探査機の自律性レベルと通信要求 — 光速の壁が決める「どこまで任せるか」

この回で学ぶこと

オンボード自律軌道決定では、探査機が自分自身で「今どこにいるか」を推定する技術を扱いました。あれは自律性という広い山脈のなかの、航法という一つの尾根にすぎません。この回では一段高いところに登り、「探査機にどこまで判断を任せるか」という自律性の度合いそのものを設計変数として扱い、それが通信システムへの要求をどう変えるかを定量的に見ていきます。

通信の教科書では、リンクバジェット・変調・符号化といったパラメータは「与えられたデータレート要求を満たすための手段」として登場します。しかし、そのデータレート要求はどこから来たのでしょうか。実は運用の自律性レベルが、必要ダウンリンク量・必要可視時間・許容通信中断長という通信系の根本要求を決めているのです。自律性は「あると便利な機能」ではなく、通信系の設計要求そのものを生成する上流のパラメータです。

この回で扱うのは次の5点です。

1. 光速の壁がつくる「地上からの制御が原理的に不可能な領域」の定式化
2. ECSS が定義する自律性レベル $E1 \sim E4$ の階層と、各レベルで往復する情報の質的な違い
3. 自律性とダウンリンク量の定量的関係、およびそれと引き換えに失われる検証可能性のトレードオフ
4. 許容中断長(survival time)$T_{\text{surv}}$ の設計と、それが地上局スケジューリングの余裕に直結する仕組み
5. セーフモードの設計思想 — 「止めて待つ」か「自分で直す」かの期待損失による定式化

直感的導入 — 光速という、交渉の余地のない制約

まず、なぜ自律性が「あったら便利」ではなく「なければ成立しない」ものになるのかを、数字で確認します。

探査機と地球の距離を $d$ とすると、往復光行時間(RTLT: Round-Trip Light Time)は

$$T_{\text{RTLT}} = \frac{2d}{c}$$

です。$1\,\text{AU} = 1.496\times 10^{11}\,\text{m}$、$c = 2.998\times 10^{8}\,\text{m/s}$ ですから、1 AU あたりの片道光行時間はちょうど約 499 秒(8.3分)。これを使うと主要な目的地の RTLT は次のようになります。

対象	距離の範囲	片道光行時間	RTLT
月	約 0.0026 AU	約 1.3 秒	約 2.6 秒
火星	0.52 〜 2.68 AU	約 4.3 〜 22 分	約 9 〜 45 分
木星	4.2 〜 6.2 AU	約 35 〜 52 分	約 1.2 〜 1.7 時間
土星	8.0 〜 11 AU	約 1.1 〜 1.5 時間	約 2.2 〜 3.0 時間
海王星	約 29 〜 31 AU	約 4.0 〜 4.3 時間	約 8 〜 9 時間
ボイジャー1号(現在)	約 165 AU	約 23 時間	約 46 時間

ここで、地上のオペレータが探査機を「見ながら操作する」フィードバック制御ループを考えてみましょう。地上が異常を検知して指示を返すまでの遅延は、少なくとも $T_{\text{RTLT}}$ に、テレメトリ解析と判断にかかる地上側の処理時間 $T_{\text{ground}}$ を加えたものになります。

$$T_{\text{loop}} = T_{\text{RTLT}} + T_{\text{ground}}$$

制御工学の常識として、遅れ $T_{\text{loop}}$ を含むフィードバックループが安定に外乱を抑制できるのは、外乱の時定数 $\tau_{\text{event}}$ に対しておおむね

$$T_{\text{loop}} \ll \tau_{\text{event}}$$

が成り立つ場合に限られます。この不等式が破れる事象については、地上ループは原理的に存在しないのと同じです。火星大気圏突入から着陸までの約7分、小惑星表面へのタッチダウン最終降下の数分、スラスタ噴射の異常検知——これらはすべて $\tau_{\text{event}} \ll T_{\text{loop}}$ の領域にあります。

もっと言えば、$T_{\text{loop}}$ には可視性(ビジビリティ)の制約も加わります。地上局が探査機を見ていない時間帯や、DSNのアンテナが他機に割り当てられている時間帯には、そもそも指示を送れません。実効的な地上ループ遅延は

$$T_{\text{loop}}^{\text{eff}} = T_{\text{RTLT}} + T_{\text{ground}} + T_{\text{wait}}$$

となり、$T_{\text{wait}}$(次の可視パスまでの待ち時間)は火星ミッションでは数時間から1日、深宇宙探査機では数日に達することも珍しくありません。自律性とは、この $T_{\text{loop}}^{\text{eff}}$ より短い時定数の事象に対して、探査機自身が意思決定の主体になるということにほかなりません。

自律性レベルの階層 — ECSS の $E$ レベル

「自律性が高い/低い」という言い方は曖昧なので、宇宙機の分野には標準化された階層があります。ヨーロッパの規格 ECSS-E-ST-70-11C(Space segment operability) は、ミッション実行の自律性を4段階に定義しています。

$E1$: 地上からのリアルタイムコマンド実行。 すべての運用行為は地上からのコマンドとして送られ、探査機はそれを受信して実行します。搭載側に許された自律機能は、生存のための最低限の安全確保だけです。地球周回衛星の初期の運用や、クリティカルな軌道制御の実施時にはこの形態が取られます。

$E2$: 事前計画された時刻タグ付き運用の搭載実行。 地上は「この時刻にこれをせよ」という**時刻タグ付きコマンド列(time-tagged command sequence)**をあらかじめアップロードし、探査機は搭載スケジューラに従って自律的にそれを消化していきます。判断は一切していません——決められた時刻に決められたことをするだけです。それでも、可視パスがない時間帯にも運用を継続できるという点で、$E1$ からの跳躍は非常に大きいものです。PUS(Packet Utilization Standard, ECSS-E-ST-70-41)のサービス ST[11](On-board Scheduling)がこれを実現する標準サービスです。

$E3$: 事象ベースの適応的運用の搭載実行。 探査機は「もし $X$ が起きたら $Y$ をせよ」という条件付きの規則を持ち、搭載センサの読みや内部状態に応じて振る舞いを変えます。PUS の ST19サービスがこれに対応し、イベント報告 ST[5] で定義された事象に対して自動的にアクションを紐づけます。地上が事前に想定した分岐のなかで選ぶ、という意味では「決められた選択肢からの選択」ですが、時刻ではなく状況が行動を駆動する点が $E2$ との決定的な差です。

$E4$: 目標指向運用の搭載実行。 地上は「何をせよ」ではなく「何を達成せよ」を送ります。たとえば「今日中にこの3地点を撮像し、消費電力を上限以下に保ち、日没前に通信姿勢に戻れ」という目標(goal)と制約(constraint)の集合です。探査機は搭載プランナでこれを満たす行動系列を自ら生成し、実行中に状況が変わればその場で再計画(replanning)します。地上が知らない行動系列を探査機が実行しうる、というのがこのレベルの本質です。

なお同規格は、故障管理の自律性についても別軸で $F1 \sim F4$ を定義しています($F1$: 安全状態への遷移のみ、$F2$: 安全状態からの復旧、$F3$: 冗長系への再構成、$F4$: 故障の予測と予防)。後半のセーフモードの議論はこの $F$ 軸の話です。

各レベルで往復する情報は「質的に」変わる

ここが通信系にとって決定的に重要な点です。レベルが上がると、通信量が減るだけでなく、送っている情報の意味が変わります。

レベル	アップリンクの内容	ダウンリンクの内容
$E1$	個々のコマンド(命令の列)	全センサの生テレメトリ、高頻度
$E2$	時刻タグ付きシーケンス(数時間〜数日分)	実行確認と housekeeping
$E3$	規則・閾値・条件分岐の定義	「どの事象が発火したか」の事象報告
$E4$	目標と制約(何を達成したいか)	「何をしたか・なぜそう判断したか」のサマリ

$E1$ の地上は「命令する主体」ですが、$E4$ の地上は「目的を与え、結果を受け取る主体」です。この違いは、後で見るように、地上での事後解析能力(検証可能性)という深刻な代償を伴います。

ダウンリンク量の定量化 — なぜ桁で減るのか

自律性レベルの上昇がテレメトリ量をどれだけ削るのか、モデルを立てて見積もってみましょう。

低自律($E1 \sim E2$)の場合

低自律の運用では、地上が探査機の内部状態を完全に再構成できる必要があります。なぜなら、次の指示を作るのは地上だからです。したがって、$N_{\text{ch}}$ 個のテレメトリチャンネル(温度、電圧、電流、姿勢角、バルブ開度、…)を、それぞれサンプリング周波数 $f_s$、量子化ビット数 $b$ で送り続けることになります。

$$R_{E1} = \sum_{i=1}^{N_{\text{ch}}} b_i f_{s,i} \;\approx\; N_{\text{ch}}\, b\, f_s$$

典型的な深宇宙探査機の housekeeping チャンネル数は数千規模です。$N_{\text{ch}} = 3000$、$b = 16$ bit、$f_s = 1$ Hz とすると

$$R_{E1} = 3000 \times 16 \times 1 = 4.8 \times 10^{4}\ \text{bps} = 48\ \text{kbps}$$

1日あたりでは $48\,\text{kbps} \times 86400\,\text{s} \approx 4.1\ \text{Gbit}$。深宇宙リンクにとってこれは決して小さくない負担です。

高自律($E4$)の場合

高自律の運用では、地上は探査機の内部状態を逐一知る必要がありません。必要なのは「何をしたか」「その結果どうなったか」というサマリです。1日あたり $K$ 件の意思決定イベントが発生し、各イベントを $H$ ビットで記述するとすれば

$$R_{E4} = \frac{K H}{86400}$$

$K = 200$ 件/日、$H = 200$ bit(イベント種別、時刻、対象、選択された行動、結果コードなど)とすると

$$R_{E4} = \frac{200 \times 200}{86400} \approx 0.46\ \text{bps}$$

圧縮率を定義すると

$$\rho = \frac{R_{E1}}{R_{E4}} = \frac{4.8\times10^{4}}{0.46} \approx 1.0 \times 10^{5}$$

5桁です。この極端な例が実在するのが、後述するビーコンモニタ運用で、探査機の状態を最終的に「4値のトーンのうちどれを送るか」、すなわち $\log_2 4 = 2$ ビットにまで圧縮してしまいます。

もちろん実運用の $E4$ で housekeeping を完全に捨てるわけではありません。現実的には、平常時はサマリのみを送り、異常発生時にのみ該当時間帯の詳細データを地上の要求に応じて送り返す(オンデマンド・リトリーブ)という階層化が取られます。この場合の平均レートは、異常発生確率を $p$、詳細データ量を $V_{\text{detail}}$ として

$$\bar{R} = R_{E4} + \frac{p\, V_{\text{detail}}}{86400}$$

となり、$p \ll 1$ である限り $R_{E1}$ よりはるかに小さく抑えられます。これは要するに、テレメトリ設計を「常時全部送る」方式から「大容量メモリに貯めておき、必要になったものだけ送る」方式へ転換するということです。

代償 — 検証可能性の損失

しかし、ただ得をしただけではありません。$E1$ の地上は探査機の状態ベクトル $\mathbf{x}$ をほぼ完全に受け取っていました。$E4$ の地上が受け取るのは、その要約 $\mathbf{y} = g(\mathbf{x})$ です。$g$ は不可逆な写像ですから、地上は $\mathbf{x}$ を一意に復元できません。

この損失は情報理論の言葉で測ることができます。搭載状態 $X$ とダウンリンクされる要約 $Y$ の相互情報量を使い、検証可能性指標を

$$\nu = \frac{I(X;Y)}{H(X)} = 1 - \frac{H(X\mid Y)}{H(X)} \in [0,1]$$

と定義しましょう。$\nu = 1$ なら地上は搭載状態を完全に再構成でき($E1$ の理想)、$\nu \to 0$ なら「探査機が何かをしたことは分かるが、なぜそうしたかは分からない」状態です。$H(X\mid Y)$ は、地上が事後解析で埋められない曖昧さそのものです。

ここに、通信系設計者にとって本質的なトレードオフが現れます。ダウンリンクのレート $R$ は、レート歪み理論の意味で $\nu$ の増加関数です。

$$R \ge R(\nu), \qquad \frac{dR}{d\nu} > 0$$

すなわち 「帯域を節約する」ことと「地上で説明責任を果たせる」ことは同じ資源を奪い合っているのです。この対立は単なる技術問題ではありません。異常が起きたとき、その原因を突き止めて再発を防ぎ、後続ミッションに教訓を残せるかどうかは、$\nu$ をどこまで確保していたかにかかっています。何億ドルもの探査機が原因不明のまま失われる事態を避けるために、実務では次のような折衷が使われます。

• 判断の根拠(rationale)を明示的にログする。 単に「行動 $a$ を選んだ」ではなく、「制約 $c_3$ が違反しそうだったので $a$ を選んだ」という決定変数の値をイベントレコードに含める。$H$ を数十ビット増やすだけで $\nu$ が大きく改善する。
• リングバッファ方式。 直近 $T_{\text{ring}}$ 時間ぶんの詳細テレメトリを常に搭載メモリに保持し、異常時にはそれを凍結して事後にダウンリンクする。平時の帯域を消費せずに $\nu$ を確保する仕組みで、航空機のフライトレコーダと同じ発想。
• 決定論的な搭載ソフトウェア。 搭載プランナが同じ入力に対して常に同じ出力を返すよう設計されていれば、地上は入力のサマリだけから探査機の判断を再現できる。これは $H(X\mid Y)$ を構造的に小さくする最も強力な手段であり、$E4$ 級の自律機能に確率的・学習的アルゴリズムを安易に導入することが忌避される主要な理由でもあります。

許容中断長 $T_{\text{surv}}$ と、地上局スケジューリングへの波及

自律性レベルが上がるほど、探査機は「地上と連絡が取れないまま安全に生き延び、運用を継続できる時間」が伸びます。これを survival time $T_{\text{surv}}$ と呼びます。$T_{\text{surv}}$ は複数の制約の最小値として決まります。

$$T_{\text{surv}} = \min\left( T_{\text{mem}},\ T_{\text{point}},\ T_{\text{clock}},\ T_{\text{cons}},\ T_{\text{plan}} \right)$$

(a) メモリ制約 $T_{\text{mem}}$。 科学データ生成レートを $R_{\text{gen}}$、搭載メモリ容量を $M$ とすると、データを捨てずに溜め続けられる時間は

$$T_{\text{mem}} = \frac{M}{R_{\text{gen}}}$$

$M = 256$ Gbit、$R_{\text{gen}} = 2$ Mbps なら $T_{\text{mem}} = 1.28\times10^{5}$ 秒 $\approx 1.5$ 日です。

(b) 指向制約 $T_{\text{point}}$。 姿勢決定誤差がドリフト率 $\dot{\theta}$ で蓄積するとき、高利得アンテナのビーム幅 $\theta_{3\text{dB}}$ の半分を超えるとリンクが成立しなくなります。

$$T_{\text{point}} = \frac{\theta_{3\text{dB}}}{2\,\dot{\theta}}$$

(c) 時刻制約 $T_{\text{clock}}$。 搭載発振器の周波数安定度を $\varepsilon = \Delta f / f$ とすると、時刻誤差は $\Delta t = \varepsilon T$ で蓄積します。時刻タグ付き運用が許容する誤差 $\Delta t_{\max}$ に対して

$$T_{\text{clock}} = \frac{\Delta t_{\max}}{\varepsilon}$$

USO(超安定発振器)の $\varepsilon \sim 10^{-11}$、$\Delta t_{\max} = 1$ ms とすれば $T_{\text{clock}} = 10^{8}$ 秒(約3年)。実用上ここが効くことは稀ですが、安価な水晶発振器($\varepsilon \sim 10^{-8}$)では $10^{5}$ 秒(約1日)まで縮み、小型探査機では現実の制約になります。

(d) 消耗品・熱制約 $T_{\text{cons}}$、(e) 計画枯渇 $T_{\text{plan}}$ — 後者は「アップロード済みのコマンドシーケンスを実行し尽くすまでの時間」で、$E2$ 運用ではこれが $T_{\text{surv}}$ を支配します。ここに自律性レベルが直接効きます。$E2$ ではシーケンスを使い切ったら探査機は無為に待つしかありませんが、$E4$ では目標が残っている限り自分で計画を作り続けられるため $T_{\text{plan}} \to \infty$ に近づき、$T_{\text{surv}}$ の律速がメモリや消耗品へと移ります。

スケジューリング余裕への直結

$T_{\text{surv}}$ が伸びると何が嬉しいのか。ここでDSNのアンテナ競合の話につながります。

$N$ 機の探査機が1基のアンテナ資源を共有する状況を考えます。探査機 $i$ は、少なくとも $P_i$ の周期で1回、$\tau_i$ の長さの通信パスを確保しなければなりません。この「周期タスクによる資源占有」は、リアルタイムスケジューリング理論における周期タスク集合とまったく同じ構造をしており、単一資源での実行可能性は利用率(utilization)

$$U = \sum_{i=1}^{N} \frac{\tau_i}{P_i} \le 1$$

という条件で判定できます(デッドライン優先のスケジューリングを仮定した場合の必要十分条件)。ここで、

• パス周期の上限は許容中断長そのものです: $P_i \le T_{\text{surv},i}$
• 1パスに必要な時間は、その周期に溜まったデータ量をリンクレート $R_{\text{link}}$ で割ったもの: $\tau_i = V_i / R_{\text{link},i}$、ただし $V_i = \bar{R}_i P_i$

これらを代入すると

$$U = \sum_i \frac{\bar{R}_i P_i}{R_{\text{link},i} P_i} = \sum_i \frac{\bar{R}_i}{R_{\text{link},i}}$$

という美しい形になります。平均データ生成レートとリンクレートの比の総和が1を超えなければスケジュール可能、というわけです。ここで自律性は二重に効きます。

1. $\bar{R}_i$ を下げる。 前節で見たように、自律性はテレメトリ量を桁で削ります。$U$ が直接下がります。
2. $P_i$ の上限を上げる。 $T_{\text{surv}}$ が伸びると、パスを飛ばしても構わなくなります。$U$ の式自体は $P_i$ に依存しませんが、これは制約充足の柔軟性を意味します。$P_i$ を大きく取れると、スケジューラは「この探査機のパスは今日でなくても明日でよい」と判断でき、他機の緊急要求(クリティカル運用、惑星到着、太陽合明けの再取得など)に資源を譲れます。$U \le 1$ が満たされていても、$P_i$ が短いタスクばかりだと実際のスケジュール作成は硬直し、わずかな擾乱で破綻します。

この2つ目の効果は、$U$ という一つの数字には現れないものの、運用現場ではより切実です。「1日1回必ず繋がなければ死ぬ探査機」と「1か月繋がなくても平気な探査機」では、アンテナ調整会議での交渉の立場がまったく違うのです。

セーフモードの設計思想 — 「止めて待つ」か「自分で直す」か

自律性の議論で最も判断が難しいのが、異常時の振る舞いです。伝統的な設計思想と、より自律的な設計思想を比較しましょう。

伝統型($F1$ 相当、safe-and-wait)。 異常を検知したら、科学観測をすべて停止し、姿勢を太陽指向(電力確保)にし、低利得アンテナに切り替えて低レートのテレメトリを流し続け、地上の指示をひたすら待つ。詳しくはセーフモード時の通信の回で扱った通りです。

自律復旧型($F2 \sim F3$ 相当)。 異常を検知したら、搭載の故障診断機能(FDIR)が原因を切り分け、冗長系に切り替える、あるいは該当機器をリセットして、自力で通常運用に復帰する。

どちらを選ぶべきかは、期待損失で定式化できます。科学的成果の損失率を $c_{\text{op}}$(単位時間あたり)、ミッション喪失という破局的損失を $C_{\text{cat}}$ とします。

伝統型の期待損失は、復旧までのダウンタイム全体に比例します。

$$J_{\text{safe}} = c_{\text{op}} \left( T_{\text{RTLT}} + T_{\text{ground}} + T_{\text{wait}} + T_{\text{recover}} \right) = c_{\text{op}} D_{\text{safe}}$$

自律復旧型は、診断と再構成にかかる時間 $D_{\text{auto}}$(通常は分オーダー)で済みますが、確率 $p_e$ で誤診断を犯し、それが破局につながるリスクを負います。

$$J_{\text{auto}} = (1-p_e)\, c_{\text{op}} D_{\text{auto}} + p_e\, C_{\text{cat}}$$

$J_{\text{auto}} < J_{\text{safe}}$ となる条件、すなわち自律復旧が正当化される誤診断確率の上限は

$$p_e < p_e^{*} = \frac{c_{\text{op}}\left( D_{\text{safe}} - D_{\text{auto}} \right)}{C_{\text{cat}} - c_{\text{op}} D_{\text{auto}}}$$

具体的な数字を入れてみましょう。破局的損失を「残存ミッション期間 1000 日ぶんの科学成果」と評価し($C_{\text{cat}} = 1000\, c_{\text{op}}\,\text{day}$)、火星周回機で $D_{\text{safe}} = 5$ 日、$D_{\text{auto}} = 10$ 分 $\approx 0.007$ 日とすると

$$p_e^{*} \approx \frac{5 - 0.007}{1000 - 0.007} \approx 5.0\times10^{-3}$$

すなわち 誤診断確率が 0.5% を下回ることを立証できなければ、自律復旧は割に合わないという結論になります。これは搭載FDIRの検証にきわめて高いハードルを課します。

一方、外惑星探査機ではどうでしょうか。$T_{\text{RTLT}}$ が 3 時間、次のDSNパスまで $T_{\text{wait}} = 7$ 日、地上の異常解析に $T_{\text{ground}} = 5$ 日かかるとして $D_{\text{safe}} = 15$ 日、残存ミッション 3000 日とすると

$$p_e^{*} \approx \frac{15}{3000} = 5.0\times10^{-3}$$

——奇しくも同程度になりましたが、これは $C_{\text{cat}}$ も同時に大きくなったためです。重要なのは、$D_{\text{safe}}$ を押し上げる要因(遠さ、パスの疎さ、地上人員の薄さ)がすべて自律復旧の側に有利に働くという構造です。実際、太陽系外縁に向かうミッションほど、また運用予算が縮小した延長ミッションほど、自律復旧の導入圧力が高まります。

さらに、誤警報(false alarm)そのもののコストも無視できません。異常検知の閾値を厳しくすると誤警報率 $P_{\text{FA}}$ が上がり、正常なのにセーフモードに落ちて科学観測を失います。緩めると検知漏れ率 $P_{\text{MD}}$ が上がり、本当の異常を見逃します。これは前に扱った受信機の検出理論とまったく同じネイマン・ピアソン型の問題であり、総期待損失

$$J_{\text{det}} = P_{\text{FA}} C_{\text{FA}} + P_{\text{MD}} C_{\text{MD}}$$

を最小化する閾値を選ぶ、という定式化になります。$C_{\text{MD}} \gg C_{\text{FA}}$ である宇宙機では閾値は保守側に置かれ、その結果「大した異常でもないのにセーフモードに入ってしまう」ことが実運用ではしばしば起こります。

実務での使われ方

火星ローバーの1ソル運用サイクル

NASAの火星探査車キュリオシティ(MSL)およびパーサヴィアランス(Mars 2020)の運用は、1ソル(火星日、約24時間39分)に1回のコマンドアップロードを基本サイクルとしています。朝、地球から「今日やること」のシーケンスがアップリンクされ、ローバーは日中それを実行し、夕方に火星周回機(MRO、Mars Odyssey、TGO)経由の中継パスで成果をダウンリンクします。地上チームはそのデータを見て翌ソルの計画を作ります。これは基本的に $E2$(時刻タグ付きシーケンス)に、随所に $E3$(事象ベースの分岐)を織り込んだ形態です。

この枠組みの中で、走行だけは $E4$ に近い自律性を持っています。AutoNav(パーサヴィアランスでは ENav と呼ばれる強化版)は、ステレオカメラで前方の地形を撮影し、搭載計算機上で digital elevation map を作って通行可能性を評価し、危険を避ける経路を自分で選んで走ります。地上が指定するのは「あそこまで行け」という目標地点だけです。

なぜこれが決定的に重要かというと、地上から経路を1本ずつ指定する「blind drive」では、その日にダウンリンクされた画像で見えている範囲までしか走れないからです。自律航行があれば、見えていない先へ進める。パーサヴィアランスの AutoNav は、地上検証で約 120 m/h の走行速度を達成しており、これは blind drive の数倍にあたります。1ソルあたりの走行距離が数倍になるということは、同じ通信サイクルのままミッションの科学的生産性が数倍になるということです。自律性が通信資源の制約を回避する典型例と言えます。

ビーコンモニタ運用 — 究極のテレメトリ圧縮

1999年、技術実証機ディープ・スペース1号(Deep Space 1)は Beacon Monitor Experiment を実施しました。探査機は搭載ソフトウェアで自分の健康状態を評価し、その結論を4つのトーン周波数のうち1つとして送信します。おおむね「正常(連絡不要)」「興味深い(都合のよいときに connect せよ)」「重要(数日以内に connect せよ)」「緊急(直ちに connect せよ)」の4段階です。

このとき送っている情報は文字通り $\log_2 4 = 2$ ビットです。しかし通信リンクの観点では、これは驚異的な利得を生みます。搬送波トーンだけを検出すればよいので、必要な $E_b/N_0$ の観点で言えば「テレメトリを復調してエラーなく読む」より遥かに小さい受信信号強度で足り、大型の 70 m 局ではなく小型局や短時間パスで済みます。つまり DSN の高価な資源をほとんど消費せずに、健康監視だけを続けられるわけです。

同じ発想は ニュー・ホライズンズの巡航期にも使われました。冥王星到達までの9年半の大半を hibernation(冬眠)モードで過ごし、週に1度、状態を表すビーコントーンを送り、月に1度だけ本格的なテレメトリセッションを行うという運用です。これによりDSNの利用時間と運用チームの人件費を劇的に削減しました。

ESA の hibernation — $T_{\text{surv}}$ を極限まで伸ばす

ESAの彗星探査機ロゼッタは、木星軌道付近まで遠ざかる巡航フェーズで太陽電池の発電量が不足するため、2011年6月から2014年1月まで 31か月にわたって完全に通信を断ちました。搭載されているのは基本的に「タイマーが切れたら起きて、ヒーターを入れ、姿勢を立て直し、地球を探して電波を出せ」という自律シーケンスだけです。$T_{\text{surv}} \approx 950$ 日という、極端に長い許容中断長を設計したことになります。2014年1月20日、予定通り自力で目覚めて “Hello, World!” のシグナルを送ってきたことは、自律性設計の成功例として広く知られています。

ESAの探査機はまた、**OBCP(On-Board Control Procedure)**という仕組みを標準的に備えています。これは搭載計算機上で解釈実行されるスクリプトのようなもので、地上から新しい手順を「プログラムとして」アップロードし、条件分岐やループを含む複雑な運用を探査機側に任せられます。$E3$ の実装形態として実務上きわめて重要な技術です。

$E4$ の実証 — Remote Agent Experiment

$E4$(目標指向の自律)が実際に深宇宙探査機で動いた最初の例も、ディープ・スペース1号でした。1999年5月、Remote Agent Experiment (RAX) として、搭載プランナ・スケジューラ・実行系・モデルベース診断系からなるAIシステムが約2日間にわたって探査機の制御権を持ち、地上からは「これらの目標を達成せよ」という高レベルの指示だけが与えられました。実験中には人工的に注入された故障や、実際の予期せぬソフトウェアデッドロックも発生しましたが、システムはこれに対処あるいは安全に停止しました。

この実験が示したのは、$E4$ が技術的に可能だということと同時に、検証(V&V)が根本的に難しいということでもありました。取りうる行動系列の数が組合せ的に爆発するため、地上試験ですべての振る舞いを尽くすことができません。前節で見た $p_e^{*} \sim 10^{-3}$ という誤診断確率の要求を、こうしたシステムについて立証するのは容易ではありません。$E4$ の本格採用が慎重に進められている最大の理由がここにあります。

有人ミッション — 「人間が乗っている」ことによる質的変化

有人ミッションでは、自律性の議論が質的に変わります。第一に、判断主体としての人間が現地にいるため、自律性は「搭載計算機に任せる」だけでなく「乗員に任せる」という選択肢を持ちます。アポロ計画以来、地上管制(ヒューストン)が判断の中心を担ってきましたが、これは月の RTLT が約2.6秒という、辛うじて会話が成立する距離だったからこそ可能でした。

会話の自然さを損なわない片道遅延はおよそ 400 ms が限界とされており(有人ミッションの音声通信の回で扱いました)、月(片道1.3秒)ですら既に不自然です。火星の片道4〜22分では、地上との会話による意思決定は完全に成立しません。したがって火星有人ミッションでは、運用上の権限そのものを乗員に移譲する Earth-independent operations という概念が中心的な設計思想になります。NASAはこれをArtemis計画からMarsへの重要な技術的橋渡しの一つと位置づけています。

第二に——ここが通信系設計者にとって重要ですが——自律性が上がっても通信要求は下がりません。むしろ上がります。無人探査機なら $E4$ 化でダウンリンクを桁で削れましたが、有人ミッションでは

• 生命維持系の連続監視データ(異常が人命に直結するため $\nu$ を落とせない)
• 乗員の生体データ、医療支援のための高精細画像
• 双方向の音声・映像(遅延があっても心理的支援の価値がある)
• 地上の専門家チームによる遠隔支援のためのコンテキスト共有

といった要求が積み上がります。すなわち有人ミッションにおける自律性の向上は、通信量を減らすためではなく、遅延があっても運用が破綻しないようにするために必要とされるのです。これは無人探査機のケースとは動機がまったく異なることに注意してください。

演習問題

1. ある土星周回探査機について、$T_{\text{RTLT}} = 2.6$ 時間、地上での異常解析に $T_{\text{ground}} = 3$ 日、次のDSNパスまでの平均待ち時間 $T_{\text{wait}} = 4$ 日、復旧手順の実行に $T_{\text{recover}} = 1$ 日を要するとします。伝統型セーフモードのダウンタイム $D_{\text{safe}}$ を求めなさい。また残存ミッション期間を 2500 日、自律復旧に要する時間を 15 分として、自律復旧型FDIRが正当化されるための誤診断確率の上限 $p_e^{*}$ を計算しなさい。

2. 探査機の housekeeping テレメトリが $N_{\text{ch}} = 4000$ チャンネル、$b = 12$ bit、$f_s = 0.5$ Hz で送られている($E1$ 相当)。これを $E4$ 化して、1日あたり $K = 500$ 件のイベントレコード(各 $H = 320$ bit)のみを送る方式に変えたとき、平均ダウンリンクレートは何倍になるか求めなさい。さらに、異常発生確率 $p = 0.05$ /日で 1 回あたり $V_{\text{detail}} = 200$ Mbit の詳細データをオンデマンドで送る場合の平均レート $\bar{R}$ を計算し、それでもなお $E1$ より小さいことを確認しなさい。

3. 3機の探査機が1基のDSNアンテナを共有しており、それぞれの平均データ生成レートとリンクレートが $(\bar{R}_i, R_{\text{link},i}) = (120\ \text{kbps},\ 500\ \text{kbps})$、$(80\ \text{kbps},\ 400\ \text{kbps})$、$(150\ \text{kbps},\ 600\ \text{kbps})$ であるとします。利用率 $U = \sum_i \bar{R}_i / R_{\text{link},i}$ を計算し、スケジュール可能かどうか判定しなさい。次に、1機目の探査機を自律化して $\bar{R}_1$ を 1/4 に削減したとき $U$ がどう変わるか求め、そこで生まれた余裕を「新しい探査機の受け入れ」と「既存探査機のパス周期 $P_i$ の延長」のどちらに使うべきか、運用上のロバスト性の観点から論じなさい。

4. 検証可能性指標 $\nu = 1 - H(X\mid Y)/H(X)$ について、次の3つの設計がそれぞれ $\nu$ をどう変えるか、また通信レート $R$ をどう変えるかを論じなさい。(a) イベントレコードに「なぜその行動を選んだか」という決定変数の値を追加する。(b) 搭載プランナに乱数を用いた探索を導入する。(c) 直近72時間の全テレメトリをリングバッファに保持し、異常時のみダウンリンクする。特に (b) について、$E4$ 級の自律機能に確率的アルゴリズムを導入することが実務で忌避される理由を、$p_e^{*}$ の議論と結びつけて説明しなさい。

まとめと次回予告

自律性は、探査機の「賢さ」の問題ではなく、通信システムの要求仕様を上流で決定する設計変数です。この回で見たように、

• 光速の壁は $T_{\text{loop}}^{\text{eff}} = T_{\text{RTLT}} + T_{\text{ground}} + T_{\text{wait}}$ という実効遅延をつくり、これより速い事象については地上ループが原理的に存在しない。
• ECSS の $E1 \sim E4$ という階層は、単に通信量が減る段階ではなく、往復する情報の意味が「命令とセンサ値」から「目標と判断の要約」へ質的に変わる段階を表す。
• ダウンリンク量は自律化によって桁で削減できるが($\rho \sim 10^{5}$ という極端な例がビーコンモニタ)、その代償として検証可能性 $\nu$ が失われる。判断根拠のログ、リングバッファ、決定論的な搭載ソフトウェアが、この対立を緩和する実務的な手段である。
• 許容中断長 $T_{\text{surv}}$ の延長は、$U = \sum_i \bar{R}_i/R_{\text{link},i} \le 1$ という資源利用率を下げるだけでなく、スケジューリングの柔軟性という数字に表れない余裕を生む。
• セーフモードを「止めて待つ」型にするか「自分で直す」型にするかは、$p_e < p_e^{*}$ という期待損失の比較で判断でき、遠方・低頻度パス・長期延長ミッションほど自律復旧が有利になる。
• 有人ミッションでは自律性の動機が逆転し、通信量削減のためではなく、遅延下でも運用が成立するために自律性が要求される。

次回は、この自律性の話をもう一歩進めて、オンボードAIによる科学データ選別を扱います。今回は「何をしたか」を要約する話でしたが、次回のテーマは「何を送るか」を探査機自身に選ばせる話です。限られたダウンリンク帯域に対して観測データが桁違いに多いとき、探査機が撮った画像のうち科学的に価値のあるものだけを搭載側で判定して送る——地球観測衛星EO-1のASE(Autonomous Sciencecraft Experiment)や、火星探査車のAEGISによる自律的な観測対象選定といった実例を通じて、その判定アルゴリズムと、誤って捨ててしまうリスクの評価を見ていきます。今回登場した検証可能性 $\nu$ の議論が、そこでは「捨てられたデータは二度と検証できない」という、さらに深刻な形で再登場することになります。

参考文献

• ECSS-E-ST-70-11C, Space engineering — Space segment operability, ECSS Secretariat, 2008
• ECSS-E-ST-70-41C, Space engineering — Telemetry and telecommand packet utilization (PUS), ECSS Secretariat, 2016
• CCSDS 350.0-G, The Application of Security to CCSDS Protocols および CCSDS 902.0-M, Mission Operations Services Concept
• N. Muscettola, P. P. Nayak, B. Pell, B. C. Williams, “Remote Agent: to boldly go where no AI system has gone before,” Artificial Intelligence, Vol. 103, 1998
• E. J. Wyatt et al., “An Overview of the Beacon Monitor Operations Technology,” International Symposium on AI, Robotics and Automation in Space (i-SAIRAS), 1997
• M. Maimone, Y. Cheng, L. Matthies, “Two Years of Visual Odometry on the Mars Exploration Rovers,” Journal of Field Robotics, Vol. 24, 2007
• O. Toupet et al., “Terrain-Adaptive Wheel Speed Control on the Curiosity Mars Rover,” Journal of Field Robotics, 2020
• ESA Rosetta Mission, Deep Space Hibernation and Wake-up Operations, ESOC 技術報告
• J. R. Wertz, D. F. Everett, J. J. Puschell (eds.), Space Mission Engineering: The New SMAD, Microcosm Press