제7부 자율성·군집
7.10 군집 II: 시험·평가·보증
7.10.1 이 장에서 배우는 것 / 선수 지식 / 특히 중요한 독자
7.9은 군집이 어떤 규칙으로 협조하는지를 다뤘다. 이 장은 그 군집이 안전하고 쓸모 있다는 것을 어떻게 보이는가를 다룬다. 어려움은 하나로 요약된다. 기체 하나하나의 규칙은 단순해도 여럿이 모이면 아무도 직접 설계하지 않은 행동(창발)이 나오고, 그 가운데 위험한 것은 드물다. 드문 것은 몇 번의 비행으로 보이지 않는다.
배우는 것:
- 창발과 검증의 어려움 — 상태 공간이 대수의 지수로 커지는 이유, 개체의 성질과 집단의 성질을 나눠 명세하는 법.
- 평가 지표 — 임무 효과·강건성·확장성·안전 여유를 수로 정의하고, 대수를 늘릴 때 통신 부하와 성능이 어떻게 변하는지 7.9의 모형으로 실험한다.
- 필요 시행 수와 모형 검증 — 드문 사건의 확률을 시뮬레이션으로 말하려면 몇 번을 돌려야 하는지, 통계적 모형 검사의 개념, 정확 신뢰 구간, 시나리오 공간을 포괄하는 법과 모형이 비행과 맞는지 확인하는 데 드는 표본.
- 단계적 비행시험 — 시뮬레이션에서 소수 기체, 실기와 가상의 혼합(LVC), 전체 규모 리허설로 가는 사다리.
- 고장 주입 — 통신 끊김·한 대 고장·엉뚱한 값을 내는 기체·GNSS 열화를 넣어 보는 시험과, 한 대의 고착이 전체 합의를 지배하는 현상.
- 안전 사례와 승인, 운용 중 보증 — 다수 기체 운용이 운용 위험 평가와 안전 논증에서 무엇을 바꾸는지, 드론 쇼 승인의 공개된 틀, 출시 뒤 전조 지표로 이어 가는 보증.
선수 지식: 합의·충돌 회피·할당의 모형은 7.9(7.9.4~7.9.7), 공통 원인 고장의 β 모형은 2.5.4.3, 링크·GNSS 상실 절차는 2.6.6, 무고장 시험으로 입증할 수 있는 고장률의 한계는 1.16.7에서 한 번 계산했다. 수식은 이항 분포와 신뢰 구간 수준이다.
특히 중요한 독자: 엔지니어·시험 담당자는 7.10.5·7.10.6·7.10.9와 7.10.13의 워크스루를 본다. 인증·운용 승인 담당자는 7.10.6(몇 번을 돌려야 하나), 7.10.10(안전 사례), 7.10.11(승인의 틀)을 먼저 본다. 사업 담당자는 7.10.8(시험의 사다리)과 7.10.14(트레이드오프)로 시험 비용의 구조를 읽는다.
기준 시점과 경계. 이 장은 2026년 10월을 기준으로, 지식은 2026년 중반까지 반영했다. 수치는 일반적 모형, 교육용 가정이며 특정 체계·제품의 시험 결과가 아니다. 시뮬레이션은 7.9의 모형(
mil-uam/fig-src/7.9-model.py)을 고치지 않고 불러 사용했고, 이 장의 계산은7.10-model.py·7.10-calc.py에 있다(표준 라이브러리, 고정 시드 20261028). 규제 문서는 확인한 것만 단정했다. 이 장은 민간 군집의 시험·평가를 작성한다. 군의 시험평가 제도는 12.7, 군집 작전 개념은 10.10이 맡는다.
7.10.2 개념·직관 — 왜 군집은 검증하기 어려운가
창발(emergence)은 개체의 규칙에 적혀 있지 않은 집단의 행동이다. 7.9.6의 원 교환에서 각 기체는 "목표로 가되 가까운 이웃에서 멀어진다"만 따랐다. 그런데 16대가 가운데에서 만나면 서로 회피하며 교착되어, 빈 공간이라면 16 s면 될 통과가 45 s(중앙값) 걸렸다. 정렬 규칙을 빼면 9 s 빨리 빠져나가는 대신 43 %의 시행에서 1 m 안으로 붙었다. 이 결과는 규칙 하나를 들여다봐서는 알 수 없고, 돌려 봐야 안다.
상태 공간은 대수의 지수로 커진다. 기체 하나의 상황을 10가지로만 나눠도 16대의 조합은 $10^{16}$가지, 100대는 $10^{100}$가지다. 모든 조합을 시험하는 것은 불가능하다. 그래서 군집의 보증은 세 가지 전략을 섞는다.
- 개체에서 보증하고 조합으로 넓힌다. 각 기체가 만족하는 성질(경계 안에 머문다, 이웃과 최소 간격을 유지한다)을 기체 수준에서 입증하고, 그 성질이 몇 대가 모여도 유지되는 조건을 따진다.
- 통계로 말한다. 대표 상황을 많이 돌려 위험한 결과의 확률과 그 신뢰 구간을 낸다(7.10.6).
- 실행 중에 감시한다. 복잡한 규칙을 단순한 안전 감시기로 감싸고, 경계를 넘으려 하면 단순한 안전 동작으로 바꾼다(런타임 보증, 7.8).
세 축의 요구는 이렇게 다르다.
| 축 | 무엇을 보증해야 하나 | 시험의 제약 |
|---|---|---|
| 군용 드론 | 통신이 끊기고 방해받는 환경에서도 사람의 통제 의도 안에 머무는가(10.10·19.3) | 실제 전자전 환경을 재현하기 어렵다, 시험 자료의 비공개 |
| 민간 UAS | 관객·제3자에게 경계를 넘지 않는가, 근접 분리 | 비용, 승인 범위 안의 시험 공역 |
| AAM | 여러 기체를 한 감독자가 맡을 때의 분리와 비상 처리(7.11) | 인증 수준의 증거, 사람 탑승 |
7.10.3 무엇을 보증하는가 — 성질의 층과 명세
보증할 성질을 세 층으로 나눠 명세(specification)로 적는다. 명세는 시험의 합격 기준이자 런타임 감시기의 조건이 된다.
| 층 | 성질의 예 | 명세의 형태 | 입증 수단 |
|---|---|---|---|
| 개체 안전 | 항상 운용 구역 안에 있다, 고도 한계를 넘지 않는다 | "언제나 $p_i(t)\in\mathcal V$" | 기체 수준 시험, 독립 지오펜스(2.6) |
| 집단 안전 | 모든 쌍이 최소 간격을 유지한다 | "언제나 $\min_{i\ne j}\lVert p_i-p_j\rVert\ge d$" | 확률적 시험, 런타임 감시 |
| 집단 기능 | 일정 시간 안에 합의한다, 망이 이어져 있다 | "결국 $\max_i x_i-\min_i x_i\le\epsilon$", "$\lambda_2>0$" | 시뮬레이션, 해석(7.9.4) |
| 임무 효과 | 시간 안에 구역의 90 %를 커버한다 | 효과 척도(MOE)의 확률 | 시뮬레이션, 비행시험 |
"언제나"(항상)와 "결국"(언젠가)은 시제 논리(temporal logic)의 두 기본 연산자다. 군집의 성질을 이런 논리로 적고 모형 검사로 확인하려는 연구가 있다(Winfield 외, 2005) (서지 확인 필요).
집단 안전을 증명으로 보이는 길도 있다. 각 기체의 속도 명령을 쌍마다의 안전 제약(장벽 함수)으로 걸러, 제약이 만족되는 한 어떤 쌍도 최소 간격 안으로 들어오지 않음을 보이는 방법이다(Wang·Ames·Egerstedt, 2017). 증명은 이웃의 위치를 정확히 안다는 가정 위에 서므로, 위치 오차와 통신 공백이 그 가정을 깨는 크기(7.9.6)를 따로 시험해야 한다.
성질이 어느 층에 속하는가가 입증 수단을 정한다. 개체 안전은 기체마다 독립 장치로 확보할 수 있지만, 집단 안전은 이웃의 정보에 기대므로 통신과 위치 오차가 함께 시험 대상이 된다(7.9.6).
7.10.4 평가 지표 — 효과·강건성·확장성
| 지표 | 정의 | 예 | 무엇을 드러내나 |
|---|---|---|---|
| 임무 효과(MOE) | 임무 목표의 달성 정도(16.2) | 수색 구역의 탐지 확률, 공연 장면의 정확도 | 군집이 쓸모 있는가 |
| 성능(MOP) | 기술 성능 | 합의 시간, 할당의 총거리, 커버하는 시간 | 어디가 병목인가 |
| 안전 여유 | 안전 성질의 분포 꼬리 | 최소 간격의 5 % 값, 1 m 미만 비율 | 드문 위험 |
| 강건성 | 고장 $k$대·손실률 $p$에서 성능의 유지 비율 | 한 대 상실 뒤 완료 시간 | 우아한 성능 저하인가 |
| 확장성 | 대수 $N$에 따른 성능과 비용의 변화 | 기체당 통신량, 손실률, 수렴 반복 수 | 어디서 붕괴하는가 |
| 정렬도 | $\varphi=\lVert\sum_i\mathbf v_i\rVert/(N v_0)$ | 0(무질서)~1(완전 정렬) | 창발 행동의 상태 |
평균이 아니라 분포를 보고한다. 7.9.6에서 1 Hz 방송의 최소 간격 중앙값은 1.38 m로 기준(1.54 m)과 크게 다르지 않았지만 1 m 미만 비율은 점 추정으로 13배였다. 안전은 꼬리에서 결정된다. 확장성은 기체당 비용(통신량·계산량)이 대수와 무관한가, 성능이 대수와 함께 떨어지지 않는가의 두 질문이다. 정렬도는 Vicsek 외(1995)가 질서와 무질서의 전이를 재는 데 사용한 척도다.
7.10.5 확장성 시험 — 대수를 늘리면 무엇이 붕괴하나
7.9의 원 교환(이웃 16대)을 그대로 두고, 같은 채널을 나눠 사용하는 전체 대수 $N$만 16에서 256으로 늘렸다. 근접 분리의 어려움은 같고 통신 부하만 커지는 실험이다. 통신 정책 셋을 견줬다. (a) 10 Hz 고정 경쟁 방송은 손실이 커진다. (b) 부하 한도를 준수하려 주기를 $10\times16/N$ Hz로 낮추면 손실은 18.5 %로 고정되지만 정보가 낡는다. (c) TDMA로 슬롯을 나눠 주면(3.10.5, 슬롯 0.973 ms는 3.10.10) 충돌이 없고 프레임이 길어질 때만 주기가 준다.
| 전체 대수 $N$ | (a) 10 Hz 고정: 손실 | (a) 1 m 미만 | (b) 부하 고정: 주기 | (b) 1 m 미만 | (c) TDMA: 주기 | (c) 1 m 미만 |
|---|---|---|---|---|---|---|
| 16 | 18.5 % | 0 % | 10 Hz | 0 % | 10 Hz | 1 % |
| 64 | 55.9 % | 0 % | 2.5 Hz | 0 % | 10 Hz | 1 % |
| 128 | 80.6 % | 10 % | 1.25 Hz | 29 % | 8.0 Hz | 1 % |
| 256 | 96.2 % | 100 % | 0.63 Hz | 84 % | 4.0 Hz | 1 % |
(각 칸 100회.) 확장성을 볼 때는 기체당 비용과 공유 자원의 비용을 나눠 본다. (a)에서 기체 한 대가 사용하는 통신량은 6.4 kbit/s로 대수와 무관하지만, 한 채널의 제공 부하는 $G=0.0064N$으로 대수에 비례한다. 기체당 비용만 보면 군집은 "확장된다"고 보이고, 공유 자원을 보면 128대 근처에서 한계가 온다.
읽을 것 셋. ① 붕괴은 점진적이지 않다. 64대까지 아무 일도 없다가 128대와 256대 사이에서 절벽이 온다. 16대와 64대만 시험한 군집은 128대에서 처음 보는 행동을 한다. ② 같은 부하라도 정책이 결과를 바꾼다. 주기를 낮춰 부하 한도를 준수하는 쪽이 10 Hz를 고집하는 쪽보다 먼저 붕괴했다. 정보의 나이가 손실보다 빨리 나빠지기 때문이다(7.9.5). ③ 확장성은 알고리즘보다 통신 설계가 정한다. 같은 분리 규칙이 TDMA 위에서는 256대까지 기준과 같았다. 다만 TDMA는 시각 동기와 슬롯 배정이라는 중앙의 단일 고장점을 들여온다(3.10.11).
표의 (c)가 16~64대에서 모두 1 %인 것은 매개변수가 같아 같은 시드의 같은 시행 하나가 되풀이되었기 때문이다(128·256대도 100회 중 1회). 손실 18.5 %인 (a)의 0 %와 손실이 없는 (c)의 1 %가 뒤집혀 보이는 것도 같은 이유다. 100회로는 0 %와 1 %를 구분하지 못한다(95 % 구간 0/100은 [0, 3.62 %], 1/100은 [0.03 %, 5.45 %]). 다음 절이 그 이유다.
7.10.6 시뮬레이션 기반 시험과 통계적 모형 검사
결론부터: 드문 사건의 확률을 시행으로 말하려면 시행 수가 확률에 반비례해야 한다. $10^{-4}$짜리 사건을 ±10 %로 추정하려면 약 384만 번을 돌려야 한다.
시행 $n$번에서 사건이 $k$번 나왔을 때 확률의 추정은 $\hat p=k/n$이고, 95 % 신뢰 구간의 반폭을 $\hat p$의 $r$배로 만들려면 다음이 필요하다. 한 번도 나오지 않았을 때 "확률이 $p$ 이하"라고 말하려면(신뢰 수준 $C$) 두 번째 식이 필요하다. 후자는 $C=0.95$에서 흔히 사용하는 "3을 $n$으로 나눈다"는 어림이다(1.16.7과 같은 논리).
$$n\approx\frac{z^2(1-p)}{p\,r^2}\quad(z=1.96),\qquad n=\frac{\ln(1-C)}{\ln(1-p)}\approx\frac{3}{p}$$
| 사건 확률 $p$ | 추정 ±10 % | 추정 ±30 % | 무고장 입증(95 %) |
|---|---|---|---|
| $10^{-3}$ | 383,762 | 42,640 | 2,994 |
| $10^{-4}$ | 3,841,075 | 426,786 | 29,956 |
| $10^{-5}$ | 38,414,205 | 4,268,245 | 299,572 |
| $10^{-6}$ | 384,145,504 | 42,682,834 | 2,995,731 |
7.9의 결과에 정확 신뢰 구간(Clopper–Pearson)을 붙여 보면 한계가 드러난다. 기준의 1 m 미만 1/200(0.5 %)은 95 % 구간이 [0.01 %, 2.75 %]이고, 2 Hz의 3/200(1.5 %)은 [0.31 %, 4.32 %]다. 두 구간이 거의 중첩되므로 200회로는 2 Hz가 기준보다 나쁘다고 말할 수 없다. 반면 1 Hz의 13/200(6.5 %)은 [3.51 %, 10.86 %]로 기준과 다르다. 시험 결과에는 언제나 구간을 붙인다.
통계적 모형 검사(statistical model checking)는 이 생각을 체계로 만든 것이다. 명세(7.10.3)를 시뮬레이션의 각 궤적에 대해 참·거짓으로 판정하고, 그 비율로 "성질이 성립할 확률이 $\theta$ 이상인가"를 가설 검정한다(Legay 외, 2010). 고정 횟수 대신 결과를 보며 멈추는 축차 확률비 검정(Wald)을 사용하면 시행을 줄일 수 있다(Younes·Simmons, 2002). 절대 오차 $\epsilon$으로 확률을 추정하는 데 필요한 횟수는 Hoeffding 부등식으로 $n\ge\ln(2/\delta)/(2\epsilon^2)$이다. $\epsilon=0.01$, $\delta=0.05$이면 18,444회다. 이 값은 $p$와 무관해 드문 사건에는 쓸모가 없다. 오차 0.01은 확률 $10^{-4}$보다 100배 크다.
드문 사건 기법이 이 벽을 낮춘다. ① 중요도 표집 — 위험한 조건(강풍, 연속 손실, 위치 바이어스)을 더 자주 뽑고 가중치로 되돌린다. ② 부분 집합 시뮬레이션 — 드문 사건을 덜 드문 중간 사건의 사슬로 쪼갠다(Au·Beck, 2001). ③ 적대적 탐색 — 실패로 가는 조건을 최적화로 찾는다(적응형 스트레스 시험 (문헌 확인 필요)). 이 기법들은 확률 추정의 효율을 높이지만 모형이 현실과 맞는가는 대신 답하지 못한다. 그것이 비행시험의 몫이다.
7.10.7 시나리오 공간과 모형 검증 — 무엇을 돌리고, 모형을 어떻게 믿나
시나리오 공간은 운용 설계 영역(ODD, 7.3)을 시험할 수 있는 차원으로 나눈 것이다. 군집에서 흔한 차원은 다음과 같다.
| 차원 | 범위의 예 | 왜 중요한가 |
|---|---|---|
| 바람(평균·돌풍) | 0~10 m/s, 돌풍 계수 | 궤적 추종 오차, 간격 |
| 위치 품질 | RTK 고정해·부동해·단독 | 근접 분리(7.9.6) |
| 통신 | 손실 0~60 %, 몰림, 지연 | 합의·분리(7.9.5) |
| 대수·밀도 | 운용 대수의 0.5~2배 | 확장성의 절벽(7.10.5) |
| 고장 | 0~$k$대, 공통 원인 | 강건성(7.10.9) |
| 기체 편차 | 배터리·모터·센서 편차 | 대형의 균일성 |
여섯 차원을 네 단계로만 나눠도 $4^6=4{,}096$개의 조합이다. 조합마다 7.10.6의 수천 회를 돌릴 수는 없다. 그래서 층화 표집(각 칸에서 고르게 뽑기)과 라틴 초입방체 표집으로 공간을 포괄하고, 위험해 보이는 칸에 시행을 몰아준다(중요도 표집). 시험 계획서는 어느 칸을 몇 번 돌렸는지를 표로 남긴다. ODD 밖은 시험하지 않는 대신 운용하지 않는다는 것이 출동 결정(16.5)의 근거가 된다.
모형 검증은 비행에서 잰 분포와 모형의 분포가 같은지를 본다. 예를 들어 궤적 추종 오차의 누적 분포를 비교하는 Kolmogorov–Smirnov 검정에서, 5 % 유의수준으로 두 분포의 최대 차이 $D$를 가려내려면 독립 표본이 대략 $n\approx(1.36/D)^2$개 필요하다. $D=0.1$이면 185개, $D=0.05$이면 740개다. 같은 비행의 1초 간격 표본은 서로 상관되어 있어 독립 표본 수가 훨씬 적다. 비행 몇 번으로 "모형이 맞다"고 말하기도 생각보다 어렵다. 모형이 비행보다 낙관적인 쪽으로 틀리면 확률 주장 전체가 붕괴하므로, 검증에서는 꼬리(큰 오차)의 비교를 따로 본다.
시뮬레이션 시험의 보고서에는 최소한 다음이 들어가야 다른 사람이 결과를 믿고 다시 돌릴 수 있다.
- 시나리오 공간의 정의와 칸마다의 시행 수.
- 사건마다 관측 수와 정확 신뢰 구간(7.10.6).
- 모형을 검증한 비행 조건과 비교 결과.
- 난수 시드, 시뮬레이터와 알고리즘의 판(版) — 재현성.
- 실패한 시행의 목록과 원인 분석 — 실패 사례가 다음 설계의 입력이다.
7.10.8 단계적 비행시험 — 소수에서 다수로, 실기와 가상의 혼합
시험은 사다리로 오른다. 위 단계는 시행이 많고 현실성이 낮으며, 아래 단계는 그 반대다.
| 단계 | 대수 | 주로 확인하는 것 | 고장 주입의 예 |
|---|---|---|---|
| ① 모형 시뮬레이션 | 실제 대수 이상 | 알고리즘·창발·확장성, 드문 사건 확률 | 모든 고장의 조합 |
| ② HILS | 몇 대분의 실제 컴퓨터 | 연산 시간·지연·소프트웨어 결함(8.19) | 메시지 지연·손실 |
| ③ 단일 기체 비행 | 1 | 궤적 추종 오차, 바람 반응, 위치 오차 분포 | GNSS 열화, 링크 끊김 |
| ④ 소수 기체 실비행 | 3~10 | 근접 분리, 공대공 링크, 하강풍 간섭 | 한 대 정지·이탈 |
| ⑤ 실기 + 가상 혼합 | 실기 몇 대 + 가상 수십~수백 | 대수 확장, 실기가 가상 이웃에 반응하는가 | 가상 기체의 대량 고장 |
| ⑥ 전체 규모 리허설 | 운용 대수 | 절차·사람·비상 중단 | 공연 중단·전체 착륙 |
실기와 가상의 혼합(LVC, live–virtual–constructive)은 실제 기체 몇 대가 시뮬레이션 속 가상 기체들과 같은 상황판을 공유하는 시험이다. 실기는 가상 이웃의 방송을 실제 링크로 받거나 지상에서 주입받는다. 100대 군집의 알고리즘을 실기 5대로 시험할 수 있고, 가상 쪽에서는 위험한 고장을 마음껏 넣을 수 있다. 분산 시뮬레이션의 상호운용 표준(HLA·DIS)이 이 연결의 틀이다(9.21).
비행시험의 역할은 확률의 입증이 아니라 모형의 검증이다. ③·④단계에서 잰 추종 오차·위치 오차·링크 손실의 분포를 ①단계 모형의 입력과 비교하고(분포 비교 검정 등), 맞지 않으면 모형을 고친다. 그래프의 되먹임 고리가 이것이다. 모형의 불확도는 7.10.6의 확률 주장에 그대로 더해지므로, 시험 보고서는 "어떤 조건에서 모형을 검증했는가"를 함께 적는다. 비행시험의 계획·시험장·안전 관리 일반은 8.20이 맡는다.
7.10.9 고장 주입 — 한 대의 잘못이 전체를 전파되는가
고장 주입(fault injection)은 고장을 일부러 넣어 체계의 반응을 본다(2.5.10). 군집에서는 한 대의 고장이 이웃을 통해 퍼지는가가 핵심 질문이다. 7.9의 모형과 결과로 여섯 가지를 보았다.
| 주입한 고장 | 결과(16대, 교육용 모형) | 설계 함의 |
|---|---|---|
| 한 대가 엉뚱한 값(2.0)을 계속 방송 — 일반 합의 | 완전 그래프·격자·링 모두 정상 기체가 그 값 쪽으로 끌려갔다(평균 1.97~2.00, 정상 값의 범위는 0.03~0.94) | 평균형 합의는 한 대의 고착에 무방비다 |
| 같은 고장 — W-MSR($F=1$) | 완전 그래프는 0.54로 합의하고 정상 범위 안에 머물렀다. 격자는 퍼짐 0.21, 링은 0.51이 남아 합의하지 못했다 | 강건한 합의는 촘촘한 연결을 요구한다 |
| 링에서 한 대 상실 | $\lambda_2$ 0.152 → 0.0437(경로 15대), 합의 3.5배 느려짐 | 링·사슬 위상은 상실에 약하다 |
| 중계 기체 상실 | 망 분할, $\lambda_2=0$ — 두 무리가 따로 결정 | 재연결 때의 충돌 해소 규칙(7.9.7) |
| 위치 바이어스 0.5 m(전체 GNSS 열화) | 원 교환의 16 %가 1 m 미만(7.9.6) | RTK 상실 시 간격 확대·중단 절차 |
| 방송 손실 55.9 % + 2 Hz | 68 %가 1 m 미만(7.9.6) | 손실과 주기를 함께 감시 |
W-MSR(가중 평균-부분열 제거, LeBlanc 외, 2013)은 이웃 값 가운데 자기보다 큰 쪽 $F$개와 작은 쪽 $F$개를 버리고 나머지로 평균한다. 엉뚱한 기체가 $F$대 이하이고 그래프가 충분히 촘촘하면($(2F+1)$-강건) 정상 기체들이 정상 값의 범위 안에서 합의한다. 링과 격자는 이 조건을 채우지 못해, 버리고 나면 남는 이웃이 없어 멈췄다. 고장에 견디려면 연결이 많아야 하고, 연결이 많으면 채널 부하가 크다(7.9.3). 강건성과 확장성이 같은 자원을 두고 다툰다.
드론 쇼라면 고장 주입 행렬은 다음과 같이 짤 수 있다. 단계 번호는 7.10.8의 그림을 따른다. 합격 기준의 수치는 운용자가 정할 몫이고 여기서는 형태만 보인다.
| 주입하는 고장 | 시험 단계 | 기대 동작 | 합격 기준의 형태 |
|---|---|---|---|
| 한 대 모터 정지 | ①·④ | 그 기체만 비상 정지·낙하, 나머지는 계속 | 낙하점이 완충 안, 이웃 간격 유지 |
| 한 대 링크 상실 | ①·③·④ | 사전 궤적을 따르다 정해진 곳에 착륙(2.6.6) | 궤적 이탈 없음 |
| RTK 고정해 상실(전체) | ①·⑤·⑥ | 간격 확대 또는 공연 중단 | 정한 시간 안에 중단 완료 |
| 지상국 상실 | ⑤·⑥ | 사전 절차로 전체 착륙 | 모든 기체가 완충 안 |
| 방송 혼잡(손실 60 %) | ①·② | 주기·이웃 수 조정 | 1 m 미만 비율이 기준 이하 |
| 엉뚱한 값을 내는 기체 | ①·⑤ | 강건 합의, 그 기체의 배제 | 정상 기체가 정상 범위 유지 |
| 돌풍 | ①·③ | 추종 오차 증가, 필요하면 중단 | 간격 문턱 유지 |
고장 주입은 공통 원인도 넣어야 한다. 기준국 하나의 고장, 넓은 지역의 GNSS 간섭, 돌풍, 같은 소프트웨어의 같은 결함은 모든 기체에 한꺼번에 일어난다. 2.5.4.3의 β 모형이 말하듯, 독립 고장을 아무리 줄여도 공통 원인의 확률이 하한을 형성한다. 공통 원인은 대수로 나눠지지 않으므로 공연 전체를 멈추는 절차로 다룬다(2.6.6).
7.10.10 안전 사례와 운용 위험 평가에서의 다수 기체
안전 사례(safety case)는 "이 운용이 안전하다"는 주장을 하위 주장과 증거로 나눈 논증이다. 목표 구조 표기(GSN)로 그리는 것이 흔하다(8.7). 군집의 안전 사례는 다음 구조를 갖기 쉽다.
- 개체 주장 — 각 기체는 운용 구역을 벗어나지 않는다. 증거: 기체 수준 시험, 독립 지오펜스·비행 종료(2.6).
- 집단 주장 — 기체끼리 충돌하지 않거나, 충돌해도 구역 밖으로 피해가 나가지 않는다. 증거: 통계적 시험(7.10.6), 런타임 감시(7.8).
- 공통 원인 주장 — 모든 기체에 동시에 작용하는 원인이 식별되고, 그때 전체 중단이 작동한다. 증거: 고장 주입(7.10.9), 절차 시험.
- 사람 주장 — 감독자가 경보를 처리할 수 있다(7.11).
대수는 비행시간을 곱한다. 500대가 15분 공연하면 한 번에 125 기체·시간이다. 기체·시간당 고장률로 정한 기준은 공연 한 번에 125배로 쌓인다. 운용 위험 평가(SORA, 17.17)에서도 다수 기체는 지상 위험(기체가 떨어질 수 있는 넓이), 공중 위험(공역 점유), 봉쇄(운용 구역을 벗어나지 않는 강건성)를 모두 바꾼다. 다수 기체를 SORA에서 어떻게 묶어 평가하는지에 대한 공식 지침은 이 장의 기준 시점에 확인하지 못했다 (확인 필요). 이 장의 견해로는 기체 하나의 봉쇄 확률에 대수를 곱하고, 공통 원인을 따로 더하는 보수적 접근이 출발점이다.
7.10.11 드론 쇼와 다수 기체의 승인 — 공개된 틀
미국. 14 CFR 107.35는 한 사람이 동시에 둘 이상의 무인기를 조종하거나 원격조종 책임자·육안 감시자로 일하는 것을 금지하고, 107.205에 따라 면제 대상이다. FAA는 2025년 8월의 BVLOS 규칙안에서 드론 쇼와 오락 목적의 "군집" 운용이 107.35 면제로 허가되어 왔고, 현재의 1:N 운용은 대부분 Part 107·135의 배송이라고 밝혔다. 같은 규칙안은 Part 108에서 기체 대 비행 조정자 비율을 1:1로 두고(§108.210), 한 비행 조정자가 여러 대를 맡으려면 검증 시험을 거치도록 했다(§108.545(a)(4)). FAA는 그 목적을 비행 조정자의 숙련과 작업부하 관리의 확인이라고 적었다. 이 장의 시험 사다리(7.10.8)는 그 검증 시험에 앞서 기술 쪽 증거를 쌓는 과정으로 볼 수 있다(저자 해석). 최종 규칙은 이 장의 기준 시점에 확인하지 못했다 (확인 필요).
EU·한국. 드론 쇼는 특정 범주의 운영 승인으로 다뤄지는 것으로 이해되지만, 다수 기체에 고유한 시험·승인 요건을 정한 공개 조항은 확인하지 못했다 (확인 필요). 한국의 지자체 행사 드론 쇼도 흔하지만 그 승인 근거와 절차는 18.6에서 1차 출처로 확인한다. 호주는 한 원격조종사가 여러 대를 동시에 운용하려면 별도 승인을 받게 한다고 소개된다 (CASA 자문 회람, 원문 대조 필요).
관할마다 서식은 다르지만, 저자가 보기에 승인 신청에서 공통으로 증거를 대야 할 것은 다섯이다. ① 운용 구역과 관객 사이의 완충(2.6.4.2), ② 기체 한 대·전체의 비상 절차, ③ 위치 정밀도와 그 상실 시의 동작, ④ 주파수와 간섭, ⑤ 감독 인원과 역할(7.11). 이 장의 지표와 시험은 이 다섯 가지에 증거를 대는 수단이다.
7.10.12 운용 자료와 전조 지표 — 보증은 출시 뒤에도 이어진다
시뮬레이션의 확률 주장은 운용 자료로 다시 확인된다. 500대 공연을 $K$번 무사고로 마치면 기체·공연당 고장 확률의 95 % 상한은 $3/(500K)$다.
| 무사고 공연 수 $K$ | 기체·공연 | 95 % 상한 | 목표 $2.0\times10^{-6}$ 대비 |
|---|---|---|---|
| 10 | 5,000 | $6.0\times10^{-4}$ | 299배 |
| 100 | 50,000 | $6.0\times10^{-5}$ | 30배 |
| 1,000 | 500,000 | $6.0\times10^{-6}$ | 3배 |
| 2,995 | 1,497,500 | $2.0\times10^{-6}$ | 목표 도달 |
경험만으로 목표에 닿으려면 약 3,000번의 무사고 공연이 필요하다. 그래서 운용 중에는 사고 자체가 아니라 전조 지표를 본다. 경계 완충의 절반을 침범한 사례, 최소 간격이 정한 문턱(예: 1.2 m) 아래로 내려간 사례, RTK 고정해를 잃은 시간, 링크 손실의 몰림이 그 예다. 전조는 사고보다 훨씬 자주 일어나므로 추세를 볼 수 있다. 비행 기록(8.23)에서 이 지표를 자동으로 뽑아 시뮬레이션의 같은 지표와 견주면, 모형이 현실보다 낙관적인지를 운용 중에 알 수 있다. 전조와 사고의 비율이 일정하다는 가정은 검증된 법칙이 아니므로 비율 자체도 추정 대상으로 둔다.
7.10.13 수치 예시·워크스루 — 500대 드론 쇼의 시험 계획
과제. 500대가 15분 동안 공연한다. 목표(교육용 가정)는 "공연 한 번에 한 대라도 관객 쪽 경계를 넘을 확률 $10^{-3}$ 이하"다.
| 단계 | 계산 | 결과 |
|---|---|---|
| ① 노출 | 500대 × 0.25 h | 공연 한 번 125 기체·시간 |
| ② 기체당 허용 | $1-(1-10^{-3})^{1/500}$(독립 가정) | $2.0\times10^{-6}$ / 기체·공연 |
| ③ 시뮬레이션 무고장 입증 | $3/(2.0\times10^{-6})$ | 150만 기체·공연 = 전체 공연 모의 2,994회 |
| ④ 계산 비용 | 공연 모의 한 번 1.5분(실시간의 10배 가정) | 약 75 코어·시간 — 가능하다 |
| ⑤ 비행 리허설로는 | 10회 = 5,000 기체·공연, 무고장 | 95 % 상한 $6.0\times10^{-4}$ — 목표의 299배 |
| ⑥ 기체당 $10^{-4}$이라면 | $1-(1-10^{-4})^{500}$ | 공연마다 4.9 %로 한 대 이상 고장 |
| ⑦ 공통 원인 | 기준국 고장·간섭·돌풍 | 대수로 나눠지지 않음 — 전체 중단 절차로 |
읽을 것 셋. 첫째, 이 목표는 비행시험으로는 입증할 수 없고 시뮬레이션으로는 입증할 수 있다. 대신 표의 ③(공연 모의 2,994회)이 의미를 가지려면 시험 사다리의 ③·④단계 비행(7.10.8)으로 모형의 추종 오차·위치 오차·링크 손실 분포를 검증해야 한다. 둘째, 표의 ⑥처럼 기체당 $10^{-4}$이면 스무 번 공연에 한 번은 고장 기체가 나온다. 그래서 설계 목표는 "고장이 없다"가 아니라 "고장 난 기체가 경계 안에 떨어진다"이고, 그 완충 폭이 증거의 중심이 된다(2.6.4.2). 셋째, 표의 ⑦은 독립 가정을 깬다. 기준국을 이중화하고, RTK 고정해를 잃으면 간격을 넓히거나 중단하는 동작을 고장 주입으로 시험한다. 7.9.6의 계산대로 위치 바이어스 0.5 m만으로도 근접 분리가 크게 변동한다.
7.10.14 설계 트레이드오프
① 시뮬레이션 중심. 시행 수로 드문 사건을 다룬다. 싸고 빠르며 대수 확장과 고장 조합을 마음껏 시험한다. 대가는 모형 오차다. 모형에 없는 현상(하강풍 간섭, 몰려오는 손실)은 시뮬레이션에서 일어나지 않는다.
② 비행시험 중심. 현실의 모든 물리를 포함한다. 대가는 시행 수다. 7.10.13의 계산대로 드문 사건의 확률에는 닿지 못하고 비용과 위험이 크다.
③ 정형 검증과 런타임 보증. 집단 안전 성질을 증명할 수 있는 단순한 감시기와 안전 동작으로 감싸고, 복잡한 군집 규칙은 그 안에서 자유롭게 둔다(7.8). 증명의 범위가 좁고, 감시기 자체의 입력(이웃 위치)이 틀리면 보장이 붕괴한다.
견해: 민간 군집은 ③을 기본 구조로 ①로 확률을 채우고 ②로 모형을 검증하는 조합이 합리적이라고 본다. 근거는 셋이다. 첫째, 7.10.6의 수치는 드문 사건을 시행만으로 다루는 데 한계가 있음을 보인다. 증명할 수 있는 작은 핵심이 필요하다. 둘째, 7.10.5의 절벽은 시뮬레이션 없이는 미리 볼 수 없다. 운용 대수의 두 배까지 시뮬레이션으로 넘겨 봐야 한다. 셋째, 7.10.9의 고착 기체 실험처럼 군집의 약점은 정상 동작이 아니라 고장 아래에서 드러나며, 위험한 고장은 가상에서만 마음껏 넣을 수 있다. 이 조합의 약한 고리는 모형 검증의 기준이 아직 표준화되지 않았다는 점이다.
7.10.15 세 축 비교
| 항목 | 군용 드론 | 민간 UAS | AAM |
|---|---|---|---|
| 주된 보증 질문 | 통제 의도 안에 머무는가, 통신 단절 시의 동작 | 경계 이탈·근접 충돌 확률 | 한 감독자 아래 여러 기체의 분리·비상 |
| 시험 수단 | 대규모 M&S·LVC, 군 시험장(12.7) | 시뮬레이션 + 단계적 비행, 리허설 | 인증 수준의 시뮬레이션·비행시험(8.19·8.20) |
| 고장 주입의 초점 | 전자전·GNSS 거부(5.8) | RTK 상실, 링크 혼잡, 한 대 고장 | 통신 상실, 동시 예외(7.11) |
| 승인의 틀 | 군 감항·시험평가 제도, 무기 검토(19.3) | 107.35 면제, 특정 범주 승인 | 형식증명·운항 승인(15.23) |
| 공개 자료 | 매우 적다 | 기록·승인 사례 일부 공개 | 계획 단계 |
7.10.16 관련 규격·프로토콜
| 문서 | 발행 | 무엇을 정하나 | 상세 |
|---|---|---|---|
| IEEE 1516(HLA), IEEE 1278(DIS) | IEEE | 분산 시뮬레이션·LVC 연결 (판 확인 필요) | 9.21 |
| ASTM F3269 | ASTM | 복잡 기능을 런타임 보증으로 감싸는 구조 (판 확인 필요) | 7.8 |
| GSN 표기 표준 | SCSC(영국 Safety-Critical Systems Club) | 안전 사례 논증의 표기 (판 확인 필요) | 8.7 |
| JARUS SORA | JARUS | 운용 위험 평가 방법론 (판 확인 필요) | 17.17 |
| MIL-STD-882E | 미 국방부 | 체계 안전 프로그램 | 8.5 |
| UL 4600 | UL | 자율 제품의 안전 사례 평가 (무인기 적용 범위 확인 필요) | 8.7 |
군집의 시험 절차 자체를 정한 표준은 확인하지 못했다. 유료 규격은 공개 요약의 범위에서만 다뤘다.
7.10.17 관련 규제·인증 요구와의 연결
| 대상 | 요구 | 이 장과의 연결 | 상세 |
|---|---|---|---|
| 다수 기체 운용 면제(미국) | 107.35 면제, 드론 쇼 "군집"의 허가 관행 | 승인 신청의 증거(7.10.11) | 17.5 |
| 1:N 검증 시험(미국 규칙안) | §108.210의 비율, §108.545(a)(4)의 검증 시험 (최종 규칙 확인 필요) | 시험 사다리(7.10.8) | 17.6·7.11 |
| 운용 위험 평가 | 지상·공중 위험, 봉쇄의 강건성 | 노출의 곱셈, 공통 원인(7.10.10) | 17.17·20.14 |
| 안전 사례 | 주장·증거 구조 | 개체·집단·공통 원인·사람 주장 | 8.7 |
| 소프트웨어 보증 | 군집 소프트웨어의 개발 보증과 검증 | 시뮬레이션 도구의 자격(도구 자격 인정) | 8.8 |
| 군 시험평가 | 개발시험·운용시험 | 이 장의 범위 밖 | 12.7 |
7.10.18 함정과 한계
| 오해 | 실제 | 더 볼 곳 |
|---|---|---|
| "10대에서 됐으니 100대도 된다" | 통신 부하의 절벽은 대수에서 갑자기 온다 | 7.10.5 |
| "200번 돌려 한 번도 안 부딪혔다" | 95 % 상한은 1.8 %다 — 드문 사건에 대해서는 아무것도 말하지 못한다 | 7.10.6 |
| "비행시험이 시뮬레이션보다 믿을 만하다" | 비행시험은 모형을 검증하고, 확률은 시뮬레이션이 낸다 | 7.10.8·7.10.13 |
| "분산이면 한 대의 고장은 고립된다" | 평균형 합의는 한 대의 고착에 전체가 끌려간다 | 7.10.9 |
| "기체가 많으면 다중화라 안전하다" | 공통 원인은 대수로 나눠지지 않는다 | 7.10.9·2.5 |
| "평균 간격이 넉넉하다" | 안전은 분포의 꼬리가 정한다 | 7.10.4 |
이 장의 한계도 밝혀 둔다.
- 확장성 실험은 이웃 16대에 채널 부하만 키운 것이다. 실제로 대수가 늘면 밀도·경로 교차·감독 부하도 함께 변한다.
- W-MSR 실험은 한 가지 고장(고착)과 한 가지 초깃값이다. 고장 기체가 이웃마다 다른 값을 보내는 경우(비잔틴 고장)는 넣지 않았다.
- 필요 시행 수는 시행이 독립이라는 가정 위에 있다. 같은 시나리오 생성기의 편향은 시행 수로 줄지 않는다.
- 규제 상태는 미국 규칙안을 중심으로 확인했다. EU·한국의 다수 기체 요건은 해당 장에서 1차 출처로 확인한다.
7.10.19 체크포인트·연구 질문
체크포인트
- 기체 하나의 상황을 5가지로 나누면 20대 군집의 조합은 몇 가지인가? 이것이 시험 전략에 주는 뜻은?
- 사건 확률 $10^{-5}$를 ±30 %로 추정하는 데 필요한 시행 수와, 무고장으로 "$10^{-5}$ 이하"를 말하는 데 필요한 시행 수를 구하라.
- 300회 시행에서 사건이 0번이었다. 95 % 신뢰 상한을 어림하라.
- 일반 합의에서 한 대가 고착되면 왜 모두가 그 값으로 가는가? W-MSR이 링에서 실패하는 이유는?
- 1,000대가 20분 공연하면 공연 한 번의 노출은 몇 기체·시간인가?
- 비행시험 결과가 시뮬레이션의 확률 주장에 기여하는 방식을 한 문장으로 말하라.
연구 질문 — 이 장에서 파생되는 열린 주제(25.7에 모은다)
- 모형 검증의 기준 — 군집 시뮬레이션이 비행과 "충분히 맞다"는 것을 어떤 분포 비교와 허용치로 판정하고, 그 불확도를 확률 주장에 어떻게 넣는가?
- 드문 사건의 효율적 탐색 — 근접 분리 위반으로 가는 조건(손실의 몰림, 바람, 위치 바이어스)을 찾는 중요도 표집·적대적 탐색은 군집의 고차원 상태에서 얼마나 효율적인가?
- 강건성과 확장성의 공동 설계 — $(2F+1)$-강건성을 유지하면서 기체당 통신량을 대수와 무관하게 묶는 위상은 무엇인가(7.9)?
- 다수 기체의 위험 평가 지침 — SORA에서 군집의 지상·공중 위험과 봉쇄를 묶어 평가하는 표준적 방법은 어떠해야 하는가(17.17)?
1차 출처(이 장)
- Legay, A.; Delahaye, B.; Bensalem, S., "Statistical Model Checking: An Overview," Runtime Verification(RV 2010), LNCS 6418, Springer, 2010.
- Younes, H. L. S.; Simmons, R. G., "Probabilistic Verification of Discrete Event Systems Using Acceptance Sampling," CAV 2002, LNCS 2404, Springer, 2002.
- Wald, A., "Sequential Tests of Statistical Hypotheses," Annals of Mathematical Statistics 16(2), 1945.
- Hoeffding, W., "Probability Inequalities for Sums of Bounded Random Variables," Journal of the American Statistical Association 58, 1963.
- Clopper, C. J.; Pearson, E. S., "The use of confidence or fiducial limits illustrated in the case of the binomial," Biometrika 26(4), 1934.
- Au, S.-K.; Beck, J. L., "Estimation of small failure probabilities in high dimensions by subset simulation," Probabilistic Engineering Mechanics 16(4), 2001.
- LeBlanc, H. J. et al., "Resilient Asymptotic Consensus in Robust Networks," IEEE Journal on Selected Areas in Communications 31(4), 2013.
- Vicsek, T. et al., "Novel Type of Phase Transition in a System of Self-Driven Particles," Physical Review Letters 75(6), 1995.
- Brambilla, M. et al., "Swarm robotics: a review from the swarm engineering perspective," Swarm Intelligence 7(1), 2013.
- Wang, L.; Ames, A. D.; Egerstedt, M., "Safety Barrier Certificates for Collisions-Free Multirobot Systems," IEEE Transactions on Robotics 33(3), 2017.
- FAA·TSA, "Normalizing Unmanned Aircraft Systems Beyond Visual Line of Sight Operations"(규칙안), 90 FR 38212, 2025-08-07 — §108.210·§108.545 해설.
출처를 찾고 판을 추적하는 방법은 0.9에서 다룬다.
다음 장: 7.11에서는 군집과 다수 기체 운용의 마지막 고리인 사람을 다룬다. 이 장의 안전 사례는 "감독자가 경보를 처리할 수 있다"는 주장을 남겨 두었다. 그 장은 한 사람이 몇 대를 감독할 수 있는지를 무시 시간과 상호작용 시간, 대기열의 모형으로 계산하고, 자동화 편향과 경보의 신뢰가 그 숫자를 어떻게 바꾸는지를 본다.