제1부 비행체 기술 기반
1.16 유인기 무인화·선택 유인(OPV)·자율 비행 키트
1.16.1 이 장에서 배우는 것 / 선수 지식 / 특히 중요한 독자
무인기를 새로 설계하는 대신, 이미 날고 있는 유인기에 자율 비행 능력을 추가하는 길이 있다. 조종사를 내려놓고 싶은 이유는 분명하다. 그러나 조종사가 하던 일은 조종만이 아니다. 감시하고, 판단하고, 예외를 처리하고, 사고의 법적 책임을 졌다. 이 장은 그 일을 기계에 넘길 때 무엇이 따라오는지를 본다.
배우는 것:
- 용어 — 선택 유인(OPV)·무인화 개조·조종사 감소·단독 조종이 서로 어떻게 다른가.
- 사례를 읽는 법 — Sikorsky·Aurora·Reliable Robotics 등 공개된 사실과 아직 확인되지 않은 사실을 구분하기.
- 자율 비행 키트의 구성 — 센서·비행 컴퓨터·작동기(액추에이터)·안전 조종사 인터페이스, 그리고 개조의 침습도 세 단계.
- 인증의 쟁점 — 부가형식증명(STC)이냐 새 형식증명이냐, 기존 감항 기준과의 충돌, 조종사 책임.
- 시험으로 증명할 수 있는 것의 한계 — 무고장 비행시간이 얼마나 있어야 고장률 목표를 말할 수 있는가(계산).
- 사업 모델 — 원격 조종사 한 명이 몇 대를 감독해야 비용이 줄기 시작하는가(계산).
선수 지식: 고정익과 헬리콥터의 구성은 1.9·1.8, 비행제어와 천이는 2.3. 용어의 일반 정의는 0.2에서 다룬다.
특히 중요한 독자: 인증(STC·감항), 사업(화물·군 수송의 비용 모델), 법무(조종사 책임·운항 규칙), 엔지니어(키트 아키텍처와 안전 논증).
기준 시점과 정직성. 이 장은 2026년 10월 기준이며, 집필에 사용한 지식은 2026년 중반까지다. 기업의 인증 진척·일정은 시점을 붙이고
(확인 필요)로 표시했다. 발표된 일정과 달성된 사실을 구분한다. 본문의 계산은 원리로 만든 교육용 모형이고 가정을 표로 밝혔으며, 특정 기업의 값이 아니다.
1.16.2 개념·직관 — 새로 만들지 않고 있는 비행기를 무인화한다
유인기를 무인화하려는 이유는 셋이다.
- 감항 이력과 부품망을 사용한다. 수천 기가 날아 온 기체는 정비 체계·부품·훈련이 이미 있다.
- 개발 비용을 아낀다. 구조·엔진·조종 계통을 새로 인증하지 않아도 된다.
- 임무가 기존 기체에 맞다. 화물 수송·소방·함정 보급 같은 임무는 이미 특정 기체가 사용되고 있다.
그러나 이 길에는 근본적인 어려움이 있다. 기존 유인기의 안전 논증은 조종사를 전제로 한다. 조종사는 기체의 마지막 방어선이고 유연한 센서이며 비정상 상황을 해결하는 사람이다. 조종사를 빼면 이 역할을 자율 시스템과 지상 운영 체계가 맡아야 한다. 그 시스템을 어떻게 믿을 수 있게 만드느냐가 이 장의 중심 질문이다.
세 축에서 요구는 다르다.
- 군용 드론은 위험한 임무에서 인명을 보호하고, 공급기·표적기를 싸게 확보하려 한다. 사고 수용 기준이 민간보다 넓다(10.14·10.13).
- 민간 UAS는 화물 수송의 비용을 줄이려 한다. 대형 무인 화물기로 가는 경로의 첫 걸음이다(14.25).
- AAM은 자율 비행 UAM으로 가는 단계적 경로가 된다(15.23). 다만 많은 eVTOL은 처음부터 조종사 탑승으로 인증받는 길을 택하고, 처음부터 무인으로 설계한 기체(23.42·23.43)도 있다.
1.16.3 용어와 자율의 사다리
| 용어 | 뜻 | 비고 |
|---|---|---|
| 선택 유인 항공기(OPA)·선택 유인 비행체(OPV) | 조종사가 타고도, 타지 않고도 날 수 있게 만든 기체 | 한 기체에 두 운용 모드가 있다 |
| 무인화 개조(retrofit) | 기존 유인기에 자율·원격 조종 기능을 나중에 장착 | 파생 기체 |
| 조종사 감소 운항(확장 최소 승무원 운항, extended Minimum Crew Operations, eMCO) | 순항 중 조종사 한 명이 쉬는 식으로 승무원 수를 줄임 | 단독 조종과 구분 |
| 단독 조종(single-pilot operations, SiPO) | 처음부터 끝까지 조종사 한 명 | 대형 항공기에서 논의 중 |
| 원격조종항공기(RPA) | 조종사가 기체 밖에서 조종 | ICAO 용어(0.2) |
| 안전 조종사(safety pilot) | 시험 중 탑승해 언제든 인계받는 조종사 | 개발 단계의 관행 |
이 개념들은 자동화의 사다리 위에 놓인다. 위에서 아래로 갈수록 사람의 직접 조종이 줄고 사고 책임의 무게가 설계 보증과 운항 체계로 옮겨 간다.
선택 유인은 사다리의 한가운데에 있다. 같은 기체가 유인일 때는 조종사 책임, 무인일 때는 원격조종사와 운영자 책임이라는 두 규칙 집합을 동시에 만족해야 한다. 이것이 선택 유인의 매력이자 비용이다.
1.16.4 사례 — 확인된 사실만
아래 표는 공개 보도·발표에서 확인한 사실이다. 출처의 성격을 표기했다. 기업의 인증 진척은 변하므로 시점을 붙였다.
| 사례 | 무엇을 했나 | 공개된 사실 | 출처 성격 |
|---|---|---|---|
| Sikorsky SARA·MATRIX | S-76B 상용 헬리콥터에 전기식 조종(fly-by-wire)을 달아 자율 연구 기체로 사용 | MATRIX 자율 기술의 첫 자율 비행은 2013년 7월 26일(미국 플로리다 West Palm Beach, 안전 조종사 탑승). 이후 DARPA ALIAS 사업에 사용되었고 미 육군 조종사도 이 기체를 선택 유인 기체로 조종했다. 회사는 300시간 이상의 자율 비행을 보고했다 | 회사 발표 |
| Sikorsky ALIAS UH-60A | 블랙호크에 MATRIX를 장착 | 2022년 2월 5일 켄터키 Fort Campbell에서 약 30분 무탑승 비행(DARPA 발표). 2월 7일 두 번째 비행. 시험 중에는 늘 조종사가 탑승했고 첫 무탑승 비행에서 기체가 이륙·장애물 회피·착륙을 스스로 수행했다 | DARPA·언론 |
| Aurora ALIAS | 로봇 부조종사 | 2015~2016년 DA42와 Cessna Caravan에서 시연. 로봇 팔·작동기가 스로틀·조종간·페달을 움직이고 카메라가 계기판을 읽으며 음성·태블릿으로 조종사와 소통했다. DARPA가 밝힌 목표는 맞춤·삽입·제거가 가능한 키트 | 언론 + DARPA |
| Boeing QF-16 | 퇴역 F-16을 전규모 공중 표적으로 개조 | 2013년 9월 19일 Tyndall 공군기지에서 첫 무탑승 비행(Boeing 발표는 9월 23일). 지상의 시험 조종사 두 명이 원격으로 자동 이륙·기동·자동 착륙을 수행. 이후 120기 이상 개조 계약이 보도됨 | 제조사 발표 + 언론 |
| 무인 K-MAX(Lockheed Martin·Kaman) | 화물 헬리콥터를 무인 화물 운반기로 | 2011년 10월 미 해군·해병대가 아프가니스탄 배치를 선정, 약 3년 운용 뒤 2014년 귀환, 누계 450만 lb 이상의 화물을 날랐다(Lockheed Martin 발표) | 제조사 발표 + 언론 |
| Reliable Robotics | Cessna 208 Caravan의 자동 비행 시스템 | 2022년 8월 FAA가 STC의 인증 기준(G-1 이슈 페이퍼)을 수락. 2023년 6월 인증 계획 수락(회사 발표는 7월). 2023년 11월 21일 캘리포니아 Hollister에서 약 12분 무탑승 비행, 원격조종사가 약 50마일 떨어진 곳에서 무선 교신과 감시를 맡았다. 상용 운용 승인과 STC 발급 여부는 확인하지 못했다(확인 필요) | 회사 발표 + 언론 |
| Merlin Labs | 자율 비행 시스템(Merlin Pilot) | 2021년 9월 FAA·뉴질랜드 민간항공청과 인증 기준 합의, 2022년 미 공군과 C-130J 계약(승무원 감소·선택적 무인 운용)이 보도됨. 현재 상태는 확인하지 못했다 | 언론(확인 필요) |
| Garmin Autoland | 조종사가 못 할 때 자동 착륙 | 2020년 5월 Piper M600/SLS가 첫 형식증명 기체(공개 날짜는 5월 15일 인증서 수령 보도와 5월 18일 Piper 발표가 상이하다) | 제조사 발표 + 언론 |
| EASA eMCO-SiPO 연구 | 조종사 감소·단독 조종의 안전 위험 평가 | NLR·DLR이 EASA를 위해 수행, 최종 위험 평가 보고서는 2025년 6월자. 보도는 현 기술로는 2인 조종과 동등한 안전을 입증할 근거가 부족하다고 전했다(1차 보고서의 정확한 문구는 확인 필요) | 연구 사업 + 2차 보도 |
표에서 읽을 것이 셋이다.
첫째, 무탑승 시험 비행은 인증의 끝이 아니라 시작이다. Reliable Robotics의 12분 비행과 ALIAS Black Hawk의 30분 비행은 기술의 가능성을 보였을 뿐 인증을 뜻하지 않는다. 둘째, 군용 개조(QF-16·K-MAX)는 일찍 운용에 들어갔다. 군은 사고 수용 기준이 다르고 군 감항 체계가 따로 있기 때문이다(12.3). 셋째, 자동화를 키우는 방향이 두 갈래다. 조종사를 돕는 방향(Autoland)은 이미 형식증명을 받았고, 조종사를 줄이는 방향은 규제 기관이 신중하다(EASA 연구 사업의 보도 기준).
한국의 사례는 이 장에서 확인하지 못했다(확인 필요). 한국항공우주연구원이 개발해 온 OPPAV는 23.20·24.37이 다룬다.
1.16.5 자율 비행 키트의 구성
키트는 입력·처리·출력 세 덩어리다. 센서가 보고, 비행 컴퓨터가 판단하고, 작동기가 기체를 움직인다. 그 밖에 안전 조종사와 원격 조종 시설을 잇는 인터페이스가 있다.
각 구성 요소의 핵심은 다음과 같다.
- 센서 — 카메라·레이더·GNSS·관성 센서. 기존 계기만으로는 장애물·교통·활주로 상태를 감지할 수 없는 경우가 많다. 협조 감시(ADS-B 수신)와 비협조 감시(2.13·2.14)가 필요하다.
- 비행 컴퓨터 — 자율 비행 소프트웨어와 이를 감시하는 독립 장치. 소프트웨어 하나가 틀려도 안전 상태로 가게 하는 런타임 보증(7.8)과 다중화(2.5)가 핵심이다.
- 원격 조종·C2 링크 — 지령과 항공교통관제(ATC) 음성 중계. 원격 운용에서는 관제 교신이 큰 난제다(17.4·3.11).
- 안전 조종사 인터페이스 — 차단과 복귀. 사람이 탄 모드에서 자동 시스템을 즉시 끌 수 있어야 한다(8.18).
- 작동기 인터페이스 — 기체를 어떻게 움직이느냐. 이 선택이 아래의 침습도를 정한다.
1.16.5.1 개조의 침습도 세 단계
기존 기체를 얼마나 바꾸느냐가 인증 부담을 좌우한다. 아래 분류는 이 책의 정리다.
| 단계 | 방식 | 장점 | 단점 | 공개 사례 |
|---|---|---|---|---|
| ① 오토파일럿에 지령 | 기존 자동조종장치의 모드(고도·방위·접근)에 상위 계층이 명령을 준다 | 침습 최소, 인증 영향이 작다 | 자동조종 모드가 못 하는 일(활주·이륙)은 못 한다 | 일반 개념(개별 제품은 확인 필요) |
| ② 조종간·스로틀 로봇 | 로봇 팔이 조종간·스로틀·페달을 움직인다 | 기체 개조가 적고 탈착이 쉽다 | 기계적 한계, 사람 조종사와의 간섭 | Aurora ALIAS |
| ③ 전기식 조종 교체 | 기계식 조종 계통을 전기식으로 바꾼다 | 완전한 제어권·정밀도 | 침습이 크고 감항에 미치는 영향이 크다 | Sikorsky SARA |
침습이 클수록 성능은 오르지만, 기존 형식증명 데이터가 더 많이 무효가 된다. 그래서 침습도는 기술 선택이자 인증 선택이다.
1.16.5.2 모드 전환과 권한 — 누가 조종하는지가 늘 분명해야 한다
선택 유인 기체는 모드가 둘이라서 모드 혼동이 새로운 위험이 된다. 사람이 탔는데 자동 시스템이 조종하고 있다고 생각하거나, 그 반대인 경우다. 설계는 다음 원칙으로 모인다(8.18).
- 권한은 한 곳에만 있다. 어느 순간에도 조종 권한을 가진 주체가 하나이고, 인계는 명시적 확인을 거친다.
- 사람 우선. 탑승한 조종사는 한 번의 동작으로 자동 시스템을 끌 수 있다. 그 동작은 오작동으로 일어나지 않을 만큼 의도적이어야 한다.
- 인계 시간. 자동 시스템이 한계에 닿아 사람에게 넘길 때, 사람이 상황을 파악하는 데 걸리는 시간을 설계에 넣어야 한다. 이 시간이 부족하면 인계는 안전장치가 아니라 위험이 된다.
- 무탑승 전환. 사람이 내리고 원격조종사로 바뀔 때, 전환 전후의 상태 확인(점검표)과 링크 건전성 확인이 절차에 있다(16.5).
1.16.6 인증의 쟁점 — STC냐 새 형식증명이냐
1.16.6.1 세 갈래의 인증 경로
| 경로 | 무엇인가 | 장점 | 단점 |
|---|---|---|---|
| ① 부가형식증명(STC) | 기존 형식증명 기체의 설계 변경을 따로 승인 | 기체 전체를 다시 심사하지 않는다 | 기존 감항 기준(조종사 전제)과 충돌하는 항목이 많다 |
| ② 새 형식증명(무인 특수 등급 등) | 무인항공기를 새 설계로 증명 | 처음부터 무인 전제로 기준을 세운다 | 기준이 사안별이어서 개발이 길다 |
| ③ 특별감항증명·시험비행 허가 | 시험·제한 운용을 위한 허가 | 개발 단계에서 빠르다 | 상용 운용에는 사용할 수 없다 |
미국의 14 CFR Part 21은 STC(Subpart E, 제21.113조로 알려짐)와 새 형식증명을 구분한다. FAA는 일부 무인항공기를 제21.17조(b)항의 특수 등급으로 증명하는 정책을 공표했다(2020년, 조문·정책 번호는 확인 필요). 한국의 STC와 특별감항증명은 20.7·20.8에서 다룬다.
1.16.6.2 쟁점
- 인증 기준이 없다. 자율 비행 시스템에 맞춘 감항 기준이 확립되지 않았다. 그래서 사안별로 이슈 페이퍼(인증 기준 합의 문서)를 작성한다. Reliable Robotics가 2022년 8월에 수락받은 G-1 이슈 페이퍼가 이것이다(20.5).
- 조종사를 전제한 기존 요건과의 충돌. 조종석 시계·경보·계기, 비상 장비, 기장의 권한이 조종사를 전제로 사용되었다. 미국 연방규정 제91.3조는 기장(pilot in command)에게 최종 권한과 책임을 둔다. 조종사가 없을 때 이 책임을 누가 지는지 정해야 한다(20.15).
- 안전 평가의 가정이 달라진다. 기존 평가는 고장 때 조종사의 대응을 완화 수단으로 인정했을 수 있다. 조종사가 없으면 그 완화가 사라져 고장 상황의 심각도와 확률 목표가 달라진다(8.4).
- 소프트웨어·학습 기반 시스템의 보증. 결정론적 소프트웨어는 DO-178C로 다루지만 학습 기반 요소는 기준이 없다(8.8·7.4).
- ATC·IFR 통합. 관제 교신과 클리어런스를 원격조종사가 처리해야 한다(17.4).
- 링크 상실. 원격 운용에서는 링크가 끊겼을 때 기체가 무엇을 하는지가 안전 요건이다(3.11).
- 유인기 설계 데이터에 대한 의존. 구조·시스템·조종 특성·고장 모드의 설계 데이터는 형식증명 보유자가 가지고 있다. STC 신청자가 개조를 인증하려면 그 데이터에 접근하거나 보유자와 협력해야 한다. 이것은 기술이 아니라 계약·지식재산의 문제이고, 개조 사업의 숨은 병목이다(20.7).
1.16.7 수치 예시 — 시험으로 증명할 수 있는 고장률은 어디까지인가
자율 시스템의 안전을 "많이 날려 보고 사고가 없었으니 안전하다"로 증명할 수 있는가. 쉽게 말해 사고 없이 날린 시간이 길수록 좋지만, 요구하는 안전 수준이 높으면 시험만으로는 불가능하다.
고장이 시간에 대해 일정한 확률로 일어난다고 두자. $T$ 시간 동안 한 건도 없었다면, 신뢰도 95%에서 고장률의 상한은 다음과 같다.
$$\lambda_{95\%} = \frac{-\ln 0.05}{T} \approx \frac{3}{T}$$
거꾸로 고장률 목표 $\lambda$를 입증하는 데 필요한 무고장 비행시간은 약 $3/\lambda$이다(파이썬으로 계산). 비교를 위해 100기가 연 1,000시간씩 나는 기단(연 10만 비행시간, 가정)를 두었다.
| 입증하려는 고장률 [1/비행시간] | 필요한 무고장 비행시간 | 기단 연수 |
|---|---|---|
| $10^{-5}$ | 약 30만 | 3.0년 |
| $10^{-6}$ | 약 300만 | 30년 |
| $10^{-7}$ | 약 3,000만 | 300년 |
| $10^{-9}$ | 약 30억 | 약 3만 년 |
결론: 치명적 고장에 대한 항공의 확률 목표(대형 항공기의 $10^{-9}$ 수준은 8.4)를 시험 비행만으로 입증하는 것은 불가능하다. 그래서 인증은 개발 과정의 보증(8.2·8.8), 시스템 안전성 평가(8.4), 다중화와 독립 감시(7.8), 그리고 운용 중 데이터 수집을 병용한다. 이 계산은 일정한 고장률과 독립 시행을 가정하며, 시험 조건이 실제 운용을 대표하지 않으면 더 낙관적이다. 한계를 감안하더라도 무탑승 시험 시간의 의미를 가늠하는 눈금으로는 사용할 만하다.
1.16.7.1 독립 감시가 도와주는 만큼 — 공통 원인이 하한을 형성한다
시험으로 증명할 수 없다면 구조로 안전을 만든다. 대표적인 구조가 자율 소프트웨어 옆에 독립 감시 장치를 두는 것이다(7.8). 주 계통이 위험한 명령을 내면 감시 장치가 잡아 안전한 상태로 돌린다. 쉽게 말해 감시 장치가 아무리 좋아도 같은 원인으로 둘이 함께 틀리면 소용이 없다.
주 계통의 위험 고장률을 $\lambda_p$, 감시 장치가 그 고장을 놓칠 확률을 $q$, 둘이 같은 원인으로 함께 틀리는 비율(공통 원인 비율)을 $\beta$라 하면 시스템의 위험 고장률은 다음과 같다.
$$\lambda_{sys} = \lambda_p\left[(1-\beta)\,q + \beta\right]$$
$\lambda_p=10^{-4}$/비행시간(가정)에서 계산한 결과다(파이썬).
| 감시 장치가 놓칠 확률 $q$ | $\beta=0$ (완전 독립) | $\beta=0.01$ | $\beta=0.05$ |
|---|---|---|---|
| $10^{-2}$ | $1.0\times10^{-6}$ | $2.0\times10^{-6}$ | $6.0\times10^{-6}$ |
| $10^{-3}$ | $1.0\times10^{-7}$ | $1.1\times10^{-6}$ | $5.1\times10^{-6}$ |
| $10^{-4}$ | $1.0\times10^{-8}$ | $1.0\times10^{-6}$ | $5.0\times10^{-6}$ |
결론: 감시 장치를 $10^{-3}$에서 $10^{-4}$로 열 배 좋게 만들어도 $\beta=0.01$이면 시스템의 고장률은 $1.1\times10^{-6}$에서 $1.0\times10^{-6}$으로 거의 변하지 않는다. 공통 원인 비율이 하한을 정한다. 그래서 감시 장치는 주 계통과 다른 하드웨어·다른 소프트웨어·다른 개발팀으로 만드는 다양성 설계가 요구된다(8.4·8.8). 이 계산은 두 계통의 고장이 독립이라는 단순화 위에 있다.
1.16.7.2 단계적 경로 — 단계마다 필요한 증거
실제 개발은 한 번에 무인으로 뛰지 않는다. 아래 표는 공개 사례에서 읽히는 일반적인 단계이며 개별 기업의 일정이 아니다.
| 단계 | 운용 형태 | 쌓는 증거 | 인증·허가 |
|---|---|---|---|
| ① 개발 | 안전 조종사 탑승, 기능 시험 | 기능·성능, 소프트웨어 개발 보증 | 시험비행 허가(20.8) |
| ② 보조 운용 | 조종사가 상시 감시, 자동 모드를 길게 사용 | 운용 중 자동 모드의 고장·개입 기록 | STC 또는 형식증명 변경(20.7) |
| ③ 무탑승 시험 | 원격조종사가 감시, 기체는 무탑승 | 링크 상실·비정상 절차의 실증 | 제한된 시험 허가·공역 분리 |
| ④ 제한 상용 | 정해진 경로·기상·공항 | 누적 운용 시간, 사고·사건 데이터(8.24) | 운항 승인(20.14) |
| ⑤ 확대 | 감독 비율 상향(1:N), 경로 확대 | 감독 부하·동시 예외 데이터(7.11) | 인증 범위 확장 |
1.16.8 사업 모델 — 몇 대를 한 사람이 봐야 비용이 줄기 시작하는가
OPV 화물기의 가장 큰 사업 논리는 운항 비용 절감이다. 그러나 조종사를 원격조종사로 바꾸기만 하면 비용이 줄지 않는다. 원격조종사 한 명이 비행 하나에 붙어 있다면 인건비는 그대로이고 운영센터 간접비가 더해진다.
단순한 교육용 모형을 둔다. 원격조종사 한 명이 $N$대를 감독한다.
$$s(N) = \alpha\left(1 - \frac{f}{N}\right) - \kappa$$
| 기호 | 뜻 | 가정 |
|---|---|---|
| $s$ | 운항 비용 절감률 | — |
| $\alpha$ | 조종사 인건비가 운항 비용에서 차지하는 비중 | 0.15·0.25·0.35(실제 값은 운영자마다 달라 공개 자료로 확인하지 못했다, 확인 필요) |
| $f$ | 원격조종사 1인당 비용 배수(인건비 + 운영센터 간접비), 현재 조종사 1명 = 1 | 1.5 |
| $\kappa$ | 키트 비용 상각이 운항 비용에서 차지하는 비중 | 0.03 |
결과는 다음과 같다(파이썬으로 계산, 단위 %).
| 감독 비율 $N$ | 1 | 2 | 3 | 5 | 10 | 20 | 손익 분기 $N$ | 한계값 $\alpha-\kappa$ |
|---|---|---|---|---|---|---|---|---|
| $\alpha=0.15$ | −10.5 | 0.7 | 4.5 | 7.5 | 9.8 | 10.9 | 1.88 | 12 |
| $\alpha=0.25$ | −15.5 | 3.3 | 9.5 | 14.5 | 18.2 | 20.1 | 1.70 | 22 |
| $\alpha=0.35$ | −20.5 | 5.7 | 14.5 | 21.5 | 26.7 | 29.4 | 1.64 | 32 |
세 가지를 읽을 수 있다.
- 1:1 원격 조종은 비용을 올린다. 손익 분기는 $N\approx 1.7\sim1.9$이므로 최소한 한 명이 두 대 이상을 감독해야 한다.
- 절감에는 천장이 있다. $N$을 아무리 키워도 $\alpha-\kappa$를 넘을 수 없다. 조종사 인건비 비중이 작은 사업에서는 무인화의 이득도 작다.
- $N$을 키우려면 자율성의 보증이 필요하다. 한 사람이 여러 대의 예외를 동시에 처리해야 하므로 감독 제어와 인간요인(7.11·8.18·14.16)이 병목이다.
이 모형은 안전 조종사를 태우는 개발·초기 운용 단계에는 절감이 없다는 점(키트 비용만 더해진다)과, 야간·악천후 운항 확대, 조종사 근무시간 제한 해소, 조종사 부족 완화 같은 비용 외 가치를 넣지 않았다. 사업 판단은 이 세 가지를 따로 더해야 한다.
1.16.9 군의 사용 — 공급기·표적기·위험 임무
군은 무인화 개조를 일찍 운용에 사용했다. 이유는 사고 수용 기준과 감항 체계가 다르기 때문이다.
- 보급·수송. 무인 K-MAX가 아프가니스탄에서 전방 기지에 화물을 날랐다. 인명 위험이 있는 구간에서 조종사를 태우지 않는다는 논리가 분명하다(10.14).
- 표적기. 퇴역 전투기를 무인 표적으로 사용한다. 기체가 소모될 것을 전제로 한 개조다(10.13·24.9).
- 선택 유인의 가치. 평시에는 조종사를 태워 훈련·인증 비행을 하고 위험할 때 무인으로 사용하는 식의 운용이 가능하다. 두 모드를 모두 군 감항 절차로 인정받아야 한다(12.3).
- 유무인 협업. 유인기가 무인기를 지휘하는 개념과 이어진다(10.9).
군 개조에도 두 제약이 있다. 설계 데이터 의존은 군도 같고(형식 설계 보유 기업이나 정부가 데이터를 쥔다), 인명 근접 운용은 군 안전 기준의 별도 심사를 받는다. 미군의 감항 체계는 20.20가 다룬다. 한국군의 개조 사례는 확인하지 못했다(확인 필요).
1.16.10 설계 트레이드오프
같은 임무를 달성하는 세 갈래가 있다.
① 유인기 개조 키트(무인화·선택 유인). 장점: 감항 이력·부품망·시장이 있다. 단점: 기존 감항 기준과 충돌하고 설계 데이터 접근이 병목이며, 유인·무인 두 모드를 모두 인증해야 한다. 이 입장을 취하는 쪽: 기존 기체의 사용자(화물 운송·군 수송)와 자율 비행 시스템 개발사.
② 처음부터 무인기 설계(clean sheet). 장점: 무인을 전제로 기준과 구조를 최적화한다(조종석·생명 유지 장치 없음). 단점: 새 형식증명이 필요하고 개발이 길다. 이 입장을 취하는 쪽: 대형 UAS·무인 eVTOL 개발사(14.25·23.42·23.43).
③ 조종사 보조·감소의 단계적 자동화. 장점: 인증이 단계마다 증거를 쌓을 수 있고, 안전 편익이 이미 입증되기 시작했다(Autoland). 단점: 비용 절감이 작다. 이 입장을 취하는 쪽: 신중한 규제 기관과 항공사.
견해: 당분간은 ③으로 증거를 쌓고, 화물·군처럼 사고 수용 기준이 다른 영역에서 ①이 먼저 운용에 들어가며, 여객 영역은 ②의 길이 더 현실적이라고 본다. 근거는 두 가지다. 첫째, 1.16.7의 계산처럼 시험만으로는 안전 목표를 입증할 수 없어 단계적 증거 축적이 필요하다. 둘째, 공개 보도에서 형식증명을 받은 것은 보조 자동화(Autoland)이고, 무탑승 시험을 한 개조 키트는 아직 인증 진행 중이다(1.16.4). 다만 이 판단은 인증 일정이 수시로 바뀌는 분야의 현재 해석이며 정답을 강요하지 않는다.
1.16.11 세 축 비교
| 항목 | 군용 드론 | 민간 UAS | AAM |
|---|---|---|---|
| 무인화의 목적 | 인명 보호, 소모성 기체, 공급기 | 화물 운송 비용 절감, 조종사 부족 | 자율 UAM으로의 단계적 경로 |
| 대표 사례 | QF-16, 무인 K-MAX, ALIAS Black Hawk | Reliable Robotics Caravan, Merlin Labs | 일부 개발사의 무인 설계(23.42·23.43) |
| 인증 경로 | 군 감항·비행 허가(12.3·20.20) | STC 또는 새 형식증명(20.7·20.1) | 유인 형식증명 후 조종사 감소로 전이하는 구상(15.23) |
| 사고 수용 | 넓다(임무 효과와 균형) | 좁다(지상·공중 제3자 위험) | 가장 좁다(승객 안전) |
| 핵심 병목 | 설계 데이터·군 감항 절차 | 인증 기준 부재, 조종사 책임 | 승객이 탄 상태의 안전 입증 |
| 선택 유인의 의미 | 평시 유인·위험 시 무인 | 개발 단계의 안전 조종사 | 거의 사용되지 않음 |
AAM에서 개조 키트가 거의 사용되지 않는 이유는 기체가 새로 설계되어 처음부터 인증 기준을 협상하기 때문이다. 대신 인증 쟁점은 같다. 조종사 감소·단독 조종 논의(EASA 연구 사업)가 같은 규제 질문을 던진다.
1.16.12 관련 규격·프로토콜
| 문서 | 발행 | 무엇을 정하나 | 상세 장 |
|---|---|---|---|
| 14 CFR Part 21(제21.17조, 제21.101조, 제21.113조 — 조문 번호 확인 필요) | FAA | 형식증명·STC·특수 등급 | 20.1·20.7 |
| FAA Order 8110.4(판 확인 필요) | FAA | 형식증명 절차 | 20.1 |
| 14 CFR 91.3 | FAA | 기장의 최종 권한·책임 | MU-8 |
| ICAO 부속서 2 부록 4, Doc 10019 | ICAO | 원격조종항공기 운용 | 17.2·17.3 |
| RTCA DO-178C·DO-254, SAE ARP4754B·ARP4761A | RTCA·SAE | 소프트웨어·하드웨어 보증, 개발·안전성 평가 | 8.2·8.4·8.8 |
| ASTM F3269-21, F3201-26 | ASTM | 복잡 기능 UAS의 비행 거동을 안전하게 한정하는 방법, UAS 소프트웨어의 신뢰성 확보 | 7.8·8.8 |
| RTCA DO-362A, DO-365 | RTCA | C2 링크 성능, 탐지·회피(DAA) | 9.13 |
| STANAG 4671·4703, MIL-HDBK-516 | NATO·미 국방부 | 군 무인기 감항 | 12.3 |
1.16.13 관련 규제·인증 요구와의 연결
- 인증 경로 — STC·새 형식증명·특별감항증명의 선택은 20.1·20.7·20.8에서 다룬다. 인증 기준은 이슈 페이퍼·특별조건으로 사안별 합의된다(20.5). 적합성 입증은 20.6이다.
- 운항 규칙 — 원격조종사의 자격과 훈련(20.15), 신체 기준과 피로(20.16), ATM 통합(17.4)이 따라온다. 기장의 권한은 공역·비행 규칙의 기초(MU-8)에서 이어진다.
- 책임과 보험 — 조종사가 없을 때 사고 책임은 운영자·제조사·원격조종사로 구분된다(18.22·18.24).
- 한국 — 무인비행장치 규정은 18.3~18.5가 다루나, 대형 무인 화물기는 아직 법체계 안의 자리가 불분명하다(
확인 필요). 한국 인증은 18.14이다. - 군 — 감항과 비행 허가는 12.3·20.19·20.20에서 다룬다. 이 책은 군 개조의 설계 세부를 작성하지 않는다.
- 큰 경로 — 대형 무인 화물기·무인 여객으로 가는 길은 14.25, 자율 UAM은 15.23에서 이어진다.
1.16.14 함정과 한계
| 오해 | 실제 | 더 볼 곳 |
|---|---|---|
| "OPV는 조종사만 내리면 된다" | 조종사가 하던 감시·판단·예외 처리와 법적 지위를 대체해야 한다 | 1.16.6 |
| "키트가 탈착형이라 인증이 쉽다" | 감항에 영향을 주는 변경이고 기존 기준과 충돌할 수 있다 | 1.16.6 |
| "무탑승 시험 비행에 성공했으니 곧 상용화다" | 무탑승 시험은 인증의 시작이다. 시험만으로 고장률 목표를 증명할 수 없다 | 1.16.7 |
| "무인화하면 인건비가 그만큼 줄어든다" | 1:1이면 오히려 오른다. 한 사람이 여러 대를 감독해야 줄기 시작한다 | 1.16.8 |
| "유인기 설계 데이터는 개조자가 마음대로 사용한다" | 형식증명 보유자의 협력과 데이터 접근이 필요하다 | 1.16.6 |
| "선택 유인이면 두 모드 중 하나만 인증하면 된다" | 두 모드를 모두 만족해야 한다. 비용이 늘어난다 | 1.16.3 |
미해결 문제도 있다.
- 자율 소프트웨어의 보증 — 학습 기반 요소를 포함한 시스템의 인증 기준은 아직 확립되지 않았다(7.4·20.10).
- 조종사 책임의 이전 — 조종사를 줄이는 운항에서 안전 동등성을 입증하는 기준이 없다(EASA 연구가 이 쟁점을 다룬다).
- 기업 일정의 불확실성 — 이 장에 적은 인증 진척은 시점이 지나면 달라질 수 있다. 발표된 일정과 달성된 사실을 구분해 읽는다(21.7·24.20).
1.16.15 체크포인트·연구 질문
체크포인트
- 선택 유인·무인화 개조·조종사 감소·단독 조종을 각각 한 문장으로 구분하라.
- 개조의 침습도 세 단계를 들고 인증 부담이 어떻게 달라지는지 설명하라.
- STC로 무인 운용을 인증할 때 기존 감항 기준과 충돌하는 항목을 두 가지 들어라.
- 고장률 $10^{-7}$를 무고장 비행시간으로 입증하려면 얼마가 필요한가? 이것이 인증 전략에 주는 함의는 무엇인가?
- 원격조종사 1명이 기체 1대를 감독하면 비용이 왜 오르는가?
- 선택 유인이 군에서 먼저 운용에 들어간 이유를 사고 수용 기준으로 설명하라.
연구 질문 — 이 장에서 파생되는 열린 주제(25.7에 모은다)
- 자율 비행 시스템의 인증 기준 — 조종사를 전제하지 않는 감항 기준을 어떻게 구성하고 사안별 이슈 페이퍼를 어떻게 표준화할 수 있는가?
- 조종사 책임 이전의 안전 동등성 — 조종사 감소 운항이 2인 조종과 동등한 안전을 가진다는 것을 어떤 증거로 입증하는가?
- 감독 비율의 상한 — 한 명이 N대를 감독할 때 동시 예외 처리를 안전하게 만드는 N은 얼마이며 인간요인 시험으로 어떻게 정하는가?
- 설계 데이터 접근 모델 — 형식증명 보유자의 데이터를 개조 사업자가 사용하도록 하는 계약·법제 모델은 무엇인가?
1차 출처(이 장)
- 미국 14 CFR Part 21(제21.17조·제21.101조·제21.113조), Part 91(제91.3조) — eCFR (조문 번호는 확인 필요)
- DARPA ALIAS 사업 공개 페이지(darpa.mil)와 2022년 2월 보도자료
- Lockheed Martin(Sikorsky) MATRIX 기술 소개 페이지
- Boeing QF-16 보도자료(boeing.mediaroom.com, 2013년 9월)
- Lockheed Martin·Kaman 무인 K-MAX 보도자료(2011년 10월)
- EASA 연구 사업 "Extended Minimum Crew Operations and Single Pilot Operations Safety Risk Assessment"(easa.europa.eu)
- ICAO 부속서 2 부록 4, Doc 10019
- RTCA DO-178C, SAE ARP4754B·ARP4761A (판 기호는 확인 필요)
본문의 표 속 계산값은 이 장의 모형(파이썬 표준 라이브러리 math, 스크립트 fig-src/1.16-saving.py)으로 만든 것이며 특정 기업의 값이 아니다.
다음 장: 1.17에서는 이 책의 비행체 기술 가운데 전기 추진 계통으로 들어간다. 배터리에서 프로펠러까지 단계마다 효율이 곱해지고, 분산전기추진(DEP)과 전압 선택이 질량·다중화·발열을 어떻게 바꾸는지를 본다.