제8부 안전·보안·시스템공학
8.3 체계 통합: 하위체계·탑재체 통합과 인터페이스 관리(ICD·전력·데이터·시야·모듈화)
8.3.1 이 장에서 배우는 것 / 선수 지식 / 특히 중요한 독자
8.1이 요구를, 8.2가 개발 보증의 틀을 세웠다면, 이 장은 서로 다른 팀이 만든 하위체계를 한 기체로 합치는 일을 다룬다. 통합은 하위체계 안에서가 아니라 경계에서 실패한다. 그래서 이 장의 중심은 인터페이스다. 무엇을 정해야 하는지(ICD), 몇 개나 생기는지(구조), 그리고 전력·데이터·시야·무게중심을 실제 숫자로 어떻게 점검하는지를 본다.
배우는 것:
- 인터페이스의 일곱 종류와 ICD — 기계·전력·데이터·시간·열·전자기·시야. ICD가 무엇을 포함하고 누가 소유하는가.
- 인터페이스 수의 증가와 구조 — 점대점과 공통 버스, 그리고 버스가 만드는 공통 원인.
- 전력 통합 — 정전력 부하의 전압 강하, 배선 굵기와 길이의 한계, 전압 붕괴.
- 데이터 통합 — 버스 부하 버짓, 지연, 시각 동기.
- 시야·기계 통합 — 구조물이 센서 시야를 가리는 정도, 탑재체가 무게중심을 옮기는 정도.
- 통합의 순서 — 벤치에서 비행까지 문제를 하나씩 드러내는 단계별 순서.
선수 지식: 8.1(요구와 추적성)과 8.2.6의 β 인자(공통 원인) 개념을 안다고 가정한다. 이 장의 워크스루는 8.1의 12 V·25 W 탑재체 요구와 같은 기체(2 kg급 쿼드콥터 + 탑재 0.5 kg)를 사용한다.
특히 중요한 독자: 엔지니어는 8.3.5~8.3.7의 계산을 건너뛰지 않는다. 인증 담당자는 인터페이스가 형상 항목으로 통제되는 방식(8.3.3·8.3.13)을 본다. 사업 담당자는 8.3.10과 8.3.11만 읽어도 "왜 제3자 탑재체 통합이 비싼가"를 이해할 수 있다. 법무는 ICD가 공급사 사이의 계약 책임 경계가 되는 점(8.3.3)을 본다.
기준 시점과 정직성. 2026년 10월 기준이고 지식은 2026년 중반까지다. 워크스루의 모든 값(전압·전력·배선·메시지 속도·시야·질량)은 원리를 보이기 위한 가정이며 특정 제품의 제원이 아니다. 설계 규칙으로 든 "버스 부하 50 % 이하" 같은 값은 관용이고 규격이 정한 값이 아니다
(확인 필요).
8.3.2 개념 — 통합은 인터페이스에서 실패한다
기체는 여러 하위체계의 합이다. 기체 구조, 추진, 에너지(배터리), 비행제어, 통신, 항법, 탑재체, 지상국이 각각 다른 팀·다른 회사의 손에서 나온다. 각 하위체계는 자기 시험을 통과한다. 그런데 합쳐 놓으면 동작하지 않는 일이 흔하다. 원인은 대개 하위체계 안이 아니라 그 사이의 합의가 빠졌거나 서로 다르게 읽혔기 때문이다.
고전적인 예가 1999년 화성 기후 궤도선(Mars Climate Orbiter)의 손실이다. 한쪽 소프트웨어는 추력 적분 값을 파운드힘·초로, 다른 쪽은 뉴턴·초로 가정했다는 것이 NASA 사고조사 보고서의 결론이다. 각 쪽은 자기 단위에서 옳았다. 틀린 것은 둘 사이의 약속이었다. 이 장은 그 약속을 어떻게 적고, 계산으로 확인하고, 변경에서 유지하는가를 다룬다.
세 축의 통합은 모양이 다르다.
- 군용 드론은 임무에 따라 탑재체를 바꾸고(교체 가능 센서), 여러 센서를 한 기체에 장착하며, 운용 중 재구성을 원한다. 그래서 개방형 구조 표준(9.11)과 모듈화 요구가 강하다.
- 민간 UAS는 제조사별 폐쇄 인터페이스와 개발자 키트(SDK)가 많고, 제3자 탑재체를 장착하는 순간 책임 경계가 흐려진다.
- AAM은 탑재체보다 안전 중요 하위체계(고전압 추진, 비행 제어)의 통합이 핵심이고, 통합 자체가 인증 대상이 된다(8.2·15.4).
8.3.3 인터페이스의 종류와 ICD
탑재체와 기체 사이의 인터페이스는 한 종류가 아니다. 전력과 데이터만 챙기고 나머지를 빠뜨리는 것이 가장 흔한 실수다.
ICD(Interface Control Document, 인터페이스 통제 문서) 는 두 하위체계가 합의한 인터페이스의 정의를 적고, 합의한 쪽이 모두 서명해야만 바꿀 수 있게 제한하는 문서다. 다음 항목을 포함한다.
| 항목 | 포함하는 내용 | 예(가정) |
|---|---|---|
| 범위·참조 | 어느 두 쪽의 인터페이스인가, 관련 요구 번호 | 짐벌 ↔ 비행제어 컴퓨터, 요구 SR-01·SR-05 |
| 기계 | 장착 구멍, 기준 좌표계, 질량, 무게중심 위치 | 질량 0.50 kg, 장착 위치 기준점 앞 50 mm |
| 전력 | 전압 범위, 최대 전류, 돌입 전류, 접지 방식 | 12 V ±5 %, 최대 25 W(→ 8.1.9) |
| 데이터 | 프로토콜, 메시지 정의, 주기, 지연 상한 | 짐벌 명령 50 Hz, 지연 20 ms 이하 |
| 시간 | 시계 원천, 동기 방법, 시각 표지 형식 | GNSS 초 펄스 기준, 오차 1 ms 이하 |
| 열·전자기 | 발열량, 냉각 경로, 방사·내성 한계 | 발열 최대 10 W, 기체 측 방열 경로 제공 |
| 시야·진동 | 가림 허용, 진동 절연 요구 | 시야 90° 중 가림 10 % 이하 |
| 검증 | 각 항목의 검증 방법과 합격 기준(8.1.5) | 전압 시험·버스 분석기 확인 |
| 변경 통제 | 소유자, 버전, 변경 승인자 | 통합 책임자가 소유, 양쪽 서명 |
두 가지 습관이 ICD의 품질을 결정한다. 첫째, 인터페이스 요구는 양쪽의 요구로 짝을 이룬다. "탑재체는 25 W를 넘게 사용하지 않아야 한다"와 "기체는 11.4~12.6 V에서 25 W를 공급해야 한다"가 함께 있어야 한다. 한쪽만 작성하면 다른 쪽이 책임을 모른다. 둘째, 소유자가 한 명이다. 둘이 각자 고치는 ICD는 곧 두 개의 다른 문서가 된다(8.1.8의 권위 있는 진실원).
8.3.4 인터페이스의 수와 구조 — 점대점, 공통 버스, 모듈화
하위체계가 $N$개이면 서로 이어질 수 있는 쌍은 최대 $N(N-1)/2$개다. 쌍마다 ICD 한 줄과 시험 한 건이 생긴다. 모든 쌍이 실제로 이어지지는 않지만, 점대점 구조에서는 새 하위체계를 더할 때마다 기존 여러 개와 새 인터페이스를 맺어야 한다. 공통 버스에서는 새 하위체계가 버스와의 인터페이스 하나만 맺으면 되어 수가 $N$에 비례한다.
N² 다이어그램이 이를 한눈에 보이는 도구다. 하위체계를 대각선에 놓고, 비대각선 칸에 두 하위체계 사이의 인터페이스를 적는다. 빈 칸이 많을수록 결합이 느슨한 구조다.
모듈화는 인터페이스를 표준화해 하위체계를 교체할 수 있게 만드는 일이다. 기계(장착 규격)·전력(전압 등급)·데이터(버스·메시지 정의) 세 경계가 같으면 탑재체를 바꿀 때 기체를 다시 설계하지 않는다.
그러나 공통 버스는 인터페이스 수를 줄이는 대신 공통 원인을 만든다. 한 버스에 비행 제어, 모터, 센서, 탑재체를 모두 연결하면 버스 하나의 결함(단락·잡음·버스 과부하)이 모든 기능에 한꺼번에 영향을 준다. 이것이 8.2.6에서 계산한 β가 올라가는 전형적인 경로다. 비행 안전 기능과 임무 탑재체는 버스를 나누는 것이 일반적인 방법이다(8.3.10의 견해).
8.3.5 전력 통합
탑재체의 전원은 대개 조정된 정전력 부하다. 스위칭 조정기는 입력 전압이 떨어져도 같은 전력을 내려고 전류를 늘린다. 공급 배선(왕복)의 저항 $R$을 지나면 부하 전압 $V_L$은 다음 식을 만족한다.
$$V_L = V_s - I R,\qquad I=\frac{P}{V_L}\ \Longrightarrow\ V_L=\frac{V_s+\sqrt{V_s^{2}-4PR}}{2}$$
여기서 $V_s$는 공급 전압, $P$는 부하 전력, $R$은 왕복 배선과 접점 저항의 합이다. 결론부터: 배선이 어느 한도를 넘으면 해가 사라진다. 근호 안이 음수가 되면($V_s^2<4PR$) 부하는 요구 전력을 받을 수 없고 전압이 붕괴한다. 그 전에 이미 전압은 요구 하한 아래로 내려온다.
도체 저항은 AWG 번호의 지름에서 계산한다($d=0.127\,\mathrm{mm}\times 92^{(36-n)/39}$, 구리 저항률 $1.72\times10^{-8}\,\Omega\cdot\mathrm{m}$, 20 °C). 12 V·25 W, 접점 저항 합 20 mΩ, 공급 전압 12.00 V로 계산한 부하단 전압 강하는 다음과 같다(fig-src/8.3-calc.py).
| 배선 | 도체 저항 [mΩ/m] | 편도 0.5 m [V] | 편도 1.0 m [V] | 편도 2.0 m [V] | 0.36 V를 충족하는 최대 편도 [m] |
|---|---|---|---|---|---|
| AWG 20 | 33.2 | 0.112 | 0.183 | 0.328 | 2.22 |
| AWG 22 | 52.8 | 0.154 | 0.268 | 0.503 | 1.40 |
| AWG 24 | 84.0 | 0.221 | 0.405 | 0.794 | 0.88 |
| AWG 26 | 133.6 | 0.329 | 0.632 | 1.295 | 0.55 |
허용 강하 0.36 V는 요구에서 나온다. 탑재체 입력이 12 V ±5 %(11.4~12.6 V)이고 조정기 출력 정확도를 ±2 %(11.76~12.24 V)로 두면 하한 쪽 여유는 $11.76-11.40=0.36$ V, 곧 3 %다. 점검은 최악의 경우로 해야 한다.
- 도체가 가열되면(+20 % 저항, 가정) AWG 24, 1 m의 강하는 0.405 V에서 0.481 V로 늘어난다.
- 조정기가 하한(11.76 V)에 있고 도체가 가열되면 AWG 22, 1 m의 부하 전압은 11.439 V로 하한 11.4 V에 0.039 V만 남는다. AWG 24는 11.268 V로 하한을 넘는다.
- 전원이 처지면 전류가 커진다. 정전력 부하이므로 공급이 11.4 V로 떨어질 때 AWG 24, 1 m는 부하단 10.97 V, 2.28 A가 된다.
돌입 전류와 접지도 점검한다. 탑재체의 입력 커패시터는 켜는 순간 정상 전류의 몇 배를 인입해 퓨즈·커넥터·조정기를 시험한다. 짐벌처럼 모터를 가진 부하는 기동 때 평균보다 큰 순간 전력을 요구하므로 평균이 아니라 최대 전력으로 버짓을 세운다. 접지 루프와 전원 공통 임피던스는 센서 잡음으로 나타난다(1.19의 배선·접지, 8.10의 전자기 적합성).
8.3.5.1 돌입 전류
입력 커패시터 $C$가 빈 채로 전원이 들어가면, 커패시터는 경로 저항 $R$만 남은 단락처럼 보인다. 시작 순간의 최대 전류, 시정수, 저장 에너지는 다음과 같다.
$$I_{pk}=\frac{V_s}{R},\qquad \tau=RC,\qquad E=\tfrac12 C V_s^{2}$$
전원의 내부 저항을 무시했으므로 $I_{pk}$는 상한이다. 가정은 $C=220\ \mu$F, $R$ = 배선·접점 0.147 Ω(AWG 22, 편도 1 m, 도체 가열) + 커패시터 등가직렬저항 0.05 Ω = 0.197 Ω이다.
| 공급 전압 | 최대 전류 | 정상 2.08 A 대비 | 시정수 | 저장 에너지 |
|---|---|---|---|---|
| 11.76 V | 59.7 A | 29배 | 43 µs | 15.2 mJ |
| 12.24 V | 62.1 A | 30배 | 43 µs | 16.5 mJ |
정상 전류의 약 30배가 43 µs 동안 흐른다. 이 전류는 커넥터 접점의 아크, 퓨즈 오동작, 조정기 과전류 보호의 작동, 순간 전압 처짐을 일으킬 수 있다. 대책은 시동 때만 전류를 제한하는 소프트스타트(NTC 저항, MOSFET 전류 제어)다. 최대 5 A로 제한하려면 충전 구간에서 약 2.25 Ω의 저항이 필요한데, 이 저항을 상시 직렬로 두면 정상 전류에서 $2.08^{2}\times2.25\approx9.7$ W를 소비하므로 해법이 될 수 없다. ICD의 전력 줄에 "돌입 전류 한계와 측정 방법"을 따로 적어야 하는 이유다.
8.3.6 데이터 통합
데이터 인터페이스는 프로토콜, 메시지 정의, 주기, 지연, 시계를 정한다. 세 가지를 계산해 확인한다.
버스 부하. 기체 내부 버스로 널리 사용하는 CAN(ISO 11898-1)은 프레임마다 오버헤드가 크다. 29비트 확장 식별자의 프레임에 8바이트 자료를 실으면 공칭 131비트, 비트 채움까지 최악으로 보면 160비트다. 부하는 다음으로 구한다.
$$U=\frac{\sum_i f_i\,b}{B},\qquad b=160\ \text{비트(최악)}$$
$f_i$는 메시지 $i$의 초당 개수, $b$는 프레임당 비트, $B$는 버스 속도다. 기준 기체의 메시지 집합(가정)과 계산 결과는 다음과 같다.
| 메시지 | 초당 개수 |
|---|---|
| 모터 명령(4개를 한 메시지로) | 400 |
| ESC 상태 4개(각 50 Hz) | 200 |
| IMU | 200 |
| GNSS 2종(각 10 Hz) | 20 |
| 배터리 상태 2종(각 5 Hz) | 10 |
| 짐벌 명령·상태 | 100 |
| 노드 생존 신호 6개(각 1 Hz) | 6 |
| 합계 | 936 |
| 버스 속도 | 부하 $U$ | 탑재체 메시지 40개/초 추가 |
|---|---|---|
| 1 Mbit/s | 15.0 % | 15.6 % |
| 500 kbit/s | 30.0 % | 31.2 % |
| 250 kbit/s | 59.9 % | 62.5 % |
관용적으로 최악 부하를 50 % 이하로 두는 설계가 많다 (확인 필요). 이 기준이면 500 kbit/s까지는 안전하고 250 kbit/s는 탑재체 추가만으로도 한계를 넘는다. 부하가 높으면 우선순위가 낮은 메시지의 최악 지연이 늘어난다(CAN은 식별자가 작은 메시지가 먼저 보낸다).
시각 동기. 영상과 관성 측정값을 맞추려면 시각 표지가 같은 시계를 기준으로 해야 한다. 동기 오차 $\Delta t$는 위치 오차 $v\,\Delta t$로 번진다. 20 m/s로 날 때 10 ms 오차는 0.2 m, 1 ms면 0.02 m다. 지향·위치 오차 예산은 6.10이 다룬다.
메시지 정의의 소유. 메시지 정의(필드·단위·범위)는 한 곳에서만 관리한다. 위 화성 궤도선의 교훈이 여기서 되풀이된다. 버스 규격은 9.4, MAVLink의 짐벌·카메라 마이크로서비스는 9.5에서 다룬다.
8.3.6.1 프레임 전송 시간과 최악 대기
CAN은 이미 시작된 프레임을 중단하지 못한다. 그래서 우선순위가 낮은 메시지는 최소 한 프레임이 끝나기를 기다려야 한다. 프레임 하나(160비트)의 전송 시간은 $160/B$다.
| 버스 속도 | 프레임 전송 시간 | 짐벌 지연 요구 20 ms(가정)에서 차지하는 비율 |
|---|---|---|
| 1 Mbit/s | 0.160 ms | 0.8 % |
| 500 kbit/s | 0.320 ms | 1.6 % |
| 250 kbit/s | 0.640 ms | 3.2 % |
한 프레임 대기만 보면 부담이 작다. 그러나 이 값은 최악 지연의 하한 성분이다. 높은 우선순위 메시지(모터 명령 400개/초 등)가 연달아 들어오면 대기가 그만큼 길어진다. 정확한 최악 응답 시간은 우선순위별 간섭을 모두 더하는 스케줄 가능성 분석으로 구한다(Davis 등, 2007). 이 장은 한 프레임 대기만 계산했고, 지연 요구가 빠듯한 메시지는 그 분석을 별도로 해야 한다.
8.3.7 시야·기계·열의 통합
시야 가림. 폭 $w$인 구조물이 거리 $d$에서 센서 앞을 지나가면 가리는 각은 다음과 같다.
$$\theta = 2\arctan\!\left(\frac{w}{2d}\right)$$
시야 90°인 카메라 앞에 착륙장치 다리가 있을 때(fig-src/8.3-calc.py):
| 다리 폭 | 거리 100 mm | 거리 150 mm | 거리 200 mm |
|---|---|---|---|
| 10 mm | 5.7°(6.4 %) | 3.8°(4.2 %) | 2.9°(3.2 %) |
| 20 mm | 11.4°(12.7 %) | 7.6°(8.5 %) | 5.7°(6.4 %) |
| 30 mm | 17.1°(19.0 %) | 11.4°(12.7 %) | 8.6°(9.5 %) |
괄호는 시야 90° 중 가려지는 비율이다. 가까울수록 같은 구조물이 훨씬 크게 가린다. 짐벌이 움직이면 가림이 시야 안을 훑으므로 짐벌의 전체 지향 범위에서 점검해야 한다(6.2). 프로펠러 디스크도 시야를 순간적으로 가려 영상에 깜빡임을 만든다.
무게중심. 질량 $m_p$인 탑재체를 기존 무게중심에서 $\Delta x$ 앞에 달면 무게중심은 $\Delta x_{cg}=m_p\Delta x/m_{\mathrm{tot}}$만큼 옮겨 간다. 탑재체 0.5 kg을 50 mm 앞에 달고 이륙 질량이 3.204 kg이면 7.8 mm, 100 mm 앞이면 15.6 mm다. 이동한 만큼 로터들의 추력 배분이 비대칭이 되고 제어 여유를 깎는다(1.7).
진동·열. 짐벌과 카메라는 로터 진동(1.29)을 절연하고, 발열은 기체 쪽에 방열 경로가 있어야 한다(1.25). 이 둘은 ICD의 "시야·진동"과 "열" 줄이 비어 있을 때 가장 늦게 발견되는 문제다.
전자기 간섭. 탑재체의 전원 스위칭과 고속 신호선(카메라·영상 인터페이스)은 넓은 대역의 잡음을 내고, 이 잡음이 GNSS 수신기의 입력 잡음을 높여 수신 감도를 떨어뜨리는 현상(수신기 둔감화)이 흔히 보고된다 (구체 사례와 수치는 이 장에서 확인하지 못했다). 증상은 비행 중 탑재체를 켰을 때만 위성 수가 줄거나 위치 오차가 커지는 모습으로 나타난다. 그래서 ICD의 전자기 줄에 방사 한계와 시험 방법을 적고, 통합 단계 ②(지상 통합)에서 탑재체를 켠 상태와 끈 상태의 GNSS 수신 품질을 비교한다(8.10, 제4부).
8.3.8 통합의 순서와 시험
통합은 한꺼번에 켜지 않고 단계별로 진행한다. 각 단계에서 막는 문제가 다르다.
| 단계 | 하는 일 | 드러나는 문제 | 위험의 크기 |
|---|---|---|---|
| ① 벤치 | 탑재체와 모의 기체를 따로 연결해 ICD 적합성 확인 | 전압·프로토콜·메시지 불일치 | 낮음 |
| ② 지상 통합 | 실제 기체에 장착해 전원·열·전자기 상호작용 확인 | 접지 잡음, 발열, 버스 과부하 | 낮음~중간 |
| ③ 계류·호버 | 묶거나 낮게 띄워 진동·제어 상호작용 확인 | 진동 결합, 무게중심 문제 | 중간 |
| ④ 비행 시험 | 운용 조건에서 확인(8.20) | 환경·동적 상호작용 | 높음 |
| ⑤ 운용 | 현장 운용과 변경 | 변경 뒤 회귀 | — |
실물 하위체계를 지상에 배치해 모의 비행시키는 시험대(아이언 버드)가 있으면 ①~②를 크게 앞당긴다(8.19). 규칙은 단순하다. 앞 단계에서 잡을 수 있는 문제는 앞 단계에서 잡는다. 비행 시험에서 처음 발견한 접지 잡음은 가장 비싸게 고친다.
8.3.8.1 통합 계획과 책임
통합은 계획서가 없으면 순서가 사람마다 달라진다. 통합 계획서에는 단계별 순서, 합격 기준, 변경이 생겼을 때 어디까지 다시 시험하는가(회귀 범위) 를 미리 적는다. 책임도 나누어 적는다.
| 역할 | 책임 | 산출물 |
|---|---|---|
| 통합 책임자 | 통합 순서·합격 기준·일정, ICD 소유 | 통합 계획서, ICD |
| 하위체계 책임자 | 자기 쪽 인터페이스 요구의 만족과 시험 | 적합성 시험 보고 |
| 변경 통제 위원회 | ICD·형상 변경 승인(양쪽 서명) | 변경 승인 기록(8.22) |
| 안전 책임자 | 인터페이스 오류와 공통 원인 분석 | 공통 원인 분석 결과(8.4) |
| 시험 책임자 | 단계별 시험 수행과 회귀 시험 | 시험 보고 |
작은 팀에서는 한 사람이 여러 역할을 맡는다. 그래도 ICD의 소유자와 변경 승인자는 분리해 적는 것이 좋다. 자기가 작성한 인터페이스를 자기가 승인하면 앞의 "양쪽이 합의한 뒤에만 바꾼다"는 약속이 사라진다.
8.3.9 워크스루 — 2 kg급 쿼드콥터에 12 V·25 W 카메라 짐벌 0.5 kg 통합
8.1.9.4의 요구(탑재체 12 V ±5 %·25 W, 이륙 3.204 kg)를 ICD의 점검 항목으로 내려 계산했다. 요구 값은 가정이다.
| 인터페이스 | 요구(가정) | 계산 | 판정 |
|---|---|---|---|
| 전력 | 탑재체 입력 11.4 V 이상(조정기 하한 11.76 V, 도체 가열 +20 %) | AWG 24, 편도 1 m: 11.268 V | 위반. 배선 굵기를 키운다 |
| 전력(고침) | 같음 | AWG 22, 편도 1 m: 11.439 V(여유 0.039 V) | 통과하나 여유가 작다 |
| 데이터 | CAN 최악 부하 50 % 이하 | 500 kbit/s: 30.0 %, 탑재체 추가 시 31.2 % | 통과 |
| 시야 | 시야 90° 중 가림 10 % 이하 | 다리 폭 20 mm·거리 150 mm: 8.5 % | 통과 |
| 시야(다른 장착) | 같음 | 다리 폭 30 mm·거리 150 mm: 12.7 % | 위반. 다리를 가늘게 하거나 멀리 둔다 |
| 무게중심 | 이동 10 mm 이하 | 50 mm 앞: 7.8 mm / 100 mm 앞: 15.6 mm | 50 mm는 통과(허용의 78 % 사용), 100 mm는 위반 |
| 시간 | 동기 오차 1 ms 이하 | 20 m/s에서 위치 오차 0.02 m | 통과 |
결론: 일곱 가지 중 전력·시야·무게중심 세 가지가 첫 설계에서 위반하거나 여유가 작다. 모두 하위체계 안이 아니라 경계의 선택(배선 굵기와 길이, 장착 위치, 다리 모양)으로 풀린다. 전력은 AWG를 24에서 22로 바꾸면 되지만 여유 0.039 V가 얇다. 짧은 배선(편도 0.5 m: 최악 전압을 다시 확인한다 (확인 필요))이나 조정기를 탑재체 가까이 두는 쪽이 더 견고하다. 이 표가 곧 ICD의 "검증" 줄에 들어갈 합격 기준이다. 계산은 가정이 단순하다. 스위칭 조정기 효율, 케이블 번들 가열, 커넥터 접점 저항의 산포는 넣지 않았다.
8.3.10 설계 트레이드오프 — 점대점·공통 버스·모듈형
통합 구조는 셋으로 나눌 수 있다.
| ① 점대점 맞춤 통합 | ② 공통 버스 + 표준 메시지 | ③ 모듈형(표준 인터페이스) | |
|---|---|---|---|
| 구성 | 쌍마다 전용 배선·전용 프로토콜 | 한 버스에 표준 메시지로 연결 | 기계·전력·데이터 경계를 규격화해 교체 가능하게 함 |
| 장점 | 쌍 하나는 단순하고 최적화 쉬움, 공통 원인 적음 | 인터페이스 수 $N$, 배선 단순 | 탑재체 교체·재사용, 제3자 참여 |
| 단점 | 인터페이스 수 $N(N-1)/2$, 변경 비용 큼 | 버스 단일 원인과 과부하 | 규격을 맞추는 초기 비용, 성능 여유 일부 포기 |
| 맞는 곳 | 소수 하위체계·단일 형상 | 중형 UAS·eVTOL의 비행 안전 계통 | 여러 임무에 탑재체를 바꾸는 군용·상용 플랫폼 |
견해: 비행 안전 기능과 임무 탑재체의 버스를 나누고, 임무 쪽만 모듈형으로 한다. 근거: 공통 버스의 β가 높아지는 경로는 8.2.6에서 계산한 대로 확률의 하한을 올리며, 탑재체는 교체와 제3자 참여로 변동이 가장 큰 쪽이라 비행 안전 버스에 포함시킬수록 안전 입증이 어려워진다. 이 견해는 정성 논거이고, 성능·비용·무게의 정량 비교는 형상마다 다르다. 단일 버스가 이점이 큰 소형 기체도 있다.
8.3.11 세 축 비교
| 항목 | 군용 드론 | 민간 UAS | AAM |
|---|---|---|---|
| 통합의 초점 | 교체 가능 탑재체, 다종 센서, 임무 재구성 | 제조사 SDK와 제3자 탑재체 | 안전 중요 하위체계(추진·고전압·비행 제어) |
| 인터페이스 표준화 | 개방형 구조 표준(9.11), 정부 소유 인터페이스를 선호 | 업계 사실상 규격과 독점 규약 혼재 | 인증기준에 따라 독점 + 규격 |
| ICD의 법적 성격 | 계약·감항 기준의 일부 | 제조사·탑재체 공급사 사이 계약 | 형상 항목이자 인증 증거 |
| 변경 통제 | 형상 통제 위원회 | 제조사 자율 | 설계 변경 승인 대상(20.7) |
| 통합 시험 | 체계 통합 시험, 안전 인가 | 공급사 시험과 현장 확인 | 시험 계획에 당국이 입회(8.2.4.2) |
| 대표 위험 | 임무 변경 뒤 회귀, 개방 구조의 보안 | 책임 경계 불명, 버전 불일치 | 공통 원인, 고전압 접지·절연 |
8.3.12 관련 규격·프로토콜
| 문서 | 발행 | 무엇을 정하나 | 상세 장 |
|---|---|---|---|
| ISO/IEC/IEEE 15288:2023의 통합(Integration) 프로세스 | ISO·IEC·IEEE | 하위체계를 합치고 인터페이스를 확인하는 프로세스 | 9.1 |
| ISO 11898-1(CAN) | ISO | CAN 프레임·비트 시간·오류 처리 | 9.4 |
| DroneCAN·Cyphal | 개방형 사양 | CAN 위의 메시지·노드 규약(UAS용) | 9.4 |
| MAVLink(짐벌·카메라 마이크로서비스) | 개방형 사양 | 지상국·탑재체 메시지 | 9.5 |
| RTCA DO-160(전원 입력 등) | RTCA | 장비의 환경·전원·전자기 시험 | 8.9·8.10 |
| SAE AS50881(항공 우주기 배선) | SAE | 배선 설계·설치(판 (확인 필요)) | 1.19 |
| IEEE 1588(PTP) | IEEE | 네트워크 시각 동기 | 9.4 |
군 항공기 전원 특성과 군용 버스(MIL-STD-704·MIL-STD-1553 등)는 이 책에서 규격 번호와 용도만 밝히고 본문은 다루지 않는다. 전체 지도는 A.6에 있다.
8.3.13 관련 규제·인증 요구와의 연결
- 형상 관리와 변경 통제(8.22). ICD는 형상 항목이다. 변경은 승인된 절차로만 한다.
- 시스템 안전(8.4·8.2.6). 공통 버스·공통 전원은 공통 원인 분석(CMA)의 주된 점검 대상이다.
- 적합성 입증(20.6). ICD의 검증 줄이 적합성 매트릭스의 항목이 된다.
- 전자기 적합성(8.10). 방사·내성 시험은 통합된 기체 수준에서 다시 한다.
- 설계 변경과 탑재체 추가(20.7). 인증된 기체에 새 탑재체를 장착하는 것은 설계 변경이고 부가형식증명(STC)의 대상일 수 있다.
- 운용 승인(20.14). 탑재체 변경이 운용 위험 평가의 가정(질량·고장 모드)을 바꾸면 승인 조건이 바뀐다.
- 군. 군용 무인기의 탑재체 통합은 감항·안전 인가를 거친다(12.3).
8.3.14 함정과 한계
| 오해 | 실제 | 더 볼 곳 |
|---|---|---|
| 각 하위체계가 시험을 통과했으면 합쳐도 된다 | 실패는 경계에서 난다. 경계 시험이 따로 필요하다 | 8.3.2 |
| 전력과 데이터만 ICD에 작성하면 된다 | 시간·열·전자기·시야·진동이 가장 늦게 발견된다 | 8.3.3 |
| 평균 전력으로 버짓을 세운다 | 최대·돌입 전력과 최악 전압으로 세운다 | 8.3.5 |
| 공통 버스는 단순해서 안전하다 | 인터페이스는 줄지만 공통 원인이 생긴다 | 8.3.4 |
| 버스 부하 50 %는 규격 값이다 | 관용이다. 지연 요구에서 거꾸로 정한다 | 8.3.6 |
| ICD는 한 번 작성하면 끝이다 | 변경 통제 아래에서 살아 있는 문서다 | 8.22 |
| 워크스루의 전압이 실제 설계 값이다 | 정전력 부하와 단순 저항 모형의 가정이다 | 8.3.9 |
미해결 문제. 제3자 탑재체를 장착한 인증 기체의 책임 경계와 변경 승인 범위, 개방형 인터페이스의 보안(8.11~8.13), 그리고 소프트웨어 정의 인터페이스의 버전 관리는 규제가 따라잡지 못한 영역이다 (확인 필요).
8.3.15 체크포인트·연구 질문
체크포인트:
- 인터페이스의 일곱 종류를 대 보라. 자신의 프로젝트에서 ICD에 가장 자주 빠지는 것은 무엇인가.
- 하위체계 8개의 점대점 구조에서 인터페이스의 상한은 몇 개이고, 공통 버스에서는 몇 개인가.
- 12 V·25 W 부하에서 AWG 24 배선이 1 m를 넘으면 왜 문제가 되는가. 정전력 부하에서 전류가 늘어나는 이유를 설명하라.
- 500 kbit/s CAN에서 메시지 936개/초의 최악 부하를 직접 계산해 보라.
- 비행 안전 버스와 임무 버스를 나누는 근거를 8.2.6의 β로 설명해 보라.
연구 질문(25.7에 모은다):
- 제3자 탑재체를 장착한 기체의 책임 경계와 변경 승인 범위를 규제 문서에서 어떻게 정의할 수 있는가.
- 모듈형 인터페이스가 안전 입증 비용을 줄이는가, 늘리는가. 공개 사례로 정량화할 수 있는가.
- 인터페이스 변경의 회귀 시험 범위를 모델 기반 추적(8.1.7)으로 자동 산정하는 방법의 신뢰성은 어떠한가.
- 공통 버스의 β를 어떻게 측정하고 입증할 수 있는가.
1차 출처(이 장):
- NASA, Mars Climate Orbiter Mishap Investigation Board Phase I Report, 1999.
- ISO 11898-1(CAN 데이터링크 계층, 판
(확인 필요)). - RTCA DO-160(판
(확인 필요)). - SAE AS50881(판
(확인 필요)). - Davis, R. I., Burns, A., Bril, R. J., Lukkien, J. J., "Controller Area Network (CAN) schedulability analysis: Refuted, revisited and revised", Real-Time Systems 35, 2007.
- ISO/IEC/IEEE 15288:2023.
- IEEE 1588(PTP, 판
(확인 필요)). - 계산:
mil-uam/fig-src/8.3-calc.py(표준 라이브러리math만 사용).
다음 장: 8.4 — 안전성 평가(ARP4761A): FHA·FTA·고장조건 등급·확률 목표. 이 장에서 "공통 원인"과 "독립성"이라는 말로 언급한 안전성 평가의 기법을 FHA에서 FTA·FMEA·CMA까지 차례로 본다.