レジリエンス・エンジニアリングによる新しい宇宙機冗長設計野本秀樹† 植田聡史†† New Redundancy Design for Spacecraft by Resilience Engineering Hideki Nomoto Satoshi Ueda ねらい従来の宇宙機に採用されてきた冗長設計の弱点を克服し、すぐれたコストパフォーマンスとロバスト性を両立させるために、レジリエンス・エンジニアリングによる新しい冗長設計を提案する。キーワード宇宙機冗長設計レジリエンス・エンジニアリング安全信頼性 Target: This paper aims for introducing a new way of redundancy design by resilience engineering. The new design will contributes to better cost-performance and robustness simultaneously. Keywords: spacecraft, redundancy design, resilience engineering, safety, reliability １．想定する読者・聴衆ントのハードウエアのランダム故障に対しては有効であるが、サブシステム間のインタラクションの設計の本発表は、高信頼性システム、特に宇宙機の開発に穴やソフトウエアのバグ等に起因する現代的で複雑な携わる方を読者・聴衆として想定している。対象とな事象に対しては有効ではない [1])。なぜなら、それらのるのは、高信頼性、安全性の確保のために設計に冗長事象はことごとく共通故障モードであるからである。構成を取り入れているシステムである。さらに、冗長設計の導入そのものがシステムを複雑にし、むしろ安全性を低下させる可能性も指摘されている。NASA の実験航空機の開発報告書[2]によると、フ 2．背景ライト試験のフェーズで発見された全ての不具合が冗セーフティ・クリティカルシステムの高機能化とコスト削減への要求は年々エスカレートしてきている。長設計に関連するものであった。ソフトウエアのバグに代表される「共通故障モード」特に、ポスト ISS 時代の主要ミッションと位置づけらと、冗長設計導入による Redundancy Paradox を解決すれる深宇宙探査の分野においては、膨大な消費推薬量ることのできる新しい冗長設計が望まれている。を抑制する軽量・シンプルなシステムや、巨大システムを成立させるすぐれたコストパフォーマンスと、長期間のミッション期間中に多重故障発生しても自律的 4．提案・実験にサバイバル可能な安全性とを両立しなければならな本発表では、自然界に見られる冗長設計に着目し、い。しかし、この両立は技術的に困難な課題である。従来の宇宙機の冗長設計と自然界の冗長設計との違いなぜなら、安全性や信頼性を向上させるために冗長数を以下のように識別した。を増やせば増やすほど、軽量で低コストなシステムの実現が遠ざかるためである。 (1) 従来の高信頼性宇宙機（有人機等）の冗長設計は、「バックアップ系」を有している。バックアップ系は通常不使用であるため、1 故障許容の構成ではシステムの使用率は 50%となる。 3．課題 (2) 自然界の冗長設計は、「バックアップ系」を持た冗長設計は、宇宙機の安全性向上のために一般的にない。すべての資源（右脚と左脚）は同時に使用いられる技術であるが、この冗長設計には用され、片方を温存するということが無い。1 Redundancy Paradox と呼ばれる技術的な問題が潜在し故障が発生すると、切り替えではなく 2 系運用ている。レブソンによると、冗長設計は、コンポーネから 1 系運用に「デグレード」する。この構成では資源使用率は 100%であり、片系を温存した † 有人宇宙システム株式会社 †† 安全開発保証部 Japan Manned Space Systems Corporation Safety and Product Assurance Department E-mail: [email protected] 宇宙航空研究開発機構有人宇宙ミッション本部 Japan Aerospace Exploration Agency Human Spaceflight Mission Directorate E-mail: [email protected] 1 構成と比べると、ノミナルの能力（足の速さ etc.）はバックアップ型構成の 2 倍を超える。自然界の冗長構成は、上記のようにコストパフォーマンスに優れるだけではなく、共通故障モードに強いという側面も備えている。 (1) 従来の宇宙機の冗長設計では、主系と従系の制御装置には同一の計算ロジックが搭載される。主系異常時には従系に切り替わるが、アリアン５爆発事故[3]に見られるように、ソフトウエアのバグが異常原因の場合は、両系とも停止してしまう。 (2) 自然界の冗長構成では、たとえば左右の手は、形状が同一であるが、機能が明確に異なる。したがって、両手をともに使用不能にするような共通故障モードは存在しにくい。上記のような自然界のすぐれた冗長構成は、長い進化の過程で飢餓の歴史を乗り越えて獲得されたものであり、コストパフォーマンスとロバスト性を見事に両立している。この設計手法の基礎になったのは、レジリエンス・エンジニアリングである。レジリエンス・エンジニアリングの本質は、故障や環境変動などに対して、柔軟に適応し、デグレードや変容といった手法によって粘り強くサバイバルすることである[5]。この考え方が目指すのは、共通故障モードに強い、すなわち、想定外の事象に対する高いロバスト性と、自然界の動植物が有しているコストパフォーマンスとの両立である。また、従来の安全設計に見られるように、冗長切り替えによって常に完全な状態を維持しようとするのではなく、故障に対してデグレードによって対応しつつ、もともと有している大きな性能余裕（推力マージン etc.）によって、冗長切り替えをせずに難なく異常を乗り越えるという安全設計を旨とする。つまり、従来設計においては、安全性を高めれば高めるほどバックアップという「重り」を背負うことになっていたのが、安全性を高めれば高めるほど基本性能もアップし、ミッション達成確率が増すという好循環を生み出すことができる。宇宙機の設計は、安全性とミッション達成能力のトレードオフの場となること従来型宇宙機の冗長構成自然界の冗長構成コストパフ未使用資源が全体の 50% 未使用資源が無い。ォーマンス（2 系）～75%（3 系）最大発揮能力は全系の総最大発揮能力（推力 etc.）は和 1 系の最大値ロバスト性 5．効果が多かった。しかし、新しい冗長設計を導入することにより、それはトレードオフ関係から、互いに高めあう好循環関係に変革することが可能となる。 6．まとめ宇宙機の従来型冗長構成の課題を示した。この課題共通故障モードに弱い共通故障モードが少ない切り替え制御に複雑さがあ切り替えそのものが無いり、リスク但し冗長系の温存も可表 1 従来型冗長構成と自然界の冗長構成の違いをレジリエンス・エンジニアリングによって克服することにより、スラスタ本数の大幅削減というコスト削減を実現しながら、ミッション達成能力を 1 故障許容から 2 故障許容に倍増することができることを示した。また、この手法の導入により、従来宇宙機の設計に見我々は、宇宙ステーション補給機こうのとり(H-II Transfer Vehicle: HTV)の冗長構成に関して、従来型冗られた、安全性とミッション達成性能とのトレードオフという問題を克服することができることを示した。長構成を自然界の冗長構成を模して再設計し、動作シミュレーションを実施した [4]。その結果、スラス文 [1] タ数を 32 本から 24 本に削減したにも関わらず、ミッション達成のロバスト性を 1 故障許容から 2 故障許容に倍増させることができることを見出した（従来と同一スラスタ使用）。システム構成の特徴としては、従来型の主系・従系が同一スラスタ配置となっ献 N. Leveson “Safetware”, p.80. Addison-Wesley Publishing Company, 1995 [2] D. Mackall “Development and flight test experiences with a flight-critical digital control system” Technical Report NASA Technical Paper 2875. National Aeronautics and Space Administration, Dryden Flight Research Facility, 1988 [3] ARIANE 5 Flight 501 Failure Report by the Inquiry Board, ている設計を変え、各系を空間上の別の位置に別角 The 度で搭載し、各系は単独で 6 軸制御を実現できるが、 https://www.ima.umn.edu/~arnold/disasters/ariane5rep.html 3 系同時に使用することにより、高い推力と外乱静定能力（回転制御能力）を両立することを狙った。また、推力と回転力のバランスを最適化するため、動植物の進化にならい、遺伝的アルゴリズムを用いた搭載位置・角度の最適化を行った。 Chairman of the Board: Prof. J.L. LIONS [4] S. Ueda, H. Nomoto, T. Kasai "A study on new GN&C and propulsion system architecture by resilience engineering approach" 9th International ESA Conference on Guidance, Navigation & Control Systems, June 2014 [5] E. Hollnagel, D.D. Woods & N.C. Leveson "Resilient Engineering: Concepts and Precepts" Ashgate Pub Co, September 2006 2