제8부 안전·보안·시스템공학
8.6 위험 정량화: 목표안전수준·지상 충돌·공중 충돌 모델
8.6.1 이 장에서 배우는 것 / 선수 지식 / 특히 중요한 독자
8.4는 고장 조건의 확률 목표를 설계 쪽에서 다루었다. 이 장은 같은 질문을 사람 쪽에서 다룬다. "제어를 잃은 드론이 어디에 떨어지고, 거기에 누가 있으며, 몇 명이 사망하는가." 그 답이 확률 목표의 값을 정한다. 지상 충돌과 공중 충돌 두 모델을 계산 가능한 식으로 세우고, 앞 장의 고장 확률과 이어 붙인다. 모형의 골격은 JARUS SORA 2.5와 EASA의 임계 면적 지침에서 가져왔고, 값은 이 책의 기준 기체에 맞춘 가정이다.
배우는 것:
- 목표안전수준(TLS) — 위험의 수용 기준이 무엇이고, 지상 제3자·공중 충돌 목표값은 어디서 오며, 함대 규모로 환산하면 무엇을 뜻하는가.
- 지상 충돌 모델 — 기대 사망 $E_f=\lambda\,\rho\,A_c\,P_f$. 임계 면적 $A_c$를 SORA·EASA 모형으로 계산하고, 사망 확률의 불확실성을 다룬다.
- 허용 제어 상실률의 역산 — 사람 밀도에서 거꾸로 8.4의 확률 목표를 얻는다. 낙하산·경로가 그 값을 얼마나 바꾸는가.
- 경로 위험 — 비행 구간별 위험을 합산해 어느 구간이 위험을 정하는지 찾고 우회의 이득을 계산한다.
- 공중 충돌 모델 — 유인기와의 조우율, 합성 단면적, 필요한 위험 감소비.
- 불확실성 — 입력의 오차가 결론을 얼마나 변동시키는지 몬테카를로로 본다.
선수 지식: 8.4(고장 수목, 제어 상실률)와 1.30(충돌 에너지·낙하산)을 읽었다고 가정한다. 비상 착륙지 선택의 위험 순위는 2.6.7이, 경로 계획의 위험 비용은 7.2이 다룬다. 운용 위험 평가의 제도 절차(SORA)는 17.17가 맡는다. 이 장은 정량 모형만 세운다.
특히 중요한 독자: 엔지니어는 8.6.4~8.6.7의 계산을 따라 해 본다. 정책·법무 담당자는 8.6.3과 8.6.9(한계)를, 사업 담당자는 8.6.10(어느 쪽을 줄일 것인가)을, 인증 담당자는 8.6.12~8.6.13을 중점적으로 읽는다.
기준 시점과 정직성. 2026년 10월 기준이고 지식은 2026년 중반까지다. 원문을 읽은 것: JARUS SORA 2.5 본문(JAR-DEL-SRM-SORA-MB-2.5, 2024-05-13 판 Public Release), EASA의 임계 면적 계산 지침 제안문(Issue 1, 의견 마감 2023-11-20 표기), EASA MOC Light-UAS High Risk.2510-01(2025-02-11). 읽지 못한 것: SORA의 부속서 F(지상 위험의 이론적 근거)와 AMC RPAS.1309 Issue 2의 원문. 부속서 F의 인자값(사람 반경 0.3 m 등)은 그 식을 구현한 오픈소스(CasEx)의 코드에서 확인했다(2차 출처). 이 장의 입력(사망 확률, 항력 면적, 밀도, 속도, 오차 계수)은 원리를 보이기 위한 가정이며 사고 통계가 아니다. 계산 결과는 크기의 감각을 주는 것이며 어떤 운용의 안전을 입증하지 않는다.
8.6.2 개념 — 위험은 빈도와 결과의 곱이고, 수용 기준은 사회가 정한다
위험은 사건의 빈도와 결과의 크기를 곱한 기대값이다. 드론의 지상 위험이라면 "1 비행시간당 몇 명이 사망하는가"이다. 이 값이 무엇보다 먼저 정의되어야 하는 이유는, 같은 고장 확률도 어디를 나느냐에 따라 위험이 수천 배 달라지기 때문이다. 8.4의 $5.3\times10^{-5}$ /FH는 사람이 없는 하천 위에서는 위험이 0이고 상업지구 위에서는 한 비행의 위험 대부분을 차지한다(8.6.6).
위험은 두 가지 눈으로 본다.
| 관점 | 묻는 것 | 단위 | 용도 |
|---|---|---|---|
| 개인 위험 | 특정한 한 사람이 1년에 사망할 확률 | 1/년 | 가장 가까이 사는 사람, 현장 작업자의 보호 |
| 사회 위험(집단 위험) | 사회 전체에서 몇 명이, 한 번에 몇 명씩 사망하는가 | 명/FH, F–N 곡선 | 사업 규모에 따른 총량, 군중 사고 |
두 관점은 서로 대신할 수 없다. 개인 위험이 낮아도 함대가 커지면 사회 위험의 총량은 커지고(8.6.3.1), 사고 한 건에 다수가 사망할 가능성(군중 위 비행)은 총량이 작아도 따로 평가한다(14.18).
수용 기준은 기술이 정하지 않는다. 사회가 위험을 허용하는 수준은 "합리적으로 달성 가능한 한 낮게(ALARA·ALARP)" 줄이고, 그 위에서 편익과 비교하는 방식으로 정해 왔다. 항공에서 그 기준은 유인 항공 동등성이다. SORA 2.5 본문(원문)은 목표안전수준을 "기존 유인 항공의 안전 수준에 상응하게" 정했다고 밝히고, 무인 운용이 제3자에게 유인 항공보다 큰 위험을 주지 않게 하려는 값이라고 설명한다. 이 원칙에서 목표값이 나온다.
SORA는 운용을 통제 상태와 제어 상실 상태의 두 상태로 본다. 필요한 보증 수준(SAIL)은 허용되는 제어 상실률에 반비례한다. 이 장의 모형은 그 관계를 식으로 옮긴 것이다. 위험 한도를 사람 밀도·임계 면적·사망 확률로 나누면 허용 제어 상실률이 나온다.
세 축에서 위험의 주된 수신자가 다르다. 군용 드론은 시험장·작전 구역 밖의 제3자와 아군 요원이 대상이고, 시험장 안에서는 시험장 안전 기준(RCC 계열 (확인 필요), 2.6.8)이 구역 밖으로 나가는 위험을 제한한다. 민간 UAS는 지상 제3자와 저고도 유인기(14.20)가 대상이고, AAM(eVTOL) 은 탑승자와 지상 제3자가 함께 대상이며 목표는 인증기준에 고장 조건 확률로 들어 있다(8.4.4.2).
8.6.3 목표안전수준(TLS)
8.6.3.1 값과 출처
TLS는 사고 결과(사망)의 빈도 한계다. 8.4의 고장 조건 확률 목표와 층이 다르다. 고장 조건 확률은 시스템 기능 상실의 빈도 한계이고, TLS는 그 상실이 사람의 죽음까지 이어지는 빈도 한계다. 둘 사이를 잇는 것이 이 장의 모형이다.
| 구분 | 값 | 출처 | 확인 상태 |
|---|---|---|---|
| 지상 제3자 사망 | $10^{-6}$ 명/FH | SORA 2.5 본문의 목표(TLOS). AMC RPAS.1309 Issue 2의 범위 문서와 부속서 F 1.2.1을 근거로 든다고 적혀 있음 | SORA 본문 원문 확인. 근거 문서는 미확인 |
| 공중 충돌, 자체 분리·시각 회피 중심(주로 비관제 공역) | $10^{-7}$ /FH | SORA 2.5 본문 | 원문 확인 |
| 공중 충돌, 항공교통업무가 분리(주로 관제 공역) | $10^{-9}$ /FH | SORA 2.5 본문 | 원문 확인 |
| 대형 운송기의 치명적 고장 조건 | $10^{-9}$ /FH | 14 CFR 25.1309, AC 25.1309-1B | 8.4.4.2 |
SORA 본문은 위 값들이 유인 항공이 사회적으로 받아들여지는 수준이라고 설명한다. 한 2차 문서(AltMoC)는 공중 충돌 목표를 사망자로 옮기면 경량 항공기 탑승 5명 가정에서 $10^{-7}\times5$, 운송기 탑승 500명 가정에서 $10^{-9}\times500$으로 둘 다 약 $5\times10^{-7}$ 명/FH가 되어 지상 목표와 같은 자릿수라고 계산한다(모든 충돌이 전원 사망이라는 보수적 가정, 이 환산은 원문 확인 필요).
TLS를 함대 규모로 옮기면 의미가 달라진다. 기체 1,000대가 각각 연 500 비행시간을 비행하면 연 $5\times10^{5}$ FH이고, TLS $10^{-6}$ 명/FH를 정확히 만족하는 운용의 기대 사망은 연 0.50명이다. $10^{-7}$ 명/FH이면 연 0.05명이다. 기체 하나 하나가 TLS를 만족하더라도 사업이 성장하면 총량은 늘어난다. 이것이 개인 위험과 사회 위험을 따로 보는 이유다. 규제가 이 총량 증가를 어떻게 다루는지는 확인하지 못했다 (확인 필요).
8.6.3.2 위험 예산 — TLS를 설계 요구로 바꾼다
TLS는 한 가지 사고 유형이 아니라 모든 원인의 합에 대한 한도다. 설계자는 이것을 항목별로 나누어 예산을 배정한다.
$$\sum_k E_k\le\text{TLS}\quad(\text{지상 충돌, 공중 충돌, 배터리 화재, 낙하산 오작동, 정비 중 사고, 그 밖}\ldots)$$
지상 충돌의 몫 $E_{\text{지상}}$을 정했다면 제어 상실률의 상한은 모형에서 역산된다.
$$\lambda_{\text{LOC}}\le\frac{E_{\text{지상}}}{\rho\,A_c\,P_f}$$
이 식이 8.4의 확률 목표를 정당화한다. "제어된 비행 상실은 $10^{-5}$ /FH 이하"라는 숫자는 자연 상수가 아니라, 어떤 밀도·임계 면적·사망 확률의 가정에서 TLS를 나눈 값이다. 가정이 바뀌면 목표도 바뀐다.
8.6.4 지상 충돌 모델
8.6.4.1 기대 사망의 식
한 비행시간당 지상 제3자의 기대 사망 $E_f$는 사건이 일어날 빈도와, 일어났을 때의 기대 피해의 곱이다.
$$E_f=\lambda_{\text{LOC}}\;\rho\;A_c\;P_f$$
| 기호 | 뜻 | 단위 | 어디서 오나 |
|---|---|---|---|
| $\lambda_{\text{LOC}}$ | 제어된 비행 상실률 | /FH | 8.4 고장 수목의 상위 사건 |
| $\rho$ | 접지점 주위의 사람 밀도 | 명/m²(1 명/km² = $10^{-6}$ 명/m²) | 인구 격자 자료, 시간대별 보정(8.6.9) |
| $A_c$ | 임계 면적(그 안에 선 사람이 기체에 맞을 것으로 예상되는 접지점 주위의 지면 넓이) | m² | 8.6.4.2 |
| $P_f$ | 맞았을 때 사망할 확률(차폐 포함) | — | 충돌 에너지(1.30), 차폐, 가정 |
식은 단순하지만 곱의 네 인자가 모두 불확실하다. 어느 한 인자가 10배 틀리면 결과도 10배 틀린다. 그래서 이 장은 결과를 단일 값으로 내지 않고 인자별 민감도와 분포로 읽는다.
8.6.4.2 임계 면적 — SORA·EASA 모형
SORA의 지상 위험 등급(iGRC) 표는 UA의 최대 특성 치수(멀티콥터는 로터 끝 사이의 최대 거리)와 최대 속도, 그리고 사람 밀도로 정해진다(SORA 2.5 본문 원문). 표의 열마다 임계 면적이 연결되며, EASA 지침 제안문의 표 1은 SORA 2.5 부속서 F에서 가져온 값이라며 다음을 싣는다.
| 최대 특성 치수 | 1 m 이하 | 3 m 이하 | 8 m 이하 | 20 m 이하 | 40 m 이하 |
|---|---|---|---|---|---|
| SORA의 최대 속도 열 [m/s] | 25 | 35 | 75 | 120 | 200 |
| 임계 면적 [m²] | 8 | 80 | 800 | 8,000 | 80,000 |
임계 면적의 정의는 "그 자리에 사람이 있다면 제어 상실 중 또는 뒤에 UA에 맞을 것으로 예상되어 사망이 예상되는 지면의 넓이의 합"이다. 접지점 주위의 넓이라는 점이 중요하다. 모형은 기체가 낙하하는 모습에 따라 둘로 나뉜다.
- JARUS 모형(활공·미끄러짐). 고정익처럼 활공해 낮은 각도로 들어오는 기체의 모형이다. 접지 직전 사람 높이(1.8 m)를 낮은 각도 $\theta$로 지나므로 길이 $d_{\text{glide}}=h_{\text{사람}}/\tan\theta$의 띠를 지나가고, 접지 뒤 미끄러지는 동안(마찰 계수 0.65, 에너지가 290 J 아래로 내려가면 치명적이지 않다고 봄) 미끄러짐 띠가 더해진다. $A_c=2r_D(d_{\text{glide}}+d_{\text{slide}})+\pi r_D^2$, $r_D=r_{\text{사람}}+w/2$이다. 1 m 이하 기체는 $\theta=35°$, 더 큰 기체는 $10°$를 사용하고, 1 m 이하는 미끄러짐 항을 뺀다.
- 고충돌각 모형. 활공하지 못하는 회전익·멀티콥터(하이브리드 VTOL은 제외)가 60도보다 가파르게 떨어질 때의 모형이다. 접지점 주위의 원에 안전계수 $F_s$를 곱한다. $A_c=F_s\,\pi\,r_D^2$. $F_s$는 종단속도의 운동에너지로 정한다. 식 $1.4\,E_k[\text{kJ}]^{0.2}$를 하한 2, 상한 7으로 제한한다. 바운드·블레이드 비산·튀는 효과를 합친 계수다. 접지각은 높이·수평 속도에서 항력을 넣은 시간 적분으로 구한다(항력 계수 0.8).
기준 기체(2 kg, 최대 치수 0.7 m)를 넣어 본다. 사람 반경은 0.3 m이므로 $r_D=0.3+0.35=0.65$ m다(사람 반경은 부속서 F의 값을 구현한 CasEx의 코드에서 확인). 종단속도 20.0 m/s의 에너지는 400 J(0.40 kJ)이라 식은 1.17이고 하한 $F_s=2$가 적용된다. 따라서
$$A_c=2\times\pi\times0.65^2=2.65\ \text{m}^2.$$
높이 60 m·수평 10 m/s에서 제어를 잃은 기체는 접지각이 84.5도라 고충돌각 모형의 조건(60도 초과)을 만족한다. $A_c$는 SORA 표(1 m 이하 열)의 8 m²보다 3.0배 작다. 표 값은 가장 불리한 형상(활공 기체)을 모든 기체에 적용한 보수적 값이고, 지침 제안문은 이 보수성이 과도한 경우에 열을 바꾸는 근거로 이 모형을 제시한다. 제안문의 안전계수 표는 구간 경계의 표기(하한 0.2 kJ 이하, 식 구간 0.2~4,000 kJ)가 식 값과 어긋나 보여 이 장은 하한·상한만 적용했다. 이 지침은 제안 단계의 문서이며 최종 채택 여부는 확인하지 못했다 (확인 필요).
낙하 중에 이동한 거리는 임계 면적을 키우지 않는다. 이동 거리는 접지점의 위치를 옮긴다. 어느 밀도 구역을 적용할지(지상 위험 완충)가 달라질 뿐이다. SORA 본문은 초기 완충을 "1대 1 원칙"(완충 폭이 비행 고도와 같다)으로 두고 낙하산 같은 지상 위험 완화를 사용하면 완충이 달라질 수 있다고 한다. 기준 기체의 낙하 중 이동(항력을 넣은 수치 적분)은 다음과 같다.
| 제어 상실 높이 [m] | 낙하 중 수평 이동 [m] | 접지 에너지 [J] | 접지각 [도] | 낙하산 표류(바람 5 m/s·강하 4 m/s) [m] |
|---|---|---|---|---|
| 30 | 19.6 | 313 | 77.2 | 38 |
| 60 | 24.1 | 378 | 84.5 | 75 |
| 120 | 27.0 | 399 | 88.8 | 150 |
두 가지를 읽는다. 낙하 중 이동은 높이를 4배로 올려도 항력 때문에 38 %만 늘어난다. 낙하산은 에너지를 줄이지만 낙하 지점을 바람 방향으로 옮긴다. 높이 60 m에서 표류 75 m는 1대 1 완충(60 m)보다 크므로 낙하산을 사용하면 완충을 넓히거나 풍속에 따른 운용 한계를 정해야 한다(1.30.5.4).
8.6.4.3 사망 확률 $P_f$
$P_f$는 충돌 에너지, 접촉 부위, 사람이 있는 곳의 차폐(건물·차량·수목)로 정해진다. 기준 기체의 접지 에너지 378 J은 1.30이 정리한 규정 임계값(11·25 ft·lbf=14.9·33.9 J, 머리 전달 80 J)을 모두 크게 넘는다. SORA의 가정은 보수적이다. EASA MOC Light-UAS High Risk.2510-01 원문은 운용 구역 안에서 UA를 잃는 고장 조건이 완화 수단이 없으면 한 명 이상의 사망으로 이어질 것으로 예상한다고 밝힌다(8.4.4.1). 이 장은 규제 기본 가정($A_c=8$ m², $P_f=1$)과 이 장 기본 가정($A_c=2.65$ m², $P_f=0.3$, 야외의 직접 충돌 가운데 사망에 이르는 비율과 차폐를 합친 값)을 나란히 보인다. 낙하산이 정상 전개되어 접지 에너지가 약 16 J(강하 4 m/s)이면 $P_f=0.01$(가정)로 둔다.
이 값들은 문헌 모형이 아니다. 충돌 에너지에서 사망 확률로 가는 모형들이 있으나 원문을 확인하지 못했다 (확인 필요). 중요한 것은 값이 아니라 결론이 $P_f$에 얼마나 의존하는가이다(8.6.5.2).
8.6.4.4 개인 위험 — 경로 바로 아래에 있는 사람
사회 위험 $E_f$와 달리 특정한 한 사람의 위험은 그 사람이 경로 아래에 얼마나 머무는지로 정해진다. 경로 바로 아래의 한 사람이 비행 한 번에 사망할 확률은 두 인자의 곱이다. 제어 상실이 접지점을 사람 위에 놓는 시간 창(지름 $2r$를 속도 $v$로 지나는 시간)과, 경로가 폭 $w$에 퍼져 있을 때 옆으로 맞을 비율($2r/w$)이다. 여기서 $r=\sqrt{A_c/\pi}=0.92$ m는 임계 면적의 유효 반경이다.
$$p_{\text{통과}}=\frac{\lambda_{\text{LOC}}}{3600}\cdot\frac{2r}{v}\cdot\frac{2r}{w}\cdot P_f$$
속도 10 m/s, 경로 폭 20 m(가정), $P_f=0.3$에서 기준 설계의 통과 1회 확률은 $7.5\times10^{-11}$이다. 하루 세 번(연 1,095회) 지나가는 경로 아래의 사람은 연 $8.2\times10^{-8}$, ⑤안이면 연 $5.2\times10^{-9}$이다. 경로가 정확히 머리 위로만 지난다면(폭 $=2r$) 기준 설계에서 연 $8.9\times10^{-7}$으로 11배 커진다. 개인 위험은 경로의 퍼짐(폭)에 반비례하므로 항로를 분산하거나 구간 상한을 두면 한 집 위의 위험이 줄어든다. 반대로 같은 지점을 반복해서 지나가는 정형 경로(배송 회랑)는 개인 위험이 가장 크다. 이 값에 대한 허용 기준은 제도마다 달라 이 장은 숫자를 비교하지 않는다 (확인 필요).
8.6.5 워크스루 — 기준 설계가 허용하는 사람 밀도
기준 기체와 8.4.6의 기준 설계($\lambda_{\text{LOC}}=5.3\times10^{-5}$ /FH)에서 출발한다. TLS $10^{-6}$ 명/FH를 만족하는 최대 사람 밀도는 $E_f=\text{TLS}$를 $\rho$로 푼 값이다.
$$\rho^{*}=\frac{\text{TLS}}{\lambda_{\text{LOC}}\,H},\qquad H=A_c\,P_f\quad[\text{m}^2]$$
밀도는 명/m²로 구한 뒤 명/km²로 환산해 표에 적는다. $H$는 한 번의 제어 상실이 낳는 기대 사망 면적이다. 낙하산이 정상 전개될 확률을 $p_s$라 하면 $H=A_c\,[\,p_s P_{f,\text{낙하산}}+(1-p_s)P_f\,]$이다.
8.6.5.1 가정에 따른 허용 밀도
| 경우 | $H$ [m²] | 기준 설계(5.3×10⁻⁵)가 허용하는 밀도 [명/km²] | ⑤안(3.4×10⁻⁶)이 허용하는 밀도 [명/km²] |
|---|---|---|---|
| 규제 기본 가정($A_c=8$, $P_f=1$) | 8.0 | 2,360 | 36,800 |
| 이 장 기본 가정($A_c=2.65$, $P_f=0.3$) | 0.80 | 23,700 | 369,000 |
| 이 장 기본 + 낙하산 정상 전개 0.9 | 0.10 | 182,000 | 2,840,000 |
읽는 법은 이렇다(아래 그림). 규제 기본 가정에서 기준 설계는 밀도 약 2,400명/km² 이하에서만 TLS를 만족한다. 이 밀도는 SORA iGRC 표(1 m·25 m/s 열: 통제된 지상 영역 1, 5명/km² 미만 2, 50 미만 3, 500 미만 4, 5,000 미만 5, 50,000 미만 6, 50,000 이상 7)에서 5,000명/km² 미만 구간 안에 있다. 이 장 기본 가정은 $H$가 10분의 1이라 허용 밀도가 10배 크다. 낙하산(정상 전개 0.9)을 더하면 허용 밀도가 다시 7.7배 늘어 대도시 최고 밀도(SORA의 최고 구간은 50,000명/km² 이상)를 넘는다. ⑤안 수준으로 제어 상실률을 낮추면 15.6배 늘어난다. 어느 가정을 택하느냐가 허용 밀도를 한 자릿수 바꾸므로, 규제 승인에서는 표 값을 따르고 설계에서는 이 장 기본 가정과 같은 근거 있는 모형으로 마진을 본다.
8.6.5.2 낙하산 신뢰도와 사망 확률의 영향
낙하산이 정상 전개될 확률 $p_s$가 $H$를 얼마나 정하는지 본다(이 장 기본 가정).
| $p_s$ | $H$ [m²] | 낙하산이 없을 때(0.80) 대비 | 정상 전개 항 | 실패 항 |
|---|---|---|---|---|
| 0.5 | 0.41 | 1.9배 | 0.013 | 0.398 |
| 0.9 | 0.10 | 7.7배 | 0.024 | 0.080 |
| 0.99 | 0.034 | 23.3배 | 0.026 | 0.008 |
| 0.999 | 0.027 | 29.2배 | 0.027 | 0.001 |
신뢰도 0.9에서는 실패 항이 $H$의 4분의 3을 차지한다. 0.99에서는 4분의 1로 줄고, 0.999에서도 개선은 약 30배($=0.3/0.01$)에서 멈춘다. 정상 전개 때의 사망 확률 0.01이 남기 때문이다. 낙하산이 있다는 것과 작동한다는 것은 다르다는 1.30.7의 교훈(낙하산 줄의 끊김)이 숫자로 나타난 것이다. 낙하산의 신뢰도를 시험으로 입증하기는 어렵다(8.4.14의 무고장 시험 시간 계산).
사망 확률 $P_f$도 같은 구조로 효과를 낸다. 이 장 기본 가정에서 $A_c$를 고정하고 기준 설계의 허용 밀도를 보면 $P_f=0.03$에서 237,000, 0.1에서 71,000, 0.3에서 23,700, 1.0에서 7,100명/km²이다. $P_f$가 한 자릿수만 틀려도 허용 밀도의 결론이 한 자릿수 바뀐다. 위 그림에서 선의 위치가 $H$에 반비례해 평행 이동하는 것과 같다.
8.6.6 경로 위험 — 구간별로 합산한다
비행 경로를 구간 $i$로 나누어 위험을 합산하면 어느 구간이 위험을 정하는지가 드러난다.
$$E_{\text{경로}}=\sum_i\lambda_{\text{LOC}}\,\rho_i\,H\,\frac{t_i}{60}$$
30분 비행을 다섯 구간으로 놓고 계산한다(밀도와 시간은 가정). 기체는 기준 설계이고 이 장 기본 가정($H=0.80$ m²)이다.
| 구간 | 사람 밀도 [명/km²] | 시간 [분] | 기대 사망 [10⁻⁹명] | 비율 [%] |
|---|---|---|---|---|
| 농경지 | 10 | 10 | 0.07 | 0.2 |
| 공원 | 500 | 5 | 1.8 | 5.6 |
| 주거·도로 | 2,000 | 6 | 8.4 | 26.9 |
| 상업지구 | 10,000 | 3 | 21.1 | 67.3 |
| 하천 | 0 | 6 | 0 | 0 |
| 합 | 30 | 31.4 | 100 |
합은 한 비행당 $3.1\times10^{-8}$ 명이고 비행시간당으로는 $6.3\times10^{-8}$ 명/FH다. TLS $10^{-6}$ 명/FH의 16분의 1이다. 규제 기본 가정($H=8$ m²)이면 모든 값이 약 10배가 되어 한 비행당 $3.1\times10^{-7}$ 명, 비행시간당 $6.3\times10^{-7}$ 명/FH로 TLS의 63 %다. 비행 시간의 10 %인 상업지구가 위험의 67 %를 차지한다. 이 구간을 농경지 위 5분 우회로 바꾸면(총 +2분, 비행 시간 +6.7 %) 합이 $1.0\times10^{-8}$ 명으로 3분의 1이 된다(아래 그림). 위험 비용을 거리 비용과 함께 최소화하는 경로 계획(7.2)이 처음 몇 %의 우회로 큰 위험을 줄이는 이유가 이 구조이다.
이 계산은 경로 평균 위험을 보인다. 실제 승인은 구간별 상한을 요구하기도 하고, 한 번의 사고가 군중을 향할 가능성은 평균에 가려지므로 사회 위험(F–N)을 따로 평가한다(14.18). 접지점이 낙하 중 이동만큼 앞에 놓이므로 구간 경계 근처에서는 이동 거리(24 m)만큼 앞선 구간의 밀도를 적용해야 한다.
8.6.7 불확실성 — 입력 오차가 결론을 얼마나 변동시키는가
입력이 불확실하면 단일 값의 결론은 신뢰하기 어렵다. 네 인자가 각각 로그정규 분포를 따른다고 가정하고(오차 계수 EF=95 % 값÷중앙값: $\lambda_{\text{LOC}}$ 3, $P_f$ 3, $A_c$ 2, $\rho$ 2) 표준 라이브러리 난수로 20만 번 뽑아 $E_f$ 분포를 얻는다. 이 장 기본 가정, 밀도는 도심 밀집 지역 20,000명/km²이다.
| 설계 | 명목값 | 중앙값 | 평균 | 5 % | 95 % | TLS 초과 비율 |
|---|---|---|---|---|---|---|
| 기준 설계(5.3×10⁻⁵) | $8.4\times10^{-7}$ | $8.4\times10^{-7}$ | $1.5\times10^{-6}$ | $1.3\times10^{-7}$ | $5.1\times10^{-6}$ | 43.8 % |
| ⑤안(3.4×10⁻⁶) | $5.4\times10^{-8}$ | $5.4\times10^{-8}$ | $9.8\times10^{-8}$ | $8.6\times10^{-9}$ | $3.3\times10^{-7}$ | 0.3 % |
세 가지를 읽는다. 첫째, 기준 설계의 명목값 $8.4\times10^{-7}$은 TLS의 84 %로 한계 아래이지만 초과 확률이 44 %다. 명목값이 한계에 가까우면 "만족하느냐"가 아니라 "초과할 확률이 얼마냐"로 읽어야 한다. 둘째, 평균은 중앙값의 1.8배다. 로그정규 분포의 평균은 큰 쪽 꼬리 때문에 중앙값보다 커지므로, 한계를 중앙값으로 검사하면 기대 사망의 총량을 과소평가한다. 셋째, ⑤안처럼 명목값이 한계의 18분의 1이면 초과 확률은 0.3 %로 내려간다. 여유(마진)는 불확실성을 흡수하는 크기로 정한다.
이 분포 가정(로그정규, 인자 간 독립)도 임의이다. 인자 사이의 상관(예: 밀도가 높은 시간대에 $P_f$도 높다)을 넣으면 꼬리는 더 두꺼워질 수 있다.
8.6.8 공중 충돌 모델
8.6.8.1 조우율 모형
공중 충돌은 우연한 조우의 빈도에서 출발한다. 기체 운동론과 같은 논리다. 유인기가 면적 밀도 $n$(대/km²)로 두께 $h$의 층에 흩어져 있고 무인기가 상대 속도 $v$로 그 층을 비행하면, 유인기의 합성 단면적 $\sigma$ 안으로 들어가는 빈도는 다음과 같다.
$$\lambda_{\text{MAC}}=\frac{n}{h}\,v_{\text{rel}}\,\sigma\times3600\quad[\text{/FH}],\qquad\sigma=(w_m+D_{UA})(h_m+h_{UA})$$
$\sigma$는 유인기와 무인기의 정면 투영을 합친 넓이다(폭 $w$, 높이 $h$). 방향 평균을 무시한 단순화다. 층 두께는 무인기 비행 구역의 120 m, 무인기 높이는 0.2 m로 둔다. 목표는 SORA 2.5의 공중 위험 목표에서 가져온다. 자체 분리·시각 회피가 중심인 공역(주로 비관제)은 $10^{-7}$, 항공교통업무가 분리하는 공역(주로 관제)은 $10^{-9}$이므로, 아래 표에서는 비관제 공역의 경량 항공기·헬리콥터에 $10^{-7}$을, 관제 공역의 운송기에 $10^{-9}$을 대응시켰다.
| 유인기 | 합성 단면 $\sigma$ [m²] | 상대 속도 [m/s] | 목표 [/FH] | $n=10^{-5}$/km²일 때 $\lambda_{\text{MAC}}$ | 필요 감소비 | 완화 없이 만족하는 최대 밀도 [대/km²] |
|---|---|---|---|---|---|---|
| 경량 항공기(폭 11 m·높이 2.5 m) | 31.6 | 50 | $10^{-7}$ | $4.7\times10^{-7}$ | 4.7 | $2.1\times10^{-6}$ |
| 헬리콥터(회전면 10.7 m·높이 3.5 m) | 42.2 | 40 | $10^{-7}$ | $5.1\times10^{-7}$ | 5.1 | $2.0\times10^{-6}$ |
| 운송기(폭 36 m·높이 12 m) | 447.7 | 100 | $10^{-9}$ | $1.3\times10^{-5}$ | 13,400 | $7.4\times10^{-10}$ |
필요 감소비는 $\lambda_{\text{MAC}}$을 목표로 나눈 값이다. 1보다 크면 그 비율만큼 위험을 더 줄이는 완화가 있어야 한다. 밀도 $10^{-5}$ 대/km²는 대한민국 국토 면적(약 10만 km²)에 평균 한 대가 120 m 이하 층에 있다는 뜻으로, 낮지만 비현실적이지 않은 값으로 가정했다. 실제 밀도는 비행장·항로 근처에서 이보다 훨씬 높고 먼 곳에서는 더 낮으며 공개 자료로 확인하지 못했다 (확인 필요). 경량 항공기와 헬리콥터는 밀도 $2\times10^{-6}$ 대/km²를 넘으면 완화가 필요해지고, 밀도가 100배 늘면 필요한 감소비도 100배 늘어난다(아래 그림).
8.6.8.2 근접과 충돌의 거리
실제 시스템은 충돌 자체가 아니라 근접 상황을 지표로 삼는다. 연구에서 근접 공중 충돌(NMAC)의 원기둥은 반경 500 ft·반높이 100 ft로 흔히 둔다 (정의는 문서마다 다름, 확인 필요). 정면 투영은 $2\times152.4\times2\times30.5=1.86\times10^{4}$ m²로 경량 항공기와의 합성 단면 31.6 m²의 588배다. 같은 교통에서 근접의 빈도는 충돌의 약 600배이고, 근접 한 건이 충돌이 될 기하학적 확률은 약 1/590이다. 이 비는 단순 기하의 어림이고 실제 회피 행동·방향 분포·가시성이 이 값을 크게 바꾼다. 탐지·회피 성능 표준(9.13)이 근접을 지표로 위험 감소비를 시험으로 확인하는 까닭이다.
8.6.8.3 완화의 층
위험 감소비는 한 수단이 아니라 여러 층의 곱이다.
| 층 | 수단 | 줄이는 인자 |
|---|---|---|
| 전략적 | 비행장·헬기 항로 근처 제외, 공역 분리, 고도 한계, 운용 시간대(14.20·17.13) | 유인기 밀도 $n$ |
| 전술적 | 탐지·회피(DAA), 가시성(조명·충돌 방지 신호), 원격 감시 관찰자 | 조우 중 충돌로 이어질 확률 |
| 설계 | 기체 크기·색·전자식 식별(ADS-B·Remote ID) | 합성 단면 $\sigma$, 유인기의 인지 |
경량 항공기의 필요 감소비가 5 근처라면 전략적 완화(밀도를 낮추는 구역 선택)만으로도 만족할 수 있고, 운송기는 이착륙 구역의 제외 자체가 완화가 된다. 그림에서 운송기 곡선이 표시 범위 대부분에서 1보다 훨씬 높은 것은 운송기가 120 m 이하 층에 있는 곳(접근·이륙 구역)에서는 무인기가 있으면 안 된다는 규칙의 정량적 근거다.
8.6.9 정량 모형의 한계
| 한계 | 설명 | 영향 |
|---|---|---|
| 밀도의 시간 변동 | 인구 격자는 주로 야간 거주 인구이고, 낮에는 상업·학교·행사 지역에 몰린다 | 낮 시간 위험을 과소평가할 수 있음 |
| 사망 확률 | 충돌 에너지에서 사망까지의 모형이 단순하고 차폐 자료가 부족하다 | 결론이 $P_f$에 비례 |
| 임계 면적 모형 | EASA 고충돌각 모형은 제안 단계이고, 60도 이상 접지와 비활공 조건에서만 성립한다. 부속서 F의 원문은 읽지 못했다 | 면적이 규제 표 값과 3배 차이 |
| 낙하 지점 분포 | 이 장은 항력만 넣은 단순 낙하다. 바람·회전·구조 파손·분리 낙하는 포함하지 않음 | 접지점과 면적이 과소 또는 과대 |
| 군중과 사회 위험 | 평균 기대값은 한 번에 다수가 사망하는 사건을 숨김 | F–N 평가를 따로 해야 함 |
| 제어 상실률 | 8.4의 가정 값이며 공개 현장 자료가 부족함 | 모든 결론이 $\lambda_{\text{LOC}}$에 비례 |
| 공중 밀도 | 저고도 유인기 밀도의 공개 자료가 적음 | 필요 감소비가 자릿수로 달라짐 |
한계의 방향을 보면 대체로 계산값이 낙관적이다. 군집이나 다수 기체 운용은 노출이 곱으로 늘어난다(7.9·7.10). 위험 모형은 판단을 대신하지 않고 어떤 가정 아래서 어떤 결론이 나오는지를 투명하게 보이는 도구다.
8.6.10 설계 트레이드오프 — 위험을 줄이는 세 가지 방법
위험은 $E_f=\lambda\,\rho\,A_c\,P_f$의 곱이므로 줄이는 길이 세 가지다.
- ① 확률을 줄인다(제어 상실률 $\lambda$). 중복·탐지 범위 향상·공통 원인 분리(8.4). 장점은 사고 자체가 줄고 다른 위험(임무 실패)도 같이 줄어든다는 점이다. 단점은 입증 비용이 크고 낮을수록 시험으로 입증하기 어렵다는 점이다.
- ② 결과를 줄인다(임계 면적·사망 확률). 낙하산, 에너지를 낮추는 설계, 경량화, 프로펠러 보호(1.30). 장점은 확률 입증 없이 에너지·면적을 시험으로 확인할 수 있다는 점이다. 단점은 낙하산의 신뢰도가 이득을 제한하고 표류가 낙하 지점을 옮긴다는 점이다(8.6.4.2·8.6.5.2).
- ③ 노출을 줄인다(밀도 $\rho$·시간). 경로·시간대·고도·운용 구역의 선택(7.2·2.6.7). 장점은 비용이 가장 낮고 효과가 크다는 점이다. 단점은 운용 범위가 좁아져 사업 가치가 줄 수 있다는 점이다.
기준은 20,000명/km²의 순항 중 고장, 기준 설계(5.3×10⁻⁵ /FH), 이 장 기본 가정에서 $E_f=8.4\times10^{-7}$ 명/FH이다.
| 레버 | 개선 후 $E_f$ [명/FH] | 감소 배율 |
|---|---|---|
| ① 제어 상실률 5.3×10⁻⁵ → 3.4×10⁻⁶ (8.4.6 ⑤안) | $5.4\times10^{-8}$ | 15.6배 |
| ② 낙하산 정상 전개 0.9 | $1.1\times10^{-7}$ | 7.7배 |
| ② 낙하산 정상 전개 0.99 | $3.6\times10^{-8}$ | 23.3배 |
| ③ 밀도 20,000 → 2,000명/km²(구역 선택) | $8.4\times10^{-8}$ | 10배 |
| ③ 경로 우회(8.6.6, 경로 평균) | — | 3배 |
견해: 비용이 가장 낮은 ③에서 출발해 ②를 더하고, ①은 인증이 요구하는 만큼 맞추는 순서가 합리적이라고 본다. 근거: ③은 설계 변경이 필요 없고 곱의 한 인자를 직접 줄이며 불확실성의 영향도 줄이고(밀도가 낮으면 $P_f$의 오차가 위험에 덜 닿는다), ②는 낙하산 신뢰도 입증이 시험으로 가능한 범위에 있다. ①은 $10^{-7}$ 이하에서 시험 입증이 불가능하고(8.4.14) 비용이 가장 크므로 인증이 요구하는 만큼만 맞추고 마지막에 둔다. 이 판단은 이 장의 가정 계산에서 나온 정성 논거이며 개별 프로젝트의 민감도 분석으로 확인해야 한다.
8.6.11 세 축 비교
| 항목 | 군용 드론 | 민간 UAS | AAM(eVTOL) |
|---|---|---|---|
| 위험의 수신자 | 제3자·아군 요원(구역 밖), 시험장 안은 안전 구역 | 지상 제3자, 저고도 유인기 | 탑승자, 지상 제3자, 도심 군중 |
| 목표의 형식 | 체계안전 기준, 시험장 위험 기준(RCC 계열 (확인 필요)) | 운용 위험 평가의 등급(지상·공중), 완화 수단 | 고장 조건 확률 목표(SC-VTOL 등, 8.4) |
| 지상 위험의 지배 인자 | 구역 설정, 비행 종료(2.6) | 사람 밀도와 비행 단계, 낙하산 | 도심 군중과 항로, 대체 착륙(15.12) |
| 공중 위험의 지배 인자 | 임무 공역 분리 | 저고도 유인기 밀도, 탐지·회피 | 항로 분리, 교통 정보 |
| 모형의 사용 | 시험·훈련 구역 설계 | 운용 승인 서류, 경로 계획 | 인증 증거의 상위 근거 |
8.6.12 관련 규격·프로토콜
| 문서 | 발행 | 무엇을 정하나 | 상세 장 |
|---|---|---|---|
| JARUS SORA 2.5 본문(JAR-DEL-SRM-SORA-MB-2.5, 2024-05-13) | JARUS | 지상·공중 위험 등급, TLOS, 완충, 봉쇄(원문 확인) | 17.17 |
| JARUS SORA 2.5 부속서 F | JARUS | 지상 위험의 이론적 근거, 임계 면적 모형 | 원문 미확인 (확인 필요) |
| EASA 임계 면적 계산 지침(제안문, Issue 1) | EASA | 고충돌각 모형과 임계 면적 표(원문 확인, 제안 단계) | 17.17 |
| EASA MOC Light-UAS High Risk.2510-01(2025-02-11) | EASA | SAIL V·VI 장비 안전 목표, 운용 구역 안 기체 상실의 분류(원문 확인) | 8.4.4.2 |
| EU 2019/947 AMC·GM | EASA | 특정 범주 운용 위험 평가의 이행 수단 | 17.11·17.17 |
| JARUS AMC RPAS.1309 Issue 2 | JARUS | 무인기 시스템 안전성 평가와 TLS | 원문 미확인 (확인 필요) |
| EASA SC Light-UAS·MOC Light-UAS.2512 | EASA | 지상 충격 저감 요건 (번호·판 확인 필요) | 1.30.3.2·17.11 |
| ASTM F3389/F3389M | ASTM | 머리·목 둔기 외상 가능성의 충돌 시험법 | 1.30 |
| RTCA DO-365(DAA) | RTCA | 탐지·회피의 성능 요건과 위험 비 | 9.13 |
| RCC 321 | Range Commanders Council | 시험장 공통 위험 기준 (판 확인 필요, 검색에서 값을 찾지 못함) | 2.6.8 |
유료 규격의 본문은 옮기지 않았고, 표의 판·번호는 시점마다 달라질 수 있다. 전체 지도는 A.6에 있다.
8.6.13 관련 규제·인증 요구와의 연결
- 운용 위험 평가(17.17·20.14). 지상 위험은 최대 특성 치수와 최대 속도, 사람 밀도로 등급을 매기고(SORA 2.5), 완화 수단으로 낮춘다. 이 장의 모형은 그 등급 표 뒤에 있는 계산이다.
- 인증기준의 확률 목표(8.4). 고장 조건 확률은 이 장의 $\lambda_{\text{LOC}}\le\text{TLS}/(\rho A_cP_f)$로 정당화된다. 목표가 정해진 근거를 묻는 심사 질문에 대한 답이다.
- 사람 위·군중 위 운용(14.18). 평균 기대값이 아니라 사회 위험(F–N)과 구간 상한을 요구한다.
- 경로 계획과 비상 대응(7.2·2.6). 위험 비용과 비상 착륙지 선택이 이 모형을 사용한다.
- 저고도 유인 항공과의 공존(14.20). 공중 충돌 모형이 전략적 분리의 필요 크기를 정한다.
- 보험과 책임(제17~19부). 기대 사망과 손해의 크기가 보험료와 책임 한도의 입력이다.
8.6.14 함정과 한계
| 오해 | 실제 | 더 볼 곳 |
|---|---|---|
| TLS를 만족하면 안전하다 | TLS는 평균 기대값이고 사회 위험·구간 상한·불확실성은 따로 본다 | 8.6.3·8.6.6·8.6.7 |
| 낙하 중 이동한 거리만큼 치사 면적이 커진다 | 임계 면적은 접지점 주위의 넓이다. 이동 거리는 적용할 밀도 구역(완충)을 옮긴다 | 8.6.4.2 |
| 낙하산이 있으면 위험이 사라진다 | 낙하산은 에너지를 줄이지만 신뢰도가 이득을 제한하고 접지점을 바람 방향으로 옮긴다 | 8.6.5.2 |
| 사망 확률은 에너지로 정확히 계산된다 | 모형이 단순하고 차폐 자료가 부족해 한 자릿수가 틀릴 수 있다 | 8.6.4.3 |
| 명목값이 한계 이하이면 만족이다 | 불확실성이 크면 명목이 한계의 수 분의 1이어야 초과 확률이 낮다 | 8.6.7 |
| 인구 밀도 지도는 낮에도 맞다 | 야간 거주 인구 기준이 많아 낮의 상업·행사 지역을 과소평가한다 | 8.6.9 |
| 평균 위험이 낮으면 한 비행도 안전하다 | 평균은 상업지구 같은 짧은 구간의 큰 위험을 가린다 | 8.6.6 |
| 공중 충돌은 충돌 직전 거리만 보면 된다 | 근접 지표와 충돌 사이에 약 600배의 기하 차이가 있다 | 8.6.8.2 |
미해결 문제. 에너지·차폐·낙하 형태에서 사망 확률을 구하는 검증된 모형, 시간 변동 밀도 자료의 실시간 사용, 다수 기체 운용의 상관 있는 위험(7.9·7.10), 저고도 유인기 밀도의 공개 자료는 아직 합의되지 않았다 (확인 필요). TLS 자체가 사업 규모에 따라 어떻게 조정되어야 하는지도 열려 있다.
8.6.15 체크포인트·연구 질문
체크포인트:
- 위험을 빈도와 결과의 곱으로 정의하고, 개인 위험과 사회 위험이 서로 다른 이유를 설명하라.
- 기체 1,000대·연 500 FH 함대가 TLS $10^{-6}$ 명/FH를 정확히 만족할 때 연 기대 사망은 얼마인가.
- 낙하 중에 기체가 이동한 거리가 임계 면적을 키우지 않는 이유를 설명하고, 그 거리가 어디에 영향을 주는지 말하라.
- 낙하산 정상 전개 확률 0.9와 0.99에서 $H$의 구성(정상 전개 항·실패 항)이 어떻게 달라지는지 설명하라.
- 5개 구간 경로에서 위험을 가장 크게 만드는 구간은 어디이고, 우회의 이득을 어떻게 계산하는가.
- 명목 $E_f$가 TLS의 84 %일 때 초과 확률이 44 %인 이유와 마진을 정하는 법을 설명하라.
연구 질문(25.7에 모은다):
- 충돌 에너지·접촉 부위·차폐에서 사망 확률을 구하는 모형을 소형 무인기 실험·사고 자료로 어떻게 검증할 수 있는가.
- 시간 변동 인구 밀도 자료(이동통신·교통 자료)를 경로 계획과 승인 심사의 입력으로 인정하는 기준은 무엇인가.
- 다수 기체·군집의 상관 있는 위험을 TLS와 어떻게 연결할 것인가.
- 저고도 유인기 밀도의 공개 측정으로 공중 충돌 모형의 입력을 어떻게 얻을 것인가.
1차 출처(이 장):
- JARUS, SORA Main Body 2.5 (JAR-DEL-SRM-SORA-MB-2.5, 2024-05-13, Public Release) — 원문을 읽고 TLOS(지상 10⁻⁶ 명/FH, 공중 10⁻⁷·10⁻⁹ /FH), iGRC 표 2·표 3, 지상 위험 완충, SAIL과 제어 상실률의 관계를 확인.
- EASA, Guidelines for the calculation of the critical area of Unmanned Aircrafts (Proposed, Issue 1) — 원문을 읽고 임계 면적 표 1, JARUS 모형과 고충돌각 모형의 식을 확인(제안 단계).
- EASA, MOC Light-UAS High Risk.2510-01, Issue 01 (2025-02-11, 최종) — 원문을 읽고 안전 목표 표와 운용 구역 안 기체 상실의 분류를 확인.
- JARUS, SORA Annex F — Theoretical Basis for Ground Risk Classification and Mitigation — 원문을 읽지 못함. 인자값은 이 식을 구현한 오픈소스 CasEx 1.2.3의 코드(사람 반경 0.3 m·높이 1.8 m·마찰 계수 0.65·항력 계수 0.8·TLS 기본값 10⁻⁶)에서 확인한 2차 출처
(확인 필요). - JARUS, AMC RPAS.1309 Issue 2 — SORA가 근거로 든다고 밝힌 문서. 원문 미확인
(확인 필요). - 14 CFR §25.1309 · FAA AC 25.1309-1B(8.4에서 원문 확인).
다음 장: 8.7 — 안전 사례(Safety Case)와 논증 구조(GSN). 이 장과 8.4가 만든 숫자와 분석을 한 편의 논증으로 묶어, 안전하다는 주장을 증거로 지지하는 구조를 본다.