H3ロケット不具合原因調査 途中経過の内容

 　現時点でJAXAからは、電源の電圧低下によりフェールセーフが機能して停止に至ったとの発表がありました。　コントロールユニットに供給する電源が数秒に渡りゼロになる現象があり、電源供給経路にある半導体スイッチの不具合が影響を与えた可能性が高いところまで絞り込んだ（報道文まま）との事です。（システムの位置関係は下記図を参照して下さい）

つまり、半導体スイッチがなんらかの原因でオフになってしまったと解釈できます。

まだ調査は進んでませんが、機器の異常（故障）は見られないとの事から、定常的な故障箇所は無いと言えますので誤作動の類を疑うべきかなと考えます。

まず、JAXAは「半導体スイッチの不具合の可能性」と言ってますので、恐らくFPGAからは、スイッチオフの信号は出ていなかったと言えます。（これを検証せず半導体スイッチが怪しいと言う発表はできないはず）

そうなると、半導体スイッチはオフ信号を受けなかったのに勝手に（自主的に）オフした事になります。　この半導体スイッチの種類が分かりませんが、単純なトランシスタであれば、ゲート（ベース）にオフ信号与えていないのにオフを数秒継続する誤作動は考えにくいです。瞬間ならまだしも、数秒遮断されてた事からノイズでそうなる事も考えにくいです。

となると、半導体スイッチは保護機能付きでそれが作動した可能性があると考えます。

保護機能とは過電流や過温度を検知しオフする機能です。

何が原因で遮断したのかログが残っていれば解明は早いです。

過電流であれば、エンジンコントロールユニットの一時的な過電流、過温度が考えられます。

去年11月実施した実機試験（タンクステージ燃焼試験）は成功していて、そこからロケットは動かしていない事から、条件の大きな違いは無いと思いますが、試験時はたまたまOKであった可能性も考えます。（何かのマージンが不足していた）。

温度モニターは細かくしていると思いますので、ノイズ関係を検証する余地があるかもしれません。（先ほどノイズは考えにくいと言った所のノイズとは別の箇所です）。故障無しで過電流が発生する原因としては、エンジンコントロールユニット内のICのラッチアップ等が考えられます。

　上記図は、JAXA資料

「H3ロケット試験機1号機 打上げ中止の原因調査について  （2023年2月22日）」　より抜粋

以下蛇足です。

もし結論が誤検知だとしたらこのような提言をしたいです。

異常検知の設計はちゃんとやらないと、異常検知自身の故障という故障モードが一つ増るだけになります。異常検知が原因でシステムの信頼性を落とす事になります。

異常を見逃したら困るので、余裕を持って検知させようなどと考えると痛い目にあいます。

異常検知が誤作動しただけで本体が故障したわけではないと分かると、不具合レベルを軽視する人たちがいます。しかし、本当の故障も誤検知も影響は変わらないわけです。

台風などの自然災害であれば、不確定要素が多いので空振りでもいいから余裕をもった警報レベルにしておく理由はありますが、電子機器は不確定要素など大きくないのですから、余裕を持たせる事などしてはいけません。

逆に、余裕を持たせるべきは、確認試験の条件の方です。

何か誤作動が原因である場合、その原因である例えば　温度　振動　ノイズの試験があるとしたら、その条件をMAX＋αまで行い、機器の挙動を見てみる事が必要です。

俗に言う限界試験でどうなるかを把握しておく事で、不具合が出た場合の推測の助けになります。　予測とは違う故障モードになったり、或いは予測とは別の箇所が壊れたりする事もあります。

目次に戻る