제15부 AAM — UAM·RAM·화물의 기술과 운용
15.4 eVTOL 전력·추진 계통: 고전압·내고장 구조
15.4.1 이 장에서 배우는 것 / 선수 지식 / 특히 중요한 독자
사람을 태우는 eVTOL의 추진 계통은 한 번의 고장이 치명적 사고로 이어지지 않아야 한다는 요구에서 설계가 시작된다. 모터를 여럿 달아 중복을 얻는 분산 추진은 그 요구를 만족시키는 수단이면서, 고장 가능한 부품의 수를 늘려 새 위험을 만든다. 이 장은 EASA의 VTOL 특별 조건 SC-VTOL-01(Issue 1, 2019-07-02)을 원문으로 읽어 요구가 어디서 오는지를 확인하고, 두 가지를 계산한다. 모터 $n$개 가운데 $m$개 고장까지 견디는 설계가 목표 확률을 만족하려면 채널당 고장률이 얼마여야 하는가, 그리고 그 중복이 설치 출력에 얼마를 요구하는가다. 모터·전력 변환기·EWIS의 부품 설계는 1.17~1.19, 고장 허용 제어 이론은 2.5, 배터리의 안전 규격은 15.5가 다룬다. 이 책의 방침(BK-04)에 따라 군용 전기 추진은 다루지 않는다.
배우는 것:
- 요구의 근원 — SC-VTOL-01은 Enhanced 범주(도심 위·상업 승객 운송)에 고장 뒤 계속 안전 비행과 착륙을, Basic 범주에 통제된 비상 착륙을 요구하고, 치명적 고장 조건이 단일 고장에서 나오지 않아야 하며 확률은 $10^{-9}$/FH 이하(Enhanced)다(15.4.2.1).
- 에너지 저장의 독립 — VTOL.2430은 한 에너지 저장·공급 계통의 고장(화재 포함)이 다른 계통의 에너지 저장·공급을 잃게 하지 않을 것을 요구한다(15.4.2.2).
- 모터 수와 허용 고장률 — 모터 8개에서 1개 고장까지 견디는 설계는 채널 고장률 $8.5\times10^{-6}$/h 이하여야 하고 2개까지 견디면 $4.2\times10^{-4}$/h까지 허용된다(15.4.3.1).
- 설치 출력의 대가 — 8개에서 1개·2개·3개 고장을 견디는 설치 출력은 정상 호버의 1.14·1.33·1.60배다(15.4.3.2).
- 공통 원인 — 채널 고장률 $10^{-5}$/h에서 공통 원인 비율 $\beta$는 $10^{-4}$ 이하여야 하므로 공유 요소는 따로 보증해야 한다(15.4.3.3).
선수 지식: 1.17(분산 추진), 1.19(EWIS), 2.5(고장 허용), 15.3(eVTOL 설계 공간)을 읽었다고 가정한다.
특히 중요한 독자: 엔지니어는 15.4.2.3·15.4.3을, 인증 담당자는 15.4.2·15.4.4·15.4.8을, 정책 담당자는 15.4.2.1·15.4.9를, 사업 담당자는 15.4.5를 먼저 읽는다.
기준 시점과 정직성. 2026년 11월 기준이다. 원문을 읽은 것: EASA, Special Condition for small-category VTOL aircraft, SC-VTOL-01 Issue 1(2019-07-02, 31쪽 — 서문의 범주·안전 목표·단일 고장 기준, VTOL.2000·2005, VTOL.2105·2120(일부), VTOL.2400·2430·2510·2525, AMC VTOL.2510의 안전 목표 표). 읽지 못한 것: SC-VTOL의 이후 판, 준수 수단 문서(MOC SC-VTOL), FAA의 동력양력 감항 기준(17.7), 고전압 직류 계통의 설계 규격과 인증 자료, 업계 기체의 계통 구조. 이 장의 고장률·비행 시간은 설명용 가정이며 상용 모터·변환기의 실측 고장률이 아니다. 표 3의 설치 출력 배수는 단순화한 값이다. 이 장은 운용 승인 지침이 아니다.
15.4.2 개념·직관
15.4.2.1 SC-VTOL-01이 요구하는 것
적용 범위. 승객 9명 이하, 최대 인증 이륙 질량 3,175 kg(7,000 lb) 이하, 여압이 없고 속도가 250 KCAS 이하인 사람 운송 VTOL이다(VTOL.2000·2005). 인증은 두 범주 중 하나 또는 둘 모두로 받는다.
| 범주 | 능력 | 대상 운용 |
|---|---|---|
| Enhanced | 고장 뒤 계속 안전 비행과 착륙, 원래 목적지나 적합한 대체 버티포트까지 계속 | 혼잡 지역 위와 상업 항공 운송(승객) 은 이 범주여야 한다(VTOL.2005(b)(1)) |
| Basic | 통제된 비상 착륙(활공·자동 회전과 비슷) | 그 밖의 운용 |
안전 목표(AMC VTOL.2510). 비행 시간당 확률 목표는 다음이다. Enhanced와 7~9석 Basic은 치명적 $\le10^{-9}$(FDAL A), 위험 $\le10^{-7}$, 중대 $\le10^{-5}$, 경미 $\le10^{-3}$이고, 2~6석 Basic은 치명적 $\le10^{-8}$(FDAL B), 0~1석 Basic은 $\le10^{-7}$(FDAL C)이다. EASA는 두 평가(기존 CS-23·CS-27/29의 가정과 응용 운용 개념에 따른 평가)가 같은 크기의 값으로 수렴했다고 서문에서 설명하며, Basic은 CS-23의 수준보다 한 단계 높였다고 적는다. Enhanced에서는 계속 안전 비행과 착륙을 막는 고장 조건이 치명적이다.
단일 고장 기준. VTOL.2510(a)는 치명적 고장 조건이 극히 일어나기 어렵고 단일 고장에서 나오지 않을 것, 위험 고장 조건이 극히 드물 것, 중대 고장 조건이 드물 것을 요구한다. 서문은 이 원칙을 목표 수준으로 격상했다고 밝히는데 분산 추진 구조에 큰 영향을 주기 때문이다. Enhanced에서는 구조에도 같은 기준이 확장된다(VTOL.2250: 'single failure must not have a catastrophic effect').
15.4.2.2 전력·에너지 조항
- VTOL.2430 (a)(1). 각 계통은 여러 에너지 저장·공급 계통 사이의 독립을 갖도록 설계해, 한 계통의 한 구성품의 고장(화재 포함)이 다른 계통의 에너지 저장이나 공급을 잃게 하지 않도록 한다. 여기서 에너지는 연료든 전류든 리프트/추력 장치에 공급되는 모든 종류를 뜻한다(VTOL.2400(f)).
- (a)(3). 에너지는 허용되는 모든 운용 조건과 있음직한 구성품 고장을 고려해 충분한 여유로 공급한다.
- (a)(5)·(6). 저장된 에너지를 안전하게 제거하거나 격리하는 수단을 갖추고, 살아남을 수 있는 비상 착륙에서 에너지를 보존하며 탑승자와 지상의 위험을 최소화한다. Enhanced는 착륙 장치의 과부하로 인한 파손을 고려한다.
- (b) 저장 계통은 하중을 견디고 객실과 격리하며 위험에서 보호한다.
- VTOL.2515 낙뢰는 계속 안전 비행·착륙을 막을 고장을 일으키지 않아야 한다. VTOL.2525는 연결된 부하가 필요로 하는 전력의 공급을 요구한다.
15.4.2.3 구조의 예
계통을 분리하면 한 계통의 고장 범위가 줄어든다. 위의 예는 배터리 팩 4개가 각자 전력 변환을 거쳐 모터 2개씩을 돌린다. 한 계통의 고장(팩 화재, 변환기 단락)은 모터 2개의 상실이고 VTOL.2430(a)(1)은 그 고장이 다른 계통으로 번지지 않기를 요구한다. 이 구조가 만족해야 할 두 가지가 아래 계산이다. 남은 모터로 호버할 수 있는가(설치 출력), 그런 고장이 충분히 드문가(채널 고장률).
15.4.3 원리 — 중복의 수학
15.4.3.1 모터 $n$개 중 $m$개 고장까지
독립인 모터 채널 $n$개가 각각 비행 시간 $T$ 동안 확률 $p=\lambda T$로 고장 난다고 하면, 견딜 수 있는 고장 수 $m$을 넘는 고장이 일어날 확률은 이항 꼬리다. 이를 비행 시간당 확률로 나누어 목표 $P_{\text{target}}$에 맞추는 채널 고장률의 상한은 다음 식의 해다.
$$\frac{1}{T}\sum_{j=m+1}^{n}\binom{n}{j}(\lambda T)^{j}(1-\lambda T)^{n-j}=P_{\text{target}}$$
$T=0.5$ h, 목표를 $10^{-9}$/FH(Enhanced)와 $10^{-8}$/FH(2~6석 Basic)로 둔 허용 고장률은 다음과 같다.
| 모터 수 $n$ | $m=1$, $10^{-9}$ | $m=1$, $10^{-8}$ | $m=2$, $10^{-9}$ | $m=2$, $10^{-8}$ |
|---|---|---|---|---|
| 6 | $1.15\times10^{-5}$ | $3.65\times10^{-5}$ | $5.85\times10^{-4}$ | $1.26\times10^{-3}$ |
| 8 | $8.45\times10^{-6}$ | $2.67\times10^{-5}$ | $4.15\times10^{-4}$ | $8.94\times10^{-4}$ |
| 12 | $5.50\times10^{-6}$ | $1.74\times10^{-5}$ | $2.63\times10^{-4}$ | $5.67\times10^{-4}$ |
단위는 1/h다.
1개 고장까지만 견디는 설계는 모터 8개에서 채널 고장률이 $8.5\times10^{-6}$/h 이하여야 하고, 2개까지 견디면 $4.2\times10^{-4}$/h까지 허용되어 허용치가 약 49배 커진다. 모터가 늘면 같은 고장률에서 고장이 2개 겹칠 조합이 늘어 허용치가 낮아진다($m=1$에서 6개 $1.15\times10^{-5}$, 18개 $3.6\times10^{-6}$). 모터와 전력 변환 한 채널의 고장률이 $10^{-5}\sim10^{-4}$/h 수준이라고 가정하면(설명용 가정, 실측은 확인하지 못했다) 1개 고장 설계는 $m=1$에서 목표를 만족하기 어렵고 2개 고장 설계가 현실적인 범위에 든다. 이 모형은 고장이 독립이고 같은 확률이며 고장난 채널이 즉시 격리된다고 가정했다. 고장이 호버가 아닌 순항에서 일어나는 경우는 구별하지 않았다.
15.4.3.2 중복의 값은 설치 출력이다
$m$개 고장 뒤에도 같은 호버를 유지하려면 남은 $n-m$개가 정상 호버 출력 전체를 내야 하므로 모터 출력을 정상 호버 출력의 $n/(n-m)$배로 설치해야 한다(모든 모터의 출력이 같고 균등하게 재분배된다는 단순화).
| 모터 수 $n$ | 6 | 8 | 12 | 18 |
|---|---|---|---|---|
| 1개 고장 대비 | 1.20 | 1.14 | 1.09 | 1.06 |
| 2개 고장 대비 | 1.50 | 1.33 | 1.20 | 1.125 |
| 3개 고장 대비 | 2.00 | 1.60 | 1.33 | 1.20 |
모터가 많을수록 설치 출력의 부담이 줄지만 15.4.3.1에서 허용 고장률도 낮아진다. 모터 8개에서 2개 고장 대비는 설치 출력 1.33배를 치르고 허용 고장률을 49배 늘린다. 배터리도 같은 논리다. 팩 $p$개를 독립 계통으로 두고 한 팩 상실에도 같은 호버를 유지하려면 팩 용량을 $p/(p-1)$배로 설치해야 한다(2개 2.0배, 3개 1.5배, 4개 1.33배, 6개 1.2배, 8개 1.14배). 15.3에서 임계 비에너지가 중량의 발산을 정했던 것을 고려하면 이 배수는 배터리 무게에 직접 곱해지는 비용이다(해석, 설치 용량과 무게가 비례한다는 어림). 팩이 많을수록 접속·격리·냉각의 수가 늘어 복잡도가 오른다.
15.4.3.3 공통 원인이 하한을 정한다
위 계산은 채널이 독립이라는 가정에서 나왔다. 여러 채널이 공유하는 요소(전원 분배, 비행 제어 컴퓨터, 센서, 냉각, 소프트웨어, 같은 제조 결함)의 고장은 모든 채널을 한꺼번에 잃게 한다. 공통 원인 고장률을 채널 고장률의 비율 $\beta$로 나타내면 $\lambda_{cc}=\beta\lambda$이고 이것이 치명적 목표 $10^{-9}$/FH 이하여야 하므로 다음이다.
$$\beta\le\frac{P_{\text{target}}}{\lambda}=\frac{10^{-9}}{10^{-5}}=10^{-4}$$
채널 고장률이 $10^{-5}$/h일 때 공통 원인 비율은 0.01 % 이하여야 하는데, 일반적인 공통 원인 비율(수 %, 일반 지식)에는 4자릿수 못 미친다. 따라서 공유 요소는 채널과 같은 방식으로 중복하거나, 공유 요소 자체를 $10^{-9}$/FH 수준의 개발 보증(FDAL A, DO-178C·DO-254, 8.8)과 독립 설계로 따로 만족시켜야 한다. SC-VTOL의 AMC가 치명적 고장 조건에 FDAL A를 요구하는 이유다. 공통 원인은 '모터를 여러 개 단다'는 중복으로는 줄지 않는다.
15.4.4 규제와의 연결
- EASA. SC-VTOL-01의 요구는 15.4.2에서 읽은 것이다. 이 조건은 설계 기준의 한 부분이며 운항 규칙(15.17)과 합쳐져 허용 운용이 정해진다. 서문은 Enhanced 범주의 안전 수준을 운용 규칙의 기초로 삼는다고 설명한다. 준수 수단 문서와 이후 판은 읽지 못했다(
확인 필요, 17.14). - FAA. 동력양력 항공기의 FAA 감항 기준은 21.17(b)로 기체별로 정해진다(14.25.2.2, 17.7). 이 장은 그 내용을 읽지 못했다. 두 규제의 안전 목표가 같은지는 확인하지 못했다(
확인 필요). - 배터리. 팩의 시험과 화재 안전은 15.5·9.20가 다룬다. VTOL.2430(a)(1)의 독립 요구가 팩 사이 격벽과 열 전파 시험으로 나타난다(해석).
15.4.5 설계·운용의 선택
- ① 모터 수. 많으면 설치 출력 부담이 줄고 한 모터 상실의 영향이 작아지나 고장 조합과 부품 수가 는다(15.4.3.1·15.4.3.2).
- ② 견딜 고장 수. 1개 고장 설계는 채널 고장률을 극단적으로 낮추어야 하고, 2개 고장 설계는 설치 출력을 키운다.
- ③ 계통 수. 계통을 나누면 고장 범위가 작아지나 접속과 무게가 늘고 한 계통이 모터 둘을 잃는 구조가 된다.
- ④ 공통 요소의 보증. 비행 제어와 전원 분배는 분리·이종 중복과 높은 보증 수준으로 채널 중복과 별도로 증명한다.
견해: 분산 추진을 '모터가 많으니 안전하다'로 설명하는 것은 부정확하며, 안전 논거의 중심은 공통 원인의 하한이어야 한다고 본다. 근거는 15.4.3.3이다. 독립 채널이 $10^{-5}$/h일 때 공통 원인 비율을 0.01 % 아래로 낮추지 못하면 모터 수를 늘려도 치명적 목표에 닿지 못한다. 반론은 많은 모터가 조종 능력의 여유와 고장 시 점진적 성능 저하(graceful degradation)를 준다는 점이다. 그 이점은 인정하지만, 그것이 확률 목표를 대신하지는 않으므로 인증 자료는 채널 중복의 수치와 공통 요소의 개별 증명을 나란히 제시하는 편이 낫다고 본다.
15.4.6 세 축 비교
| 비교 축 | 군용 드론 | 민간 UAS | AAM(UAM·RAM·화물) |
|---|---|---|---|
| 안전 요구의 근원 | 해당 없음(군용 전기 추진은 다루지 않음) | 운용 위험평가(8.6) | 감항 기준(SC-VTOL·동력양력): 치명적 $10^{-9}$/FH |
| 중복의 목적 | — | 임무 지속·지상 위험 | 단일 고장 후 계속 비행·착륙 |
| 핵심 변수 | — | 신뢰도 | 채널 수·고장률·공통 원인 |
| 병목 | — | 중량 | 설치 출력, 공통 요소 증명 |
15.4.7 관련 규격·프로토콜
| 문서 | 발행 | 무엇을 정하나 | 상세 장 |
|---|---|---|---|
| SC-VTOL-01 Issue 1 | EASA | 소형 VTOL 감항 기준(Basic·Enhanced) | 17.14 |
| AMC VTOL.2510 표 | EASA | 고장 조건별 확률·FDAL | 17.14 |
| DO-178C·DO-254 | RTCA | 소프트웨어·하드웨어 개발 보증 | 8.8 |
| DO-311A | RTCA | 항공기 탑재 배터리 | 9.20·15.5 |
| FAA 동력양력 감항 기준 | 미국 연방항공청 | 기체별 감항 기준(읽지 못함) | 17.7 |
15.4.8 관련 규제·인증 요구와의 연결
| 이 장의 내용 | 일으키는 규제·인증 요구 | 장 |
|---|---|---|
| 단일 고장 기준 | VTOL.2510(a)(1) | 17.14 |
| 에너지 계통 독립 | VTOL.2430(a)(1) | 15.5 |
| 계속 안전 비행·착륙 | Enhanced 범주(VTOL.2005) | 17.7·15.17 |
| 공통 요소 보증 | FDAL A, 개발 보증 | 8.8 |
| 낙뢰·HIRF | VTOL.2515·2520 | 8.9 |
| 사용 중 감시 | VTOL.2510(c) | 15.22 |
15.4.9 함정과 한계
| 오해 | 실제 | 더 볼 곳 |
|---|---|---|
| 모터가 많으면 치명 확률이 낮아진다 | 허용 고장률은 $n$이 늘면 오히려 낮아진다 | 15.4.3.1 |
| 1개 고장을 견디면 충분하다 | 채널 고장률이 $10^{-5}$/h 아래여야 한다(가정) | 15.4.3.1 |
| 중복은 공짜다 | 8개에서 2개 고장 대비는 설치 출력 1.33배이다 | 15.4.3.2 |
| 채널 중복이 공통 원인을 줄인다 | 공통 원인 비율 $10^{-4}$ 이하가 요구된다 | 15.4.3.3 |
| SC-VTOL이 최종 기준이다 | Issue 1을 읽었고 이후 판은 읽지 못했다 | 15.4.4 |
| 이 장의 고장률은 실측이다 | 설명용 가정이다 | 15.4.1 |
15.4.10 체크포인트·연구 질문
체크포인트
- SC-VTOL-01의 Basic·Enhanced 범주 차이와 치명적 고장 목표를 말할 수 있는가?
- $n$개 중 $m$개 고장까지 견디는 설계의 허용 채널 고장률을 구할 수 있는가?
- $m$개 고장 대비의 설치 출력 배수 $n/(n-m)$을 계산할 수 있는가?
- VTOL.2430(a)(1)의 독립 요구와 공통 원인 비율의 관계를 설명할 수 있는가?
- 팩 수에 따른 배터리 용량 배수 $p/(p-1)$을 구하고 비용을 설명할 수 있는가?
연구 질문(25.7에 모은다)
- 상용 모터·변환기·팩 채널의 실측 고장률과 공통 원인 비율은 얼마인가?
- 호버 중과 순항 중의 고장 영향의 차이를 확률 모형에 반영하면 허용치가 얼마나 달라지는가?
- SC-VTOL의 최신 판과 FAA 기준은 안전 목표와 준수 수단에서 어떻게 다른가?
- 팩 사이 열 전파 시험 결과는 VTOL.2430(a)(1)의 독립 요구를 어떻게 입증하는가?
1차 출처(이 장)
- EASA, Special Condition for small-category VTOL aircraft, SC-VTOL-01 Issue 1 (2019-07-02)
- Silva, C. 외, VTOL Urban Air Mobility Concept Vehicles for Technology Development, NASA (2018) — 15.3에서 읽은 안전 서술
다음 장: 15.5 eVTOL 배터리 안전과 인증 — 독립 요구가 팩 사이 격벽·열 전파 시험으로 어떻게 입증되는지 다룬다.