AEGLOSLAB 무인항공과 첨단항공모빌리티

제15부 AAM — UAM·RAM·화물의 기술과 운용

15.5 eVTOL 배터리 안전과 인증

15.5.1 이 장에서 배우는 것 / 선수 지식 / 특히 중요한 독자

eVTOL의 배터리는 추진의 동력원이자 기체가 싣고 다니는 가장 큰 에너지 덩어리다. NASA 참조 기체(15.3)의 전기 쿼드로터는 배터리에 1,331 MJ(370 kWh)를 싣는데, 이는 제트 연료 31 kg의 에너지와 같다. 셀 하나의 열폭주가 이웃으로 번지면 그 에너지가 열과 가스로 나온다. 그래서 인증 기준은 배터리를 '고장 나지 않게'보다 '고장 나도 번지지 않게' 다룬다. 이 장은 EASA SC-VTOL-01의 VTOL.2430과 FAA가 Joby JAS4-1에 최종 확정한 감항 기준 JS4.2430(89 FR 17230, 2024-03-08)을 원문으로 읽고, 세 가지를 계산한다. 전파가 일어나는 조건, 개시 사건 빈도에서 요구되는 비전파 확률, 그 확률을 시험으로 입증하는 데 필요한 시험 횟수다. 배터리 셀의 물리는 1.21, 상태 추정은 1.22, 규격은 9.20가 다룬다. 이 책의 방침(BK-04)에 따라 군용 배터리는 다루지 않는다.

배우는 것:

  • 요구의 구조 — EASA VTOL.2430과 FAA JS4.2430은 모두 한 에너지 저장·공급 계통의 구성품 고장이 다른 계통의 에너지 저장·공급을 잃게 하지 않을 것을 요구한다. FAA는 이 조항이 배터리 제어·관리 계통을 포함한다고 밝혔다(15.5.2.2).
  • 전파 판정 — 셀 하나의 열폭주가 이웃에 전하는 열이 이웃을 열폭주 온도까지 올리는 열보다 크면 전파된다. 가정한 값에서 장벽이 열의 31 % 이상을 흡수·우회해야 막힌다(15.5.3.1).
  • 요구 비전파 확률 — 셀 21,748개, 개시율 $10^{-7}$/셀·년이면 기체 1 FH당 개시가 $1.45\times10^{-6}$이고, 치명적 목표 $10^{-9}$/FH를 만족하려면 전파 확률이 $6.9\times10^{-4}$ 이하여야 한다(15.5.3.2).
  • 입증의 한계 — 실패 확률 $6.9\times10^{-4}$를 무고장 시험으로 90 %로 입증하려면 3,288회가 필요해 통계적 입증은 비현실적이다(15.5.3.3).

선수 지식: 1.21(리튬이온 배터리), 1.22(BMS), 9.20(배터리 규격), 15.4(내고장 구조)을 읽었다고 가정한다.

특히 중요한 독자: 인증 담당자는 15.5.2·15.5.4·15.5.8을, 엔지니어는 15.5.3을, 정책 담당자는 15.5.2.2·15.5.4를, 사업 담당자는 15.5.5를 먼저 읽는다.

기준 시점과 정직성. 2026년 11월 기준이다. 원문을 읽은 것: 14 CFR Part 21 Docket FAA-2021-0638, Airworthiness Criteria: Special Class Airworthiness Criteria for the Joby Aero, Inc. Model JAS4-1 Powered-Lift(89 FR 17230, 2024-03-08, govinfo 관보 PDF) — 의견 검토 서술(JS4.2430, JS4.2135, JS4.2620 부분)과 에너지 계통 기준 JS4.2430·JS4.2440·JS4.2515·JS4.2520의 조문, EASA SC-VTOL-01 Issue 1(15.4에서 읽음)의 VTOL.2430·2510, NASA Silva 외(2018)의 표 3(15.3에서 읽음). 읽지 못한 것: DO-311A와 AC 20-184 본문(9.20), 셀 열폭주의 실험 문헌, 팩 설계·시험 자료, 다른 기체(예: Archer)의 감항 기준과 FAA 기준 전체, 한국의 배터리 인증 규정. 이 장의 셀 제원·열 분율·개시율은 설명용 가정이며 실측이 아니다. 열폭주 전파의 계산은 이 책의 단순 에너지 수지이고 실제 전파는 가스·불꽃·단락·장벽의 상호작용으로 결정된다. 이 장은 설계·시험 지침이 아니다.

15.5.2 개념·직관

15.5.2.1 저장된 에너지의 크기

NASA 전기 쿼드로터의 배터리 용량은 1,331 MJ이고 연료 계통(전지와 팩 구조) 무게는 2,038 lb(924 kg)다(15.3). 1,331 MJ는 370 kWh이며 제트 연료의 저위 발열량 약 43 MJ/kg(일반 지식)으로 환산하면 31 kg의 연료와 같다. 연료는 무게 31 kg인 반면 같은 에너지가 924 kg의 팩에 담겨 있고, 이 에너지는 전기 에너지로 저장되어 있다가 사고 때 열로도 나온다는 점에서 연료와 다르다. 열폭주가 시작되면 전체 에너지의 상당 부분이 열이 될 수 있다(이 장은 그 비율을 가정으로 둔다).

15.5.2.2 요구 — EASA와 FAA

두 기준의 에너지 계통 조항은 문장이 거의 같다. 아래는 FAA가 확정한 Joby JAS4-1의 JS4.2430 Energy Systems를 중심으로 EASA VTOL.2430과 대응시킨 것이다.

요구FAA JS4.2430EASA VTOL.2430
계통 독립(a)(1) 여러 에너지 저장·공급 계통 사이에 독립을 두어 한 계통의 한 구성품 고장이 다른 계통의 저장·공급을 잃게 하지 않을 것(a)(1) 같음, 화재 포함을 명시
낙뢰(a)(2) 직접·간접 영향으로 치명적 사건이 없을 것(a)(2) 같음, 노출이 있을 법하지 않다고 보이면 제외
에너지 여유(a)(3) 모든 있음직한 운용 조건에서 동력원이 올바로 작동할 에너지(a)(3) 있음직한 구성품 고장을 고려한 충분한 여유
에너지 표시(a)(4) 사용 가능한 총 에너지를 알 수 있는 수단과 중단 없는 공급(a)(4) 같음
제거·격리(a)(5) 저장 에너지를 안전하게 제거하거나 격리할 수단(a)(5) 같음
비상 착륙(a)(6) 있음직한 운용 조건에서 에너지를 보존하고 탑승자와 최초 대응자의 위험을 최소화(a)(6) 탑승자와 지상 사람의 위험을 최소화, Enhanced는 착륙 장치 과부하 파손 고려
저장 계통(b) 하중을 견디고 객실과 격리되어 위험에서 보호(b) 같음
충전(c) 충전 계통이 부적절한 충전을 막고 충전 중 기체·사람에 위험이 없게(EASA 조문에서 읽은 범위 밖)

FAA의 의견 검토에서 읽은 서술은 다음이다. FAA는 '에너지 저장·공급 계통'에 배터리 제어·관리 계통이 포함된다고 보고 문구를 바꾸지 않았다. JS4.2430(a)(1)은 추진에 전력을 주는 여러 전기 저장 계통 사이의 독립을 요구하며 Part 23의 23.2525(필요 전력)와 구분된다. FAA는 (a)(6)에 최초 대응자(first responder) 를 추가했고, 낙뢰 조항에서 '노출이 있을 법한 곳' 문구를 삭제해 환경 제한과 관계없이 낙뢰에 노출된다고 가정한다. 비행 교범(JS4.2620(a)(5))은 안전 운용에 필요한 배터리 이상 절차를 담는다. FAA는 EASA VTOL.2430(a)(7)(에너지 오염 방지)에 해당하는 조항을 JS4.2430에서 '예약'으로 두었다.

15.5.2.3 층별 방어

셀 허용 범위 관리·시험 개시율을 낮춘다 모듈 셀 사이 장벽·열 흡수 전파를 막는다 팩 환기·가스 배출·격납 압력과 연소 가스를 다룬다 계통 팩 사이 격리(VTOL.2430) 한 계통 고장이 번지지 않게 한다 기체 구역 분리·감지·소화 객실과 격리한다 운용 절차·착륙지·구조 대응 이상 징후에 가까운 착륙
배터리 열폭주에 대한 층별 방어(개념도이며 특정 기체가 아니다). 위에서 아래로 셀(개시율), 모듈(전파 방지), 팩(압력·가스), 계통 격리(EASA SC-VTOL-01·FAA JS4.2430(a)(1)의 독립 요구), 기체 구역(객실과의 격리), 운용(절차·착륙지)이 겹겹이 있다. 한 층의 확률이 낮아도 다음 층이 같은 사건을 다시 막는 구조이며, 층 사이 상관(같은 원인이 여러 층을 동시에 무력화)을 따로 다룬다.

한 층이 모든 것을 막는다고 보지 않고 층을 여러 겹 두어 방어한다. 셀은 개시율을 낮추고(제조 품질·허용 범위 관리), 모듈은 셀 사이의 장벽으로 전파를 막고, 팩은 환기·가스 배출·격납으로 압력과 연소 가스를 다루며, 계통은 팩 사이의 격리로 한 계통의 고장이 번지지 않게 한다(VTOL.2430·JS4.2430의 (a)(1)). 기체는 구역 분리·감지·소화로 객실과 격리하고, 운용은 절차와 착륙지로 이상 징후에서 가까운 곳에 내리게 한다. 층은 서로 독립이라는 가정에서 곱해지지만 같은 원인(예: 충격이나 과열)이 여러 층을 동시에 무력화하는 상관이 실제 위험을 정한다.

15.5.3 원리 — 전파와 확률과 입증

15.5.3.1 열폭주 전파의 에너지 수지

셀 하나가 열폭주에 들 때 저장 에너지 $E_c$의 일부 $f_h$가 열이 되고 그 가운데 $f_n$이 이웃 한 셀에 전해진다고 하자. 이웃이 열폭주 온도까지 올라야 하는 온도 상승이 $\Delta T$이고 셀의 질량·비열이 $m$·$c$이면, 장벽이 열의 비율 $a$를 흡수·우회한다고 할 때 전파가 일어나는 조건은 다음이다.

$$f_h f_n E_c(1-a)>m\,c\,\Delta T,\qquad a_{\min}=1-\frac{m\,c\,\Delta T}{f_h f_n E_c}$$

21700형 셀 17 Wh(61.2 kJ), $f_h=0.6$, $f_n=0.3$, $m=70$ g, $c=900$ J/(kg·K), $\Delta T=120$ K(모두 설명용 가정)이면 이웃으로 가는 열이 11.0 kJ이고 이웃을 올리는 데 필요한 열이 7.56 kJ이므로 장벽이 열의 31.4 % 이상을 흡수·우회해야 전파가 멈춘다. 장벽이 없으면(같은 가정에서) 이웃에 전하는 열이 필요한 열의 1.46배라서 전파가 이어진다. 이 판정은 첫 어림이다. 실제 전파는 고온 가스·불꽃·단락의 영향으로 열전도만으로 정해지지 않고 같은 셀이 여러 이웃에 열을 전한다. 가정한 값 자체가 바뀌면 결론의 크기가 바뀌므로 값이 아니라 식의 구조(장벽 흡수 비율이 질량·비열과 에너지의 비로 정해진다)를 읽어야 한다.

15.5.3.2 개시 사건에서 요구되는 비전파 확률

셀이 $N$개이고 셀당 열폭주 개시율이 $\lambda$ [1/셀·년], 기체당 연 $H$ FH(1,500)이면 기체 1 FH당 개시 사건 빈도는 $N\lambda/H$이다. 개시된 사건이 기체 손실로 이어질 확률(전파 확률)이 $P_{\text{prop}}$이면, 치명적 목표 $P_{\text{target}}$를 만족하려면 $P_{\text{prop}}\le P_{\text{target}}H/(N\lambda)$여야 한다. $N=21{,}748$(1,331 MJ를 17 Wh로 나눈 수)이고 15.2의 기단 333대를 두면 다음과 같다.

셀당 개시율 [1/셀·년]기체당 개시/FH기단 연간 개시 사건허용 전파 확률(목표 $10^{-9}$/FH)(목표 $10^{-8}$/FH)
$10^{-8}$$1.45\times10^{-7}$0.07$6.9\times10^{-3}$$6.9\times10^{-2}$
$10^{-7}$$1.45\times10^{-6}$0.72$6.9\times10^{-4}$$6.9\times10^{-3}$
$10^{-6}$$1.45\times10^{-5}$7.24$6.9\times10^{-5}$$6.9\times10^{-4}$
10−9 10−8 10−7 10−6 10−5 10−5 10−4 10−3 10−2 10−1 100 셀당 열폭주 개시율 [1/셀·년] 전파 확률의 상한 10⁻⁷: 6.9×10⁻⁴ 목표 10⁻⁹/FH 목표 10⁻⁸/FH
셀이 21,748개(NASA 전기 쿼드로터 참조 기체의 1,331 MJ를 17 Wh 셀로 나눈 수)이고 기체당 연 1,500 FH일 때, 셀 하나가 열폭주를 시작할 확률 λ에 대해 기체 손실로 이어지는 전파가 치명적 목표(10⁻⁹/FH, 2~6석 Basic은 10⁻⁸/FH)를 넘지 않으려면 개시된 사건의 전파 확률이 얼마 이하여야 하는가. 개시율 10⁻⁷/셀·년이면 기체 1 FH당 개시 1.45×10⁻⁶이므로 전파 확률은 6.9×10⁻⁴ 이하여야 한다. 개시율은 설명용 가정이며 근거 문헌을 읽지 못했다.

개시율이 $10^{-7}$/셀·년이어도 기단 333대에서 연간 0.7회의 개시가 있고, 이 사건의 전파 확률을 6.9×10⁻⁴ 아래로 낮춰야 치명적 목표를 만족한다. 개시율의 근거는 읽지 못해서 값 자체를 믿어서는 안 되며, 읽어야 할 것은 개시율이 $10^{-8}$에서 $10^{-6}$으로 100배 늘면 허용 전파 확률이 100배 줄어든다는 비례관계와 셀 수 $N$이 늘수록(셀 에너지가 작거나 용량이 클수록) 요구가 엄격해진다는 점이다. 설계는 개시 사건이 일어난다는 전제에서 출발한다.

15.5.3.3 이 확률을 시험으로 입증할 수 있는가

무고장 시험으로 신뢰도 $R$을 신뢰 수준 $C$로 입증하려면 필요한 시험 횟수는 $n=\ln(1-C)/\ln R$이다.

실패 확률 $1-R$0.10.010.001$6.9\times10^{-4}$0.0001
필요한 시험, 신뢰도 90 %222292,3013,28823,025
필요한 시험, 신뢰도 95 %282982,9944,27829,956
10−4 10−3 10−2 10−1 101 102 103 104 105 허용하는 실패 확률 1−R 필요한 무고장 시험 횟수 6.9×10⁻⁴: 3,288회 신뢰도 90 % 신뢰도 95 %
무고장(실패 0회) 시험으로 신뢰도 R을 신뢰 수준 C로 입증하려면 n=ln(1−C)/ln R회의 시험이 필요하다. 실패 확률 1 %는 90 %에서 229회, 0.1 %는 2,301회, 앞 그림의 요구 6.9×10⁻⁴는 3,288회이다. 이 횟수의 전파 시험을 하는 것은 비현실적이어서 인증은 통계적 입증이 아니라 설계 근거(분석·부분 시험·격리 구조)로 전파 확률을 낮춘다고 해석한다.

$6.9\times10^{-4}$의 전파 확률을 90 %로 입증하려면 팩 열폭주 전파 시험을 3,288번 해야 하고, 95 %면 4,278번이다. 이것은 현실적이지 않다. 그래서 인증은 통계적 입증이 아니라 설계 근거(전파 해석과 부분 시험으로 확인한 장벽, 계통 사이 격리 구조, 개시율을 낮추는 제조·감시)로 전파 확률이 충분히 낮다고 논증한다고 해석한다. FAA·EASA의 조문은 시험 횟수를 정하지 않고 '한 구성품의 고장이 다른 계통의 에너지를 잃게 하지 않을 것'이라는 구조적 요구를 둔다. 이 장은 개별 인증에서 실제로 어떤 시험·해석으로 입증하는지는 읽지 못했다(확인 필요, 9.20.6의 DO-311A 열폭주 시험 구조 참조).

15.5.4 규제와의 연결

  • EASA·FAA의 대응. 15.5.2.2의 표와 같다. 두 기준은 계통 독립·저장 계통의 격리·에너지 표시·제거 수단·비상 착륙 때의 보존을 같은 구조로 요구하고, FAA는 충전 계통(JS4.2430(c))과 최초 대응자를 명시했다.
  • 개별 기체 기준. FAA의 기준은 Joby JAS4-1 한 모델의 기준이다(특별 등급 21.17(b), 14.25.2.2·17.7). 다른 모델의 기준은 같지 않을 수 있다(확인 필요).
  • 비행 교범과 운항. 배터리 이상 때의 절차는 비행 교범에 들어간다(JS4.2620(a)(5)). 운항 절차와 착륙지 선택은 15.14·15.17가 다룬다.
  • 사용 중 감시. EASA VTOL.2510(c)는 Enhanced에서 고장이 위험·치명적 결과를 낳는 장비의 사용 중 감시 수단을 요구한다(15.4). 배터리 상태 감시(1.22)가 그 일부다(해석).
  • 한국. 한국의 배터리 인증·소방 규정은 읽지 못했다(확인 필요, 18.17·18.27).

15.5.5 설계·운용의 선택

  • ① 셀 크기. 셀 에너지가 작으면 열폭주 한 번의 열이 작아 전파 판정에 유리하나 셀 수가 늘어 개시 사건 빈도가 는다(15.5.3.2).
  • ② 모듈 장벽 대 에너지 밀도. 장벽은 무게와 부피를 차지한다. 흡수 비율 31 % 같은 요구가 팩 비에너지를 깎는다(15.3).
  • ③ 팩 수와 격리. 팩을 나누면 한 팩 고장의 영향이 작아지나 설치 용량이 $p/(p-1)$배다(15.4).
  • ④ 감시와 절차. 개시 징후(전압·온도·가스)를 일찍 감지해 가까운 착륙지로 가게 하면 확률 목표 뒤의 안전 여유가 된다.

견해: 배터리 인증의 중심은 '열폭주를 일으키지 않는다'가 아니라 '일으켜도 다음 층이 같은 사건을 막는다는 설계 근거'라고 본다. 근거는 15.5.3.2·15.5.3.3이다. 셀 수만 따지면 개시 사건은 기단에서 연간 한 번 안팎으로 일어나고, 그 전파 확률을 $10^{-4}$ 대로 입증하는 시험은 수천 번이 필요하다. 반론은 개시율의 실측이 낮으면 요구가 느슨해진다는 점이다. 그러나 개시율의 근거 자료가 부족한 단계에서는 층 사이 상관을 포함한 구조적 격리와 운용 중 개시율 모니터링을 함께 요구하는 편이 낫다고 본다.

15.5.6 세 축 비교

비교 축군용 드론민간 UASAAM(UAM·RAM·화물)
배터리 에너지해당 없음(군용 배터리는 다루지 않음)수 kWh 이하수백 kWh(NASA 전기 쿼드로터 370 kWh)
안전 근거—운용 위험평가·운송 규격(9.20)감항 기준의 계통 독립, 층별 방어
핵심 변수—셀 품질, 충전 관리전파 확률, 셀 수, 격리 구조
병목—운송·보관(14.27)전파 입증, 개별 기준

15.5.7 관련 규격·프로토콜

문서발행무엇을 정하나상세 장
감항 기준 JAS4-1(JS4.2430 등)미국 연방항공청Joby 한 모델의 에너지 계통 기준17.7
SC-VTOL-01 VTOL.2430EASA소형 VTOL의 에너지 저장·분배 기준17.14
DO-311ARTCA항공기 탑재 이차 전지의 열폭주 시험 등9.20
UN 38.3·IEC 62133UN·IEC운송 시험·셀 안전9.20
AC 20-184미국 연방항공청탑재 리튬 배터리 설치 지침(본문 읽지 못함)9.20

15.5.8 관련 규제·인증 요구와의 연결

이 장의 내용일으키는 규제·인증 요구장
계통 독립JS4.2430(a)(1), VTOL.2430(a)(1)17.7·17.14
열폭주 전파DO-311A 시험, 설계 근거9.20
충전 계통JS4.2430(c), 충전 규격14.27·9.20
비상 착륙 때의 보존(a)(6) 탑승자·최초 대응자15.7·15.11
이상 시 절차비행 교범 JS4.2620(a)(5)15.14·15.17
사용 중 감시VTOL.2510(c)15.22

15.5.9 함정과 한계

오해실제더 볼 곳
열폭주는 드물어서 대비가 덜 필요하다기단에서는 연간 한 번 안팎일 수 있다(가정)15.5.3.2
시험으로 전파 확률을 입증한다$6.9\times10^{-4}$는 3,288회 시험이 필요하다15.5.3.3
열전도만 막으면 전파가 멈춘다가스·불꽃·단락의 영향이 있다15.5.3.1
두 기준이 모든 모델에 같다FAA의 기준은 Joby 한 모델의 것이다15.5.4
이 장의 개시율은 실측이다설명용 가정이다15.5.1
한국도 같다읽지 못했다15.5.4

15.5.10 체크포인트·연구 질문

체크포인트

  1. VTOL.2430과 JS4.2430의 계통 독립 요구와 FAA가 밝힌 배터리 제어·관리 계통의 위치를 설명할 수 있는가?
  2. 열폭주 전파 판정식에서 필요한 장벽 흡수 비율을 구할 수 있는가?
  3. 셀 수·개시율·연간 비행 시간에서 요구되는 비전파 확률을 계산할 수 있는가?
  4. 무고장 시험으로 실패 확률을 입증하는 데 필요한 시험 횟수를 구할 수 있는가?
  5. 층별 방어에서 층 사이 상관이 중요한 이유를 설명할 수 있는가?

연구 질문(25.7에 모은다)

  • 상용 셀의 현장 열폭주 개시율의 실측 분포는 제조 품질과 열화에 따라 어떠한가?
  • 모듈 장벽의 열 흡수 비율을 시험하는 방법과 불확실성은 어떻게 정량화되는가?
  • 개별 모델의 감항 기준(Joby 외)은 에너지 계통 요구에서 어떻게 다른가?
  • 층별 방어의 층 사이 상관을 정량화하는 방법은 무엇인가?

1차 출처(이 장)

  • FAA, Airworthiness Criteria: Special Class Airworthiness Criteria for the Joby Aero, Inc. Model JAS4-1 Powered-Lift, 89 FR 17230 (2024-03-08), Docket FAA-2021-0638
  • EASA, SC-VTOL-01 Issue 1 (2019-07-02) — VTOL.2430, VTOL.2510
  • Silva, C. 외, NASA (2018) — 표 3(15.3)

다음 장: 15.6 eVTOL 비행제어와 조종 개념 — 계통 독립이 비행 제어 소프트웨어와 조종 방식에서 어떻게 나타나는지 다룬다.