与えられた姿勢・軌道の中で、データレートをどこまで最大化できるか」を問いましたが、セーフモードでは「姿勢や軌道について何も仮定できない最悪の状況でも、リンクが切れないためには何を諦めるべきか」を問うことになります。答えは一貫しています。データレートを極限まで落としてでも、(1) アンテナのカバレッジを全方位に近づけ、(2) 搬送波トラッキングだけは確実に成立させ、(3) 万一の悪条件に備えて普段より大きな余裕(マージン)を積む——この3つです。以下、それぞれを数式で追っていきます。

全方位カバレッジの再確認 — LGAとリンクバジェット

HGA・MGA・LGAの回で導いたように、探査機アンテナの利得とビーム幅にはトレードオフの関係 $G\propto1/\theta_{3\text{dB}}^2$ があり、達成可能なデータレートは送信側アンテナ利得にほぼ比例します。

R_b \;\propto\; G_T

セーフモードでは姿勢が不定であるため、HGAの狭いビーム(ビーム幅 $\theta_{3\text{dB}}$ が1度前後)は事実上使い物になりません。地球が視野の外にあれば利得はほぼゼロだからです。したがって通信を維持できるアンテナは、準無指向性のLGAに限られます。

ここで注意すべきなのは、LGA単体でも真の等方性(アイソトロピック)パターンは実現できず、ボアサイト軸方向に利得の落ち込み(ヌル)を持つトーラス状・半球状のパターンになる、という前回学んだ事実です。セーフモードの姿勢が完全に不定(タンブリングなど)であれば、地球がそのヌル方向に来てしまう可能性も排除できません。そこで実際の探査機は、機体の異なる面(前方・後方など)に複数のLGA( $i=1,\dots,K$ 、各々の利得パターンを $G_i(\theta,\phi)$ とする)を配置し、それらの和集合としてカバレッジを確保します。設計上の要求は、想定される姿勢の集合 $\mathcal{A}$ 内のどの方向 $\Omega$ に対しても、

\max_{i=1,\dots,K}\; G_i(\Omega) \;\ge\; G_{\min} \qquad \forall\, \Omega \in \mathcal{A}

を満たすことです。多くの探査機は完全にランダムなタンブリングに陥る前に、太陽電池を太陽に向ける「太陽指向」の安全姿勢へ自律的に移行するよう設計されています。この場合、地球の方向は太陽・探査機・地球のなす角(位相角)によってある程度絞り込めますが、太陽方向を軸としたロール角(自転位相)までは能動制御されないことも多く、 $\mathcal{A}$ は「太陽指向軸まわりのリング状の範囲」に限定されます。姿勢制御そのものが完全に失われタンブリングする最悪の場合には、 $\mathcal{A}$ は全天球( $4\pi$ sr)に広がり、複数LGAによるほぼ完全な和集合カバレッジが必要になります。

この $G_{\min}$ を使ってリンクバジェットを組むと、実現できるビットレートは前回のHGA-LGA利得差の議論よりもさらに厳しくなります。前回の例(HGA約42 dBi、LGA公称約5〜8dBi)に加えて、姿勢がLGAパターンの谷(ヌルに近い方向)にある場合はさらに数〜十数dB利得が落ち込みます。仮にHGAで100 kbps級のデータレートが出せるリンクだったとしても、LGAの最悪方向利得 $G_{\min}$ が公称ピーク利得よりさらに10 dB(真数10倍)低いとすれば、

R_{b,\text{safe}} \;\approx\; R_{b,\text{HGA}}\times 10^{-(37+10)/10} \;\approx\; R_{b,\text{HGA}}\times 10^{-4.7}

となり、100 kbpsの元リンクに対しては1 bps以下のオーダーまで落ち込みます。セーフモードで達成できるのは、もはや「データレート」と呼べるほどの情報量ではなく、数十秒〜数分に1ビット、あるいはそれ以下の極めて遅い情報伝達だという桁感がここから見えてきます。これが次節の「残留搬送波への回帰」につながります。

残留搬送波への回帰 — 変調指数を極限まで絞る

PCM/PSK/PMと変調損失の回で見たように、PM変調では変調指数 $\Delta$ によって送信電力が搬送波側とデータ側波帯側に配分されます。

P_{\text{carrier}} = P_T\cos^2\Delta, \qquad P_{\text{data}} = P_T\sin^2\Delta

そしてPLLのキャリアループSNRは残留搬送波電力に比例します。

\rho_L = \frac{P_T\cos^2\Delta}{N_0 B_L}

変調損失の回では、打ち上げ直後やクリティカルフェーズで $\Delta$ を小さめ(0.8〜1.3 rad程度の範囲でも小さい側)に設定し、搬送波トラッキングの安定性を優先するという運用上の判断を見ました。セーフモードは、この「搬送波優先」の方針をさらに極端に推し進めた状態だと理解できます。

$\Delta\to 0$ の極限を考えてみましょう。

\cos^2\Delta \to 1, \qquad \sin^2\Delta = \Delta^2 + O(\Delta^4) \to 0

つまり $\Delta$ を小さくするほど、送信電力のほぼ全てが残留搬送波に集中し、データ側波帯に回る電力は $\Delta^2$ のオーダーで急速にゼロへ近づきます。前節で見たように、セーフモードでは元々 $G_{\min}$ の制約でデータレートが極限まで低いことが分かっているので、「データにわずかな電力しか残らない」ことはむしろ望ましい設計選択になります。実際、多くの探査機のセーフモードビーコンは、 $\Delta$ を非常に小さく設定するか、あるいはテレメトリのPCM変調そのものを一時的に停止し、ほぼ純粋な無変調キャリア(CWトーン)、あるいはごく単純な副搬送波トーンだけを送信する構成をとります。

この極端な設計の意味を、リンクバジェットの言葉で言い直すとこうなります。 $P_R/N_0$ (受信電力対雑音密度比)がセーフモードの厳しい条件(低い $G_{\min}$ 、悪化した姿勢・電源状態)のもとで非常に小さくなる中で、その乏しい電力予算をほぼ全て搬送波トラッキングという1点に注ぎ込む。データが読めなくても構わない、その代わり搬送波さえロックできれば、探査機が生きていること、そして受信周波数のドップラーシフトから大まかな速度と(間接的に)軌道の健全性が分かる——これがセーフモード通信設計の核心です。この考え方はPCM/PSK/PMの回で「クリティカルフェーズでは、テレメトリの中身が読めなくても搬送波トラッキングそのものが重要な情報になる」と述べた原則の、最も先鋭化した適用例だと言えます。

ステータストーンの設計 — 数ビットの状態を伝える簡易符号化

とはいえ、無変調の搬送波だけでは「生きている」ことしか伝えられません。実際の運用では、搬送波の存在に加えて、探査機の大まかな状態(たとえば「全システム正常」「電源が低下気味」「緊急の注意が必要」といった数段階の区分)を、ごくわずかな追加情報として乗せたいというニーズがあります。ここで使われるのがステータストーンという考え方です。

最も単純な実装は、PCM/PSK/PMの回で導入した変調指数 $\Delta$ を、連続的に調整するのではなく、あらかじめ決めた離散的な値の集合 $\{\Delta_1, \Delta_2,\dots,\Delta_N\}$ から選んで切り替える、というものです。それぞれの $\Delta_k$ が対応する搬送波電力比 $\cos^2\Delta_k$ は互いに異なるので、地上局はスペクトラムアナライザ、あるいは単純な電力測定器で搬送波とサイドバンドの電力比を測るだけで、フルのビット同期・復調パイプラインを組まなくても、探査機が今どの状態 $k$ にあるかを推定できます。これはPCM/PSK/PMの回で触れた「地上局の運用者がスペクトラムを見ただけで搬送波とデータの配置を目視確認できる」という実務上の利点を、さらに一歩進めてそれ自体を情報伝達の手段として積極的に使う発想です。

このトーン検出の信頼性を、簡単なモデルで定式化してみましょう。PLLがすでに残留搬送波にロックしているという前提があるため(セーフモードでも搬送波トラッキングが最優先だったことを思い出してください)、地上局は搬送波の位相基準を持っており、ある候補周波数 $f_k$ の副搬送波トーンの有無を、コヒーレントな積分(マッチドフィルタ)で検出できます。トーンが電力 $P_{\text{tone}}$ で存在する時間(ドウェル時間)を $\tau$ とすると、PCM/PSK/PMの回のBPSK誤り率の議論とまったく同じ構造で、トーンの有無を判定する誤り確率は

P_e = Q\!\left(\sqrt{\frac{2E_{\text{tone}}}{N_0}}\right), \qquad E_{\text{tone}} = P_{\text{tone}}\cdot\tau

という形になります。ここが極低レート通信の面白いところです。セーフモードのビーコンには、データレートを稼ぐ必要が(ほぼ)ないため、ドウェル時間 $\tau$ を数分から数十分単位まで自由に長く取れます。 $E_{\text{tone}}=P_{\text{tone}}\tau$ は $\tau$ に比例して積み上がるので、瞬時電力 $P_{\text{tone}}$ がどれほど小さくても、積分時間を延ばせば $E_{\text{tone}}/N_0$ をいくらでも大きくでき、 $P_e$ をいくらでも小さくできます。これはマッチドフィルタにおける積分利得(処理利得)の考え方そのものであり、セーフモードビーコンが「極めて弱い信号でも確実に読み取れる」設計になっている数学的な根拠です。

$N$ 種類のステータス(たとえば $\Delta_1,\dots,\Delta_N$ の切り替え、あるいは複数の副搬送波トーンの組み合わせ)を区別できれば、1回のドウェルで伝わる情報量は $\log_2 N$ ビットです。したがって実効的なビーコンのビットレートは

R_{\text{beacon}} = \frac{\log_2 N}{\tau}

となります。 $N=4$ (2ビット相当)、 $\tau=8$ 分(480秒)というような設計であれば、 $R_{\text{beacon}}\approx 4.2\times10^{-3}$ bps という、通常の意味での「データレート」とはかけ離れた、しかし前節で見積もったセーフモードのリンク予算には十分見合う、極めて保守的な情報伝達レートになります。実際に1990年代末にNASA/JPLの新技術実証ミッションDeep Space 1 (DS1) で試験された「ビーコン監視運用 (Beacon Monitor Operations)」という概念実証では、探査機の状態を4段階のトーン(「異常なし、コンタクト不要」から「直ちにコンタクトが必要」まで)に単純化して伝え、地上局はフルパスの追跡を組まずに短時間だけアンテナを向けてトーンを検出するだけで済む、という運用コスト削減の技術実証が行われました。このアイデアの核心は、まさにここで見た「情報量を極限まで絞る代わりに、検出の信頼性(処理利得)を稼ぐ」というトレードオフです。

保守的リンクマージン設計 — 二重の不確かさに備える

変調損失の回ではリンクマージンを、実際に得られる $E_b/N_0$ (あるいはキャリアループSNR $\rho_L$ )と、通信が成立するために必要な閾値との差として定義しました。

M\,[\text{dB}] = \left(\frac{E_b}{N_0}\right)_{\text{available}}\![\text{dB}] - \left(\frac{E_b}{N_0}\right)_{\text{required}}\![\text{dB}]

定常運用のリンク設計では、 $M$ は数dB程度の適度な余裕を見込めば十分でした。姿勢・軌道・電源状態がすべて既知だからです。しかしセーフモードのリンク設計では、この前提が崩れているために、 $M$ を通常よりもかなり大きく取る保守的設計が原則になります。理由は主に3つあります。

1. ポインティング損失の不確かさ。 HGA・MGA・LGAの回で導いたガウス近似のポインティング損失

L_{\text{point}}(\text{dB}) \approx -12\left(\frac{\theta_{err}}{\theta_{3\text{dB}}}\right)^{2}

は、姿勢誤差 $\theta_{err}$ の分布(標準偏差 $\sigma$ )が既知であることを前提にしていました。ところがセーフモードに陥る原因そのものが姿勢センサや姿勢制御系の異常であることも多く、実際の $\theta_{err}$ の分布は設計時の想定より大きく裾を引く(テールが厚い)可能性があります。LGAはビーム幅が広いためこの項自体は小さいですが、ゼロではなく、姿勢知識の劣化を見込んだ追加の余裕が必要です。

2. ドップラー・軌道の不確かさ。 セーフモードへの移行が、想定外の軌道変化(たとえばマヌーバの異常終了)を伴う場合、探査機の実際の位置・速度が地上局の軌道予報(エフェメリス)からずれている可能性があります。これはPLLの受信周波数の探索範囲(サーチレンジ)を広げる必要があることを意味し、探索範囲を広げれば広げるほど、単位時間あたりに走査できる周波数幅は限られるため、実質的な捕捉(アクイジション)に要する時間や、捕捉に必要な最低限のループSNRの余裕が増します。

3. 送信電力そのものの不確かさ。 電源異常が引き金でセーフモードに入った場合、太陽電池パネルの発電量やバッテリの充電状態が公称値を下回っている可能性があり、送信機に供給できる電力 $P_T$ が定常運用時の想定より低いことがあります。これは $EIRP$ を直接押し下げ、リンクバジェット全体を悪化させます。

これら3つの不確かさをすべて悲観的な側(ワーストケース)に寄せて見積もった上で、それでもなお通信が成立するように、セーフモード用のリンクバジェットは定常運用時よりずっと大きな設計マージン $M_{\text{safe}} \gg M_{\text{nominal}}$ を要求します。数dB程度で足りていた定常時のマージンに対し、セーフモードでは10〜20 dB、あるいはそれ以上の余裕を見込む設計判断がとられることも珍しくありません。これは「無駄に保守的」なのではなく、姿勢・軌道・電源という3つの前提すべてが同時に崩れている可能性がある状況で、最後の命綱であるリンクだけは絶対に切らないという設計思想の直接の帰結です。

実務での使われ方

低利得アンテナ経由のビーコン信号の設計は、実際の深宇宙・惑星探査ミッションで繰り返し重要な役割を果たしてきました。

New Horizons(冥王星フライバイ、2015年7月): フライバイ本番のわずか10日ほど前、探査機搭載コンピュータのタイミング競合が原因で自律的にセーフモードへ移行する事象が発生しました。探査機はただちに全方位に近いLGA(オムニアンテナ)へ切り替え、科学観測シーケンスの読み込みを中断して、まずは搬送波トラッキングとコマンド受信経路の確保を最優先しました。JPLの運用チームは限られた時間の中で原因を特定し、フライバイ本番までに定常運用に復帰させることに成功しています。姿勢や機器の詳細状態が不明な段階でも、LGA経由の低レート通信だけは維持され続けたことが、この短期間での原因診断と復旧を可能にした基盤でした。
MESSENGER(水星探査): 水星周辺の厳しい放射線環境の影響で、搭載コンピュータのリセットに伴うセーフモード移行が複数回発生しました。いずれの場合も、探査機はLGA経由の低レートテレメトリに切り替えて地上局とのコンタクトを確保し、地上からのコマンドで定常運用へ復帰させています。
Juno(木星探査): 木星近傍の過酷な放射線環境の中で、搭載ソフトウェアのフォールトプロテクションが複数回作動し、探査機は安全姿勢とLGA通信に自律的に移行しました。木星周回軌道という遠方かつノイズの多い環境下でも、保守的に設計されたビーコンリンクが生存確認とコマンド復旧の窓口として機能しています。
Galileo(木星探査): 連接符号の回で触れたように、HGAの展開失敗という致命的な故障によって、Galileoは巡航フェーズ以降ずっとLGAだけで通信せざるを得なくなりました。この事例は「セーフモードの一時的な措置」ではなく「ミッション全体をLGA前提で再設計せざるを得なかった」極端なケースですが、低利得アンテナと極端な符号化・電力配分の工夫でリンクを生かし続けるという設計思想そのものは、この回で見たセーフモードビーコンの発想と同じ根から出ています。

地上局側の緊急対応運用フローも、あらかじめ規定された手順として整備されています。 ミッション運用センターとDSN(あるいは各国の地上局ネットワーク)は常時、想定される受信周波数帯とビーコン(あるいは残留搬送波)を監視しており、予定にない周波数偏移や信号消失、あるいはあらかじめ定義されたステータストーンの切り替わりを検知すると、次のような緊急対応フローが発動します。

異常検知とアラート: 監視局のオペレータ、あるいは自動監視ソフトウェアが、想定外の信号特性(周波数、ステータストーンのパターン、信号消失)を検知し、ミッション運用チームに通報する。
DSNパスの緊急確保: あらかじめ計画されていたスケジュールを超えて、その探査機のために追加のアンテナパス(追跡時間)を緊急に確保する。信号が非常に微弱な場合は、より大口径のアンテナ(70mアンテナや、複数アンテナのアレイ合成)へ切り替えることもあります。
異常対策チーム(Anomaly Review Board)の招集: ミッション側のエンジニアリングチームが招集され、受信できているビーコン・搬送波の情報(周波数のドップラーシフト、ステータストーンの状態)から、探査機の状態を可能な限り推定する。
コマンドシーケンスの慎重な送出: 探査機の状態が完全には分からない中で、いきなり複雑なコマンドを送るのではなく、まず状態を確認するコマンド、次に最小限の復旧コマンドという形で段階的にコマンドを送り、探査機からの応答(ビーコンの変化)を見ながら慎重に復旧を進める。

この一連の流れは、まさにこの回で見た「搬送波トラッキングとステータストーンだけを頼りに、探査機の生存と大まかな状態を把握する」という設計思想が、実際の緊急運用の現場でそのまま活かされていることを示しています。

演習問題

あるミッションでHGA使用時に $R_{b,\text{HGA}} = 200$ kbps が達成できるとします。セーフモードでLGAに切り替えたとき、HGA-LGA間の利得差が37 dB、さらに姿勢がLGAパターンの谷にあることで追加で8 dBの利得低下があるとすると、 $R_b\propto G_T$ の関係を使って、セーフモードで達成できるビットレート $R_{b,\text{safe}}$ を求めよ。
変調指数 $\Delta_{\text{safe}} = 0.2$ rad のセーフモードビーコンについて、搬送波電力比 $\cos^2\Delta_{\text{safe}}$ とデータ電力比 $\sin^2\Delta_{\text{safe}}$ をそれぞれ計算せよ。変調損失の回の数値例で使われた定常運用時の $\Delta=1.1$ rad の場合と比較し、セーフモードでどれだけ搬送波側に電力が偏っているかを、dB表記の差として示せ。
あるステータストーンについて、 $P_{\text{tone}}/N_0 = -10$ dB-Hz(すなわち真数で $0.1$ )であるとする。ドウェル時間を $\tau=60$ 秒とした場合と $\tau=600$ 秒とした場合それぞれについて、 $E_{\text{tone}}/N_0 = (P_{\text{tone}}/N_0)\times\tau$ を計算し、 $P_e = Q\!\left(\sqrt{2E_{\text{tone}}/N_0}\right)$ を用いて誤り確率がどう変化するか(概算でよい)を比較せよ。ドウェル時間を10倍にすることが検出信頼性にどれほど効くかを論じよ。
なぜセーフモードのリンクマージンは、定常運用時のリンクマージンよりもずっと大きく設計されるのか。本文中で挙げた「ポインティング損失の不確かさ」「ドップラー・軌道の不確かさ」「送信電力の不確かさ」の3つの観点から、自分の言葉で説明せよ。

まとめと次回予告

セーフモード通信設計は、これまでの回で個別に学んできた3つの概念――LGAによる全方位カバレッジ(HGA・MGA・LGAの回)、残留搬送波による搬送波トラッキングの優先(PCM/PSK/PM、変調損失)、そして保守的なリンクマージン設計――を、「探査機の姿勢・軌道・電源について何も確信を持てない」という最悪の前提の上で統合したものだと言えます。データレートを極限まで落とし、その代わりに得られる余裕を、確実な生存確認と最低限の状態伝達に注ぎ込む。この発想の転換こそが、異常時の探査機を見捨てずに済ませてきた設計思想の核心です。

ここまで見てきたセーフモード運用は、あくまで探査機を運用する当事者の宇宙機関(NASAなら自局のDSN)が対応することを前提にしていました。しかし実際には、探査機の緊急事態が、たまたまその瞬間に運用機関自身のアンテナが向けられない位置・時間帯で起きることもあります。次回は視点をさらに一段引き上げ、こうした緊急時に他国・他機関の地上局が探査機の救援に協力できる国際的な枠組み――IOAG(Interagency Operations Advisory Group)やCCSDSが定める相互運用(クロスサポート)の考え方――に軽く触れます。

参考文献

DSN Telecommunications Link Design Handbook, DSN No. 810-005
J. H. Yuen (ed.), Deep Space Telecommunications Systems Engineering, JPL Publication 82-76
CCSDS 401.0-B, Radio Frequency and Modulation Systems, Part 1: Earth Stations and Spacecraft
E. J. Wyatt et al., Beacon Monitor Operations Technology Validation on the Deep Space One Mission, NASA/JPL New Millennium Program 技術検証報告
J. R. Wertz, D. F. Everett, J. J. Puschell (eds.), Space Mission Engineering: The New SMAD
IOAG, Service Catalog #2: Space Communication Cross Support(緊急時クロスサポートに関する記述)