宇宙機システムズエンジニアリング

第1.1章宇宙機システムの全体像

1.1.1 ミッションとバス

宇宙機は大きくミッション部（目的そのものを果たす観測機器・実験装置）と バス部（ミッション部を宇宙で生かすための共通基盤）に分けて考える。 科学衛星なら望遠鏡や分光器がミッション部であり、それに電力を与え、温度を保ち、 観測方向へ向け、データを地球へ届ける一切がバス部である。 設計の本質は「ミッション要求を、限られたリソース（質量・電力・予算・日程）の中で バスがどう支えるか」という配分問題であり、本書の大半はこの配分の技法の説明である。

1.1.2 サブシステムの一覧 — 8つの系

バス部は慣例的に次の系（サブシステム）に分割される。名称や切り方はプロジェクトごとに 多少異なるが、機能の集合としてはほぼ普遍である。

これに、系を横断する分野としてフライトソフトウェア（第3.7章）、 信頼性・品質・安全(第IV部)、そして全体を束ねるシステム設計（第II部）が加わる。 あなたがどの系の担当になっても、残り7つの系と必ず「取り合い」（インタフェース——第2.4章）が発生する。 それが宇宙機開発の面白さであり難しさである。

1.1.3 リソースの連鎖 — 設計はなぜ「連成問題」か

宇宙機の設計が難しいのは、系ごとの設計が独立に閉じないからである。典型的な連鎖を追ってみる。 観測機器の分解能を上げたい→望遠鏡の口径が増える→質量が増える→構体が重くなり、 必要ΔVに対する推薬も増える（ロケット方程式は質量に指数的——第1.3章）→総質量がロケットの 打上げ能力を超える→どこかを削る。あるいは、データ量が増える→通信の送信電力が要る→ 太陽電池パドルが大きくなる→慣性モーメントが増え姿勢制御が重くなる→ホイールが大型化して また質量と電力が増える。

つまり質量・電力・熱・データ・姿勢・ΔVは互いに通貨のように交換される。 この交換レートを定量的に管理する道具が「バジェット」（第2.3章）であり、 交換の判断を組織的に行う方法が「トレードスタディ」（第2.3章）である。 サブシステム担当者の腕は、自分の系の性能だけでなく、 自分の系の要求が他系に及ぼす波及を先読みできるかで決まる。

1.1.4 科学衛星・探査機はどこが特殊か

同じ宇宙機でも、通信衛星のような商業衛星と、ISASが手がける科学衛星・探査機では 開発の性格がかなり違う。特殊性は次の4点に集約される。

1.1.5 「サブシステム担当」という仕事

JAXA・ISASのプロジェクトでサブシステム担当になると、おおよそ次の仕事が発生する。 (1) 自分の系への要求をシステムから受け取り、実現方式を設計する。 (2) 機器を開発するメーカと仕様書・ICDを取り交わし、技術的に監督する。 (3) 他系との取り合いを調整する。(4) 審査で設計根拠を説明する。 (5) 試験を計画・立会い、結果を評価する。(6) 運用で自分の系の面倒を見る。 設計計算そのものよりも、要求・文書・調整・検証といった「システムズエンジニアリングの実務」が 仕事時間の大半を占める。本書の第II部以降は、まさにその実務の中身である。

1.1.6 よくある疑問

第1.2章宇宙環境と設計制約

1.2.1 真空 — 空気がないことの帰結

軌道上はほぼ完全な真空（LEOで10⁻⁶ Pa以下）であり、地上の常識が3つ壊れる。 第一に対流がない。機器の熱は伝導と放射だけで運ばれるため、地上でファンで冷えていた機器も 宇宙では取付面からの伝導設計が生死を分ける（第3.2章）。 第二にアウトガス。材料に溶け込んだ揮発成分が真空中で放出され、 光学面や熱制御面に付着して性能を落とす。宇宙用材料は放出ガス特性（TML/CVCM）で選定され、 コンタミネーション管理（JMR-010）の対象になる。 第三に放電と潤滑。中途半端な低真空を通過する打上げ直後は放電（コロナ・マルチパクタ）が 起きやすく、高電圧機器の投入タイミングが運用制約になる。また通常の油は蒸発するため、 軸受には固体潤滑や特殊グリースを使う。

1.2.2 熱環境 — 入るのは太陽、出るのは放射だけ

宇宙機の熱収支はシンプルで、入熱は太陽光（地球近傍で約1366 W/m²）、 アルベド（惑星の反射光）、惑星赤外、それに内部発熱。 出る方は深宇宙（約3 K）への放射のみである。太陽入力は太陽距離の2乗に反比例するから、 金星（0.72 AU）では地球の約1.9倍、火星（1.52 AU）では0.43倍になる。 内惑星ミッションは「捨てる熱」、外惑星ミッションは「保つ熱」が設計を支配する。 さらに日陰（食）と日照の繰り返しによる温度サイクルが材料と半田に疲労を蓄積する。 詳細な設計法は第3.2章で扱う。

1.2.3 放射線 — 電子部品の最大の敵

宇宙放射線には3つの起源がある。地球磁場に捕捉された放射線帯（バンアレン帯）の電子・陽子、 太陽フレアに伴う太陽高エネルギー粒子（SEP）、そして銀河から来る銀河宇宙線（GCR）である。 部品への影響は次の3種類に分類され、それぞれ対策が異なる。

重要なのは、放射線は「確率的に必ず起きる」前提で設計することである。 SEUは対策しても起きる——だから起きたときに検出・訂正・再起動できる仕組み（EDAC、 ウォッチドッグ、FDIR——第3.7章）をアーキテクチャに織り込む。 耐放射線設計の標準はJERG-2-143に定められている。

1.2.4 プラズマ・帯電・原子状酸素

機体はプラズマ中を飛ぶため表面が帯電する。表面材料間の電位差が大きくなると静電放電（ESD）が 起き、電子回路の誤動作や損傷を招く。対策は「全表面の導通を取り、機体グラウンドに落とす」ことが 基本で、JERG-2-211（帯電・放電設計標準）が要求を定める。GEOや極軌道は帯電が厳しく、 また高電圧太陽電池パドルには特有の放電様式がある。 LEO特有の環境としては原子状酸素（AO）があり、ポリイミド等の有機材料表面を侵食する。

1.2.5 デブリ・微小隕石

LEOではスペースデブリとの衝突が現実のリスクである。10 cm以上は地上から追跡され回避運用 （コンジャンクション評価）の対象、1 mm以下は防御設計（バンパ、配置による遮蔽）の対象、 その中間は「当たらないことを祈る」領域と言われる。微小デブリ衝突耐性の評価はJERG-2-144、 デブリを増やさない設計（放出物防止、運用終了後の軌道離脱・受動化）はJMR-003が要求する。 深宇宙では自然の微小隕石（メテオロイド）が対象になる。

1.2.6 打上げ環境 — 最初の数分が構造設計を決める

皮肉なことに、宇宙機の構造設計を支配するのは宇宙ではなく打上げの数分間である。 ロケットは次の機械環境を機体に与える: 準静的加速度（数G）、正弦振動（ロケットの 縦振動等、〜100 Hz）、ランダム振動・音響（リフトオフと遷音速時の轟音、〜20〜2000 Hz以上）、 衝撃（フェアリング分離・衛星分離の火工品衝撃、数千G@高周波）。 これらの条件はロケット側のユーザーズマニュアルとインタフェース管理文書で与えられ、 構造設計（第3.1章）と環境試験条件（第5.2章）の出発点になる。 加えて熱環境としてフェアリング内の空力加熱、分離直後の自由分子流加熱がある。

1.2.7 環境条件は「文書」として配られる

実務上重要なのは、これらの環境がプロジェクトごとに環境条件文書としてまとめられ、 各系・各機器への設計要求として配られることである。あなたが機器担当なら、 「自分の機器の環境条件（温度範囲・振動レベル・放射線ドーズ・EMC条件）はどの文書の どの版で定義されているか」を常に言える状態が仕事の基本になる。 環境条件は設計が進むと更新される（例: 構体の解析が進むと機器取付点の振動条件が変わる）ため、 版管理と変更通知の仕組み（第2.4章・第2.5章）とセットで運用される。

1.2.8 よくある疑問

第1.3章軌道とミッション設計

1.3.1 二体問題と軌道要素

宇宙機の運動は、第一近似では中心天体の重力だけを受ける二体問題であり、 解は円錐曲線（楕円・放物線・双曲線）になる。楕円軌道は6つの軌道要素—— 軌道長半径 a、離心率 e、軌道傾斜角 i、昇交点赤経 Ω、近地点引数 ω、真近点角 ν——で記述される。 実用上まず覚えるべき関係は2つ。ビス・ビバ方程式（軌道上の速度）と周期である。

ここで μ は中心天体の重力定数（地球: 398600 km³/s²、太陽: 1.327×10¹¹ km³/s²）。 LEO（高度500 km）の速度は約7.6 km/s、周期約95分。この「95分に1周」が、 LEO衛星の食・可視・温度サイクルのリズムを決める。

1.3.2 代表的な軌道とその使い分け

1.3.3 ΔVという通貨とロケット方程式

軌道を変えるのに必要な速度変化量の総和ΔVは、ミッションの「価格」を表す通貨である。 必要な推薬質量はツィオルコフスキーのロケット方程式で決まる。

ここで I_{sp} は比推力（推進剤の燃費、単位は秒）、m₀/m_f は初期/最終質量、m_p は推薬質量、 g₀=9.8 m/s²。指数関数であることが本質で、ΔVが増えると推薬は加速度的に増える。 これが「探査機の設計はまず軌道から」と言われる理由である。

代表的なΔVの相場: LEO投入後のGTO→GEO化 約1.5 km/s、地球脱出（C3=0）はLEOから約3.2 km/s、 火星遷移軌道へはさらに数百 m/s、金星・火星の周回投入に1〜2 km/s級。 月着陸は遷移後に約2.5 km/sの減速が要る。スイングバイ（惑星重力による無料の増速）と イオンエンジンは、このΔV価格を踏み倒すためのISASの二大常套手段である。

1.3.4 遷移軌道と打上げウィンドウ

惑星間飛行の基本はホーマン遷移（出発・到着軌道に接する楕円）である。 地球と目標惑星の位置関係が合う時期にしか出発できず、この打上げウィンドウは 会合周期ごと（火星: 約26ヶ月、金星: 約19ヶ月）にしか開かない。 つまり探査機の開発日程は天体力学によって締め切られており、 「打上げ延期＝数年待ち」という科学衛星にはない強烈な日程制約を生む。 あかつきは2010年の金星周回投入に失敗した後、軌道の工夫により5年後の再会合で投入に成功した—— 軌道力学の制約と可能性の両方を示す好例である（第6.3章）。

1.3.5 軌道は全サブシステムの前提である

軌道が決まると、各系の設計条件が芋づる式に決まる。サブシステム担当者は 「自分の系は軌道のどのパラメータに敏感か」を把握しておくこと。

1.3.6 よくある疑問

第1.4章システムズエンジニアリングの考え方

1.4.1 定義 — 「うまくいくこと」を工学にする

システムズエンジニアリングとは、ミッションの目的から出発して、要求を定義・分解し、 実現手段を選び、部分を統合し、全体が目的を満たすことをライフサイクル全体で保証するための 体系的な方法論である。ポイントは「全体が目的を満たす」ことの保証にある。 各部分が個々に優秀でも、組み合わせた途端に成立しないことは宇宙機では日常である （例: 高性能な観測機器＋高性能なホイール→ホイールの微小振動で観測機器の性能が出ない）。 部分の性能でなく組み合わせの整合を設計対象にするのがSEである。

1.4.2 3つの世界 — 要求・機能・物理

SEの中心的な思考は、3つの世界を往復することである。 (1) 要求の世界: 何を達成すべきか（「小惑星の試料を1 g以上持ち帰る」）。 (2) 機能の世界: そのために何ができねばならないか（「接近する」「採取する」「保管する」「再突入する」）。 (3) 物理の世界: それをどんな実体で実現するか（サンプラホーン、カプセル、ヒートシールド）。 要求から一足飛びに物理（＝いきなり機器構成）へ飛ぶと、暗黙の前提が検討されないまま固定される。 機能の世界を経由することで「他のやり方はないか」（トレード——第2.3章）と 「この機能は誰が担うのか」（機能配分→インタフェース——第2.4章）が明示的になる。

1.4.3 V字モデル — 分解と統合の対称性

開発全体はV字で描かれる。左辺で要求をシステム→サブシステム→機器へと分解し、 底で製造し、右辺で機器→サブシステム→システムへと統合・検証する。 本質は左右の対応関係にある: 左辺で決めた各レベルの要求は、右辺の同じレベルの検証で 確かめられる。この対応を管理する表が検証マトリクス（第2.2章・第5.1章）である。

V字が教える最重要の教訓は誤りの発見が遅いほど高くつくことである。 要求の誤りを要求審査で見つければ文書修正で済むが、総合試験で見つければ設計変更・再製造・ 再試験、軌道上で見つければ取り返しがつかない。だから宇宙機開発は 「前半に異常に時間をかける」（フロントローディング）。 検討とレビューだらけの前半戦は、後半の手戻りの保険なのである。

1.4.4 SEの道具箱

SEの主要な道具は本書の各章で詳述するが、全体像を先に示す。

1.4.5 システム担当とサブシステム担当の分業

プロジェクトには全体を束ねるシステム担当（システムズエンジニア）がいて、 要求の配分、バジェットの元締め、系間調整の裁定、審査の取り回しを行う。 サブシステム担当から見たシステム担当は「要求の出所」であり「リソースの配給元」であり 「系間紛争の裁判所」である。よくある誤解と実際を対比しておく。

1.4.6 ISASの流儀 — 理学と工学の一体

ISASのプロジェクトには、標準的なSEの教科書には載っていない特徴がある。 理学（サイエンス）と工学が同じ組織で一体になって開発することである。 観測機器はPI（研究主宰者）を中心とする大学・研究所のチームが開発することが多く、 「サイエンス要求の価値」と「工学的な実現性・リスク」の間の交渉が開発の推進力になる。 サブシステム担当者は、理学側の「この1桁が科学的に決定的なのだ」という主張と、 工学側の「その1桁に機体全体が耐えられない」という制約の間で、 定量的な共通言語（バジェットとトレード）を提供する立場になる。 この文化については第3.8章・第7.1章で改めて扱う。

1.4.7 よくある疑問

第2.1章プロジェクトのライフサイクル — フェーズと審査

2.1.1 フェーズの区切り

JAXAのプロジェクトは概ね次のフェーズを踏む（国際的にはNASA/ESAのPhase A〜Fにほぼ対応する）。

JAXAの制度上は、フェーズAまでをプリプロジェクトとして少人数で進め、 経営審査（プロジェクト移行審査）を経てプロジェクト化されると予算・体制が本格化する。 「プロジェクトになる」こと自体が大きな関門であり、概念検討〜フェーズAの数年間は 少ないリソースで成立性を証明する期間である。

2.1.2 審査の系列 — 何が凍結されるか

各フェーズの出口には審査（レビュー）が置かれる。審査は「進んでよいか」を判定するゲートであると 同時に、後戻りできない決定を根拠が揃った順に凍結していく装置である。 名称と細部はプロジェクトで異なるが、標準的な系列と「凍結されるもの」は次のとおり。

2.1.3 ISASの科学ミッションはどう生まれるか

ISASのミッションは行政の指示ではなく研究者コミュニティのボトムアップで生まれる。 典型的な経路は: 研究者有志がワーキンググループ（WG）を作り、宇宙理学委員会・宇宙工学委員会の 下で数年かけて概念を練る → 公募（戦略的中型・公募型小型等のカテゴリ）に提案 → 候補選定（ダウンセレクション）を経てプリプロジェクト化 → 前節のフェーズ系列へ、という流れである。 サブシステム担当として合流する頃には多くの基幹選択が済んでいるが、 WG時代の検討資料（ミッション提案書）はそのミッションの「なぜ」の原典であり、 一読しておくと要求の背景理解がまるで違ってくる。

2.1.4 サクセスクライテリア — 成功の定義を先に固める

ミッション定義で最も重要な成果物がサクセスクライテリアである。 通常、ミニマムサクセス（これを下回れば失敗）・フルサクセス（計画どおりの成功）・ エクストラサクセス（期待を超える成果）の3段階で、打上げ前に定義し公表する。 これは広報のためではなく設計のためである: 「ミニマムに必須の機能」と 「フルサクセスのための機能」が区別されると、冗長のかけ方・リソース配分・リスクの取り方に 濃淡がつけられる（例: ミニマム必須系は完全冗長、エクストラ用機器は片系）。 あなたの担当系が3段階のどこを支えるかは、設計判断のたびに立ち返る基準になる。

2.1.5 審査の実務 — 受ける側の作法

審査は数十〜数百ページの資料を事前配布し、当日は指摘事項（RID: Review Item Discrepancy等と 呼ばれる）を受け、後日回答を審査団が確認して閉じる、という流れが一般的である。 受ける側の作法として、次を押さえておく。 (1) 審査は落とす場ではなく、抜けを見つけてもらう場。弱点を隠すと審査の価値が消える。 未解決事項は「課題」として自分から出す。 (2) すべての数字に出典と根拠。「設計値・解析値・実測値・カタログ値・仮定」の区別を 明示する（第7.3章）。 (3) 指摘は宿題管理表（アクションアイテム）で追跡し、期限と担当を付けて閉じる。 閉じ切らない指摘が次の審査の冒頭で蒸し返されるのが定番の躓きである。

2.1.6 よくある疑問

第2.2章要求の工学 — 書き方・流し方・検証との紐付け

2.2.1 要求の階層とフローダウン

要求は階層をなす。ミッション要求（科学目標そのもの: 「小惑星○○の表面試料を採取し 地球に持ち帰る」）→システム要求（機体全体への要求: 「往復○年の航行に耐える」「試料○ g以上」） →サブシステム要求（各系への配分: 「AOCSは降下中に位置精度○ mを実現する」）→ 機器要求（開発仕様書）（「スタートラッカは精度○秒角、質量○ kg以下」）。 上位の1つの要求が下位の複数の要求に展開される過程をフローダウンと呼ぶ。

フローダウンには2つの操作が含まれる。展開（上位要求を実現するための下位機能の導出）と 配分（定量値の分割: 例えば指向誤差の総量を、姿勢決定・制御・構造熱変形・アライメントに 切り分ける——第2.3章の誤差バジェット）。配分は一発では決まらず、各系の実現可能性との 往復（交渉）で収束する。

2.2.2 良い要求の条件

良い要求の条件は、(1) 一意（読み手によって解釈が割れない）、(2) 検証可能 （試験・解析等で満否を判定できる）、(3) 根拠がある（なぜその値か遡れる）、 (4) 実現可能、(5) 手段でなく目的を書く（設計の自由度を奪わない）である。 悪い要求と修正例を見るのが早い。

条件（作動モード・環境・寿命時点）の明記も重要である。「電力500 W」は BOL（寿命初期）かEOL（末期）か、常温か高温端か、で答えが変わる。 数値には必ず統計的な意味（最悪値か3σか平均か）を添える。

2.2.3 要求の種類 — 機能・性能だけではない

開発仕様書に並ぶ要求は、機能・性能要求のほかに次の種類がある。いずれも漏れやすい。 インタフェース要求（他系との取り合い——第2.4章）、環境要求（第1.2章の環境条件）、 運用要求（テレメトリで内部状態を確認できること、地上からパラメータ変更できること等—— 運用性は要求しないと作り込まれない。第6.2章）、設計制約（使用部品クラス、材料制限、 安全要求、輸出管理等）、検証要求(受入試験の項目・条件)。 特に運用要求は「作る人」の視野から抜けやすく、運用経験者にレビューしてもらう価値が高い。

2.2.4 トレーサビリティと検証マトリクス

すべての要求は「親要求はどれか」「どの検証で確かめるか」の2方向のリンクを持つべきである。 前者がトレーサビリティで、親のない要求（誰も頼んでいない過剰要求）と 子のない要求（実現が計画されていない要求）を機械的に炙り出せる。 後者が検証マトリクスで、各要求に検証手段——試験（Test）・解析（Analysis）・ 検査（Inspection）・実証（Demonstration）の4種——と実施時期を割り当てた表である。 この表はV字（図1.4-1）の左右を結ぶ背骨であり、フェーズDの試験計画はここから生成される （第5.1章）。要求データベースは専用ツールで管理されることも表計算のこともあるが、 仕組みの本質はこの2方向リンクである。

2.2.5 要求の変更管理

要求は必ず変わる（設計の進展、試験での学び、部品都合、予算・日程）。問題は変わることでなく 無管理に変わることである。凍結後の要求変更は変更提案として文書化し、 影響範囲（他系への波及、検証済み項目の失効、コスト・日程）を評価した上で 変更審査で可否を決め、関係文書を一斉改訂する——これが構成管理（JMR-006、第2.5章）の 要求版である。サブシステム担当として重要なのは、口頭合意やメールでの「事実上の変更」を 作らないこと。文書に載っていない合意は、担当交代・時間経過とともに必ず消える。

2.2.6 よくある疑問

第2.3章システム設計の実務 — バジェットとトレードスタディ

2.3.1 バジェットとは — 配分表＋マージン＋追跡

バジェットとは、機体全体で共有される量（質量・電力・推薬・データ・誤差…）を 各系に配分し、マージン（予備）とともに追跡する表である。単なる集計表ではなく、 (1) 各系への配分値（アロケーション）が要求として機能し、 (2) 現状値との差が設計の健全度を示し、 (3) マージンが不確実性の保険として管理される、という動的な管理装置である。 宇宙機で常用されるバジェットを挙げる。

2.3.2 マージンの相場観

マージンは「不明なものへの保険」だから、設計が成熟するほど減らしてよい。 逆に言えば、フェーズごとに要求されるマージンの相場がある。質量を例にとると （数値は典型例であり、プロジェクト規定が正）:

実務の要点は3つ。(1) マージンはシステムが一元管理する。各系が勝手に隠しマージンを 持つと、機体全体では過剰な保険料を払っている状態になる（ただし現実には各層が多少の 緩衝を持つのが常であり、それを見込んだ配分が行われる——このあたりの駆け引きは 現場で学ぶ文化である）。(2) マージンの消費はトレンドで監視する。毎月の質量集計が 右肩上がりで上限に漸近するグラフは、どのプロジェクトでも一度は見る光景である。 (3) 枯渇したら減量活動（機能削減・材料変更・設計変更）を早く打つ。後になるほど選択肢が減る。

2.3.3 トレードスタディ — 選択を工学にする

トレードスタディは、複数の設計候補を評価基準に照らして比較し、選択の根拠を 記録する手続きである。型は単純で、(1) 候補を列挙（安易に2択にせず、機能の世界——第1.4章——に 戻って広く出す）、(2) 評価基準を定義（性能・質量・電力・コスト・日程・リスク・実績・運用性）、 (3) 重み付けして採点（加重和、またはPugh法: 基準案との比較で+/0/−）、 (4) 感度を確認（重みや前提を変えると順位が入れ替わるか）、(5) 結論と根拠を文書化。

最重要なのは(4)と(5)である。採点の数字自体は主観を含むが、「どの前提なら結論が覆るか」まで 示せば議論は客観の土俵に乗る。僅差なら「実績のある方」を採るのが宇宙機の定石である。 そして文書化された記録は、数年後に「なぜこの方式なのか」と問う後任者（つまり将来のあなた）への 最大の贈り物になる。

2.3.4 設計ループの回し方

フェーズA〜Bのシステム設計は、次のループを数週間〜数ヶ月の周期で回す: 仮の構成を置く → 各系が成立性を検討し、質量・電力等を見積もる → バジェットに集計 → 成立しなければ配分・構成を変更 → 再度各系へ。この反復の中でサブシステム担当に求められるのは、 速い応答（精密な1ヶ月後の答えより、±20%でも3日後の答え）と、 感度情報（「その要求が半分になれば質量は○ kg減る」）である。 初期フェーズの見積り精度は粗くてよい——ただしどの程度粗いか（不確かさ）を必ず添える。 これが成熟度係数つきバジェットの入力になる。

2.3.5 よくある疑問

第2.4章インタフェース管理 — ICDと「取り合い」

2.4.1 なぜインタフェースで事故が起きるのか

機器の内部は1人の設計者・1社の責任で閉じるが、境界は2つの組織の思い込みが出会う場所である。 「相手がプルアップしてくれていると思った」「コネクタの嵌合面はこちら基準だと思った」 「熱はそちらで捨ててくれると思った」——どちらも自分の常識で埋めた空白が、統合試験で 初めて衝突する。これを防ぐ唯一の方法が、境界の取り決めをインタフェース管理文書 （ICD: Interface Control Document）として明文化し、両者の合意で版管理することである。

2.4.2 ICDに書くこと

コツは「責任の境界」を物理的な境界と一致させて書くことである。 例えば熱なら「取付面の温度を機器側要求として−10〜+40℃と定め、その実現は構体・熱制御系の責任、 面から内側の温度管理は機器の責任」のように、境界面の条件で切ると争いが起きない。

2.4.3 ロケットとのインタフェース

宇宙機にとって最大の外部インタフェースは打上げロケットである。ロケット側から与えられる 条件と、宇宙機側が守るべき制約は、ロケットのユーザーズマニュアルとミッション個別の インタフェース管理文書で取り決められる。主な項目: フェアリング包絡域（機体の最大外形。パドル・アンテナの収納設計を縛る）、 質量・重心の上限と許容範囲、 剛性要求（ロケットの制御系・構造との共振を避けるため、機体の一次固有振動数の下限が 指定される。例えば縦・横それぞれ数十Hz・数Hz台の下限値）、 機械環境条件（第1.2.6項）、分離機構と分離条件（分離速度・角速度）、 射場での電気アクセス（アンビリカル経由でできる作業）、RF放射の制約等である。 機体設計が進んだ段階では、ロケットと機体の連成振動解析（カップリング解析）が ロケット側と共同で行われ、環境条件が更新される。

2.4.4 取り合い調整の実務

ICDは書いて終わりではなく、日々の取り合い調整で育てる。実務の作法: (1) 相手の設計都合を先に聞く。自分の希望を通す交渉より、双方の制約を並べて 解を探す方が速い。(2) 合意は必ず文書（ICD改訂または議事録→ICD反映）に落とす。 (3) TBDには期限と決め方を付ける。(4) 変更は影響先に自分から通知する。 ICD改訂が相手に届くのを待つのでなく、「この変更はお宅の○○に効きませんか」と 一声かける文化が事故を防ぐ。(5) 定期的なインタフェース会議（取り合い会議）で 未解決項目を棚卸しする。

2.4.5 よくある疑問

第2.5章文書体系と技術標準 — JERG/JMRの歩き方

2.5.1 なぜ文書で開発するのか

宇宙機開発が文書を重視するのは官僚主義ではなく、(1) 数百人・複数組織・10年スケールの 協働では記憶と口頭が必ず失われる、(2) 審査・検証は「書かれた要求」に対してしか行えない、 (3) 事故調査は文書の証跡で原因に遡る、という実務的な理由による。 「書かれていないことは、存在しない」が宇宙開発の基本原理である。

2.5.2 JAXA技術標準の体系 — JMRとJERG

JAXAの共通技術文書は、大きくJMR（プログラム管理要求: プロジェクトが「何を管理せよ」）と JERG（技術要求・設計標準: 「どう設計・製造・試験せよ」）に分かれ、 公式サイト（sma.jaxa.jp）で公開されている。まず全体の地図を持とう。

使い方のコツ: (1) 通読しない。自分の担当系の設計標準1冊と、JERG-2-000（親文書）の 目次レベルだけ最初に眺め、あとは案件ごとに引く。(2) 標準には要求（shall）と推奨・解説が 混在する。自分のプロジェクトがどの版のどの要求を適用しているか（次項のテーラリング）を 必ず確認してから読む。(3) ハンドブック（HB）類は設計の「なぜ」が書かれた教材として優秀で、 通読の価値があるものが多い（例: 信頼性ハンドブックJERG-0-063、試験ハンドブック群）。

2.5.3 テーラリング — 標準は「そのまま」適用しない

技術標準は多様なミッションを覆う最大公約数であり、個々のプロジェクトは標準の各要求に対して 適用・修正適用・非適用を宣言して使う。これがテーラリングで、宣言の一覧表 （適合性マトリクス）がプロジェクト文書として維持される。小型・短期・高リスク許容の ミッションは大胆に非適用を選び、その分リスクを明示的に引き受ける。 つまり標準は「従うか否か」ではなく「どの要求を、なぜ適用/非適用にするか」を 判断した記録ごと運用するものである。担当者として「うちのプロジェクトの適合性マトリクス」を 見たことがないなら、まず入手すべきである。

2.5.4 プロジェクト文書の体系

標準類の下に、プロジェクト固有の文書群がぶら下がる。典型的な構成:

2.5.5 構成管理 — 「今の正式はどれか」を一意にする

構成管理（コンフィギュレーション管理、JMR-006）は、設計のベースライン（正式に凍結された 文書・図面・ソフトウェアの版の集合）を定義し、変更を管理された手続きでのみ許す仕組みである。 実務上の中核は、(1) どの文書のどの版が正式か（構成識別）、(2) 変更は提案→影響評価→ 審査（変更管理委員会等）→一斉改訂の手順を踏む（変更管理）、(3) 現物と文書が一致しているかの 確認（構成監査）。ソフトウェアのバージョン管理と本質は同じで、対象が機体全体に広がったものと 考えればよい。「機体の現物・図面・文書・試験記録が常に相互参照できる」状態の維持が目的である。

2.5.6 海外標準との対応

国際協力ミッションや海外製機器の調達では、NASA（NPR 7123.1等のSE要求、GSFC等の環境試験標準）、 ESA（ECSS標準群）、MIL規格（EMCのMIL-STD-461等）に出会う。JERGはこれら（特にECSS・NASA標準・ MIL-STD）と概ね対応関係にあり、「同じ機能の標準が各機関にある」と捉えれば怖くない。 対応表を作って差分（試験レベルの定義差、マージンの定義差）だけ管理するのが実務の型である。

2.5.7 よくある疑問

第2.6章実務の見取り図 — 組織・会議体・審査・文書の早見

2.6.1 組織の地図 — 誰がどこにいて、何の権限を持つか

まずプロジェクトの「中」。中核は次の役割で構成される（人数はミッション規模で 数人〜数十人。1人が複数役を兼ねることも多い）。

次に「外」。プロジェクトの外側には、支援・監督・協働の3種類の組織がいる。 ポイントは、相手が「技術の議論相手」か「決定権者」か「独立評価者」かを見分けることである。

2.6.2 会議体の早見 — 「共有」「調整」「判定」の3種類しかない

会議の名前は無数にあるが、機能は3種類に還元できる。 共有の場（進捗・課題を知らせ合う。決定はしない）、 調整の場（複数の当事者で技術的合意を作る。結論は文書化してICD・仕様書に反映）、 判定の場（ゲート）（事前に定めた基準に照らして可否を決める。審査会・判定会議）。 初見の会議に呼ばれたら、まず「これは3種のどれか」を確認すれば、 準備すべきもの（共有→近況、調整→自系の制約とデータ、判定→判定基準に沿った根拠資料）が 自動的に決まる。

2.6.3 審査会の混乱を解く — 3系列×2階層で位置づける

「PDRが何回もある」「安全審査とCDRは何が違うのか」——審査の混乱は、 次の2つの軸を知ると解ける。

軸1: 系列。審査には独立した3つの系列が並走している。 (1) プロジェクト審査（開発の進行ゲート: MDR→SRR→SDR→移行審査→PDR→CDR→ PQR→PSR→打上げ準備——第2.1章）。設計・検証の成熟度を問う本流。 (2) 安全審査（JMR-001/002に基づくハザード制御の審査。射場安全はフェーズを追って 段階審査される）。設計審査に合格しても安全審査は別途通す必要がある。 (3) 個別判定（CCB・MRB・部品審査・TRR・出荷判定など、特定の決定のためのゲート）。 日常的に頻度が高いのはこの系列である。

軸2: 階層。プロジェクト審査はシステムレベルと機器レベルの両方にある。 システムPDRの前後に、各機器の機器PDR（メーカ主催・プロジェクト立会）が行われる、 という入れ子構造である。だから「PDR」は機体で1回ではなく、機器の数だけ＋システムで1回ある。 招集された審査の名前が何であれ、「どの階層の・どの系列の・何を凍結する審査か」の 3点を確認すれば、あなたが準備すべきものは一意に決まる。

2.6.4 文書の早見 — 4分類で見分ける

文書も名前は無数だが、機能は4分類に還元できる（第2.5章の体系の実務版）。 初見の文書は「4分類のどれで、誰が何を決めるために読むのか」を判定すればよい。

頻出の連鎖を2つ覚えておくと迷子にならない。 試験文書の連鎖: 試験計画書（何を・どの条件で・合否基準は）→試験手順書（当日の 1ステップずつ）→試験成績書（生データと結果）→試験報告書（評価と合否判定）—— 計画→手順→成績→報告の4点セットが1つの試験ごとに作られる。 要求の連鎖: ミッション要求書→システム要求書→開発仕様書→（検証マトリクス経由）→ 試験計画書——要求文書の階層（第2.2章）が、そのまま試験文書の親になっている。

2.6.5 試験の名前の整理 — 3軸で全部位置づく

試験の名前も「目的×階層×種目」の3軸の組合せにすぎない（詳細は第V部）。 目的軸: 開発試験（設計を決めるための試し）／認定試験QT（設計の余裕の証明）／ 受入試験AT（個体の検品）。階層軸: 機器単体／サブシステム／システム（機体）。 種目軸: 電気（EIT）・振動・衝撃・音響・熱真空・EMC・質量特性・アライメント・ RF適合性・エンドツーエンド・運用リハーサル。 たとえば「FMの機器熱真空受入試験」＝受入×機器×熱真空、と分解すれば、 条件（受入レベル——第5.1章）も目的（ワークマンシップ検出）も自動的に定まる。

2.6.6 よくある疑問

第3.1章構体系 — 機体の骨格

3.1.1 構体系への要求

構体系の要求は5系統に整理できる。(1) 強度: 打上げ荷重（第1.2.6項）で壊れない。 (2) 剛性: ロケット指定の最低固有振動数を満たす（第2.4.3項）。 (3) 搭載性: 全機器を包絡域内に、視野・熱・ハーネス経路と整合して収める。 (4) 寸法安定性・アライメント: 光学機器・センサ・アンテナの相対角度を軌道上でも保つ。 (5) その他の共用機能: 熱伝導パス、電気グラウンド、放射線遮蔽、デブリ防御。 強度は「壊れないこと」だが、実際の設計を支配するのはたいてい剛性と搭載性である。

3.1.2 荷重から安全余裕へ — 構造設計の基本計算

設計の流れは、(1) 設計荷重の設定（ロケット環境×不確実係数）、(2) 応力解析、 (3) 材料許容値との比較、である。比較の指標が安全余裕（MS: Margin of Safety）:

安全係数（FS）は破壊に対して1.5、降伏に対して1.25前後が航空宇宙の通例で、 試験で強度実証しない場合はより大きく取る（JERG-2-320に規定）。 MSは「ゼロ以上なら成立」であり、大きすぎるMSは過剰質量を意味する—— 構造設計は「全箇所のMSをゼロに近づける最適化」と言ってよい。

3.1.3 材料と構造様式

宇宙機構造の主役はアルミハニカムサンドイッチパネル（薄い表皮＋蜂の巣コアで、 曲げ剛性/質量比が極めて高い）とアルミ合金（7075/6061）、高剛性・低熱膨張が必要な部位の CFRP、高強度部のチタン合金である。材料選定では強度・剛性・密度に加え、 熱膨張係数（CTE）（アライメント安定性とバイメタル変形）、アウトガス、 応力腐食割れ感受性が効く。構造様式は、中心の筒が荷重を通すセントラルシリンダ式、 パネルを箱に組むパネル構造、開放的なトラス構造が代表で、 推薬タンクの搭載法（大質量を根元で受ける）が様式選択をしばしば支配する。

3.1.4 解析と試験の対応

構造は有限要素モデル（FEM）で解析される。モデルは試験で検証されて初めて信用される: モーダルサーベイ（振動試験時の固有振動数・モード形状の計測）でFEMの周波数予測と突き合わせ、 合わなければモデルを修正する（モデル相関）。相関済みモデルはロケットとのカップリング解析 （第2.4.3項）や機器搭載条件の算出に使われる。つまり構体担当の納品物は「構体」と 「信用できる数学モデル」の2つである、という感覚を持つとよい。 強度実証の考え方（プロトフライト等）は第5.1章で扱う。

3.1.5 他系との取り合い

第3.2章熱制御系 — 全機器を温度範囲に保つ

3.2.1 熱収支の基本式

宇宙機の温度は入熱と放熱の平衡で決まる。放射平衡の基本式:

α は太陽光吸収率、S は太陽定数（1 AUで約1366 W/m²）、Q_{int} は内部発熱、 ε は赤外放射率、σ はステファン・ボルツマン定数（5.67×10⁻⁸ W/m²K⁴）。 設計の自由度は表面の光学特性（α/ε）と面積・向きにある。 白色塗料やOSR（光学太陽反射鏡）はα小・ε大で「太陽を吸わず赤外を捨てる」放熱面用、 MLI（多層断熱材）は放射の出入りをほぼ断つ断熱用、と使い分ける。

3.2.2 制御手段の道具箱

設計の型は「ホットケースで捨てられ、コールドケースでヒータ電力が足りる」の両立である。 放熱面はホットケース（太陽最近接・最大発熱・EOL劣化α）でサイジングされ、 するとコールドケース（太陽最遠・最小発熱・食）では冷えすぎるので、差をヒータで埋める。 ヒータ電力は電力バジェット（第2.3章）の大口消費者であり、熱設計の甘さは電源系に付け回される—— 熱と電源が同じ会議で議論される理由である。

3.2.3 温度の定義とマージン

熱設計では温度に階層がある。機器の許容温度（動作保証範囲。動作時/非動作時で別）、 解析による予測温度、予測に不確かさマージン（通例±10℃程度）を加えた設計温度、 さらに試験でかける試験温度（設計温度＋認定マージン——第5.1章）。 機器担当者は「自分の機器の許容温度と、現在の予測温度、その差」を常に把握しておくこと。 許容温度を安易に広く約束すると部品選定と較正が苦しくなり、狭く主張すると ヒータ電力と放熱面積で機体に負担を掛ける——ここも取り合いである。

3.2.4 解析と検証 — 熱数学モデルと熱真空試験

熱設計は機体を数百〜数千の節点に分割した熱数学モデル（TMM）と軌道熱環境計算で行う。 構造のFEMと同様、TMMも熱平衡試験（熱真空チャンバ内で定常温度分布を実測）との 相関で検証され、相関済みモデルが全運用ケースの温度予測に使われる。 機器レベルでは熱真空試験（TVAC）で高温端・低温端での動作と性能を確認する（第5.2章）。 軌道上のテレメトリ温度は熱設計の答え合わせであり、初期運用での温度実績とTMM予測の比較は 熱担当の最初の大仕事になる（第6.1章）。

3.2.5 他系との取り合い

熱は全系と結合するが、特に: 電源（ヒータ電力、バッテリの狭い許容温度—— リチウムイオンで概ね0〜40℃、劣化抑制にはさらに狭く——が熱設計の固定点になる）、 構体（機器配置と放熱面の奪い合い、熱変形）、推進系（配管・タンクの凍結防止ヒータ、 スラスタの排熱）、ミッション機器（検出器冷却・恒温要求、視野と放熱面の干渉——第3.8章）、 運用（姿勢制約: 「この面を太陽に向けてはならない」が運用制約条件集に載る）。

第3.3章電源系 — 発電・蓄電・配電

3.3.1 構成とバス方式

電源系は太陽電池パドル（発電）、バッテリ（蓄電）、電力制御器（PCU/PDU） （電圧制御・充放電制御・配電・保護）からなる。バス電圧は中型機で28 V系または50 V系が典型。 方式の基本選択は、(1) バス電圧を一定に制御する安定化バスか、バッテリ電圧が そのまま出る非安定化バスか、(2) 太陽電池の動作点を、余剰電力を捨てる方式 （シャント制御）で決めるか、最大電力点を追尾するMPPT/PPTで決めるか、である。 太陽距離が大きく変わる探査機では、発電条件の変動が大きいためPPT方式の利点が生きる。

3.3.2 太陽電池のサイジング — EOLで、最悪条件で

現代の主力は3接合GaAs系セル（効率30%前後）。サイジングはEOL（寿命末期）・最悪条件で行う。 考慮する劣化・損失: 放射線による劣化（ミッションのフルエンスに依存、数%〜十数%）、 温度（高温ほど効率低下: 温度係数約−0.2〜−0.3%/℃）、太陽距離（1/r²）、入射角（cosθ）、 セル実装率・配線損失・ミスマッチ、そして食明けの低温急変。

3.3.3 バッテリのサイジング — DODが寿命を決める

主力はリチウムイオン電池。サイジングの支配パラメータは放電深度（DOD）である。 必要容量は:

LEOは1日約15回の食で充放電サイクルが年5000回を超えるため、寿命の観点でDODを 20〜30%程度に抑える。GEOや探査機は食が少なくサイクル数が桁で少ないため、 DODを60%以上取れる（ただし探査機はセーフモード時の無日照継続時間など 「最悪イベント」でサイジングされることも多い）。バッテリはセル故障を考慮した 直並列構成、充電制御（電圧・温度管理）、そして狭い許容温度（第3.2章）が設計論点になる。

3.3.4 配電と保護 — 落とす優先順位を設計する

配電は負荷ごとにスイッチとヒューズ（または電子的な過電流保護）を持ち、 故障の影響を故障箇所に閉じ込めるのが原則である（ワイヤディレーティングはJERG-2-212）。 システムとして重要なのが不足電圧制御（UVC）: バス電圧・バッテリ残量が閾値を割ったら、 あらかじめ定めた優先順位で負荷を自動遮断し、最後に生き残るべき系（受信機・OBC・ 生存ヒータ）を守る。この「落とす順位表」はFDIR（第3.7章）・運用（第VI部）と一体で設計する。 探査機の生死は「電力が尽きる前に太陽指向を回復できるか」で決まることが多く、 UVCとセーフモードの整合はシステム試験で必ず実証すべき項目である。

3.3.5 他系との取り合い

熱（ヒータ電力の需要元、バッテリ温度の供給先）、AOCS（パドル指向と姿勢の連成、 SADA駆動、パドルの慣性・柔軟性）、構体（パドル収納・展開・保持解放機構）、 全機器（突入電流・リップル・接地——電気設計標準JERG-2-200とEMC——第5.2章）。 パドル展開は打上げ直後の最重要イベントであり、展開機構（火工品・形状記憶合金等の 保持解放）は機構設計標準JERG-2-330の主要対象である。

第3.4章姿勢軌道制御系（AOCS） — 向きを知り、向きを保つ

3.4.1 何を要求されるのか — 精度・安定度・知識

指向に関する要求は3種類を区別する。指向精度（狙った方向にどれだけ正確に向くか）、 指向安定度(向きがどれだけ揺れないか。露光時間中のブレとして観測を直撃する)、 指向知識（決定精度）（実際にどちらを向いていたかを事後にどれだけ正確に言えるか）。 観測の種類によって効く量が違う（撮像は安定度、分光のポインティングは精度、 地図投影は知識）。要求を受けるときは必ず「3つのどれか、時間スケールはいくつか （何秒間の安定度か）、統計的定義は何か（3σか）」を確認する。

3.4.2 センサとアクチュエータの品揃え

3.4.3 制御ループと外乱

外乱トルクの4大源は重力傾斜（慣性モーメント差×軌道条件）、太陽輻射圧 （深宇宙の支配項。光圧中心と重心のずれに比例）、磁気・大気抵抗（LEO）。 これらは連続的にRWの角運動量として蓄積し、いずれ飽和するため、 定期的にアンローディング（RCSまたはMTQで角運動量を捨てる）が必要になる。 深宇宙機ではアンローディングの推薬が推薬バジェットの定常項になり、 はやぶさ2のように太陽輻射圧とのバランスを取る姿勢の工夫で消費を抑える運用技術もある。

3.4.4 指向誤差バジェット

システムの指向要求は、独立とみなせる誤差要因に分解して二乗和平方根（RSS）で管理する。

姿勢決定誤差、制御誤差、センサ・機器間アライメント誤差（地上計測残差＋打上げ変化）、 軌道上熱変形、機器内部誤差——それぞれの担当系が異なることに注意。 つまり指向バジェットはAOCS・構体・熱・ミッション機器にまたがる系間バジェットであり、 システムが元締めになる典型例である（第2.3章）。バイアス的な誤差は軌道上較正 （既知天体の観測によるアライメント更新）で削れるため、「較正で消せる項か否か」の 仕分けが実務上重要になる。

3.4.5 モード設計とセーフホールド

AOCSは複数の制御モード——例えば、太陽捕捉モード（分離直後・異常時: 太陽センサ＋ 粗い制御で太陽指向を確立）、粗姿勢モード、精姿勢（観測）モード、ΔVモード（スラスタ噴射中の 姿勢維持）、セーフホールドモード——を持ち、モード間の遷移条件を設計する。 鉄則は「下のモードほど単純・頑健に」である。セーフホールドは最小限のセンサ （太陽センサ＋粗ジャイロ）と単純な制御則だけで、電力（太陽指向）と通信（地球方向の おおよその確保）を成立させる——ここにSTTやソフトの高機能を頼ると、異常の共倒れが起きる。 セーフモード設計はFDIR（第3.7章）・電源UVC（第3.3章）・通信の無指向性アンテナ（第3.6章）と 四位一体で成立する、システム設計の華である。

第3.5章推進系 — ΔVを現実にする

3.5.1 化学推進 — 強いが燃費が悪い

化学推進は推薬の化学エネルギーを噴射速度に変える。1液式はヒドラジンを触媒分解する 単純・高信頼の方式で I_{sp} ≈ 200〜230 s。姿勢制御スラスタ（数N級）の定番である。 2液式は燃料（ヒドラジン系）と酸化剤（NTO系）を燃焼させ I_{sp} ≈ 290〜320 s。 周回投入など大ΔV用の500 N級エンジンと組み合わせる。ほかに超小型機用のコールドガス （I_{sp}〜70 s）や、近年は低毒性（グリーン）推進薬の実用化が進む。 化学推進の性格は「推力が大きく短時間で済むが、推薬が重い」。 周回投入のような「その瞬間に大きな減速が要る」マヌーバには化学しかない。

3.5.2 電気推進 — 弱いが燃費が桁違い

電気推進は電力で推進剤（キセノン等）を加速する。ISASのマイクロ波放電式イオンエンジン （μ10）は推力約10 mN・I_{sp}約3000 s。ホールスラスタはより大推力・やや低I_{sp}。 性格は「推力はミリニュートン級で加速に年単位かかるが、推薬消費は化学の1/10」。 さらに固有の特徴として、(1) 電力との強い連成（推力は投入電力にほぼ比例。太陽距離で 発電が落ちると推力も落ちる——軌道設計・電源設計と三つ巴で最適化される）、 (2) 累積動作時間が寿命（グリッド損耗等。地上での数万時間級の耐久試験が開発の中心）、 (3) 運転計画そのものが軌道設計（連続低推力の軌道最適化）になること。 はやぶさ・はやぶさ2はイオンエンジンによる惑星間航行の実証と実用の代表例である。

3.5.3 系の構成 — タンクからスラスタまで

推進系は推薬タンク（表面張力で液を押さえるベーンや、ガスで押し出すダイアフラム等の 液管理装置つき）、加圧ガス（ヘリウム等）タンク、配管、各種バルブ（開閉を火工品で行う パイロ弁、電磁ラッチ弁、スラスタ弁）、フィルタ、圧力・温度センサで構成される。 圧力の与え方は、加圧ガスで一定圧を保つレギュレート方式と、初期充填圧から 使うにつれ圧が下がるブローダウン方式（推力・I_{sp}が徐々に低下）がある。 設計論点は、リークの絶対的防止（溶接接合の多用）、凍結防止ヒータ（ヒドラジン融点1.5℃）、 推薬スロッシング（液面揺動がAOCSの外乱になる）、そして冗長性 （スラスタの多重化と、バルブ故障で系全体を失わない配管トポロジー）である。

3.5.4 推薬バジェットと残量推定

推薬バジェットは、軌道ΔV各項（ロケット方程式で質量換算）＋姿勢制御・アンローディング分＋ FDIR・異常時対処の予備＋残留推薬（タンクから吸い出せない分）＋計測不確かさ、を積み上げる。 軌道上の残量推定は直接計測が難しく、(1) 噴射回数・時間からの積算（ブックキーピング）と (2) 圧力・温度からの気体法則による推定（PVT法）を併用する。寿命末期には残量不確かさが 運用計画（延長ミッションの可否）を左右する——「燃料計のない車で長旅をする」感覚である。

3.5.5 安全 — 推進系固有の重さ

推進系は宇宙機で最も危険物に近い系である。ヒドラジンは毒性・発火性があり、 高圧ガスは破裂エネルギーを持つ。したがって、地上作業の安全（射場での推薬充填は 防護服作業——第5.4章）、火工品の誤動作防止（点火系の多重インヒビット）、 高圧ガス機器の技術基準（JERG-0-001）、システム安全プログラム（JMR-001——第4.2章）が 重くかかる。設計審査でも安全審査が独立の系列として走ることを覚えておく。

第3.6章通信系 — 地球との唯一の接点

3.6.1 3つの機能と機器構成

通信系の機能はテレメトリ（状態・観測データの送信）、コマンド（指令の受信）、 電波計測（測距・ドップラによる軌道決定支援）のTT&C三点セットである。 機器は、受信と送信励振を一体化し上り搬送波に位相同期するトランスポンダ、 電力増幅器（TWTA/SSPA）、高利得アンテナ（HGA）と中低利得アンテナ（MGA/LGA）、 分波器・切替スイッチからなる。周波数は探査機でX帯が基幹、大容量下りにKa帯併用が現代の型である。

3.6.2 システム設計から見た通信系の要点

(1) 回線は距離の2乗で細る。深宇宙のデータレートは数kbps〜数Mbpsであり、 ミッションデータ量とのバランス（データバジェット——第2.3章）が観測計画を縛る。 (2) LGAは生命線。姿勢を失っても届く無指向性の細い回線が、セーフモード（第3.4章）の 成立条件である。(3) 可視時間は有限。地上局（ISAS系では臼田64 m・美笹54 m等）の アンテナは他ミッションと共用であり、1日数時間のパスが運用設計の前提になる（第6.2章）。 (4) 軌道決定は通信系の仕事。測距・ドップラ・ΔDORのデータ品質が航法精度を決める。 (5) 周波数は国際調整。周波数の獲得は年単位の手続きであり、SDRまでに固めるべき 「取り返しのつかない選択」の代表である（第2.1章）。

3.6.3 他系との取り合い

電源（送信機は大口消費者。送信のON/OFFが電力モードを分ける）、 AOCS（HGAの指向要求。地球指向とパドル太陽指向と観測方向の三すくみが姿勢設計の定番問題）、 構体（アンテナ視野・配置、展開アンテナの機構）、熱（送信機の排熱）、 C&DH（テレメトリ・コマンドの処理はC&DHと連続——境界のICDが重要）、 運用（可視・回線レートが運用のすべての前提）。

回線計算・変調符号・測距・地上局・CCSDSプロトコルは、 別冊『深宇宙通信工学』で扱う。 本書第2.3章のバジェット管理・第5.1章の検証の考え方は、別冊の回線設計・RF適合性試験の章と 対応している。

第3.7章データ処理系とソフトウェア — 機体の神経と頭脳

3.7.1 C&DH系の構成

中核は搭載計算機（OBC）である。耐放射線プロセッサ（SEUを前提にEDAC付きメモリ、 ウォッチドッグタイマ、多重化構成）の上で、コマンド処理・テレメトリ生成・姿勢制御演算・ 熱制御・FDIRといった機体の頭脳機能が走る。周辺にデータレコーダ（可視外・遠距離での 観測データ蓄積。データバジェットの要）、時刻管理（機上時刻の維持と地上時刻との相関—— 観測データの科学的価値は時刻精度に依存する）、各機器との搭載ネットワークが付く。 ネットワークはMIL-STD-1553B（伝統的・堅牢）とSpaceWire（高速・ISAS系で標準的）が 代表で、コマンド・テレメトリはCCSDSパケット標準に載せるのが現代の標準構成である （プロトコルの詳細は別冊第4.4章）。

3.7.2 フライトソフトウェアの特殊性

フライトソフトウェア（FSW）開発の地上ソフトとの違いは3点。 (1) 実行環境が過酷で修理不能: メモリ反転が起き、再起動は許されるが「現地デバッグ」は できない。防御的設計（メモリ保護、パトロール、二重化データ）が基本になる。 (2) 検証が本番環境でできない: 実機のダイナミクス・軌道環境は地上に存在しないため、 シミュレータ（SILS: ソフトウェア閉ループ試験、HILS: 実ハードを組み込んだ閉ループ試験）で 検証体系を構成する。(3) プロセスが標準で縛られる: JERG-2-610はV字に対応した 工程・成果物・レビューを要求し、クリティカリティ（不具合の影響度）に応じて検証の厳格さを 変える。IV&V（独立検証・妥当性確認）がクリティカルな機能に適用される。

実務上の急所は「ソフトは最後に全部のしわ寄せを受ける」ことである。ハード側の設計変更・ 不具合対処は「ソフトで吸収」されがちで、開発終盤のFSW変更が押し寄せる。変更管理 （第2.2章）と回帰試験の自動化が防波堤になる。また軌道上書換え（メモリパッチ・ パラメータ変更）は前提機能であり、はやぶさの救出運用でも軌道上ソフト改修が命綱になった。 「書き換えやすく、書き換えを検証しやすい」構造は設計時に作り込む運用性要求である。

3.7.3 FDIR — 故障を検知し、隔離し、復旧する

FDIR（Fault Detection, Isolation and Recovery）は、異常を機上で検知し、 故障箇所を切り離し、安全な状態へ復旧する自律機能の総称である。深宇宙では往復通信に 数十分かかるため（第1.3章）、「異常発生→地上が気づく→対処コマンド」では間に合わない。 地上が助けに来るまで死なないことがFDIRの設計目標である。

設計は階層で考える。機器レベル（EDAC訂正、ウォッチドッグによる自律再起動）→ 系レベル（冗長系への自動切替。例: STT異常時のジャイロ航法継続）→ システムレベル（セーフホールドモードへの遷移: 観測を止め、太陽指向で電力を確保し、 LGA経由の低レート通信で地上を待つ）。実装は「監視項目×閾値×継続時間×対応」の テーブルとして書かれ、このテーブル自体が重要な設計成果物・審査対象になる。

FDIRの設計原則: (1) 誤検知と検知漏れはトレードオフ。過敏なFDIRは正常運用を 止めまくり（初期運用あるある）、鈍いFDIRは本物を見逃す。閾値はパラメータ化して軌道上で 調整できるようにする。(2) 復旧動作は単純・確実に（第3.4章のモード設計と同じ思想）。 (3) FDIR自体の誤動作を考える。FDIRの連鎖暴走・振動（切替を繰り返す）の防止、 地上からの抑止（インヒビット）手段。(4) 検証が最難関。故障は網羅的に注入できないため、 FMEA（第4.1章）から代表故障を選び、HILSと機体試験で「仕込み故障」を注入して確かめる。

第3.8章ミッション機器との取り合い — 理学と工学の境界

3.8.1 サイエンス要求から機器仕様へ

ミッション機器の仕様は「サイエンス要求→観測要求→機器要求」と翻訳されて決まる。 例: 「銀河団の高温ガスの運動を測る」（サイエンス）→「X線輝線のドップラーシフトを 分解能○ eVで分光する」（観測）→「マイクロカロリメータを50 mK に冷却し、 エネルギー分解能○ eVを実現する」（機器）→バスへの要求（冷凍機電力、微小振動制限、 視野確保…）。この翻訳の連鎖が科学的価値と工学コストを結ぶ回路であり、 要求の工学（第2.2章）が理学に適用される場面である。 どの段の要求が「科学的に譲れない一線」で、どこからが「あれば嬉しい」なのかを 理解して初めて、バス側との建設的なトレードができる。

3.8.2 機器がバスに課す典型要求

3.8.3 PI体制との協働

ISASの観測機器は、大学・研究機関のPI（Principal Investigator）チームが開発することが 多い。PIチームは科学的動機と機器物理に深く通じる一方、宇宙機開発の標準プロセス （文書・品質保証・日程管理）はチームにより経験差が大きい。バス側サブシステム担当が 心得ておくべきこと: (1) 機器側の「性能が出ない恐怖」とバス側の「機体が成立しない恐怖」は 同じ真剣さである。(2) I/F管理（第2.4章）は機器チームの負荷も考えて設計する （過剰な文書要求は小チームを潰す——テーラリングの出番）。(3) 機器の開発遅延はプロジェクト 共通のリスクであり、責める対象でなく管理する対象である（リスク管理——第4.2章）。 機器I/F試験の早期実施（シミュレータ・EM段階での噛合せ）が最良の保険になる。

3.8.4 較正 — 性能は「測って」初めて科学になる

観測機器の出力を物理量に変換する較正（キャリブレーション）は、地上（既知光源・ 標準器による特性取得）と軌道上（標準天体の観測、内蔵較正源）の両方で行われる。 システム設計としての含意は、(1) 地上較正の期間・設備を日程に確保する（環境試験と 奪い合いになる）、(2) 軌道上較正の運用時間を運用計画に確保する、(3) 較正精度が アライメント・熱安定・時刻精度といったバス性能に依存する、の3点。 「機器単体の性能」と「システムとしての観測性能」の差を埋めるのが較正であり、 初期運用のチェックアウト（第6.1章）の主要コンテンツになる。

第4.1章信頼性設計 — 冗長・故障解析・部品

4.1.1 信頼度の計算 — 直列は掛け算、冗長は保険

一定故障率 λ を仮定すると、時間 t での機器の信頼度（故障していない確率）は R = e^{−λt}。機器を直列に（どれが故障しても全体が死ぬ構成で）並べると 全体は R_{sys} = R₁R₂⋯R_n の掛け算で急速に低下する。 2台並列（どちらか生きていればよい）なら R_{par} = 1 − (1−R)² で改善する。

ただし故障率 λ の絶対値の予測精度は高くない（部品ハンドブックの故障率は目安である）。 実務での信頼度計算の主用途は絶対値の保証ではなく、構成間の相対比較 （どこに冗長を入れると最も効くか）と弱点の発見である。

4.1.2 冗長設計の型と落とし穴

冗長の型: ホットスタンバイ（両系通電・即切替。切替は速いが両系が同じストレスを受ける）、 コールドスタンバイ（待機系は非通電。劣化しないが起動・切替に時間がかかる）、 m-of-n（n台中m台生きていれば機能。例: RW 4台スキュー配置で3台喪失まで許容、 イオンエンジン4基中3基運転）、クロスストラップ（A系機器×B系機器のたすき掛け接続で 組合せ故障に耐える）、機能冗長（同一品でなく別方式でバックアップ。例: STT故障時に 太陽センサ＋ジャイロで粗い姿勢決定——はやぶさの帰還を支えた考え方）。

落とし穴は3つ。(1) 切替機構自体が単一故障点（SPF）になる: 冗長2系を選ぶスイッチが 死んだら両系とも使えない。切替回路の信頼性・故障モードまで含めて初めて冗長は成立する。 (2) 共通原因故障: 同一設計・同一ロットの2台は同じバグ・同じ欠陥で同時に死ぬ。 ソフトのバグ、環境（過熱・過電圧）、コンタミは冗長を素通りする。 (3) 冗長の未検証: 切替パスを一度も試験せずに飛ばすと、冗長は「あるつもり」の飾りになる。 全切替パスの試験（第5.3章）が必須である。 単一故障点は原則排除、残す場合はリスク審査で明示的に受容する——これがJERG-2-120の骨子である。

4.1.3 FMEA — 下から上へ、網羅的に

FMEA（故障モード影響解析）は、構成品ごとに「壊れ方（故障モード）」を列挙し、 それぞれの上位への影響・検知手段・対処を表形式で洗い出すボトムアップ解析である。 影響の重大度（カタストロフィック/クリティカル/……）を格付けし（FMECA）、 重大なものに設計対策・FDIR監視・運用手順を紐づける。形式は単純だが、 価値は「網羅性の強制」にある——設計者の頭にない故障モードを、型が引きずり出す。

FMEAはFDIRテーブル（第3.7章）・テレメトリ項目設計・運用の異常時手順の共通の親であり、 「FMEAに書いた検知手段がテレメトリに存在するか」の突き合わせが設計レビューの定番チェックになる。

4.1.4 FTA — 上から下へ、事象から原因へ

FTA（故障の木解析）は、避けたい事象（トップ事象: 「ミッション喪失」「推薬枯渇」）から 出発し、それを引き起こす原因をANDゲート・ORゲートの論理木で分解していくトップダウン解析である。 FMEAが「部品から出発して影響を探す」のに対し、FTAは「結果から出発して経路を探す」。 両者を突き合わせると、FMEAの見落とし（系をまたぐ組合せ故障）とFTAの見落とし （思いつかなかった故障モード）を相互に補える。ANDゲートの下がすべて独立なら 確率は積になり冗長の効果が定量化できるが、共通原因（4.1.2項）がANDを実質ORに変える—— FTAの実務は共通原因探しと言ってもよい。

4.1.5 部品プログラム — 信頼性の土台

機器の信頼性は搭載するEEE部品（電気・電子・電気機構部品）の品質で頭打ちになる。 部品プログラム（JMR-012）の骨格: (1) 部品クラスの選定（宇宙用高信頼部品を基本に、 ミッションの信頼性要求・コストに応じたクラス設定）、(2) 非標準部品・COTSの評価 （放射線試験・スクリーニング・アップスクリーニングを経て採用——第1.2章）、 (3) ディレーティング（定格に対し電圧・電流・温度を余裕をもって使う。降格率の規定）、 (4) ロット管理・トレーサビリティ（不具合ロットの追跡・水平展開のため、どの部品ロットが どの機器に載ったかを記録）、(5) 破壊物理（PoF）的解析: ワーストケース回路解析 （部品ばらつき・温度・劣化の最悪組合せでも回路仕様を満たすか）、部品放射線設計 （TIDのRDM≥2、SEEレート解析）。 機器担当者の実務では「使いたい部品が部品リストにない」問題が頻発する。非標準部品の 採用申請は評価試験込みで時間がかかる——部品選定は設計の最初期から品質保証部門と 並走するのが鉄則である。

第4.2章安全・品質保証・リスク管理

4.2.1 システム安全 — ハザードから逆算する

システム安全（JMR-001）は、人命・施設・環境への危害（ハザード）を識別し、 設計と運用で制御するプログラムである。宇宙機の主要ハザードは、推薬（毒性・爆発）、 高圧ガス、火工品（意図しない作動）、電気（感電・発火）、機械（展開物・落下）、 電波（強力RFの人体・火工品への影響）、リチウム電池。射場では第三者・作業者の安全として ロケットペイロード安全標準（JMR-002）の審査を受ける。 制御の基本はインヒビット（阻止機構）の多重化である——例えば火工品の点火系統は 独立の阻止を複数持ち、地上作業中は物理的な安全プラグで遮断する。 「壊れても安全側に落ちる（フェイルセーフ）」と「単一の誤操作・単一故障では危害に至らない」が 設計原則になる。安全審査は設計審査と独立の系列で走り（フェーズごとの安全審査会）、 ハザード解析報告書が主文書になる。

4.2.2 品質保証 — 「設計どおりに作られたこと」の保証

どれほど設計が正しくても、製造がそのとおりでなければ意味がない。品質保証（QA、 JMR-005・JIS Q 9100ベースのJMR-013）は、製造・試験の全工程で「設計どおり」を保証する 活動である。設計者として関わる主な要素:

4.2.3 不適合管理 — NCRとMRB

製造・試験で「仕様や図面と違う」事象が起きたら不適合（NC）として報告書（NCR）を起票し、 処置をMRB（材料審査委員会）等の審査体で決める。処置の選択肢は 手直し（図面どおりに戻す）・修理（図面とは違うが機能回復）・そのまま使用 （ユースアズイズ: 影響評価の上で受容）・廃棄。重要なのは、(1) 不適合を隠さない文化 （報告が処罰につながる組織では不適合が地下に潜り、軌道上で発現する）、 (2) 原因究明と是正処置（同じ原因の再発防止）、(3) 水平展開（同型品・同工程の 他機器への影響確認）。ユースアズイズの判断はマージンの余裕が根拠になる—— 3値管理されたバジェット（第2.3章）はここで効いてくる。

4.2.4 リスク管理 — 不確実性の台帳

リスク管理は「起きるかもしれない問題」を、起きる前に列挙・評価・対処する プログラムである。各リスクを発生確率×影響度のマトリクスで格付けし、 対処（低減・回避・転嫁・受容）と担当・期限を台帳（リスク登録簿）で追跡する。 技術リスク（新規技術が性能に届かない）、日程リスク（部品長納期、機器開発遅延）、 その他（予算・体制・調達）を同じ台帳で扱う。 運用のコツ: (1) リスクは具体的に書く（「○○が起きると□□に影響」の形。 「開発が遅れるリスク」は台帳でなく感想である）。(2) 低減策は前倒しの検証が王道 （BBM試作、早期の部分試験——フロントローディングの実装）。(3) 顕在化したリスクは 課題管理へ移す。リスク台帳は審査の必須資料であり、「リスクゼロです」という報告は 「リスクを探していません」と同義に受け取られる。

4.2.5 デブリ対策と惑星保護

国際的な規範に基づく2つの固有プログラムがある。スペースデブリ発生防止（JMR-003）: 部品の意図的放出の禁止、爆発防止（運用終了時のタンク・電池の受動化）、 運用終了後25年以内の軌道離脱（LEO）または墓場軌道への移動（GEO）、再突入時の 地上リスク評価。惑星保護（JMR-014）: 探査対象天体を地球微生物で汚染しない （前方汚染）・地球を地球外物質で汚染しない（後方汚染）ためのプログラムで、 対象天体とミッション形態によりカテゴリが決まり、火星・エウロパ級では微生物学的清浄度の 管理・証明が開発工程に深く食い込む。サンプルリターンでは帰還試料の封じ込めが 後方汚染防止の対象になる。

第5.1章検証計画とモデルフィロソフィ

5.1.1 検証の4手段と検証マトリクス

要求の検証手段は試験・解析・検査・実証の4種（第2.2章）。使い分けの原則は 「試験できるものは試験で。試験できないもの（軌道上環境の完全再現が不可能なもの—— 無重力での展開挙動、実軌道の熱環境、通算寿命）は検証済みモデルによる解析で」。 解析で置き換える場合は、そのモデル自体の検証（構造のモーダルサーベイ相関、熱の 熱平衡試験相関——第3.1・3.2章）が前提になる。全要求と検証手段・実施レベル （機器/サブシステム/システム）・時期を対応づけた検証マトリクスが試験計画の親であり、 「この試験は何の要求を検証しているのか」に全試験が答えられる状態を保つ。

5.1.2 モデルフィロソフィ — BBM・EM・QM・FM

認定試験（QT）は設計の余裕の証明であり、予測環境より厳しい条件 （温度は許容範囲±10℃拡大、振動は+3 dB、時間も長く）をかける。 受入試験（AT）は個体の製造欠陥（ワークマンシップ不良）の検出が目的で、 条件は実環境相当・時間も短い。プロトフライト試験（PFT）は「認定レベルの条件× 受入レベルの時間」の折衷で、1品生産の科学衛星の標準戦略である——QM1台分のコストと 日程を節約する代わりに、飛ぶ機体に認定級ストレスの履歴を残すリスクを引き受ける。 機器ごとの使い分けも普通で、新規開発機器はQMで認定し、実績設計の流用品はPFTで済ませる。

5.1.3 試験の階段 — どの階層で何を見つけるか

試験は機器単体→サブシステム→システムと積み上げる。下流ほど1日のコストと 不具合修正の代償（分解・再試験）が大きいため、各階層を「その階層でしか見つからないもの」に 特化させるのが計画の要諦である。機器単体では性能の全数値と環境耐性を取り切る。 サブシステムでは機器間I/Fと系としての機能・性能。システムでは「正しく配線され、 全系が共存して動き、運用できるか」。上流でサボった確認は、下流で桁違いの値段になって 戻ってくる——「機器試験の1日はシステム試験の1時間より安い」を計画の合言葉にするとよい。

5.1.4 ソフトウェアの検証 — SILS・HILSと実機の分担

FSW（第3.7章）の検証は、単体試験→結合試験→ソフトウェアシステム試験→機体との統合試験と 積むが、閉ループの挙動（姿勢制御・FDIR）は実機では再現できない条件が多い。 そこでSILS（全ソフト＋機体・環境の数値モデル）で網羅的なケースを、 HILS（実OBC・実センサ電気モデルを組み込んだリアルタイム閉ループ）で実時間・実I/Fの 挙動を、機体試験では貫通確認を、と分担する。シミュレータへの投資は地味だが、 FDIR検証（故障注入）と運用リハーサル・運用中の事前検証（第6.2章）まで生きる プロジェクト資産である。

5.1.5 試験それ自体のリスク管理

試験は機体に実ストレスをかける行為であり、それ自体がリスクを持つ。 過負荷試験事故（条件設定ミス、治具共振）、静電破壊、コネクタ挿抜による損耗、 吊り上げ・搬送中の事故——「試験で壊す」ことは現実に起きる。対策は、試験手順書の 事前レビュー（特に中断基準: どのテレメトリがどの値になったら止めるか）、 リハーサル（ダミー供試体・低レベルラン）、作業訓練、そして試験済み構成を崩さない 原則（試験後の設計変更・再作業は検証のリセットであり、変更管理で影響を評価する）である。

第5.2章環境試験 — 打上げと宇宙を地上で再現する

5.2.1 機械環境試験 — 振動・音響・衝撃

正弦振動試験はロケットの低周波振動（〜100 Hz）を、ランダム振動試験は 広帯域振動を加振機で模擬する。供試体の応答を加速度センサで多点計測し、 設計解析（FEM）の予測と比較する——共振周波数が予測とずれていればモデル相関 （第3.1章）に戻る。注意点として、加振機は実飛行と違い「治具を介した固定端加振」であり、 共振点で実飛行より過大な負荷がかかりうるため、応答を監視して入力を制限する ノッチングを設定する（設定根拠はロケット側との調整事項）。 音響試験は音響チャンバで轟音（140 dB級）を再現し、面積が大きく軽い構造 （パドル、アンテナ、MLI）への音圧励振を確認する。 衝撃試験は分離火工品の衝撃（SRS: 衝撃応答スペクトルで規定、高周波数千G）を 模擬する。衝撃は電子部品（水晶振動子、リレー）とはんだ・コネクタの敵であり、 実火工品による実衝撃での確認（システムレベルの分離衝撃試験）が最も信頼できる。

5.2.2 熱真空試験 — 最も「宇宙に近い」時間

熱真空試験（TVAC）は真空チャンバ内で高温・低温の環境を作り、 (1) 真空中での機能・性能（対流なしの熱設計の確認、放電のないこと）、 (2) 温度範囲の端（高温端・低温端プラトー）での動作、(3) 温度サイクルによる ワークマンシップ欠陥の顕在化、を確認する。システムレベルでは熱平衡試験 （太陽模擬または面ヒータで軌道熱入力を模擬し、定常温度分布を実測して熱数学モデルを 相関——第3.2章）を兼ねることが多い。 TVACは単なる耐久確認ではなく実測データの宝庫である: 各プラトーでの性能再取得は 温度係数（発振器周波数・センサオフセット等の温度依存性）の実測値を与え、 軌道上テレメトリの解釈・較正の基盤になる。「TVACで何を測っておくか」は 運用まで見据えて計画する価値がある。

5.2.3 EMC試験 — 電磁的な共存

EMC（電磁両立性、JERG-2-241）試験は、機器が出すノイズ（エミッション: 伝導CE/放射RE）と ノイズへの耐性（サセプティビリティ: 伝導CS/放射RS）を規格限度と照合する。 機器単体の規格試験に加えて、システムレベルでは自己適合性試験——全機器を実運用モードで 動かし、受信機の感度劣化や機器誤動作がないこと——が本質的な確認になる。 科学衛星では観測機器自身が最も敏感な「被害者」であることが多く（第3.8章）、 磁気清浄度・プラズマ波動ノイズなど、規格を超えたミッション固有のEMC管理が要る。 対策の実務は接地・シールド・フィルタ・配線分離（電源系と信号系のハーネス分離敷設）であり、 設計初期のグラウンド構想（第2.4章のICD項目）が終盤のEMC苦労を大きく左右する。

5.2.4 種目の並べ順とその理由

システム環境試験の定石は機械環境（振動・音響・衝撃）→熱真空の順である。 理由は検出論理にある: 機械環境で生じた微小損傷（はんだクラック、コネクタ緩み、 ワイヤ断線しかけ）は常温大気では症状が出ないことがあり、続く熱真空の温度ストレスで 顕在化する。逆順では「損傷を作ってから見つける機会がない」。 また各環境試験の前後で同一条件の機能性能試験を行い、性能の変化（劣化の兆候）を 差分で検出する——「試験前後の比較」が環境試験の基本文法である。

5.2.5 その他の試験と設備

質量特性計測（質量・重心・慣性モーメント——AOCSと ロケットI/Fの実測値）、 アライメント計測（基準ミラーによる機器間角度の実測——指向バジェットの実測項）、 磁気試験（磁気モーメントの計測・補償——磁力計搭載機）、展開試験 （パドル・アンテナ・ブームの展開を重力補償治具で確認。無重力の完全模擬は不可能であり、 解析との組合せで検証する典型例）。大型設備（大型振動機・音響チャンバ・大型TVACチャンバ・ 電波試験設備）は筑波宇宙センターや相模原などの共用設備を予約して使うため、 設備スケジュールがプロジェクト日程の律速になることを覚えておく——試験日程の遅れは 「次の予約枠は数ヶ月後」という形で増幅される。

第5.3章システム統合試験 — 機体を組み上げ、機体で確かめる

5.3.1 統合の流れ

典型的な流れ: 構体単体→ハーネス敷設→機器の順次搭載（噛合せ）→電気試験（EIT）→ システム環境試験（第5.2章）→最終機能試験→射場輸送。 機器搭載の順序は作業アクセス性で決まり、「奥の機器が後から不具合を出すと 手前を全部下ろす」ことになるため、実績の浅い機器ほど早期に噛合せて確認しておきたい—— ここでEM噛合せ試験（機器EMと他系の早期接続確認）が効いてくる。

5.3.2 電気試験 — 初電源投入から機能確認まで

機体としての初電源投入は統合の儀式的な節目だが、その前に地味で決定的な確認がある: 配線導通・絶縁・極性の全数確認である。電源極性の誤りは一撃で機器を破壊するため、 機器を繋ぐ前にハーネス単体で確認し、機器接続は保護抵抗経由の段階投入で進める。 以降の電気試験で確認するのは、(1) 全機器のコマンド・テレメトリの疎通（全項目を一度は 動かす）、(2) 冗長系の全切替パス（第4.1章の「未検証の冗長は飾り」への回答）、 (3) 系間シーケンス（分離検知→自動シーケンス→太陽捕捉、のような貫通動作）、 (4) FDIRの代表ケース（仕込み故障による発動確認——第3.7章）。 機体と地上支援装置（GSE: 電源・計測・通信のシミュレータ群）の構成管理も実務の要で、 「GSEの不具合で機体を疑う」時間の浪費は統合現場の定番である。

5.3.3 エンドツーエンド試験と運用リハーサル

機体単体の試験が済んだら、実際の地上系（運用管制システム・地上局）と機体を接続した エンドツーエンド試験で、コマンドが管制卓から機体まで、テレメトリが機体から表示画面まで 貫通することを確認する。RF区間は地上局と機体を電波（または模擬信号）で対向させる RF適合性試験として行う（別冊第5.1章）。さらに運用リハーサル——実際の運用チーム・ 手順書・シフト体制で、打上げ〜クリティカル運用のタイムラインを機体（またはシミュレータ） 相手に通しで演習する——が打上げ前の総仕上げになる。リハーサルは手順書の誤り・ 役割分担の穴・判断基準の曖昧さを洗い出す場であり、「機体の試験」と同じ真剣さで 「チームの試験」を行う（第6.1章）。

5.3.4 統合現場の規律

第5.4章射場作業と打上げ

5.4.1 輸送と射場での最終確認

機体は防振・恒温・クリーンな輸送コンテナで射場（イプシロンは内之浦、H3は種子島）へ 運ばれる。輸送中の加速度・温湿度は記録され、到着後の輸送後健全性確認 （外観・アライメント・機能の抜き取り確認）で「輸送で壊れていないこと」を確かめてから 射場作業が始まる。射場では最終の機能確認、飛行ソフトウェア・パラメータの最終版書込み、 バッテリ充電、そして推薬充填——毒性推薬を扱う防護服作業であり、安全管理 （第4.2章）が最も厳格になる工程——を経て、スピンバランス調整（スピン衛星の場合）、 ロケットへの結合、フェアリング被せへと進む。

5.4.2 フェアリング結合後 — 手が届かなくなる

フェアリングが閉じると機体には物理的に触れられなくなり、以後のアクセスは アンビリカル（ロケット経由の電気配線: 外部電源供給・充電・最小限の監視）と RF窓越しの電波だけになる。したがって「フェアリング結合前に何を確認し終え、 どのレッドタグ（第5.3章）を処理するか」のチェックリストが射場作業計画の核心である。 結合後は打上げまで、機体は外部電源で維持され、限られたテレメトリで健全性を監視される。 打上げ直前に外部電源から内部バッテリへ切り替え、リフトオフを迎える。

5.4.3 打上げ当日 — GO/NOGOの設計

打上げ当日はカウントダウンに沿って各系が状態を確認し、節目ごとにGO/NOGOを宣言する。 ここで重要なのは、判断基準が当日の空気ではなく事前に文書化された制約条件 （気象条件、機体テレメトリの許容範囲、地上局の準備状態、軌道上物体との衝突回避 〔打上げ時刻の調整〕等）で決まることである。「この温度が○℃を超えていたらNOGO」を 前夜までに決めておく——判断を実時間の勇気に委ねない、という設計思想は FDIR（第3.7章）と同じであり、宇宙開発の文化の根幹である。 惑星間ミッションではウィンドウ（第1.3章）内の日々の打上げ時刻が軌道計算で決まっており、 延期のたびに投入軌道・初期運用計画が更新される。

5.4.4 打上げ、分離、そして最初の信号

リフトオフから衛星分離までは数十分。機体は自らのシーケンス（タイマまたは分離検知起動）で 目覚め、太陽捕捉・パドル展開へ進む（第6.1章）。地上チームの最初の仕事は 初捕捉（最初の電波の受信）である。分離軌道の予報値からアンテナを向け、 機体からのビーコンを掴む——「AOS（信号捕捉）！」の瞬間が、開発フェーズの終わりと 運用フェーズの始まりを告げる。ここから先は第VI部の世界である。

第6.1章クリティカル運用と初期チェックアウト

6.1.1 なぜクリティカルか

分離直後の機体は、(1) バッテリ残量という持ち時間の中で太陽捕捉・パドル展開を 成功させねばならず、(2) 展開・初回起動という一発勝負のイベントが連続し、 (3) 地上はまだ機体の癖を知らず、軌道決定も粗い。この期間をクリティカル運用と呼び、 24時間体制・海外局支援込みの厚い布陣で臨む。設計側の思想は明快で、 「地上が間に合わない前提で、生存に必須の動作は機上の自動シーケンスに仕込む」 （分離検知→スピンレート低減→太陽捕捉→パドル展開→地上待ち）。地上は自動シーケンスの 進行をテレメトリで見守り、異常時のみ介入する。どこまで自動にし、どこから地上判断にするかは ミッションごとの重要な設計判断である（例: 一発勝負で戻れない展開は地上GOで、 電力に直結する太陽捕捉は自動で、など）。

6.1.2 典型タイムライン

6.1.3 初期チェックアウト — 設計の答え合わせ

クリティカル期を抜けると、数週間〜数ヶ月の初期チェックアウトに入る。 全機器を順次立ち上げ、地上試験と同条件の機能確認を行い、性能を較正する。 この期間の実務の柱が予測との突き合わせである: 温度は熱数学モデルの予測と 合っているか（第3.2章）、電力収支は設計値どおりか、姿勢決定の残差は想定内か、 回線マージンは計算どおりか。ずれは「設計モデルの誤り」か「機体の異常」かのどちらかであり、 前者ならモデルを更新（軌道上相関）し、後者なら異常対応（第6.3章）へ。 更新されたモデルとトレンドの基準線（ベースライン）は、以後10年の運用の 「正常」の定義になる。FDIRの閾値（第3.7章）もこの実測を踏まえて調整される—— 設計時の閾値は安全側に置かれており、実環境で誤検知を起こすことが多いためである。

第6.2章定常運用と運用設計 — 機体と10年つきあう

6.2.1 運用のサイクル

定常運用は階層的な計画のサイクルで回る。長期計画（月〜年: 観測計画・軌道イベント・ 局スケジュール調整）→短期計画（週: 具体的な観測・運用の割付け）→ コマンド計画（パスごと: 送信するコマンド列の生成と検証）→パス運用 （可視時間内での送信・テレメトリ確認・データ再生）→評価（データ確認・ 次計画への反映）。深宇宙機では可視が1日1パス数時間しかなく、往復遅延も大きいため、 リアルタイム操縦ではなく時限コマンド（オンボードタイムライン）を積んでおき、 機体が自律実行し、結果を次のパスで確認するスタイルが基本になる。 コマンド列は送信前にシミュレータ（第5.1章のSILS/HILS）や制約チェッカで検証する—— 「検証なしのコマンドは送らない」が運用の第一戒律である。

6.2.2 テレメトリ監視とトレンド解析

監視には2つの時間軸がある。即時監視はリミットチェック（上下限逸脱の警報）が主体で、 パス中の異常検知を担う。トレンド解析は数週間〜数年のゆっくりした変化—— バッテリ容量の劣化、太陽電池出力の低下、放熱面αの劣化による温度上昇、ジャイロドリフトの 増加、RW摩擦の変化——を追い、劣化の進行予測と寿命判断、故障の前兆検知を担う。 初期運用で作った基準線（第6.1章）からの逸脱率を見るのがコツで、 「絶対値は正常範囲内だが、変化の速度がおかしい」が前兆検知の典型パターンである。 異常の多くは、後から見ればテレメトリに前兆が出ている——見る仕組み（自動化された トレンド帳票）と見る習慣を運用体制に組み込むことが、機体を長生きさせる。

6.2.3 運用性設計 — 運用しやすさは設計段階で決まる

運用の苦労の大半は、設計段階の「運用への想像力」で決まっている。 設計者が作り込むべき運用性の要素:

サブシステム担当者は開発中、「10年後、自分がいなくても運用者がこの系を扱えるか」を 自問しながらテレメトリ項目・パラメータ・文書を設計するとよい。実際、長期ミッションでは 開発メンバーの多くが入れ替わり、文書と教育だけが知識の器になる。

6.2.4 運用体制と地上系

運用は、運用管制システム（コマンド生成・テレメトリ処理・データベース）、追跡管制局 （臼田・美笹・内之浦、および海外局網——別冊第4.2章）、軌道力学系（軌道決定・予報）、 そして運用チーム（プロジェクトの技術者と、理学側の観測計画チーム）で構成される。 科学衛星の運用は大学院生を含む研究者コミュニティが参加するのがISASの伝統であり、 運用当番はサブシステム担当者にとって「自分の設計と向き合う」最良の教育機会でもある。 長期化するミッション（はやぶさ2拡張ミッション等）では、少人数・自動化での省力運用への 移行が設計テーマになる。

第6.3章異常対応と軌道上事例 — 危機から学ぶ

6.3.1 異常対応の型

異常発生時の対応は次の型で進む。(1) 安全化: まず機体を安全な状態に （多くはFDIRが自動で実施済み——セーフモードの設計どおりかを確認）。 (2) 事実の整理: テレメトリの時系列を並べ、「何が・いつ・どの順で」起きたかを 確定する。解釈と事実を分けることが鉄則。(3) 仮説と切り分け: FMEA・FTA（第4.1章）を 持ち出し、観測事実と整合する故障仮説を絞る。地上のEM・シミュレータでの再現試験が 強力な武器になる（EMを運用終了まで保持する理由）。(4) 対処と検証: 復旧手順を 立案し、シミュレータで検証してから実行する。急がば回れが原則だが、電力・熱・推薬の 「持ち時間」が締切を課す場合は、限られた情報での決断になる。 (5) 恒久対策と水平展開: 原因を確定し、運用制約・ソフト改修・次号機設計へ反映する。 重大な異常は異常対策本部・審査会という組織対応になり、事実経過の記録が全ての土台になる。

6.3.2 はやぶさ（2003–2010） — 生還を支えた「機能冗長」

小惑星イトカワからのサンプルリターン実証機はやぶさは、イオンエンジン運用中の 太陽フレア被曝、姿勢制御ホイール3基中2基の故障、タッチダウン後の燃料漏れと それに続く電源喪失・7週間の通信途絶、化学推進系の全損、帰還航行中のイオンエンジン 中和器劣化——と、教科書的な危機のほぼ全てを経験した。生還を可能にしたのは、 設計時に想定していなかった機能の転用である: キセノン生ガスをスラスタ代わりに 噴射して姿勢制御し、太陽輻射圧とのバランスで姿勢を保ち、劣化した2基のイオンエンジンの 生きている部分（イオン源と中和器）を回路改修で「ニコイチ」運転して帰還ΔVを確保した。

教訓: (1) 異種の手段が残っていれば、運用の創意で機能は再構成できる—— 同一冗長より異種資源の豊かさが最後の砦になる。(2) ニコイチ運転を可能にしたのは 打上げ前に「万一に備えて」入れられていたバイパス回路だった——設計者の想像力が 7年後の機体を救った実例。(3) 通信途絶からの復旧は、途絶時の機体挙動（スピン・電源・ 受信機の状態）を仮定した粘り強い運用（ビーコン探索）によった——「諦める条件」を 決めない限り、探し続けられる設計と体制が要る。

6.3.3 あかつき（2010/2015） — 軌道力学が与えた再挑戦

金星探査機あかつきは2010年、金星周回投入の逆噴射中に軌道制御エンジン（OME）が 破損し（燃料側逆止弁の閉塞による異常燃焼が原因と推定）、投入に失敗、太陽周回軌道に 取り残された。プロジェクトは残された姿勢制御用スラスタ（RCS）だけで投入する計画を立て直し、 不要になった酸化剤を投棄して軽量化、5年後の再会合機会にRCSによる周回投入を成功させた。 教訓: (1) 主エンジン喪失後も「別の推進手段＋質量投棄＋軌道の工夫」で ミッションは再構成できた——ここでも異種資源とΔVバジェットの残りが効いた。 (2) 失敗直後に「次の機会は5年後」と定まる惑星間ミッションの時間構造（第1.3章）は、 機器寿命（設計寿命を超えた待機）と体制維持の問題を同時に課す。 (3) 原因究明は限られたテレメトリと地上燃焼試験の組合せで行われた—— 「飛んでいる機体は調べられない。地上の試験設備とモデルが唯一の実験場」。

6.3.4 ひとみ（2016） — 複雑さと運用の落とし穴

X線天文衛星ひとみは打上げ約1ヶ月後、姿勢系の異常連鎖により機体が回転・分解し 失われた。事故調査で確認された連鎖は: STTの追尾不調とIRUバイアス推定の異常により 姿勢決定が誤り、実際には回転していない機体を「回転している」と誤認してRWが逆に 回転を加速→磁気トルカによるアンローディングも姿勢誤認で逆効果→セーフホールドへの 移行判断→スラスタ噴射のパラメータが直前の運用で不適切に設定されており、 噴射がさらに回転を加速→遠心力で太陽電池パドル等が分離、という多段の複合であった。

教訓は重い。(1) 各段の設計・運用判断は個々には説明可能でも、連鎖の全体を 誰も見ていなかった——異常時系列のシステムレベル検証（FDIRの連鎖シナリオ試験）の重要性。 (2) セーフモードは「最後は必ず安全」でなければならないが、その最終手段（スラスタ制御）に 検証不十分な運用パラメータが注入されていた——運用中のパラメータ変更にも開発と同じ 検証・審査を課すこと（第6.2章の第一戒律の高い代償）。(3) 異常の進行中、地上は 機体の実状態を把握できていなかった——可観測性と、異常時に「介入せず様子を見る」 判断基準の必要性。この事故の教訓はJAXA全体の開発・運用プロセス改革（審査・検証・ 運用管理の強化）に反映され、後継機XRISMの開発方針を形作った。

6.3.5 SLIM（2024） — 異常の中の成功

小型月着陸実証機SLIMは、降下最終盤にメインエンジン2基中1基のノズル脱落という 異常に見舞われながら、残る1基と姿勢制御で降下を継続し、目標100 m精度の ピンポイント着陸を達成した（接地姿勢は想定外の転倒状態となったが、後日、 太陽入射条件の変化により発電が回復し運用を継続した）。 教訓: (1) 誘導制御系が異常発生後も着陸を継続できたのは、冗長性と制御系の 頑健性（異常推力下での再構成）による——「異常があっても目的を果たす」設計の実例。 (2) 転倒後の運用再開は、電源・通信・熱が「想定外の姿勢」でも最低限機能したことによる—— 最悪ケースの外側にも生存の余地を残す設計マージンの価値。

6.3.6 事例を貫くもの

4つの事例を貫く教訓を並べると、本書の各章がなぜ存在するかが見える。 異種資源の豊かさが最後の砦（冗長設計——第4.1章）。 運用の変更にも開発と同じ検証を（構成管理と検証——第2.5章・第5.1章）。 連鎖を見る者を置く（システムレベルのFDIR検証——第3.7章）。 地上のEM・モデル・試験設備が唯一の実験場（モデル相関——第V部）。 テレメトリの前兆を見る仕組み（トレンド解析——第6.2章）。 そして危機での創意は、平時の深い理解からしか生まれない——はやぶさの運用者が キセノン噴射を思いつけたのは、系の物理を設計レベルで理解していたからである。 あなたが本書で学ぶ目的も、突き詰めればここにある。

第7.1章事例研究 — ISAS探査機の系譜

7.1.1 ISASの流儀

ISAS（宇宙科学研究所）は、大学共同利用機関を起源とし、理学と工学が同居し、 研究者が自ら衛星を作って運用する文化を持つ。特徴は、(1) ミッションは研究者 コミュニティのボトムアップで生まれる（第2.1章のWG制度）、(2) 中型以下のロケット・ 小規模予算で世界初を狙うため、「制約を独創で越える」設計が伝統芸になっている （ひてんの月スイングバイ航法、はやぶさのイオンエンジン航行、IKAROSのソーラーセイル、 SLIMの軽量化とピンポイント着陸）、(3) 大学院教育と一体で、学生が開発・運用の実戦力になる。 メーカとの関係も「仕様書で発注して納品を待つ」のではなく、研究者と設計者が 膝詰めで作る協働に近い。この文化は強みであると同時に、属人性・ドキュメント文化の弱さという 課題も指摘されてきた（ひとみの教訓——第6.3章——以降、プロセスの強化が進む）。

7.1.2 系譜早見表

7.1.3 系譜から読める3つの流れ

(1) 技術の継承と段階的実証: イオンエンジンは「実験→はやぶさで実証→はやぶさ2で 実用→DESTINY+で発展」と機体をまたいで成熟してきた。新技術は1機で完成せず、 実証ミッションを挟んで育てる——あなたの機体の新規技術も、この連鎖の一環として 位置づけられているはずである。 (2) 失敗の制度化: のぞみの教訓ははやぶさの運用に、はやぶさの危機ははやぶさ2の 設計に、ひとみの事故はXRISM以降の全プロジェクトのプロセスに反映された。 不具合・事故の報告書は最も価値の高い教材である（第7.3章の読書案内）。 (3) 規模の二極化: 戦略的中型（MMX級）と、小型・超小型（革新的衛星技術実証等）の 二極化が進み、後者ではCOTS活用・短期開発・リスク許容という異なる開発文化が育っている。 標準・プロセスのテーラリング（第2.5章）の実践場である。

第7.2章設計実務ウォークスルー — 小型深宇宙探査機を通しで設計する

7.2.1 お題 — 地球近傍小惑星フライバイ探査機

ミッション要求: 地球近傍小惑星に接近フライバイし、可視・近赤外撮像データ 計20 Gbit以上を取得して地上に伝送する。打上げはイプシロン級（深宇宙投入質量 約150 kgと仮定）。ミッション期間3年。 サクセスクライテリアを仮に置く: ミニマム＝フライバイ実施と画像1枚以上、 フル＝20 Gbitの観測データ回収、エクストラ＝第2小惑星への延長フライバイ。

7.2.2 手順1: 軌道とΔV — 質量の大枠が決まる

地球脱出後、電気推進によるスパイラルと地球スイングバイで対象天体へ向かう 軌道を仮定し、軌道設計チームの概算でΔV=1.2 km/s（電気推進担当分）とする。 イオンエンジン（I_{sp}=3000 s）なら推薬比は 1−e^{−1200/(9.8×3000)} ≈ 4.0%、つまり150 kg級でキセノン約6 kg。 化学（I_{sp}=220 s）でやれば42%＝63 kgとなり機体が成立しない—— この1行の比較が「電気推進を選ぶ」というシステム構成の決定になる（第1.3・3.5章）。 姿勢制御・軌道修正用に1液ヒドラジンRCS（推薬2 kg）も併載する。

7.2.3 手順2: 質量バジェットの初版

類似機の統計から乾燥質量の系別配分率を置き、打上げ能力から逆算する。

フェーズA相当でマージン9%は不足（相場20%——第2.3章）。この時点で 「機器を削るか、軌道を楽にするか、能力の大きいロケット相乗りを探すか」という システムトレードが最初の宿題として立つ。以降の各系検討は「軽くする圧力」の下で進む—— という緊張感まで含めて、実務の再現である。

7.2.4 手順3: 電力と通信 — 探査機の定番の綱引き

電力: イオンエンジン運転に350 W（PPU込み）、バス機器に150 Wとし、 巡航時500 Wを最遠1.4 AUのEOLで確保する。1 AU・BOLに換算すると 500×1.4²÷0.85（劣化・損失）≈ 1150 Wのパドルが要る。 30%効率セル・実装込み約250 W/m²として約4.6 m²——150 kg機には大きく、 展開パドル2翼の機構と、AOCSへの慣性・柔軟性の申し送りが発生する（第3.3・3.4章）。 通信: フライバイデータ20 Gbitを、0.3 AU（フライバイ時想定距離）から X帯・HGA 0.5 m・RF 20 Wで下ろす。回線計算（別冊の手順）で仮に100 kbps取れるなら、 1日6時間パスで2.2 Gbit/日、約10日で回収——「フライバイは一瞬、伝送は10日」という 運用像とレコーダ容量要求（≥20 Gbit＋余裕）がここから出る（第2.3章のデータバジェット）。

7.2.5 手順4: 要求として各系に配る

ここまでの概算は、そのまま各系への要求初版になる。 AOCS: 撮像時指向精度0.05°（3σ）・安定度0.01°/s、フライバイ時の追尾レート成立。 熱: イオンエンジンPPU 350 W時の排熱、1.0〜1.4 AUの太陽距離範囲。 C&DH: レコーダ24 Gbit、画像圧縮機能。構体: パドル4.6 m²の収納・展開、一次固有振動数 ロケット要求以上。——各系はこの初版要求に対し成立性と質量・電力の見積りを返し、 バジェットが更新され、次の反復が始まる（第2.3.4項の設計ループ）。 2〜3周の反復と減量活動を経て、SRR/SDRで要求とシステム構成が凍結される、 というのがフェーズAの実像である。

7.2.6 このウォークスルーが示すこと

(1) 設計は軌道→質量→電力→通信→各系の順に大枠が決まり、逆流の反復で精密化する。 (2) どの手順も使った道具は本書の各章そのもの（ロケット方程式、配分率、1/r²、 回線とデータの整合、マージン相場）。(3) 最初の1周は半日でできる——精密さより 全系を一巡して矛盾を見つける速さが概念設計の価値である。 あなたも自分のプロジェクトの数字でこの表を作り直してみると、機体の設計論理が 一気に立体化するはずである。

第7.3章サブシステム担当者の仕事術

7.3.1 着任したら最初にやること

推奨する立ち上がりの順序: (1) ミッションを掴む: ミッション要求書・提案書・ 直近の審査資料の冒頭章。「この機体は何のために、何を制約に飛ぶのか」を自分の言葉で 言えるように。(2) 自分の系の現在地を掴む: 開発仕様書・ICD・バジェット表の最新版と、 未解決課題リスト（TBD・宿題・リスク台帳のうち自分の系のもの）。 (3) 人の地図を作る: システム担当、隣接系の担当、メーカの設計者、S&MA、 前任者。技術文書に書かれない経緯は人の中にある。(4) 前号機を読む: 同系統の 前号機の設計報告と不具合記録（第7.1章）。(5) 自分の系のJERG設計標準を「目次レベルで」 通覧（第2.5章）。(6) プロジェクトの文書ツリーと審査計画を入手し、第2.6章の分類軸で 眺めて「この開発の会議・審査・文書の地図」を自分用に作る。——完璧に理解してから 動くのではなく、2週間でこの一巡を終えて「質問できる状態」になることを目標にするとよい。

7.3.2 数字の作法 — 出典・根拠・成熟度

担当者の信用は数字の扱いで決まる。鉄則は3つ。 (1) すべての数字に出典を: 「仕様値／設計値（図面・解析）／実測値／カタログ値／仮定」の 区別を常に明示する。「その5 kgはどこから来た数字ですか」に即答できない数字を 会議に出さない。(2) 不確かさを添える: 「約100 W（±20%、熱解析未実施のため）」は 誠実な報告であり、「100 W」と断言して後で覆すほうが信用を失う（第2.3章）。 (3) 変わったら自分から通知: 自分の系の数字の変化がバジェット・他系・文書の どこに波及するかを考え、影響先に先回りして知らせる（第2.4章）。

7.3.3 会議と審査の作法

設計会議では、論点を「事実（データ）／解釈／提案」に分けて話す。 結論が出たら「誰が・何を・いつまでに」を必ず確認する（宿題管理——第2.1章）。 審査資料は読む側の目で書く: 冒頭に要求→設計解→検証方針→残課題の構造を示し、 根拠は本文、詳細はバックアップに送る。想定問答を作る過程が設計の穴の自己点検になる。 指摘への応答は、防御でなく感謝が基本姿勢である——指摘は無料の設計レビューであり、 その場で反論しきれない指摘は「持ち帰って検討」が正解（口頭での安請け合いは 文書化されない約束＝事故のもと）。

7.3.4 試験現場での振る舞い

現場で頼られる担当者の条件: (1) 自分の系の「正常な顔つき」を暗記している （主要テレメトリの正常値・ばらつき幅）。(2) 即席のデータ確認手段を持っている （テレメトリを引いてトレンドを描く自作スクリプト等。準備した者だけが即答できる）。 (3) 異常時に手を止められる: 「おかしい」と思ったら試験を止める勇気。 中断基準（第5.1章）に該当したら躊躇なく止め、事実を記録してから議論する。 (4) 作業と記録の規律（第5.3章）を自分にも課す。夜中の「ちょっとした確認」の アドリブ作業が最も危険である。

7.3.5 メーカ・PIチームとの協働

JAXAの担当者はメーカ（機器・機体の設計製造）とPIチーム（観測機器——第3.8章）の間で 働く。心得: (1) 仕様書・ICDは「発注の道具」である以前に「共通理解の器」—— 行間の意図を対話で埋め、結果を文書に反映する往復が本来の使い方。 (2) メーカの設計者は当該機器については自分より深い専門家である。敬意を持って学びつつ、 システム側の文脈（なぜこの要求か、他系がどう困るか）を伝えるのがJAXA側の付加価値。 (3) 問題の兆候（日程遅延・技術課題）は早く共有してもらえる関係を作る—— 悪い報せを歓迎する態度が、隠蔽という最悪の事態を防ぐ（第4.2章の不適合文化と同型）。

7.3.6 学び続ける — 知識の地図の広げ方

本書はあくまで入口である。次の一歩として: 担当系のJERG標準とハンドブックの精読、 別冊『深宇宙通信工学』（通信系）、SMAD（Space Mission Analysis and Design）等の 体系的教科書、宇宙科学技術連合講演会・学会誌のプロジェクト報告、 そして過去機の不具合・事故報告書（第7.1章）。加えて、運用当番・試験立会い・ 審査陪席といった現場機会に自分から手を挙げること——文書で学べるのは構造まで、 判断の速さと勘所は現場でしか身につかない。付録Cに文書ガイドをまとめた。

付録A総合演習（解答付き）

各問は本文の複数章にまたがる。まず自力で解き、解答を開いて考え方を照合してほしい。 数値は概算精度（2桁）でよい。

付録B用語集

実務文書・会議で頻出する用語を分野別に収録した。より詳しい定義は各章および JERG-2-000等の用語規定を参照のこと。

B.1 プロセス・マネジメント

B.2 設計・解析

B.3 信頼性・品質・安全

B.4 試験・運用

付録C参考文献・文書ガイド

C.1 JAXA公式文書（sma.jaxa.jp で公開）

JAXAの安全・ミッション保証および設計標準の公式文書は JAXA S&MA 技術文書サイトで 公開されている。本書との対応は第2.5章の表を参照。まず手に取るべきものを挙げる。

C.2 体系的な教科書

C.3 実ミッションから学ぶ資料

(1) ISAS/JAXAの公開資料: 各プロジェクトの公式ページ、プレスキット（機体諸元・ ミッション概要の一次情報として優秀）、宇宙科学研究所報告・JAXA刊行物。 (2) 事故・不具合調査報告: ひとみ（ASTRO-H）異常事象調査報告書、のぞみ・あかつきの 経緯報告等は、JAXAおよび文部科学省の公開資料として読める。システムの壊れ方と 組織の学び方の実例として、本書第6.3章の原典である。 (3) 学会・シンポジウム: 宇宙科学技術連合講演会、ISASシンポジウム等の講演集。 プロジェクト総括講演は「設計判断の生の理由」が語られる貴重な資料である。 (4) 海外: NASA Lessons Learned Information System、ESAの各種公開報告。

C.4 別冊

通信系の専門課程として、別冊『深宇宙通信工学』—— リンクバジェット、変調・符号化、測距・軌道決定、機上RF系・地上局、CCSDSプロトコル、 RF試験と運用——が本書と同じ形式で利用できる。本書第3.6章はその入口である。