セーフモード (宇宙機)

宇宙工学において、セーフモード（英: safe mode）とは無人宇宙機の動作モードの一つで、機体の健全性維持に必須でない機器がシャットダウンされ、熱制御（英語版）、無線受信、姿勢制御などの重要機能のみを稼働させる^[1]。セーフホールドモード（英: safe-hold mode）とも^[2][3]。

セーフモードへの移行は、宇宙機が制御を失ったことや損傷を受けたことを検知するために事前に定義された、特定の事象が起こった場合や特定の動作条件に陥った場合に自動的に行われる。通常はシステム障害や通常稼働条件からの危険なほどの逸脱が検知された場合に起動される。宇宙線の入射により電気系統に誤った信号やコマンドが入力されることにより誤動作する場合もあり、特にCPUはこの種の誤動作を起こしやすい^[4]。バイキング1号ランダーのように、ハードウェア障害やプログラムミスによりコマンドを受信できなくなることもあるため、決められた時間内にコマンドを受信できなかった場合にも起動される。

セーフモードへの移行プロセスには、宇宙機の損傷や機能喪失を防ぐための様々な行動が伴う。必須でないサブシステムからは電源が落とされ、熱制御やソーラーパネルへの入射光の維持のため姿勢制御が最優先で行われる^[1]。宇宙機が姿勢制御を失った場合、短時間でも過熱または凍結による破損やバッテリー残量喪失による恒久的機能喪失につながりうる^[3]。

セーフモード中の動作

セーフモード動作中は、宇宙機の健全性維持が最優先となる。典型的には、科学機器などの非必須システムはシャットダウンされる。ソーラーパネルへの入射光確保および熱制御のため、宇宙機は太陽に対する相対姿勢を維持するよう努める。その上で、ミッションコントロールセンターからの無線指令を待機するため低ゲイン無指向性アンテナ（英語版）により信号を監視する。セーフモード中の詳細な動作は宇宙機の設計およびそのミッションによってことなる^[4]。

セーフモードからの復帰に際しては、宇宙機とミッションコントロールセンターとの通信を再確立したのち、診断データをダウンロードし、ミッションの続行に必要なさまざまなサブシステムの電源が順次再投入される。復帰までの時間は、通信の再確立の困難さや宇宙機との距離、ミッションの性質などにより数時間から数週間までさまざまである^[5]。

セーフモード移行動作のオーバーライド

通常のセーフモード移行条件がオーバーライドされることもある。土星探査機カッシーニの土星周回軌道投入（英語版）マニューバ実行時など、致命的障害がその間に起こるとミッション目的が（すべてではなくとも大部分が）いずれにせよ達成不可能となるような重要動作時にはセーフモード移行機能が切られることがある^[6]。また、火星探査車スピリットの第451Solに行われたように、手動で意図的にセーフモードへ移行される場合もある^[7]。

主な事例

2005年

• 火星探査車スピリットが複数回セーフモードに移行する^[7]。

2007年

• 9月10日、土星探査機カッシーニ・ホイヘンスのイアペトゥスフライバイデータのダウンロードがセーフモード移行により中断した^[6]。
• 3月19日、ニュー・ホライズンズはCommand and Data Handling (C&DH)主コンピュータが訂正不能メモリエラーを起こしたためセーフモードに入った^[5]。
• 火星探査衛星オデッセイが突如セーフモードに入ったためマーズ・エクスプロレーション・ローバーと地球との間の通信が途絶えた^[8][9]。

2009年

• 8月26日、マーズ・リコネッサンス・オービターがセーフモードに入った。これは当月2回目、当年では4回目、2005年に打ち上げられて以来では8回目となる^[10][11]。12月8日に復帰^[12]。
• 6月15日および7月3日、宇宙望遠鏡ケプラーはセーフモードに入った。2回ともオンボードプロセッサのリセットによるもの ^[13]。
• 2月17日、小惑星帯探査機ドーンは火星フライバイ中にプログラミングエラーが発生、セーフモードに入った^[14]。
• 9月29日、水星探査機メッセンジャーは3回目の水星フライバイ中にセーフモードに入った^[15]。

2014年

• 11月15日、彗星着陸機フィラエは、日照量の減少および計画外の地点に着陸したため機体姿勢が予定から外れ、バッテリーを使い果してセーフモードに入った^[16]。

2015年

• 7月4日、冥王星最接近を10日前に控えたニュー・ホライズンズがセーフモードに入った。一部の科学データは失われたものの、ミッション目標への影響は最小限に留まった^[17]。

2016年

• 10月18日、木星探査機ジュノー は予定されていた低軌道への遷移マニューバを目前にしてセーフモードに入った^[18]。搭載コンピュータの再起動した後、科学研究システムの検査が行われたが大きな不具合は発見されず、正確な原因は調査中である^[19]。

2018年

• 6月13日、火星探査車オポチュニティは砂嵐にみまわれセーフモードに入った。大気は日光がほとんど遮られるほど不透明になり、最小限の機体維持機能と通信機能のみの稼働状態でもバッテリーを充電できないほどソーラーパネル出力が低下した^{[20] [21]}。10月に入り大気は晴れたが期待された再起動はかなわず、壊滅的な障害に陥いったか、ソーラーパネルが塵で覆われてしまったと考えられる^[22]。8月以降、1,000回以上にわたって信号が送られたが応答はなく、2019年2月13日、NASAはオポチュニティの運用を終了する決定を発表した^[23]。
• 10月5日、ハッブル宇宙望遠鏡は3つの稼働中ジャイロスコープのうち1つの故障によりセーフモードに入った^[24][25]。故障したジャイロは約1年間にわたり寿命末期の挙動を示していたため故障は想定されており、翌日には予備のジャイロスコープが起動されたものの不具合がみられたため追加の処置と動作確認を行い、10月27日に観測を再開した^[26]。

2021年

• 6月13日、ハッブル宇宙望遠鏡の搭載コンピュータに不具合が生じ、観測が中断されセーフモードが起動された^[27][28][29]。予備系を起動しても問題が解決せず、復旧作業には建造に携わった退職者も動員され、最終的に15時間にわたる切り替え操作の末に再起動に成功、7月17日に観測が再開された^[28][29]。

機能喪失事例および喪失危機事例

• 1998年6月25日、太陽観測機SOHOがセーフモードに入り、一時的に通信不能状態に陥ったが、4か月後に復旧され、通常運用に復帰した^[3][30]。
• 1998年12月20日、小惑星探査機NEARシューメーカーはエロス周回起動への第一次投入マニューバ中にセーフモードに入り、一時的に通信不能状態に陥った^[31]。
• 2006年11月2日、マーズグローバルサーベイヤーはセーフモードに入ったが、バッテリーの過熱と太陽との相対姿勢が狂ったため機能を喪失した^[32]。
• 2014年9月16日、ISEE-3は、クラウドファンディングにより資金を集めた民間団体による再起動作業中に機能喪失に至った^[33]。ソーラーパネル出力が低下したため、セーフモードに入ったと考えられている^[34]。