火星でファイルがあふれた日
スピリットの旅とSol 18の異常

スピリット(Mars Exploration Rover A、MER-A)は2003年6月10日 17時58分47秒(世界時、日本時間 6月11日 2時58分)、米国フロリダ州のケープカナベラル空軍基地17A発射台から、デルタII 7925ロケットで打ち上げられました。双子のオポチュニティ(MER-B)は約2週間後の7月8日(世界時)に続きます。打ち上げ約36分後にインド洋の上空で3段目から離れ、約50分後にはオーストラリアのキャンベラの深宇宙通信局が最初の電波を受けました。

打ち上げのときの重さは1,062kg(NASAの打ち上げ前の資料)。巡航段、熱シールド、背面カバーとパラシュートに包まれた着陸機、そして着陸機の中に折りたたまれた重さ174kgのローバーです。マーズ・パスファインダーのソジャーナ(10.6kg)の約16倍の重さのローバーを、同じようにエアバッグで降ろす計画でした。

地球を離れたあとは、太陽のまわりを半周弱回って火星に追いつく航路です。7か月の間に4回、小さな噴射で軌道を修正しました(TCM)。5回目と6回目も用意していましたが、狙いが十分に合っていたので行っていません。

着陸の手順は、マーズ・パスファインダーとほぼ同じです。熱シールドで減速し、パラシュートを開き、ひもで着陸機を吊り下げ、レーダーで地面を測り、エアバッグをふくらませ、逆噴射ロケットで止まり、ひもを切って落ちる。新しく加わったのは、降りながら地面を撮って横に流される速さを測るカメラ(DIMES)と、横向きに噴くロケット(TIRS)です。

下の図は、JPLが公開している突入から着地までの再構成軌道(10秒ごと)から、高さと速さを描いたものです。

予定より低かったパラシュート

着陸の再現では、火星の反対側で起きていた砂嵐の影響で大気の密度が予想と違い、パラシュートが開いたのは予定より約1.6km低い所だったと説明されています。パラシュートで降りる速さも時速約245km(秒速約68m)と、予想より遅めでした。上の図の最後の区間の速さ(秒速約70m)とも合います。突風で横に流され、横向きのロケットで打ち消したうえで、ひもを切ったのは予定より3m以上低い約8.5mでした。

エアバッグに包まれた着陸機は28回弾んで、300m近く転がって止まりました。探査機の時刻で4時25分32秒(世界時)、地球で知らされたのは4時35分。止まった場所は、のちにスペースシャトル「コロンビア」の7人の宇宙飛行士にちなんでコロンビア・メモリアル・ステーションと名付けられました(南緯14.57°・東経175.47°)。着陸地点の時刻では午後2時ごろ、昼の着陸です。

1月15日 8時41分(世界時)、スピリットは78秒かけて3m進み、着陸機から火星の地面へ降りました。JPLの所長Charles Elachiの言葉は「6つの車輪が土の上にある」。ここから先、着陸機は動かず、ローバーだけが走ります。

マーズ・パスファインダーでは、コンピュータは着陸機にあり、ローバーのソジャーナは8ビットの80C85でした。スピリットではそれが逆になります。巡航・着陸・地上の運用のすべてを受け持つコンピュータは、ローバーの中に1台だけ。着陸機は、ローバーを降ろしたあとは役目を終えます。

CPUはパスファインダーの着陸機と同じ系統のRAD6000(IBMのPOWERの設計を放射線に強くしたもの)、OSも同じVxWorks。大きく変わったのは記憶の容量です。DRAMは128MBのまま、新たに256MBのフラッシュメモリが加わりました。電源を切っても消えない記憶に、写真や測定のデータをためておき、地球へ送れる時間に送ります。

右の表は Reeves・Neilson の論文の表1から。フラッシュのファイルシステムは、市販のソフト部品(DOSライブラリ)で作られていました。消したファイルに E5h の印を付けるのは、MS-DOSのFATと同じやり方です。

着陸から18日目、Sol 18(2004年1月21日)。スピリットは岩「アディロンダック」を調べるためにロボットアームを伸ばす準備をしていました。この日の朝(着陸地点の時刻で9時)に始まった地球との直接の通信は、11分後に命令の受信でエラーが出始め、予定より14分早く途切れます。オーストラリアの通信局のあたりは雷雨で、はじめは天気のせいだと考えられました。

ところが昼の「ビープ音」(決まった時刻に送る短い合図)は届いたのに、午後の高利得アンテナの通信も、周回機を中継する通信も来ません。翌日の朝に届いたのは、2分20秒の意味のない信号だけ。運用チームのJennifer Trosperの言葉を借りれば「無線機は動いているが、中には誰もいない」データでした。

1月22日、プロジェクトマネージャーのPete Theisingerは「とても深刻な異常」と発表します。Sol 20には、故障のときに切り替わる遅い通信速度(毎秒7.8125ビット)で合図が届き、低利得アンテナで受けた記録から、コンピュータが再起動をくり返していることが分かりました。JPLの発表では「3日間で60回以上」。状態は「危篤(critical)」とされました。もう1台のオポチュニティの着陸は、わずか数日後に迫っていました。

フラッシュのファイルシステムは、起動するたびに「マウント」されます。フラッシュの中のディレクトリとファイルを全部たどり、その一覧をRAMの上のデータ構造として組み立てる作業です。この一覧の置き場所(DOSライブラリのプライベート領域)は最初256KBで、足りなくなると空いているシステムメモリから256KBずつ借りて広がります。上限は決められていませんでした。

そして、ファイルを消しても一覧の場所は返されません。消すときに行うのは、ファイル名の1文字目を E5h に書き換えることだけ。そのディレクトリにいちばん多くファイルがあったときの数だけ、RAMを使い続けます。フラッシュには、打ち上げのときのソフト(R7)が作った古いデータも、ディレクトリごと残っていました。

Sol 18の朝、装置の点検で「動きの記録」のデータがたくさん作られ、一覧を広げるためのRAMがついに足りなくなります。下の図で、何が起きたかを順に見てください。

なぜ打ち上げ前に見つからなかったのか

論文は、いくつもの理由を挙げています。打ち上げまでの日程が厳しく、地上での運用の試験(PORT)をしたときには、地上の運用もソフトもまだ固まっていなかったこと。Sol 1の時点で、本物のスピリットのフラッシュには、試験機のときより多くのファイルがあったこと。あとから試験の記録を見直すと、空きメモリが減っていくようすは写っていたのに、優先度の低い記録だったので誰も見ていなかったこと。そして、DOSライブラリの設定は決めきられないまま、「この異常は起こりえない」と考えられていたことです。

パスファインダーのときと同じく、市販のソフトの部品(COTS)の中の設定が原因でした。論文の教訓には「市販の部品も、誰かが責任を持って中身を理解し、確かめること」「初期化のあとに空きメモリから割り当てない、という自分たちの設計の決まりを、市販の部品にも当てはめること」「空きメモリの量をテレメトリで見られるようにすること」が並んでいます。

突破口になったのはクリップルド・モードでした。ソフトに「フラッシュのファイルシステムを使うな」と伝える命令で、ソフトを通さずにハードウェアが直接受け取る数少ない命令の1つです。受け取ったソフトは、フラッシュの代わりに同じ名前のファイルシステムをRAMに作って起動します。もともとは試験のための機能で、そのアイデアはマーズ・パスファインダーから受け継いだものでした。論文は「これがなければ、MERは失われていたかもしれない」と書いています。

リセットのくり返しの中でも、探査機が自分から通信を試みる時刻はところどころ決まっていて、その時刻に信号が来たか来ないかが、中で何が起きているかの手がかりになりました。1月24日(Sol 21)、クリップルド・モードで起動したスピリットは命令に従い、毎秒120ビットで1時間近く話しました。Theisingerは「重体」へ格上げを発表します。その数時間後、オポチュニティは反対側のメリディアニ平原に無事着陸しました。

そのあとの対策

運用では、空きメモリが800KB以下になったら科学と工学の作業をすべて止める決まりを作り、送り終えたデータを消すまでの時間を48時間から24時間に縮め、空になったサブディレクトリを消すようにしました。2004年4月にはソフトを更新し、起動のときフラッシュをマウントする前にディレクトリの中の消した印の場所を詰める処理、何度もリセットしたら自分でクリップルド・モードに入る処理、電源を切っても消えない「クリップルド・モード」の印、シャットダウンの見張りなどを加えています。一覧の置き場所に上限を付ける案もありましたが、試験の手間と日程のリスクが大きいとして見送られました。

予定の運用期間は90 sol。立ち直ったスピリットは、そこから6年以上走り続けます。2005年3月には、つむじ風が太陽電池パネルのほこりを払って発電が増えるという幸運もありました。走った距離は合計7.73km。

2009年4月ごろから、スピリットはまたフラッシュの問題に悩まされます。データがフラッシュに書かれない「記憶喪失(アムネジア)」と、ときどきの再起動。10月にはフラッシュのファイルシステムがマウントできなくなり、数sol分のデータが失われました。運用チームは11月にフラッシュの初期化を計画しています(のちのJPLの発表で、2009年に初期化したと書かれています)。同じ2009年5月1日には、「トロイ」と呼ばれる場所で柔らかい砂にはまって動けなくなりました。

2010年1月、NASAはスピリットを「動かない観測所」とし、3月22日を最後に電波は届かなくなります。冬の寒さで部品が傷んだとみられ、2011年5月25日に呼びかけを終えました。90 solの予定に対して、約6年。

双子のオポチュニティも、2014年にフラッシュのすり減りによるリセットが増え、9月4日(Sol 3773)に初めてフラッシュを初期化しました。その後も記憶喪失が続いたため、12月からはフラッシュを使わず、その日のデータを眠る前にRAMから送りきる運用に切り替えています(フラッシュの7つの区画のうち1つだけの不調でした)。

マーズ・パスファインダーの優先度の逆転と、スピリットのファイルの数。どちらも、市販のソフト部品の「既定の設定」が、地上の試験では出なかった条件で表に出た事故でした。そして、どちらも地上で原因を突き止め、火星へ命令を送って直しています。