GF-5初号機の中央端末に関する宇宙サイバー分析
TSC695Fの起動、書込み保護、誤り訂正から導く仮説
OrbitRabbit 調査レポート v1.2 ／ 2026年9月19日
対象：2018年に打ち上げられたGF-5初号機の中央データ管理端末（CTU）
要旨
GF-5 CTUが採用するTSC695Fでは、起動、メモリへの書込み、記憶誤りの修復が、それぞれ異なる機構で制御される。
この構造から、プログラムの完全性と処理の継続性は、CPUの保護機能に加え、外部回路とソフトウェアの動作を組み合わせることで成立すると考えられる。
本稿では、GF-5の装置構成を搭載論文に基づいて記述し、TSC695Fの製品仕様から3つの仮説を導く。
第一に、書込み許可の制御と更新内容の認証が独立して働く構成では、不正なプログラム改変に対して複数の防御条件が成立する。
第二に、RAM保護の効果は、保護領域の数とともに、重要な情報をどこへ配置するかによって変わる。
第三に、EDACを備える計算機でも、記憶誤りの残存時間はソフトウェアによる書戻しに左右される。
各仮説は、製品機能から導いた成立条件付きの説明である。
1. GF-5 CTUと周辺装置の構成
事実
GF-5の2018年総説は、CTUにTSC695Fを採用し、CTUが1553B二段構成の上位主制御を担うことを記載している。
図7では、CTU、姿軌制御計算機A/B、数伝総合処理器A/Bなどを別装置として示している。[1]
TSC695FはSPARC V7の組込みプロセッサで、外部メモリを使用する。
メーカー手冊は、CPUの起動動作、PROMへの書込み条件、RAMの書込み保護、誤り訂正機構（EDAC）を規定している。[2][3]
| 資料 | 事実が属する対象 | 主な記述 |
|---|---|---|
| GF-5の2018年総説 | GF-5初号機のCTUと周辺装置 | TSC695F採用、1553B構成、装置間の接続 |
| TSC695Fのデータシートと手冊 | CPU製品 | 起動、書込み許可、保護領域、EDAC |
| 深宇宙探査の復旧特許 | 特許に記載されたTSC695F使用設計 | SRAM内の状態保持と、別装置からの状態復旧 |
仮説：中央端末の異常は、装置間の通信を通じて影響を広げ得る
CTUが上位主制御を担う構成では、その処理の停止や制御情報の変化が、CTUと通信する装置の動作に影響する可能性がある。
CTUが生成する指令や管理情報を相手装置が使用する場面では、その情報の変化が装置間の境界を越えるためである。
一方、図7に示される姿軌制御計算機や数伝総合処理器は、それぞれ独立した装置である。
各装置が独自の制御や受信内容の検査を行う構成なら、CTU側の異常が影響する範囲を限定できると考えられる。
この装置構成は、CTU内部の保護と、受信側の処理の両方がシステム全体の挙動を左右するという仮説を支える。
2. 起動とPROM書込みの制御
事実
TSC695Fはリセット解除後、スーパーバイザ状態（s=1）、トラップ無効（et=0）、PC=0、nPC=4としてアドレス0へ制御を移す。
Boot PROM領域もアドレス0から始まる。[3：PDF pp.16、27]
PROMへの書込みには、外部ROMWRT端子とMemory Configuration Registerの許可ビットの両条件が必要である。
8 bit PROMはbyte単位、40 bit PROMはword単位の書込みをサポートする。[3：PDF pp.22、69]
仮説：書込み許可と内容認証の独立性が、プログラム改変への耐性を左右する
PROM書込みの二重条件は、メモリに書き込める状態を制御する。
更新内容の認証は、その状態で受け入れるデータの正当性を判断する。
両者が独立して働く構成なら、一方の条件だけが破られても不正な内容の書込みを抑えられると考えられる。
逆に、不正な処理が書込み許可を成立させる経路に到達でき、更新内容の認証も不十分なら、不正な内容がメモリに保存される可能性がある。
その内容が起動時に使用される領域に書き込まれれば、次回起動時の動作にも影響し得る。
この仮説は、書込み条件と起動時の読出し先が、時間を隔てて同じ記憶内容に関わることから導かれる。
外部端子を独立した回路で制御する構成では、レジスタを操作できる処理が存在しても、端子側の条件によって書込みを抑えられる。
したがって、二重条件による防御の効果は、二つの許可を別々に管理する構成か、共通の処理から操作できる構成かによって変わると考えられる。
3. RAMの保護範囲と情報の配置
事実
TSC695Fは開始位置と終了位置（base/end）で定義する2つの領域を使い、RAMへの書込みを保護する。
bp=0のsegment modeでは領域内の書込みを許可し、bp=1のblock modeでは領域内を保護する。
Supervisor/Userへの適用も設定できる。[3：PDF pp.22、76–78]
手冊は保護の対象をdata areaとし、instruction areaを対象外と記載する。
この機構が扱うのはデータ書込みの制御であり、命令フェッチ時の実行許可とは役割が異なる。[3：PDF p.22]
仮説：重要な情報をまとめて配置する設計は、少数の保護領域を有効に使える
コード、制御パラメータ、更新用の管理情報を一定のアドレス範囲に集約する構成なら、2つの保護領域でも複数の重要情報をまとめて保護できると考えられる。
保護がアドレス範囲を基準に働くため、個々の情報の数より、それらが配置された範囲と許可する書込みの関係が効果を左右する。
重要情報と頻繁に書き換えるデータが混在する構成では、同じ範囲に異なる書込み条件を適用しにくくなる。
その結果、動作に必要な書込みを許可する範囲に、重要情報が含まれる可能性がある。
この状態で想定範囲を越えて書き込む不具合が生じれば、重要情報も上書きされ、機能の改変や停止につながり得る。
この仮説では、保護領域の数とメモリ配置が一体となって、誤書込みが波及する範囲を決める。
4. EDACとソフトウェアによる修復
事実
TSC695Fの手冊は、32 data bit、7 check bit、1 parity bitの40 bit構成を示し、単一ビット誤りの訂正と二重ビット誤りの検出を説明する。
訂正読出しは元のメモリを自動では書き換えない。
記憶内容の修復には、ソフトウェアによる読出しと書戻しが必要となる。[3：PDF pp.18–19]
仮説：修復処理の実行間隔が、記憶誤りの残存時間を左右する
読出し時に正しい値を得ても、書戻しまでの間は元のメモリに誤りが残る。
同じ保護単位に別の誤りが重なると、単一ビット訂正で扱える状態から、訂正不能な状態へ移る可能性がある。
このため、誤りの発生条件が同じなら、修復までの時間が長いほど、誤りが重なる機会も増えると考えられる。
一定間隔でメモリを巡回し、訂正した値を書き戻す構成では、誤りが残る時間を短くできる。
一方、処理負荷や書込み保護との競合によって修復が遅れる構成では、その間に誤りが残存する。
TSC695Fの仕様からは、EDAC回路と修復ソフトウェアが役割を分担し、計算機の処理継続性を支えるという仮説が導かれる。
5. 比較例：別装置に保存した状態による復旧
事実
特許CN113467990Aは、TSC695Fを使う深宇宙探査設計例を記載する。
温間起動ではSRAMに保持した状態を使い、冷間起動等ではEEPROMからアプリケーションをロードし、別装置に保存した重要状態を1553B経由で回復する。[4]
この設計例のboot_signatureは温間起動と冷間起動を識別する値である。
復旧データには、和や排他的論理和による検査が記載されている。[4]
仮説：状態の分散保存は、単一計算機の故障からの復帰を支える
別装置にも状態を保存する構成では、一方の計算機が保持していた状態を失っても、他方に残る情報から動作を再開できる可能性がある。
復旧元が複数の装置に分かれることで、ローカルメモリだけに依存する構成よりも、単一装置の状態喪失に対処しやすくなると考えられる。
同時に、復旧後の動作は、復旧元が保持していた値と、その保存時点に左右される。
値が古ければ、復旧後の状態と現在の運用状態の間に差が生じ得る。
和や排他的論理和の検査を通るデータであっても、その検査自体はデータの新しさや作成者を保証する仕組みではない。
このため、分散保存による復旧の成否は、データが残っていることに加え、そのデータが復帰時の動作に適合することによって決まると考えられる。
6. 事実と仮説の対応
| 事実 | 導かれる仮説 | 仮説が成立する条件 |
|---|---|---|
| CTUが1553B構成の上位主制御を担う | CTUの異常は通信先の動作へ波及し得る | 相手装置がCTUからの情報を動作に使用する |
| PROM書込みには外部端子とレジスタの許可が必要 | 許可の独立性と内容認証が改変への耐性を左右する | 更新に当該書込み経路を使用する |
| RAM保護は2つのアドレス領域で設定する | 重要情報の配置によって保護の効果が変わる | 保護対象と書込みを許可する範囲の配置が異なる |
| EDACの訂正読出しは自動書戻しを伴わない | ソフトウェアによる修復間隔が誤りの残存時間を左右する | EDACで扱うメモリに誤りが生じる |
| 特許の設計例は別装置から状態を復旧する | 分散保存は復帰を支える一方、復旧元の状態が復帰後の動作を左右する | 保存された状態を動作の再開に使用する |
参考文献と確認箇所
[1] 「“高分五号”卫星概况及应用前景展望」『航天返回与遥感』39巻3号、2018年。
PDF pp.5–6、図7。
DOI: 10.3969/j.issn.1009-8518.2018.03.001。
[2] Atmel, TSC695F Datasheet, 4118J–AERO–08/04, 2004年8月。
製品概要。
[3] Atmel, TSC695F User Manual, 4148H–AERO–12/03, 2003年12月、110ページ。
メモリマップ：PDF p.16／本文3-11、EDAC：pp.18–19／3-13～3-14、書込み保護：p.22／3-17、リセット：p.27／3-22、メモリ設定：p.69／4-70、保護レジスタ：pp.76–78／4-77～4-79。
[4] 上海卫星工程研究所「深空探测重要数据备份与恢复方法、系统」、CN113467990A、2021年10月1日公開。
説明本文と実施例。