제8부 안전·보안·시스템공학
8.4 안전성 평가(ARP4761A): FHA·FTA·고장조건 등급·확률 목표
8.4.1 이 장에서 배우는 것 / 선수 지식 / 특히 중요한 독자
8.2가 개발 보증의 틀을 세웠다면, 이 장은 그 틀 안에서 "설계가 안전 목표를 만족하는가"를 분석으로 보이는 방법을 다룬다. 핵심 문서는 SAE ARP4761A이고, 주로 우연 고장을 확률로 다룬다. 결과가 얼마나 나쁜지(심각도)와 얼마나 자주 일어나는지(확률)를 짝으로 묶어 허용 여부를 판정한다.
배우는 것:
- 안전성 평가의 구조 — FHA·PSSA·SSA와 분석 기법(FTA·FMEA·종속 다이어그램·마르코프 해석·공통 원인 분석)이 어떻게 이어지는가.
- 고장 조건 등급과 확률 목표 — 대형기, 소형기, EASA SC-VTOL의 eVTOL, 소형 UAS의 목표가 어떻게 다른가. 이 값은 어디서 오는가.
- FHA 작성법 — 기능에서 고장 조건을 뽑고 효과·비행 단계·완화 수단으로 등급을 매기는 표.
- 고장 수목(FTA) 계산 — 절단집합, 희소 사건 근사, 단일 고장점 발견, 중요도 척도.
- 잠복 고장 — 점검 간격과 점검 발견율이 숨은 안전망의 가용도를 어떻게 정하는가.
- 입증 가능성의 한계 — $10^{-7}$ 이하 목표는 시험으로 확인할 수 없고 설계 해석으로 보여야 하는 이유.
선수 지식: 8.2(고장 조건 등급, FDAL, β 인자)를 읽었다고 가정한다. 고장 허용 구조(다중화·FDIR)는 2.5, 지상 충돌 위험의 정량 모형은 8.6, 안전 사례는 8.7에서 다루므로 이 장은 분석 방법과 목표만 본다.
특히 중요한 독자: 엔지니어는 8.4.5~8.4.7의 계산을 따라 해 본다. 인증 담당자는 8.4.4와 8.4.12~8.4.13을, 정책·법무 담당자는 8.4.4.2(목표의 출처)와 8.4.14의 한계를, 사업 담당자는 8.4.10(어디까지 정량화할 것인가)을 중점적으로 읽는다.
기준 시점과 정직성. 2026년 10월 기준이고 지식은 2026년 중반까지다. 이 장은 유료 규격(SAE ARP4761A)의 본문을 옮기지 않고 구조와 요지만 적는다. ARP4761A는 SAE 목록에서 2023년 12월 20일자 발행을 확인했고 본문은 읽지 못했다(유럽 대응 문서는 EUROCAE ED-135). 무료로 공개된 문서는 원문을 내려받아 읽었다: FAA AC 25.1309-1B(2024-08-30), FAA AC 23.1309-1E(2011-11-17), EASA SC-VTOL-01 Issue 1(2019-07-02), EASA MOC Light-UAS High Risk.2510-01 Issue 01(2025-02-11). 이후 개정이 있는지는 확인하지 못했다
(확인 필요). 워크스루의 고장률·비율은 모두 원리를 보이기 위한 가정이며 부품 신뢰성 자료가 아니다.
8.4.2 개념 — 안전성 평가는 결과에서 출발하는 분석이다
설계 분석에는 두 방향이 있다. 귀납적 분석(FMEA)은 부품 하나가 고장 났을 때 무슨 일이 생기는지 아래에서 위로 따라간다. 연역적 분석(FHA·FTA)은 "이런 사고가 나려면 무엇이 동시에 성립해야 하는가"를 위에서 아래로 따라간다. 안전성 평가는 두 방향을 모두 사용한다. 연역적 분석이 무엇을 평가해야 하는지를 정하고, 귀납적 분석이 빠진 것이 없는지 확인한다.
평가의 판정 기준은 둘이다.
| 기준 | 내용 | 방법 |
|---|---|---|
| 정성 기준 | 치명적 고장 조건이 단일 고장에서 나오지 않는다(fail-safe) | FHA의 등급 + FMEA·FTA의 절단집합 차수 |
| 정량 기준 | 고장 조건의 비행시간당 평균 확률이 등급별 상한 이하다 | FTA·마르코프 해석의 확률 계산 |
정성 기준이 먼저 적용된다. 확률이 아무리 낮게 계산되어도 한 부품의 고장만으로 치명적 고장 조건이 되면, 그 확률 값은 전적으로 부품 하나의 고장률 자료에 의존한다. 그래서 인증 요건은 치명적 고장 조건이 단일 고장에서 나오지 않는다는 문장을 확률 요건과 별도로 둔다. SC-VTOL.2510(a)(1)도 "치명적 고장 조건은 극히 일어나기 어렵고 단일 고장에서 나오지 않는다"는 취지로 규정한다(8.4.4.2, 원문 확인).
세 축에서 평가의 무게가 다르다.
- 군용 드론은 체계안전 절차(군 규격, 8.5)와 계약 조건이 목표를 정한다. 임무 중 기체 소모를 허용하는 대신 지상 제3자와 아군 요원에 대한 위험을 제한한다.
- 민간 UAS는 특정 운용 위험 평가(SORA)가 운용별로 요구 수준을 정한다(20.14). 개별 장비의 확률 목표를 법으로 일률 지정하는 경우는 드물다.
- AAM(eVTOL)은 탑승자가 있으므로 인증기준이 고장 조건 등급과 확률 목표를 명시한다. 평가가 형식증명의 핵심 증거이다.
이 책의 기준 기체는 2 kg 쿼드콥터이다. 이 장의 워크스루는 안전성 평가가 의미를 가지도록 로터 유닛이 여섯 개인 변형(여섯 개 중 네 개가 필요)을 사용한다. 8.2.6이 같은 구성으로 β 인자의 영향을 보였다.
8.4.3 평가의 구조와 기법
ARP4761A는 평가 활동을 수준과 기법으로 나눈다. 수준은 항공기, 시스템, 품목으로 내려가고, 단계는 FHA → PSSA → SSA로 이어진다.
| 활동 | 시점 | 하는 일 | 낳는 것 |
|---|---|---|---|
| 기능 위험 평가(FHA) | 요구 포착 단계 | 기능별로 고장 조건을 열거하고 효과로 등급을 매김 | 고장 조건 등급, 안전 요구(확률·FDAL) |
| 예비 시스템 안전성 평가(PSSA) | 구조안 단계 | 구조안이 안전 요구를 만족할 수 있는지 분석, 요구를 하위로 할당 | 품목별 고장률 상한, 독립성 요구, 점검 요구 |
| 시스템 안전성 평가(SSA) | 통합·검증 이후 | 구현된 시스템의 분석을 모아 요구 만족을 확인 | 안전 근거 문서(인증 증거) |
| 항공기 수준 평가 | 2023 개정에서 강조 | 항공기 수준의 고장 조건과 시스템 간 상호작용 | 항공기 수준 등급, 시스템 요구 |
개정판은 항공기 수준의 평가(PASA·ASA)를 명시적으로 포함한 것으로 알려져 있으나 항목의 구성은 본문에서 확인해야 한다 (확인 필요). 평가 활동을 지원하는 기법은 다음과 같다.
| 기법 | 방향 | 답하는 질문 | 입력 | 출력 |
|---|---|---|---|---|
| 고장 수목 분석(FTA) | 연역 | 이 상위 사건이 일어나는 조합은 무엇이고 확률은? | 상위 사건, 사건 확률 | 절단집합, 상위 사건 확률 |
| 종속 다이어그램(DD)·신뢰도 블록도 | 연역 | 성공 경로가 남아 있는가? | 구조도 | 시스템 성공 확률 |
| 마르코프 해석(MA) | 상태 | 고장·수리·재구성이 시간에 따라 어떤 확률 분포를 만드는가? | 상태, 전이율 | 상태 확률 |
| 고장 모드 영향 분석(FMEA)과 요약(FMES) | 귀납 | 부품의 각 고장 모드는 어떤 효과를 내는가? | 부품 목록, 고장 모드 | 모드별 효과, 고장률 비율 |
| 공통 원인 분석(CCA) | 보완 | 독립이라는 가정이 깨지는 경로는 없는가? | 배치, 설계 공통성 | 지역·특정 위험·공통 모드 분석 |
공통 원인 분석은 세 부분으로 나뉜다. 구역 안전성 분석(ZSA) 은 한 구역에 설치된 장비들이 서로를 손상시키는 경우를, 특정 위험 분석(PRA) 은 한 번의 외부 사건이 여러 장비를 동시에 무력화하는 경우를(조류 충돌, 로터 파손 파편, 낙뢰, 배터리 열폭주 등), 공통 모드 분석(CMA) 은 같은 소프트웨어·같은 부품·같은 제작 공정의 공통성을 점검한다. 세 분석은 FTA에서 AND 게이트의 독립 가정이 맞는지를 확인하는 근거가 된다. 8.2.6의 β 인자는 이 분석에서 정량화하지 못한 공통 원인을 보수적으로 대신하는 값이다.
8.4.4 기능 위험 평가(FHA)와 고장 조건 등급
FHA는 기능에서 출발한다. 부품을 알기 전에도 "비행 제어 기능이 틀린 값을 낸다", "추진이 모두 정지한다" 같은 고장 조건을 열거하고, 각각이 누구에게 어떤 영향을 주는지 판정한다. FHA에서 고장 조건의 효과로 등급을 매기면 확률 목표와 개발 보증 수준이 따라 나온다.
효과 분류의 기본 구조는 다음과 같다. 대형기에 사용하는 문장을 기준으로 하고, 무인기에서는 "탑승자" 항목이 없어 지상 제3자에 대한 효과로 옮겨 읽는다.
| 등급 | 항공기·운용에 대한 효과 | 탑승자·제3자에 대한 효과 | 정성 요건 |
|---|---|---|---|
| 치명적 | 계속 비행과 착륙이 불가능, 기체 상실 | 다수의 사망 | 단일 고장에서 나오지 않음 |
| 위험 | 안전 여유와 기능 능력이 크게 감소 | 심각한 부상 또는 소수의 사망 가능 | — |
| 중대 | 안전 여유와 기능 능력이 상당히 감소 | 부상, 불편 | — |
| 경미 | 안전 여유가 약간 감소 | 신체적 불편 | — |
| 안전 영향 없음 | 영향 없음 | 영향 없음 | — |
효과의 규모는 단어의 정의를 그대로 따르지 않고 운용 맥락에서 정한다. 판정에 영향을 주는 입력은 네 가지이다.
- 비행 단계. 이착륙·호버·저고도 비행은 고장 후 대응할 시간과 고도가 가장 작다. 같은 고장이 순항에서는 중대이고 착륙 접근에서는 위험이 될 수 있다.
- 운용 환경. 인구 밀집 지역 위 비행이면 같은 추락이 더 높은 등급이 된다(8.6, 14.18).
- 완화 수단. 낙하산(1.30), 비행 종료 시스템(2.6), 자동 귀환이 있으면 효과를 낮출 수 있다. 다만 완화 수단 자체의 가용도가 평가에 들어간다(8.4.7).
- 조종사 대응. 원격조종사가 인지하고 조치할 시간이 있는가. 경고가 있어도 시간이 없으면 완화로 인정하기 어렵다(8.18).
8.4.4.1 예시 — 육륜 기체의 FHA
다음은 2 kg급 육륜 UAS를 군중 위 운용과 무인 지역 운용에 놓은 FHA 발췌이다. 등급은 개념을 보이기 위한 가정이다.
| 기능 | 고장 조건 | 비행 단계 | 효과 | 군중 위 | 무인 지역 |
|---|---|---|---|---|---|
| 양력·추진 | 로터 1개 상실, 자동 재구성 성공 | 전 단계 | 여유 감소, 비행 계속 | 경미 | 경미 |
| 양력·추진 | 로터 3개 이상 동시 상실 | 호버·상승 | 제어 불능, 추락 | 치명적 | 위험 |
| 비행 제어 | 자세 제어 상실 | 전 단계 | 제어 불능, 추락 | 치명적 | 위험 |
| 비행 제어 | 틀린 자세 추정을 정상으로 출력 | 전 단계 | 안전 여유의 큰 감소, 추락 가능 | 위험~치명적 | 위험 |
| 항법 | GNSS 상실을 경고와 함께 인지 | 순항 | 자동 귀환 불가, 수동 복귀 | 경미 | 경미 |
| 항법 | 틀린 위치를 정상으로 출력 | 순항 | 지오펜스 이탈 | 위험 | 중대 |
| 지휘 통제 링크 | 링크 상실 | 순항 | 자동 귀환으로 전환 | 중대 | 경미 |
| 전원 | 배터리 출력 상실 | 전 단계 | 전 기능 상실 | 치명적 | 위험 |
| 비행 종료 | 의도하지 않은 작동 | 전 단계 | 비행 중 추락 또는 낙하산 전개 | 치명적 | 위험 |
| 탑재체 | 영상 전송 정지 | 전 단계 | 임무 수행 불가 | 안전 영향 없음 | 안전 영향 없음 |
EASA의 경량 UAS 고위험 입증 방법(MOC Light-UAS High Risk.2510-01, SAIL V·VI 운용, 원문 확인)은 이 표의 논리를 다음처럼 정한다. 치명적 고장 조건은 "한 명 이상의 사망이 예상되는" 조건이고, 운용 구역 안에서 기체를 잃는 고장 조건은 완화 수단이 없으면 사망으로 이어질 것으로 보고 치명적으로 분류한다. 이착륙장이 사람이 없는 통제된 지상 영역이거나 지상 위험이 충분히 낮으면 그 고장 조건을 위험으로 받아들일 수 있다. 또 운용 구역 안에서 비행 종료 장치가 의도하지 않게 작동하는 것은 치명적으로 본다. 표의 등급은 이 문서의 논리에 맞추어 가정했다(무인 지역 열의 "위험"은 통제된 지상 영역을 가정한 값이다).
표에서 틀린 값을 정상으로 출력하는 고장은 경고가 따르는 상실보다 높게 매겨지는 경우가 많다(항법 줄: 경미 대 위험). 상실은 경고로 드러나지만 오도는 조종사나 제어 알고리즘이 틀린 값을 믿고 행동하게 만든다. 이 책은 이것을 위험 오도 정보라 부른다(8.18).
8.4.4.2 확률 목표는 어디서 오는가
확률 목표는 자연 상수가 아니라 통계와 정책이 합쳐진 값이다. FAA AC 25.1309-1B 부록 A(원문)가 대형 운송기 $10^{-9}$의 유래를 이렇게 기록한다. 영국 민간항공국(BCAA)이 1960년대 콩코드 인증에서 중대 사고율을 비행시간당 $10^{-6}$ 정도로 보았고, 그중 약 10 %가 시스템 설계 원인이라고 어림해 시스템 원인 사고를 $10^{-7}$ /FH 이하로 정했다. 치명적 고장 조건이 최대 100개라고 가정하고 이를 균등 배분해 조건당 $10^{-9}$ /FH를 얻었으며, 이 값은 단일 고장에서 치명적 결과가 나오는 경우에는 적용되지 않았다(단일 고장은 확률과 무관하게 허용하지 않는다). 소형 비행기에도 같은 논리가 있다. AC 23.1309-1E는 단발 6,000 lb 이하 비행기의 사망 사고율을 $10^{-4}$ /FH, 그중 약 10 %가 시스템 원인(→ $10^{-5}$), 치명적 고장 조건 약 10개(→ 조건당 $10^{-6}$)로 계산한다. 목표는 사고 통계를 근거로 정하고 새 기술이 들어오면 다시 평가한다. 현재 인용할 수 있는 값은 다음과 같다.
| 대상 | 문서 | 치명적 | 위험 | 중대 | 경미 | 확인 상태 |
|---|---|---|---|---|---|---|
| 대형 운송기 | 14 CFR 25.1309 · CS 25.1309, AC 25.1309-1B | $10^{-9}$ | $10^{-7}$ | $10^{-5}$ | $10^{-3}$ | 원문 확인(AC 25.1309-1B 3.3.1, 2024-08-30): 경미 $10^{-3}$ 이하 → 중대 $10^{-5}$ 이하 → 위험 $10^{-7}$ 이하 → 치명적 $10^{-9}$ 이하. 입증에서 "그 정도"는 중대에 2배, 위험·치명적에 3배까지 허용한다고 적혀 있음 |
| 소형 비행기 Class I(단발 6,000 lb 이하) | AC 23.1309-1E | $10^{-6}$ | $10^{-5}$ | $10^{-4}$ | $10^{-3}$ | 원문 확인(2011-11-17) |
| 소형 비행기 Class II(다발 6,000 lb 이하) | 위와 같음 | $10^{-7}$ | $10^{-6}$ | $10^{-5}$ | $10^{-3}$ | 원문 확인 |
| 소형 비행기 Class III(6,000 lb 초과) | 위와 같음 | $10^{-8}$ | $10^{-7}$ | $10^{-5}$ | $10^{-3}$ | 원문 확인 |
| 소형 비행기 Class IV(커뮤터) | 위와 같음 | $10^{-9}$ | $10^{-7}$ | $10^{-5}$ | $10^{-3}$ | 원문 확인. 이 AC는 §23.1309의 Amdt 23-62까지를 대상으로 하며, 이후 개정된 Part 23(§23.2510)의 대응 문서는 확인하지 못함 (확인 필요) |
| eVTOL Enhanced | SC-VTOL-01 AMC VTOL.2510 | $10^{-9}$ | $10^{-7}$ | $10^{-5}$ | $10^{-3}$ | 원문 확인(Issue 1). 개발 보증 수준 A·B·C·D |
| eVTOL Basic, 7~9명 | 위와 같음 | $10^{-9}$ | $10^{-7}$ | $10^{-5}$ | $10^{-3}$ | 원문 확인 |
| eVTOL Basic, 2~6명 | 위와 같음 | $10^{-8}$ | $10^{-7}$ | $10^{-5}$ | $10^{-3}$ | 원문 확인. 개발 보증 수준 B·C·C·D, 수준 낮추기 불가 |
| eVTOL Basic, 0~1명 | 위와 같음 | $10^{-7}$ | $10^{-6}$ | $10^{-5}$ | $10^{-3}$ | 원문 확인. 개발 보증 수준 C·C·C·D, 수준 낮추기 불가 |
| 경량 UAS, SAIL VI | EASA MOC Light-UAS High Risk.2510-01 Issue 01(2025-02-11, 최종) | $10^{-8}$ | $10^{-6}$ | $10^{-4}$ | 정량 분석 불요 | 원문 확인. 개발 보증 수준 B·C·D(치명적·위험·중대) |
| 경량 UAS, SAIL V | 위와 같음 | $10^{-7}$ | $10^{-5}$ | $10^{-4}$ | 정량 분석 불요 | 원문 확인. 개발 보증 수준 B·C·D. 중위험(SAIL III·IV) 특별조건의 값은 읽지 못함 (확인 필요) |
SC-VTOL의 표에서 읽을 점이 둘 있다. 첫째, Enhanced 등급은 탑승자 수와 관계없이 가장 엄격한 값을 적용한다. 제3자에 대한 운용 위험이 가장 크고 유상 여객 운송을 포함하기 때문이라고 문서의 배경 설명이 밝힌다. 둘째, 같은 문서에서 "치명적"의 정의가 등급마다 다르다. Enhanced는 계속 비행과 착륙을 막는 고장 조건이, Basic은 제어된 비상 착륙을 막는 고장 조건이 치명적이다. 확률 값뿐 아니라 무엇을 치명적으로 부르는지도 함께 읽어야 한다.
무인기는 사정이 다르다. 소형 UAS에서는 SORA 등의 운용 위험 평가가 지상 위험과 공중 위험을 허용 수준으로 낮추는 완화 수단의 견고성을 요구하는 방식이 주가 된다(20.14). 다만 위험이 높은 운용에는 EASA가 장비·시스템 안전성 평가를 특별조건으로 요구한다. 위 표의 SAIL V·VI 값은 SORA의 운용 안전 목표 #5에서 나온 기술 안전 목표이고(원문), 치명적 고장 조건에 "단일 고장에서 나오지 않는다"는 조건이 붙는 점은 유인기와 같다. 이 장의 워크스루에서는 비교를 위해 대형기·eVTOL의 값을 그대로 사용하지만 이것은 분석 연습을 위한 가정이지 UAS의 요구가 아니다.
비행시간당 목표를 비행 한 번의 확률로 옮기는 방법은 문서가 정한다. AC 25.1309-1B 7.6(원문)은 평균 비행 시간과 평균 비행 프로파일을 고려해 시간당 평균 확률을 구하되, 특정 비행 단계에서만 일어나는 고장 조건은 평균 속에 희석시키지 말고 그 단계 조건에서 기준을 만족해야 한다고 한다. 이 경우 요건을 비행당 확률로 적용하며 시간당 값으로 바꿀 때는 1시간으로 나눈다. 고장이 여러 비행에 걸쳐 남을 수 있으면 전체 노출 시간을 고려한다. EASA MOC Light-UAS.2510(원문 Note 3)도 평균 비행 프로파일과 평균 비행 시간을 정의하고 고장률 자료의 불확실성을 안전을 해치지 않게 반영하도록 한다. 이착륙 위험은 비행 시간에 비례하지 않으므로 단거리 운용에서는 이 규칙이 중요하다.
8.4.5 고장 수목(FTA) — 구조와 계산 규칙
고장 수목은 상위 사건(예: 제어된 비행 상실)을 맨 위에 놓고, 그 원인의 조합을 AND·OR 게이트로 아래로 전개한다. 가장 아래의 기본 사건은 확률을 가진 개별 고장이다.
기본 규칙은 다음과 같다. 사건이 서로 독립이라고 가정한다.
- AND 게이트: 모든 입력이 일어나야 출력이 일어난다. 출력 확률은 곱이다. $P=\prod_i p_i$
- OR 게이트: 입력 하나라도 일어나면 출력이 일어난다. 출력 확률은 $P=1-\prod_i(1-p_i)$이고, 확률이 작을 때는 합 $P\approx\sum_i p_i$로 근사한다(희소 사건 근사).
이 근사는 정확값보다 항상 크거나 같으므로 보수적이다. 오차는 사건 쌍의 곱 정도($\sum_{i<j}p_ip_j$)이고, 아래 워크스루에서는 $8.5\times10^{-10}$로 합의 $10^{-5}$ 단위에 견주면 무시할 수 있다.
최소 절단집합은 이 사건들이 모두 일어나면 상위 사건이 일어나는 사건의 최소 묶음이다. 묶음의 크기(차수)가 설계의 방어 깊이이다.
| 절단집합 차수 | 의미 | 평가 |
|---|---|---|
| 1차 | 한 사건만으로 상위 사건 | 단일 고장점. 치명적 상위 사건이면 정성 기준 위반 |
| 2차 | 독립 사건 두 개가 필요 | 확률은 곱이므로 낮지만 잠복 고장이 끼면 점검 간격이 지배(8.4.7) |
| 3차 이상 | 세 개 이상이 필요 | 보통 확률이 충분히 작다. 단 공통 원인이 이를 1차로 만들 수 있음 |
공통 원인은 FTA에서 별도의 기본 사건으로 넣는다. 여러 채널이 같은 원인으로 동시에 고장 나는 사건은 정의상 1차 절단집합이다. 8.2.6의 $P=\beta\lambda T+((1-\beta)\lambda T)^N$에서 첫 항이 이 사건이고, 채널을 늘려도 줄지 않는 항이다.
노출 시간의 취급도 정해야 한다. 고장 수목의 확률은 어떤 시간 동안의 확률이다. 이 장에서는 비행 한 시간(1 FH)을 기준으로 한다. 비행 중에만 일어나는 고장은 비행시간을 곱하고, 비행 전부터 고장 나 있었지만 드러나지 않은 고장은 잠복 시간을 곱한다(8.4.7).
8.4.6 워크스루 — 육륜 기체의 고장 수목
8.2.6의 육륜 구성에서 상위 사건 "제어된 비행 상실" 의 확률을 계산한다. 기체는 로터 유닛 여섯 개를 가지고, 네 개 이상이 정상이어야 제어가 유지된다. 가정은 다음과 같다.
| 가정 | 값 | 비고 |
|---|---|---|
| 로터 유닛(ESC+모터+프로펠러) 고장률 $\lambda_r$ | $10^{-4}$ /FH | 8.2.6과 같음 |
| 로터 유닛의 공통 원인 비율 $\beta_r$ | 1 % | 같은 ESC·같은 펌웨어·같은 전원 버스 |
| 로터 고장 탐지·재구성 성공 확률 $c$ | 0.95 | 로터 고장의 5 %는 탐지·재구성에 실패해 제어를 잃음 |
| 배터리 팩 출력 상실률 | $10^{-5}$ /FH | 팩 하나 |
| 비행제어 컴퓨터 기능 상실률 | $10^{-5}$ /FH | 컴퓨터 하나 |
| 배전·배선 고장률 | $2\times10^{-6}$ /FH | 전원 버스의 단선·단락 |
| 소프트웨어 오류 | 확률로 할당하지 않음 | 개발 보증 수준으로 다룸(8.2.5, 8.8) |
수목은 OR 아래 가지 여섯 개로 이루어진다(아래 그림). 첫 가지는 "로터 고장이 나고 탐지·재구성이 실패" 라는 AND이다. 한 유닛이 고장 날 비율은 $6\lambda_r=6\times10^{-4}$이고, 실패할 확률은 $1-c=0.05$이므로 이 가지의 확률은 $6\lambda_r(1-c)=3.0\times10^{-5}$이다. 탐지·재구성이 성공하는 로터 고장은 여섯 개 중 네 개 필요라는 여유 안에 들어가므로 비행이 계속된다.
둘째 가지는 로터 유닛 세 개 이상의 독립 고장이다. 정확식으로 $\sum_{j\ge3}\binom{6}{j}q^j(1-q)^{6-j}$, $q=(1-\beta_r)\lambda_r$를 계산하면 $1.94\times10^{-11}$이고, 근사 $\binom{6}{3}q^3=1.94\times10^{-11}$과 같다. 나머지 가지는 공통 원인 $\beta_r\lambda_r=10^{-6}$, 배터리 $10^{-5}$, 컴퓨터 $10^{-5}$, 배전·배선 $2\times10^{-6}$이다.
합은 $5.30\times10^{-5}$ /FH이다(정확식은 $5.2999\times10^{-5}$로 같은 값으로 읽어도 된다). 이 값은 중대 목표 $10^{-5}$조차 만족하지 못한다. 절단집합의 차수로 보면 공통 원인·배터리·컴퓨터·배전 네 가지는 한 사건만으로 상위 사건이 되는 1차 절단집합이고, 미검출 로터 고장은 2차, 독립 3중 로터 고장은 3차이다. 상위 사건이 치명적 등급이라면 1차 절단집합 네 개가 모두 단일 고장 기준(8.4.2)을 위반한다. 로터를 여섯 개 둔 효과는 3차 가지의 $10^{-11}$ 수준으로 나타나지만 상위 사건 확률에는 거의 반영되지 않는다. 다중화한 부분은 이미 충분하고 다중화하지 않은 부분이 전체를 정한다.
8.4.6.1 중요도와 개선 순서
어디부터 고칠지는 기여율로 정한다. 사건 $i$의 Fussell–Vesely 중요도는 상위 사건 확률 중 그 사건을 포함하는 절단집합이 차지하는 비율이다. 이 모형에서는 가지들이 공통 사건을 갖지 않으므로 $FV_i=p_i/P_{top}$이다.
| 사건 | 확률 [/FH] | 기여율 [%] |
|---|---|---|
| 로터 고장 미검출·재구성 실패 | $3.0\times10^{-5}$ | 56.6 |
| 배터리 출력 상실 | $1.0\times10^{-5}$ | 18.9 |
| 비행제어 컴퓨터 상실 | $1.0\times10^{-5}$ | 18.9 |
| 배전·배선 고장 | $2.0\times10^{-6}$ | 3.8 |
| 로터 공통 원인 고장 | $1.0\times10^{-6}$ | 1.9 |
| 로터 3개 이상 독립 고장 | $1.9\times10^{-11}$ | 0.0 |
여섯 개 로터를 둔 설계의 취약점은 로터 수가 아니라 고장 탐지·재구성 성공률이다. 기여율이 가장 큰 항에서 개선을 시작해 단계마다 합을 다시 계산한다.
| 단계 | 변경 | 상위 사건 확률 [/FH] | 최대 기여 | 중대 $10^{-5}$ | 위험 $10^{-7}$ |
|---|---|---|---|---|---|
| ① | 기준 설계 | $5.30\times10^{-5}$ | 미검출 로터 고장 57 % | 불만족 | 불만족 |
| ② | 탐지·재구성 성공률 0.95 → 0.999 | $2.36\times10^{-5}$ | 배터리 42 % | 불만족 | 불만족 |
| ③ | 배터리 이중(병렬 다이오드, 공통 원인 5 %) | $1.41\times10^{-5}$ | 컴퓨터 71 % | 불만족 | 불만족 |
| ④ | 컴퓨터 이중(공통 원인 2 %) | $4.30\times10^{-6}$ | 배전·배선 47 % | 만족 | 불만족 |
| ⑤ | 로터 공통 원인 1 % → 0.1 % | $3.40\times10^{-6}$ | 배전·배선 59 % | 만족 | 불만족 |
세 가지를 읽을 수 있다. 첫째, 한 단계를 고치면 다음으로 큰 취약점이 드러난다. 아래 기여율 그림에서 ④안은 배전·배선(47 %)과 로터 공통 원인(23 %)이 남는다. 둘째, ⑤는 로터 공통 원인을 10배 낮췄지만 합은 21 %만 줄었다. 합을 정하는 항이 이미 배전·배선이기 때문이다. 이미 작은 항을 개선하는 데 비용을 투입하면 효과가 작다. 셋째, 위험 목표 $10^{-7}$에는 이 구성으로 도달하지 못한다. 배전·배선 $2\times10^{-6}$을 이중 버스로 나누고 공통 원인을 따로 평가해야 하며, 이는 구조 변경이다. 참고로 EASA 경량 UAS 고위험 입증 방법의 위험 목표는 SAIL V에서 $10^{-5}$, SAIL VI에서 $10^{-6}$ /FH이므로(8.4.4.2), 위험으로 분류되는 상위 사건이라면 ④·⑤안($4.3$·$3.4\times10^{-6}$)은 SAIL V의 목표는 만족하지만 SAIL VI는 만족하지 못한다.
이 계산은 몇 가지를 단순화했다. 가지가 서로 독립이라고 가정했고(같은 전원 버스를 공유하는 배터리·배전·컴퓨터는 실제로는 상관), 탐지·재구성 성공률 $c$를 단일 상수로 놓았으며(실제로는 고장 모드·비행 단계·고도마다 다르다), 소프트웨어 오류를 확률에서 제외했다. 이 단순화의 방향은 모두 계산값을 낙관적으로 만들 수 있다는 점을 기억해야 한다.
8.4.7 잠복 고장과 점검 간격
고장 수목의 가장 흔한 누락은 잠복 고장이다. 평소에는 아무 일도 하지 않다가 필요할 때만 작동해야 하는 장치(낙하산 작동 회로, 비상 차단기, 경보 장치, 대기 중인 예비 컴퓨터)는 고장 나 있어도 드러나지 않는다. 그 장치가 필요한 사건이 일어난 순간 처음으로 고장이 발견된다.
잠복 고장의 평균 비가용도는 고장률 $\lambda_m$과 점검 간격 $T$로 정한다. 고장이 점검 사이에 균등하게 일어난다면 점검 직전까지 평균 $T/2$ 동안 고장 난 채 남아 있으므로
$$Q\approx\frac{\lambda_m T}{2}\qquad(\lambda_m T\ll1)$$
이다. 안전망이 필요한 사건의 발생률을 $\lambda_p$라 하면, 안전망까지 실패하는 사건의 비행시간당 확률은 $\lambda_p\,Q$이다. 이 식에서 점검 간격을 10배 늘리면 비가용도도 10배 늘어난다. 이 사건은 "안전망이 필요한 사건"과 "안전망 상실"로 이루어진 2차 절단집합이므로, 점검 간격은 안전 요구로 확정해야 한다.
점검이 모든 고장을 찾지는 못한다. 비행 전 자기진단이 잠복 고장의 일부만 찾을 수 있다면(발견율 $d$) 찾지 못한 고장은 정비·교체 시점($T_L$)까지 남는다.
$$Q(T,d)=\lambda_m\left[\,d\,\frac{T}{2}+(1-d)\,\frac{T_L}{2}\,\right]$$
가정은 다음과 같다. 안전망 회로의 잠복 고장률 $\lambda_m=10^{-5}$ /FH, 놓친 고장이 남는 시간 $T_L=1{,}000$ FH, 안전망이 요구되는 사건률은 8.4.6의 기준 설계 $\lambda_p=5.3\times10^{-5}$ /FH이다. 안전망이 작동하면 위험이 제거된다고 단순화했고 작동 신뢰도와 고도 제약은 여기서 다루지 않는다(낙하산은 1.30).
계산 결과를 요약하면 다음과 같다.
| 점검 간격 | 발견율 90 % | 99 % | 99.9 % | 100 % |
|---|---|---|---|---|
| 0.5 FH(매 비행) | $2.7\times10^{-8}$ | $2.8\times10^{-9}$ | $4.0\times10^{-10}$ | $1.3\times10^{-10}$ |
| 10 FH | $2.9\times10^{-8}$ | $5.3\times10^{-9}$ | $2.9\times10^{-9}$ | $2.7\times10^{-9}$ |
| 100 FH | $5.0\times10^{-8}$ | $2.9\times10^{-8}$ | $2.7\times10^{-8}$ | $2.7\times10^{-8}$ |
| 1,000 FH | $2.7\times10^{-7}$ | $2.7\times10^{-7}$ | $2.7\times10^{-7}$ | $2.7\times10^{-7}$ |
두 가지가 중요하다. 첫째, 점검의 간격보다 점검의 발견율이 더 크게 작용한다. 매 비행 점검이라도 발견율이 90 %이면 100 %인 경우보다 200배 크다. 짧은 간격에서는 놓친 고장의 잔류 시간 $T_L$이 지배하기 때문이다. 둘째, 간격이 길면 발견율은 의미를 잃는다. 1,000 FH마다 점검하는 경우 모든 열이 같아진다. 점검 요구는 "N시간마다"만이 아니라 "무엇을 어디까지 시험하는가"를 함께 정해야 한다.
이 결과는 설계 요구로 이어진다. 비행 전 자기진단은 안전망의 전 경로(센서·논리·작동기)를 시험해야 하고, 시험 범위가 전체가 아니라면 나머지 부분에 별도의 점검 주기를 부여한다. 이 요구는 PSSA가 하위 품목에 내려 주는 점검 요구이다(8.4.3). 운용 문서에서는 비행 전 점검 절차와 정비 주기로 구현된다(8.21).
원문 두 곳이 같은 계산을 요구한다. AC 25.1309-1B 5.3.6.9는 단순한 "잠복 고장 + 한 번 더" 조건에서 잔여 위험이 $10^{-6}$ /FH 수준이고 잠복 확률이 $1/1000$이면 $10^{-9}$ /FH를 만족하고, 잔여 부품의 고장률이 $10^{-5}$ /FH이면 잠복 확률을 $10^{-4}$로 제한해야 한다고 예시한다. 위 식의 $\lambda_p\,Q$와 같은 구조다. EASA MOC Light-UAS.2510은 한쪽 또는 양쪽이 잠복인 이중 고장이 치명적 조건으로 이어지면 고장 간격(MTBF) 시험에 의한 탐지 크레딧을 인정하지 않고, 잠복 고장을 탐지하는 정비 업무를 필수 정비 업무로 정해야 한다고 정한다. 점검 간격을 평균 확률 계산에 넣을 때 점검이 실제로 잠복 고장을 찾는다는 증거(발견율)가 필요한 이유다.
8.4.8 보완 분석 — FMEA·마르코프 해석·공통 원인 분석
FMEA와 FMES. 부품별로 고장 모드를 열거하고 각 모드가 시스템에 주는 효과를 적는다. 요약(FMES)은 효과가 같은 모드의 고장률을 합쳐 FTA의 기본 사건 확률로 넘긴다. 예를 들어 ESC의 고장 모드(개방, 단락, 출력 고착, 간헐)를 효과별로 분류하면 "로터 정지"와 "추력 고착"의 비율이 나온다. 후자는 탐지가 어렵고 제어에 미치는 효과도 달라서 위의 탐지·재구성 성공률 $c$에 직접 영향을 준다. 고장 모드의 비율은 부품 제조사의 자료, 핸드북(MIL-HDBK-217F는 전자 부품, NPRD는 비전자 부품 (판 확인 필요)), 현장 자료에서 오는데, 상용 드론 부품은 공개 자료가 부족하다(8.4.14).
마르코프 해석. 고장과 수리, 재구성이 시간에 따라 상태를 옮길 때 사용한다. 예를 들어 로터 여섯 개 기체는 "6개 정상 → 5개 정상 → 4개 정상 → 제어 상실" 상태를 거치며, 상태 간 전이율은 고장률과 탐지·재구성 성공률에서 나온다. 고장 수목은 정적인 조합만 다루므로 열화 모드로 일정 시간 비행을 계속하는 경우나 수리 가능한 시스템에서는 마르코프 해석이 더 정확하다. 비용은 상태 수가 조합적으로 늘어난다는 점이다.
구역·특정 위험·공통 모드 분석. 아래는 이 책의 기체에서 흔히 지목되는 점검 대상이다.
| 분석 | 이 기체에서의 점검 대상 | 위반 시 FTA에 미치는 영향 |
|---|---|---|
| ZSA | 배터리와 배선 다발이 같은 구역에 있는가, 열폭주가 인접 배선을 손상시키는가 | 배터리와 배전의 독립 가정이 깨짐 |
| PRA | 로터 파손 파편이 다른 로터·배선·컴퓨터에 닿는가, 조류 충돌이 둘 이상의 로터에 영향을 주는가 | 로터 3개 이상 고장의 확률이 독립 가정보다 훨씬 커짐 |
| CMA | 모든 ESC가 같은 펌웨어인가, 비행제어 컴퓨터 둘이 같은 소프트웨어인가, 같은 날 같은 공정으로 제작된 부품인가 | 이중화한 컴퓨터의 $\beta$를 올림(8.4.6의 ④에서 2 %로 가정) |
공통 원인 분석의 결과는 두 가지 방법으로 FTA에 반영한다. 정성적 근거로 독립을 주장하거나(분리 배치, 이질적 설계, 별도 전원), 근거가 약하면 $\beta$ 인자 같은 보수적 대리값을 넣는다. 어느 쪽이든 심사에서는 독립성 주장의 근거를 요구한다(8.2.5의 독립성 입증).
8.4.9 소형 UAS·eVTOL에서의 평가 적용
기체 규모에 따라 평가의 깊이를 달리하는 방식이 현실적이다.
- ① 소형기용 간이 평가. ASTM F3309(소형 항공기용 간이 안전성 평가
(판 확인 필요))는 정성 중심으로 고장 조건 등급, 설치 평가, 정성적 고장 분석, 공통 모드 분석을 포함한다. 이 문서는 Level 1·2 보통 범주 비행기의 관행적 시스템을 대상으로 만들어졌고 무인기용이 아니다. 더 넓은 적용은 신청자가 입증해야 하므로 무인기에 준용할 때는 별도 합의가 필요하다. 간이 방식이 맞지 않으면 전체 절차인 ASTM F3230(소형 항공기 안전성 평가(번호·판 확인 필요))을 사용하도록 문서가 안내한다. - ② 전체 평가(ARP4761A 준용). 형식증명이 목표인 eVTOL과 대형 UAS는 FHA·PSSA·SSA와 FTA·FMEA·CCA를 모두 수행한다. 증거가 완전하고 당국이 인정하기 쉽다. 비용과 일정이 크다.
- ③ 운용 위험 평가 중심. 소형·저위험 UAS는 SORA 같은 절차의 완화 수단과 견고성 수준을 근거로 하고, 장비 수준 FTA는 핵심 구조에만 적용한다. 운용 승인 서류에 필요한 만큼만 수행한다(20.14).
세 방식에서 공통으로 요구되는 최소 산출물은 FHA, 단일 고장점 목록, 공통 원인 점검표이다. 이 셋은 분석 도구 없이도 만들 수 있고, 나중에 상위 방식으로 올릴 때 입력이 된다. 모델 기반 안전성 평가(MBSA)는 시스템 모델에서 고장 수목을 자동 생성하는 접근이다. 수작업 수목과 모델이 어긋나는 문제가 줄지만 모델을 검증하는 별도의 부담이 생긴다(도구 인정, 8.8).
8.4.10 설계 트레이드오프 — 어디까지 정량화할 것인가
정량 평가는 비용이 들고, 입력 자료(고장률)가 부정확하면 정밀한 숫자가 오해를 준다. 선택지는 다음과 같다.
- ① 정성 우선. FHA와 단일 고장 기준, 구조적 독립성 주장에 집중한다. 장점은 자료가 없어도 가능하고 설계 판단에 직접 사용된다는 점이다. 단점은 "충분히 낮은가"에 수치 답을 줄 수 없다는 점이다. 소형·저위험 UAS에 맞다.
- ② 구조 정량화. 고장 수목으로 구조 간 상대 비교와 지배 사건 발견에 사용하고, 절대값은 참고로만 다룬다. 단점은 절대값이 목표 비교에 오용되기 쉽다는 점이다. 개발 중인 eVTOL 프로토타입에 맞다.
- ③ 인증 수준 정량화. 고장률 자료의 출처와 불확실성을 문서화하고 목표와 비교한다. 비용이 가장 크다. 형식증명 신청과 탑승자 운송에 필요하다.
견해: 어느 방식이든 상위 사건 합계를 하나의 숫자로 내세우기 전에 지배 사건의 기여율 표를 먼저 내놓는다. 근거: 입력 고장률이 한 자리수 이상 틀릴 수 있어서 절대값은 불확실하지만, 어느 사건이 지배적인지는 훨씬 안정적으로 결정되고 설계 변경을 이끌기 때문이다. 이 판단은 정성 논거이며 개별 프로젝트에서의 민감도 분석으로 확인해야 한다.
8.4.11 세 축 비교
| 항목 | 군용 드론 | 민간 UAS | AAM(eVTOL) |
|---|---|---|---|
| 확률 목표의 출처 | 체계안전 기준·계약(8.5, 12.3) | 운용 위험 평가의 완화 요구(20.14) | 인증기준의 고장 조건 목표(SC-VTOL 등) |
| 지배적인 효과 | 임무 상실, 아군·지상 제3자 | 지상 제3자, 공중 충돌 | 탑승자 사망, 지상 제3자 |
| 단일 고장 기준 | 기준에 따라 다름 | 대체로 의무 아님 | 치명적에서 명시 요구 |
| 평가의 증거 | 체계안전 프로그램 계획과 위험 평가서 | 운용 위험 평가서 | 시스템 안전성 평가서(SSA)와 심사 |
| 잠복 고장·점검 | 군 정비 체계의 주기 | 제조사 지침과 운용자 절차 | 정비 계획에 인증 한계로 포함(8.21·20.23) |
| 공통 원인 | 임무 환경의 위협을 공통 원인에 포함하는 경우가 있음 (사례별) | 드물게 수행 | 필수에 가까움 |
8.4.12 관련 규격·프로토콜
| 문서 | 발행 | 무엇을 정하나 | 상세 장 |
|---|---|---|---|
| SAE ARP4761A(2023-12-20 발행, 유럽 대응 ED-135) | SAE | 항공기·시스템·장비의 안전성 평가 지침 | — |
| SAE ARP4754B | SAE | 개발 보증(안전 요구의 소비자) | 8.2 |
| 14 CFR 25.1309 · CS 25.1309 | FAA·EASA | 운송기 장비·시스템의 안전 요건 | — |
| FAA AC 25.1309-1B(2024-08-30) | FAA | 위 요건의 입증 방법(원문 확인) | — |
| FAA AC 23.1309-1E(2011-11-17) | FAA | 소형 비행기 장비·시스템(원문 확인, 이후 Part 23 개정 대응 문서 미확인) | — |
| EASA MOC Light-UAS High Risk.2510-01(2025-02-11) | EASA | 경량 UAS SAIL V·VI의 장비·시스템 안전 목표(원문 확인) | 8.6·20.14 |
| EASA SC-VTOL-01(Issue 1, 2019) · AMC·MOC | EASA | eVTOL 고장 조건 요건과 확률 표 | 20.5 |
| IEC 61508-6 부속서 D | IEC | β 인자 모형 | 8.2.6 |
| ASTM F3309 · F3230 | ASTM | 소형 항공기 안전성 평가(간이·전체) | (번호·판 확인 필요) |
| MIL-HDBK-217F · NPRD | 미국 국방 · 민간 | 부품 고장률 예측·자료 | (판 확인 필요) |
| MIL-STD-882E | 미국 국방 | 군 체계안전 | 8.5 |
유료 규격의 본문은 옮기지 않았다. 전체 지도는 A.6에 있다.
8.4.13 관련 규제·인증 요구와의 연결
- 인증기준 → 고장 조건 요건. 형식증명 인증기준(20.5)이 고장 조건 등급별 확률과 단일 고장 기준을 정하고, 평가서가 적합성을 보인다(20.6).
- 설계 변경과 계속감항. 운용 중 고장 자료는 가정한 고장률과 비교하여 평가를 갱신하는 근거가 된다(20.23).
- 정비 요구. 평가가 도출한 점검 요구는 정비 계획의 필수 항목이 되고, 고장률 자료는 신뢰성 관리에서 갱신된다(8.21).
- 운용 승인. 소형 UAS에서는 평가의 결론이 운용 위험 평가의 완화 수단 근거로 제출된다(20.14).
- 소프트웨어. 확률로 할당하지 않은 소프트웨어 오류는 개발 보증 수준으로 통제한다(8.8).
- 군용. 군 체계안전 프로그램의 위험 평가 절차와 연결된다(8.5).
8.4.14 함정과 한계
| 오해 | 실제 | 더 볼 곳 |
|---|---|---|
| 계산된 확률이 낮으면 안전하다 | 입력 고장률이 부정확하고, 독립 가정과 단순화가 낙관 쪽 오차를 만든다 | 8.4.6 |
| 시험으로 $10^{-9}$을 입증한다 | 무고장 시험 시간이 $3/\lambda$(95 %)이므로 시험으로는 불가능하다 | 이 절의 계산 |
| 다중화하면 안전 목표를 달성한다 | 공통 원인, 잠복 고장, 탐지 범위가 합을 정한다 | 8.4.6·8.4.7 |
| 점검 간격만 정하면 잠복 고장이 해결된다 | 점검의 발견율이 더 크게 작용한다 | 8.4.7 |
| 소프트웨어도 FTA에 확률을 넣는다 | 소프트웨어에는 확률을 할당하지 않고 개발 보증 수준을 사용한다 | 8.8 |
| 상용 부품의 고장률은 쉽게 얻는다 | 상용 드론 부품은 공개 현장 자료가 부족하고 핸드북 값은 조건 보정이 필요하다 | 8.4.8, 8.21 |
시험으로 입증할 수 없다는 계산. 고장률이 일정하다고 가정하고 고장 없이 누적 시간 $t$를 시험했을 때 고장률이 $\lambda$ 이하라고 신뢰수준 $C$로 말하려면 $t\ge -\ln(1-C)/\lambda$가 필요하다. $C=95\,\%$에서 $t\approx3/\lambda$이다.
| 입증하려는 $\lambda$ [/FH] | 필요한 무고장 누적 시간 [FH] | 기체 1,000대로 시험할 때 |
|---|---|---|
| $10^{-3}$ | $3.0\times10^{3}$ | 대당 3시간 |
| $10^{-5}$ | $3.0\times10^{5}$ | 대당 300시간(연 500시간 기준 0.6년) |
| $10^{-7}$ | $3.0\times10^{7}$ | 대당 3만 시간(약 60년) |
| $10^{-9}$ | $3.0\times10^{9}$ | 대당 300만 시간(약 6,000년) |
그러므로 $10^{-7}$ 이하의 목표는 시험이 아니라 구조(다중화·독립성)와 부품 수준 자료로 계산하여 보이고, 시험은 가정(고장 탐지율, 공통 원인 비율)을 확인하는 데 사용한다. 이 한계는 학습 기반 기능에도 그대로 적용되어 구조로 나누는 접근이 논의된다(7.4, 7.8).
미해결 문제. 분산 추진의 공통 원인 비율 $\beta$를 공개 자료로 추정하는 방법, 운용 중 자료(비행 로그)를 가정 고장률의 갱신에 사용하는 인증 지침, 학습 기반 기능의 안전성 평가 입력은 아직 합의되지 않았다 (확인 필요). 소형 UAS의 현장 고장률 자료는 공개된 것이 적다.
8.4.15 체크포인트·연구 질문
체크포인트:
- 귀납적 분석과 연역적 분석의 차이를 말하고, FHA·FTA·FMEA를 각각 어느 쪽에 놓을지 답하라.
- 어떤 고장 조건이 "치명적"인 이유가 단일 고장 하나로 충분하다면 그 확률 계산이 왜 신뢰하기 어려운지 설명하라.
- 8.4.6의 기준 설계에서 기여율 1위와 2위 사건은 무엇이고, 한 단계 개선 뒤 순위가 바뀐 이유를 설명하라.
- 발견율이 90 %일 때 점검 간격을 10 FH에서 0.5 FH로 줄이는 것과, 간격이 10 FH일 때 발견율을 90 %에서 99 %로 올리는 것 중 8.4.7의 조건에서 어느 쪽이 안전망 실패 확률을 더 낮추는가. 표의 값으로 답하라.
- 고장률 $10^{-6}$ /FH 이하를 95 % 신뢰로 보이려면 기체 100대가 각각 몇 시간을 무고장으로 비행해야 하는가.
- SC-VTOL의 Enhanced와 Basic(2~6명)에서 "치명적"의 정의와 목표는 어떻게 다른가.
연구 질문(25.7에 모은다):
- 상용 드론 부품의 현장 고장률과 고장 모드 비율을 공개 비행 자료로 추정하고 불확실성을 정량화할 수 있는가.
- 분산 전기 추진에서 로터 고장 탐지·재구성 성공률 $c$를 시험으로 어떻게 입증하고, 비행 단계별 값은 어떻게 다른가.
- 모델 기반 안전성 평가의 자동 생성 수목을 어떤 검증으로 인증 증거로 인정할 수 있는가.
- 소형 UAS에서 운용 위험 평가의 완화 수단 견고성과 장비 수준 확률 목표를 어떻게 일관되게 연결할 것인가.
1차 출처(이 장):
- SAE ARP4761A, Guidelines for Conducting the Safety Assessment Process on Civil Aircraft, Systems, and Equipment, 2023-12-20 발행
(SAE 목록에서 확인, 본문 미확인). - EASA, Special Condition for small-category VTOL aircraft (SC-VTOL-01), Issue 1, 2019-07-02 — VTOL.2510 및 AMC VTOL.2510의 확률표를 원문에서 확인.
- 14 CFR §25.1309 · EASA CS-25 (CS 25.1309). FAA, AC 25.1309-1B System Design and Analysis, 2024-08-30 — 원문을 읽고 확률 범위·부록 A(10⁻⁹의 유래)·7.6(시간당 평균 확률)·5.3.6.9(잠복 고장)를 확인.
- FAA, AC 23.1309-1E System Safety Analysis and Assessment for Part 23 Airplanes, 2011-11-17 — 원문을 읽고 Class I~IV 표를 확인.
- EASA, Means of Compliance with Light-UAS.2510, MOC Light-UAS High Risk.2510-01, Issue 01, 2025-02-11(최종) — 원문을 읽고 8.1절 안전 목표 표와 9절 분류를 확인.
- IEC 61508-6 부속서 D(β 인자 모형)
(판 확인 필요). - ASTM F3309/F3309M · F3230
(판 확인 필요).
다음 장: 8.5는 군 체계안전(MIL-STD-882E·DEF STAN 00-56)으로 군사 중심 장이므로 건너뛴다(BK-08). 이어서 위험 정량화를 다루는 8.6 — 목표안전수준·지상 충돌·공중 충돌 모델로 간다. 이 장이 "고장 조건의 확률 목표"를 다루었다면, 8.6은 그 목표를 지상 제3자 사망 위험으로 환산하는 모형을 본다.