제2부 비행제어·항공전자·감시

2.6 비상 대응 자동화: 지오펜싱·자동 귀환·비상 착륙·비행 종료 시스템

2.6.1 이 장에서 배우는 것 / 선수 지식 / 특히 중요한 독자

2.5이 "고장을 알아내고 남은 능력으로 다시 나는 법"이었다면, 이 장은 그 위의 마지막 방어선이다. 링크가 끊기고, 배터리가 모자라고, 정해진 구역을 벗어나고, 제어를 잃었을 때 사람이 개입하지 않아도 기체가 스스로 무엇을 하는가를 정한다. 이 장은 방어와 설계의 관점으로만 작성한다. 지오펜스나 비행 제한을 우회·해제하는 절차는 다루지 않는다.

배우는 것:

• 비상 상황의 분류와 대응 계층 — 경고, 귀환, 현위치 착륙, 비행 종료의 사다리와 단계를 올리는 기준.
• 지오펜싱의 설계 — 소프트웨어 펜스와 독립 하드웨어 펜스, 수평·수직 경계, 완충 폭을 정지·선회 거리에서 계산하는 법.
• 자동 귀환(RTL)의 논리 — 귀환에 필요한 에너지가 거리와 바람에 따라 어떻게 변하고, 고정 비율 경보가 왜 어긋나는지, 귀환 불가점.
• 비상 착륙지 선택 — 도달 가능한 영역과 지상 위험의 곱으로 고르는 법.
• 비행 종료 시스템(FTS)의 독립성 — 무엇을 나눠야 독립인가, 종료 수단은 무엇이고 어디까지 다루는가.
• 오종료 대 미종료의 교환 — 자동 종료가 이득이 되는 조건을 기대 손실로 계산한다.

선수 지식: 고장 탐지와 안전 상태 전이(2.5), 임무 에너지 모형과 예비(1.26), 비상 회수 장치(1.30), 멀티콥터의 모터 상실 거동(1.7.5). 링크 설계는 3.11이 맡는다.

특히 중요한 독자: 엔지니어는 2.6.4.2와 2.6.5의 계산을 자기 기체로 다시 돌린다. 인증 담당자와 법무 담당자는 2.6.8·2.6.13을 본다. 비행 종료 장치의 독립성이 승인 조건이 되는 경우가 많다. 사업 담당자는 2.6.9를 본다. 오종료가 비용이 되는 지점이 나온다. 정책 담당자는 2.6.11의 표만 읽어도 된다.

기준 시점과 정직성. 이 장은 2026년 10월 기준이고 집필에 사용한 지식은 2026년 중반까지다. 수치 예시는 1.26의 가상 6 kg 결합형(1.11.7)과 이 장이 가정한 값으로 계산한 설명용이며 제품 성능이 아니다. 계산은 파이썬(math)으로 돌렸다. 법령·표준 번호와 판은 확인한 것만 단정했고 나머지는 (확인 필요)로 표시했다. 군 체계의 구체 제원은 공개 자료 범위로만 다룬다.

2.6.2 개념·직관 — 비상 대응은 사다리다

비상 대응은 약한 것부터 시도하고, 막히면 한 단계 강한 것으로 올라가는 구조로 짠다. 아래 그림은 네 단계다. 단계가 내려갈수록 대응이 강해지고 되돌릴 수 없는 것이 늘어난다. 경고와 귀환은 임무와 에너지를 잃을 뿐 기체는 보호한다. 비행 종료는 기체를 잃는 대신 지상 위험을 가둔다.

사다리가 필요한 이유는 하나의 대응으로 모든 비상을 포괄할 수 없기 때문이다. 링크가 끊겼을 뿐이면 귀환이 맞다. 귀환 에너지가 모자라면 현위치 착륙이 맞고, 제어를 잃었으면 어느 착륙도 불가능해 낙하산이나 종료가 맞다. 상황에 맞지 않는 대응은 비상을 키운다. 에너지가 모자란 기체를 멀리 귀환시키면 가는 도중에 떨어진다.

세 축은 사다리를 다르게 사용한다.

2.6.3 비상 상황 분류와 트리거

비상은 여섯 갈래로 분류한다. 각 상황의 검출 방법과 기본 대응이 사다리의 어느 단에 놓이는지를 정해 둔다.

한 번에 여러 비상이 동시에 발생하는 일이 흔하다. 링크 상실 중에 배터리가 줄고, GNSS를 잃은 채 귀환하다 에너지가 모자란다. 그래서 상황마다 따로 대응을 짜지 않고 가장 강한 요구에 맞춰 사다리의 단을 고른다. 중복이 만드는 모순도 설계에서 미리 푼다. 링크 상실 때는 귀환 경로를 알려 줄 사람이 없고, GNSS 상실 때는 귀환 경로를 따라갈 위치가 없다. 이런 조합에서는 가장 안전한 행동이 귀환이 아니라 현위치 착륙일 수 있다.

2.6.4 지오펜싱 — 구역을 준수하는 두 가지 방법

2.6.4.1 소프트웨어 펜스와 독립 하드웨어 펜스

지오펜스는 기체가 있어도 되는 3차원 구역을 정해 두고 경계 가까이에서 막는 기능이다. 두 구현이 있다.

두 구현은 경쟁이 아니라 층이다. 안쪽 경계는 소프트웨어 펜스가 부드럽게(정지·귀환) 막고, 바깥 경계는 독립 펜스가 종료로 막는다. 이 층 구조가 2.6.2의 사다리와 같은 논리다. 구역 정의는 수평 다각형과 수직 상한·하한의 곱이다. 수직 경계는 상한(공역 한계)과 하한(장애물 위)이 있고 경계를 넘는 판정은 기압 고도가 아니라 기하 고도(GNSS)로 하는 경우가 많아 서로 어긋나지 않는지 확인해야 한다(2.8.8).

운용 구역은 JARUS의 위험 평가(SORA)에서 3중으로 구분된다. 정상 비행이 일어나는 비행 지리(flight geography), 비정상 때 기체가 머물 수 있는 우발 구역(contingency volume), 그 둘을 합친 운용 구역(operational volume), 그리고 그 밖에서 지상 위험을 막는 지상 위험 완충 구역(ground risk buffer)이다(SORA 2.5 구조, 상세는 17.17). 펜스는 이 층들의 경계를 기체가 실제로 준수하게 하는 기술 수단이다.

2.6.4.2 완충 폭을 계산한다

펜스에 닿고 나서 막으면 이미 늦다. 펜스는 경계 안쪽에 완충 폭을 두고 건다. 완충 폭은 판정이 일어나는 순간부터 기체가 멈추거나 돌아서기까지 가는 거리와 위치 오차의 합이다.

$$d_{\text{완충}}=V\,t_r+d_{\text{정지}}+e_{\text{위치}},\qquad d_{\text{정지}}=\frac{V^{2}}{2a}\ \ (\text{멀티콥터}),\quad d_{\text{선회}}=\frac{V^{2}}{g\tan\phi}\ \ (\text{고정익})$$

$t_r$은 판정·지령·실행의 지연, $a$는 정지 감속도, $\phi$는 선회 경사각이다. 아래는 가정 값으로 계산한 결과다(파이썬). 2 kg 쿼드는 1.7, 결합형은 1.26의 6 kg 가상 기체, MALE은 1.1의 소형 MALE급 순항 40 m/s 가정이다.

읽을 것이 둘이다. 첫째, 고정익은 선회 반경이 속도의 제곱으로 커서 MALE급의 완충 폭이 쿼드의 12배다. 같은 펜스 설계 규칙이 크기에 따라 전혀 다른 값이 된다. 둘째, 결합형은 순항 중에는 멈출 수 없고 호버로 감속하려면 천이가 필요하다(10초에 약 70 m를 더 간다, 1.12.5). 구역이 완충 폭의 두 배보다 좁으면 펜스가 안쪽을 다 차지해 운용할 수 없다. 구역을 정할 때 이 계산을 먼저 해 본다.

2.6.4.3 방어 설계 — 펜스 자체를 믿어도 되는가

지오펜스가 의존하는 것은 위치 해와 구역 자료다. 위치가 틀리면(GNSS 교란·기만으로 위치가 어긋난 경우) 구역 안에 있는데 이탈로 판정하거나 반대로 이탈을 못 본다. 구역 자료가 바뀌면(변조된 펜스 파일) 엉뚱한 구역을 준수한다. 설계 쪽에서 사용하는 방어는 범주 수준에서 셋이다. ① 독립 항법·무결성 지표로 위치 해를 교차 확인한다(4.4·4.6). ② 구역 자료에 서명과 버전 검증을 붙이고 적재 이력을 남긴다(8.13). ③ 펜스 판정 실패 시 안전한 방향(귀환·정지)으로 가는 실패 안전 규칙을 둔다. 이 장은 우회 방법을 다루지 않으며, 위협 구조는 8.16에서 방어 관점으로 다룬다. 지오존 자료의 교환 형식은 9.14가 맡는다.

2.6.5 자동 귀환(RTL)의 논리

귀환 거리를 출발점까지의 직선이 아니라 이미 지나온 공간 위의 경로로 재야 하는 이유와 그 차이(지하 탐사에서 2배)는 7.14.6이 계산한다.

2.6.5.1 귀환 경로와 고도

귀환 경로는 세 방식이 있다. ① 상승 후 직행 — 정해 둔 귀환 고도로 오른 뒤 기지 위로 직선으로 간다. 단순하고 장애물 정보가 거의 필요 없다. ② 경로 역추적 — 온 길을 되다룬다. 장애물이 없다는 보장이 이미 있는 경로다. 대신 길고 느리다. ③ 지형·장애물 추종 경로 — 지도 위에서 새로 계획한다. 짧지만 지도와 위치가 맞아야 한다(7.2).

귀환 고도는 장애물 높이 + 여유보다 높아야 한다. 이 선택에서 흔한 오해는 "고도를 높이면 에너지가 든다"는 것이다. 6 kg 결합형이 귀환 고도를 60 m 높일 때의 위치에너지는 0.98 Wh이고 추진 효율 0.61로 나눠 1.6 Wh, 가용 에너지의 0.5 %다. 2 kg 쿼드가 50 m 오르는 데는 0.6 Wh 정도다. 에너지는 고도의 걸림돌이 아니다. 걸림돌은 공역 상한과 유인기와의 분리(14.20)다. 귀환 고도는 에너지가 아니라 규칙과 장애물이 정한다.

2.6.5.2 귀환에 필요한 에너지 — 고정 경보는 왜 어긋나는가

기지에서 $d$ km 떨어진 곳에서 귀환하는 데 필요한 에너지는 세 항의 합이다.

$$E_{\text{귀환}}(d,w)=d\,e(w)+E_{\text{착륙}}+E_{\text{예비}},\qquad e(w)=\frac{P_{\text{순항}}(V)}{V-w}\ \ [\text{Wh/km}]$$

$e(w)$는 정풍 $w$에서 순항 1 km당 에너지다(단위 환산 $\times\,1000/3600$ 포함). $E_{\text{착륙}}$은 하강·역천이·수직 하강에 드는 거리와 무관한 몫이다. 1.26의 6 kg 결합형(가용 에너지 345.6 Wh, 순항 대기속도 13.9 m/s)에서 $E_{\text{착륙}}=13.3$ Wh이고 최종 예비를 가용의 10 %(34.6 Wh)로 두었다. 정풍에 따른 $e(w)$는 다음과 같다.

정풍 8 m/s에서는 1 km의 에너지가 무풍의 2.4배다. 같은 비율이 1.26.5.2의 왕복 계산에서 나온 것과 같은 현상이다. 아래 그래프는 귀환에 필요한 잔량을 가용 에너지의 %로 그렸다.

고정 비율 경보(여기서는 30 %)는 거리와 바람을 보지 않는다. 30 % 경보가 충분한 최대 거리는 무풍 19.1 km, 정풍 4 m/s 13.6 km, 8 m/s 8.1 km다. 기지에서 10 km 떨어진 곳이면 무풍에서는 22 %만 있으면 돌아오는데 정풍 8 m/s에서는 34 %가 필요하다. 30 %에서 경보가 울려도 이미 늦다. 오토파일럿의 저배터리 경보는 잔량 비율만으로 정해지는 것이 보통이고 귀환 거리와 바람을 보지 못한다 (제품·버전별 확인 필요). 거리·바람·착륙 에너지를 넣은 귀환 가능 판정이 이 비율 경보를 대체해야 한다. 이 그래프는 속도를 고정했다. 정풍에서 속도를 올리면 일부를 되찾는다(1.26.5.2).

2.6.5.3 귀환 불가점

귀환 불가점(point of no return)은 더 나아가면 돌아올 에너지가 모자라는 지점이다. 왕로에 정풍 $w$이 있고 복로에서 같은 바람을 순풍으로 받는다면 가용 에너지 $E_{av}$로 갈 수 있는 편도 거리는 다음과 같다.

$$D_{\text{PNR}}=\frac{E_{av}}{e_{\text{왕}}+e_{\text{복}}},\qquad E_{av}=E_{\text{가용}}-E_{\text{착륙}}-E_{\text{예비}}$$

$E_{av}=297.7$ Wh로 계산한 값은 무풍 50.9 km, 왕로 정풍 4 m/s 46.6 km, 8 m/s 33.9 km다. 왕로 정풍이 8 m/s이면 귀환 불가점이 33 % 안쪽으로 들어온다. 비행 전에 계산해 임무 반경을 정하는 것이 정적 사용이다. 비행 중에는 현재 잔량에서 귀환 필요량을 뺀 여유($E_{\text{잔량}}-E_{\text{귀환}}$)를 계속 계산하고, 여유가 0에 가까워지면 귀환을 시작하거나 앞으로 갈 수 있는 착륙지를 찾는다. 이 계산에는 비행 고도의 바람 추정(2.8)과 배터리 잔량 오차(1.22)가 들어간다. 불확실성은 예비로 흡수한다(1.26.7).

2.6.6 링크 상실·GNSS 상실 절차와의 연결

링크 상실 절차의 핵심은 얼마나 기다리는가다. 짧으면 건물 뒤의 일시 끊김에 오귀환하고, 길면 그동안 기체가 계속 간다.

대기 시간 동안의 행동도 정해야 한다. 마지막 명령 유지, 호버, 직전 경로 계속 중에서 고르며 구역 안에 머물 수 있어야 한다(2.6.4). 링크가 돌아오면 자동으로 이전 모드로 복귀하지 않고 조종사가 상황을 확인한 뒤 넘겨받는 편이 오작동 명령으로부터 안전하다. 링크 설계 쪽의 다중화와 링크 상실 절차는 3.11이 맡는다.

유인기와 공역을 나누는 경우에는 관제에 링크 상실을 알리는 수단이 있다. 무인기의 링크 상실을 알리는 트랜스폰더 코드 7400이 그 예다. 미국 FAA의 통지(2016)와 영국 CAA의 CAP 493 개정이 이 코드를 다룬다고 확인된다. 국가별 관행이고 ICAO 전 세계 표준으로 정착했는지와 시행 상태는 확인하지 못했다 (확인 필요). 감시와 식별은 2.13·9.12이 다룬다.

GNSS 상실 때는 위치가 없으므로 귀환 경로를 따라갈 수 없다. 관성 항법으로 버틸 수 있는 시간은 위치 오차가 허용 값에 닿는 시간이다. 관성 오차는 시간의 제곱·세제곱으로 자라므로 한 시점의 성장률로 나누면 낙관적이고, 그 시간을 직접 풀어야 한다(4.3.7.2·4.4.8.2). 시각 항법(4.7)이 사용할 수 있는 구역이면 귀환하고, 그렇지 않으면 현위치에서 낮은 고도로 착륙하는 것이 맞다. 대체 항법의 구성은 제4부가 다룬다.

2.6.7 비상 착륙지 선택 — 도달할 수 있는 곳 중 가장 덜 위험한 곳

결론부터: 비상 착륙지는 먼저 도달 가능한 영역을 구하고, 그 안에서 지상 위험이 가장 작은 곳을 고른다. 도달 가능 영역은 기체와 상태가 정한다. 고정익 계열이 순항 중 동력을 잃으면 활공 거리가, 멀티콥터는 남은 에너지로 갈 수 있는 거리가 정한다. 6 kg 결합형이 순항 속도(13.9 m/s, 양항비 10.3)로 활공할 때 도달 거리는 다음과 같다(파이썬).

풍상으로는 반 이하로 줄고 풍하로는 1.6배로 늘어난다. 도달 영역은 원이 아니라 바람 쪽으로 찌그러진 원이고, 후보지는 풍하 쪽으로 몰려야 한다. 멀티콥터는 동력이 살아 있는 한 호버·전진이 가능하므로 에너지가 영역을 정한다. 낙하산에 맡기는 경우의 표류는 1.30.5.4가 다룬다.

도달 가능한 후보 가운데에서는 지상 위험으로 순위를 매긴다. 한 번 떨어졌을 때의 예상 사상자 수는 후보지의 사람 밀도 $\rho$와 기체의 치사 면적 $A_{\text{치사}}$의 곱으로 어림한다(상세한 모형은 8.6).

$$E_c\approx\rho\,A_{\text{치사}}$$

치사 면적을 1.5 m²(가정)로 두고 후보지 네 곳을 비교한 예다.

후보지끼리 두 자릿수 이상 차이가 난다. 가까운 도로보다 먼 농경지를 고르는 것이 맞는 경우가 많고, 이는 단순한 "가장 가까운 곳"이 아니다. 사람 밀도는 시간대와 날짜에 따라 달라지므로 사전 지정 착륙지 목록(오토파일럿이 지원하는 랠리 포인트 등 (제품·버전 확인 필요))을 임무 계획에 넣고(16.3) 비행 중에는 영상으로 점유 여부를 확인한다. NASA 랭글리 연구센터의 Safe2Ditch는 기체의 남은 제어 능력과 배터리, 사전 적재한 안전 착륙 구역 자료로 착륙지를 고르고 접근하며 영상으로 비어 있는지 확인하는 개념의 시연이다(공개 자료, 성능은 확인 필요).

AAM에서는 이 선택이 대체 착륙지와 항로 설계로 올라간다. 항로 전체에서 수직 모드로 착륙할 곳이 있다는 보장이 예비 에너지 요건과 연계된다(1.26.6·15.12).

2.6.8 비행 종료 시스템(FTS) — 마지막 방어선의 독립성

2.6.8.1 무엇이고 무엇을 종료하는가

비행 종료 시스템은 기체를 더는 제어할 수 없을 때, 지상에 닿는 위험을 제한하는 쪽으로 기체의 에너지를 없애는 장치다. 종료 수단은 기체 형상에 따라 다르다.

장치 설계(낙하산·점화기)는 1.30, 종료 시 기체 파괴를 일으키는 수단은 이 책의 범위 밖이다. 이 장은 언제 어떤 논리로 종료를 걸고, 그 논리를 어떻게 독립시키는가만 다룬다. 군 시험장·사격장의 비행 종료는 구역 밖으로 나가는 시험체를 종료해 안전 구역을 보호하는 목적이다. 그 요건이 독립성·신뢰도·시험을 표준화한 것이 RCC 319(Range Commanders Council, 비행 종료 체계 공통 표준)이며, 최신 판은 2025년 6월 319-25로 확인된다 (판 확인 필요). 민간 소형 UAS의 FTS는 이 개념을 낮은 비용으로 줄인 것이다.

2.6.8.2 독립 구조

FTS가 쓸모 있으려면 주 계통이 고장 나는 바로 그 상황에서 작동해야 한다. 따라서 주 계통의 고장 원인을 공유해서는 안 된다.

독립의 값은 1.16.7.1의 식 $\lambda_{sys}=\lambda_p[(1-\beta)q+\beta]$에 넣으면 보인다. 제어를 잃는 사건률을 $\lambda_p=10^{-4}$/비행시간, FTS가 놓칠 확률을 $q=10^{-2}$로 두면 시스템이 제어를 잃은 채 종료가 안 되는 사건률은 공통 원인 비율 $\beta=0.1$(전원·센서 공유)에서 $1.1\times10^{-5}$, $\beta=0.01$에서 $2.0\times10^{-6}$, 완전 독립에서 $1.0\times10^{-6}$이다. 독립성에 투자해 5배를 얻는다. FTS를 잘 만드는 일의 반은 FTS를 얼마나 잘 분리하느냐다.

트리거는 네 가지다. ① 지상의 수동 명령. ② 주 컴퓨터의 생존 신호 상실(워치독). ③ FTS의 독립 센서가 보는 자세·하강률·고도 한계(예: 자세가 60도(가정)를 넘은 채 일정 시간 지속, 모터 상실 직후의 일시적 이탈은 2.5.7처럼 10도 안팎이라 걸리지 않는다). ④ 독립 하드웨어 펜스의 경계 이탈. ③과 ④는 주 컴퓨터를 거치지 않고 FTS가 스스로 판단하므로 주 계통이 틀려도 걸린다. 한편 FTS에 들어가는 명령 링크가 새로운 공격 경로가 될 수 있다. 종료 명령은 인증·암호화하고 재전송을 막는다(범주 수준, 상세는 8.16).

2.6.9 오종료 대 미종료의 교환

자동 종료는 두 방향으로 틀린다. 필요 없는데 걸리는 오종료와 필요한데 안 걸리는 미종료다. 둘은 2.5.5.3의 오경보 대 미탐과 같은 교환이다. 여기서는 비용으로 비교한다. 오종료 한 번의 비용을 $c_{fp}=1$(기체를 잃고 낙하 지점의 작은 위험)로 두고, 필요한 때 못 걸어 생기는 비용(제어 못 한 채 사람 위에 낙하)을 $c_{miss}=50$(가정)으로 둔다. 제어 상실 사건률 $\lambda_{need}=10^{-4}$/비행시간, 자동 FTS의 탐지 확률 $P_D=0.99$, 자동 장치가 없을 때 원격 조종사가 제때 대처하지 못할 확률 $q_{op}=0.5$(링크 지연·상실 포함, 가정)로 한다. 오종료율을 $\lambda_{fa}$라 하면 비행시간당 기대 손실은 다음과 같다.

$$L_{\text{자동}}=\lambda_{fa}\,c_{fp}+\lambda_{need}(1-P_D)\,c_{miss},\qquad L_{\text{조종사만}}=\lambda_{need}\,q_{op}\,c_{miss}$$

자동이 이득인 조건은 $L_{\text{자동}}<L_{\text{조종사만}}$이고, 풀면 오종료율의 손익분기가 나온다.

$$\lambda_{fa}^{*}=\lambda_{need}\,\big(q_{op}-(1-P_D)\big)\,\frac{c_{miss}}{c_{fp}}$$

읽는 법: 비용비가 50이면 필요한 사건 하나당 오종료 24건까지는 자동 종료가 이득이다. 오종료율이 $10^{-2}$/비행시간이면 이득이 사라진다. 경보가 울렸을 때 그것이 진짜일 확률은 $P(\text{필요}\mid\text{경보})=\lambda_{need}P_D/(\lambda_{need}P_D+\lambda_{fa})$이고, $\lambda_{fa}=10^{-4}$에서 50 %, $10^{-3}$에서 9 %, $10^{-2}$에서 1 %다. 경보 대부분이 가짜인 설계에서도 자동 종료가 이득일 수 있는 이유가 비용비다. 한편 오종료가 사람 위에서의 낙하를 낳는다면 $c_{fp}$ 자체가 커져 비용비가 줄어든다.

스위스 사고조사위원회가 조사한 사례(1.30.7)는 자동 종료가 작동한 뒤 낙하산 줄이 끊긴 경우였다. 이는 오종료도 미종료도 아닌 종료 수단 자체의 실패다. 판정의 정확성만큼 종료 수단의 신뢰도(1.30)가 중요하다. 위 계산은 가정된 값이므로 비율을 읽는 도구로만 사용한다. 실제 사건률과 비용비는 사고 데이터(8.24·8.25)와 위험 모형(8.6)이 정해야 한다.

2.6.10 설계 트레이드오프 — 누가 비상을 결정하는가

① 사람 중심. 링크가 살아 있는 한 원격 조종사가 비상을 판단한다. 자동은 링크 상실 때의 귀환 정도로 최소화한다. 단순하고 오종료가 적다. 대가는 링크 지연·상실 때의 공백이고, 사람이 1대 이상을 볼 때 반응이 늦어지는 것이다. 소형 취미·촬영용과 유인 AAM의 조종사 비상 절차가 이 방식이다.

② 자동 계층. 사다리(2.6.2)를 정해 둔 시간·조건으로 자동으로 올라간다. 시험·입증이 쉽고 동작이 예측 가능하다. 대가는 상황에 맞지 않는 대응(에너지 부족인데 귀환)이 나오는 것이다. 대부분의 상용 오토파일럿이 이 방식이다.

③ 상황 적응형. 에너지·위험·지형·도달 영역을 계산해 대응을 고른다(2.6.5·2.6.7). 효율적이고 안전하지만 소프트웨어가 복잡하고 인증 입증이 어렵다. BVLOS·1:N 운용과 사람 위 운용이 이쪽으로 간다(14.15·14.16).

견해: 기본 구조는 ②로 두고 귀환 가능 판정(2.6.5.2)과 비상 착륙지 선택(2.6.7)만 ③으로 올리는 것이 낫다고 본다. 근거는 두 가지다. 첫째, 계층의 틀(단 순서와 조건)은 입증이 쉽다. 그 위에서 가장 큰 오류의 원천인 고정 비율 경보를 계산 기반으로 바꾸는 효과가 크다(8 km에서 30 %가 이미 늦다). 둘째, ③ 전체를 적응형으로 하면 비상 때의 동작이 상황마다 달라져 사고 뒤에 왜 그랬는지 설명하기 어렵다(8.23). 반대로 임무 환경이 단순하고 운용자가 숙련된 곳에서는 ①이 오종료를 가장 적게 낸다. 선택은 비용비(2.6.9)와 승인 조건이 정한다.

2.6.11 세 축 비교

2.6.12 관련 규격·프로토콜

군 규격과 시험장 규격의 지형은 9.1·9.2에 있다. 유료·비공개 규격은 구조와 요지만 적었다.

2.6.13 관련 규제·인증 요구와의 연결

비상 대응의 규제 접점은 설계 선택이 입증해야 하는 요구다. 어떤 대응을 사용하는지는 설계 판단이지만, 승인은 그 대응이 의도한 대로 동작함을 보이라고 요구한다(20.6).

2.6.14 함정과 한계

한계도 밝힌다.

• 가정 기체의 계산이다. 귀환 에너지는 6 kg 가상 결합형의 순항 모형이고 상승·바람 변화·배터리 전압 강하(1.26.6)은 고정 항으로 처리했다. 순항 속도 변경으로 정풍 손실을 일부 되찾는 효과는 넣지 않았다.
• 비용비와 사건률은 가정이다. 실제 값은 위험 모형과 사고 데이터가 정해야 한다.
• 완충 폭은 직선 접근의 단순 모형이다. 경계에 비스듬히 접근하는 경우, 돌풍, 선회 중 속도 손실은 넣지 않았다.
• 미해결. 인증이 요구하는 FTS 독립성의 정량 기준, 귀환 가능 판정의 불확실성(바람·잔량) 처리를 어떻게 입증하는가, 사람 밀도의 시간 변동을 실시간으로 사용할 수 있는 자료원은 열려 있다.

2.6.15 체크포인트·연구 질문

체크포인트

1. 비상 대응 사다리의 네 단계를 작성하고, 각 단계에서 잃는 것과 되돌릴 수 있는지를 말하라.
2. 2 kg 쿼드와 MALE급 고정익의 지오펜스 완충 폭 차이가 큰 이유를 식으로 설명하라.
3. 기지에서 10 km 떨어진 곳에서 정풍 8 m/s일 때 귀환에 필요한 잔량이 무풍보다 얼마나 늘어나고, 고정 30 % 경보가 왜 늦는지 말하라.
4. 귀환 불가점 $D_{\text{PNR}}$의 식을 세우고 왕로 정풍이 커질 때 어떻게 변하는지 설명하라.
5. FTS가 주 계통과 나눠야 하는 다섯 가지를 들고, 독립이 사건률에 주는 효과를 1.16.7.1의 식으로 어림하라.
6. 오종료율의 손익분기 $\lambda_{fa}^{*}$를 유도하고 비용비 50일 때의 값을 구하라.

연구 질문(25.7에 모은다)

1. 귀환 가능 판정의 입증 — 바람 추정과 잔량 추정의 불확실성을 예비로 흡수하는 방식이 오귀환과 늦은 귀환을 얼마나 줄이는가? 소형 UAS의 실제 비행 로그로 정량화할 수 있는가?
2. FTS 독립성의 기준 — 소형 UAS의 FTS가 갖춰야 할 독립성(전원·처리·수신)의 최소 요건을 위험 수준별로 어떻게 정할 수 있는가? 시험장 FTS 표준(RCC 319)의 개념 가운데 어떤 것이 이식 가능한가?
3. 실시간 지상 위험 지도 — 휴대전화 신호·교통 자료 같은 시간 변동 밀도 자료를 비상 착륙지 선택에 사용하는 것이 프라이버시(18.17)와 신뢰도 면에서 허용 가능한가?
4. 오종료의 사회적 비용 — 자동 종료의 오종료가 만든 사람 위 낙하 사건의 공개 자료가 부족하다. 사건 보고(8.24)에서 어떻게 모을 수 있는가?

1차 출처(이 장)

• JARUS, SORA 2.5 (Specific Operations Risk Assessment) — 운용 구역·지상 위험 완충 구역 개념(jarus-rpas.org).
• Range Commanders Council, RCC 319 Flight Termination Systems Commonality Standard (판 확인).
• EUR-Lex, Commission Delegated Regulation (EU) 2019/945 및 Implementing Regulation (EU) 2019/947 (조항 확인).
• ICAO, Manual on Remotely Piloted Aircraft Systems (RPAS), Doc 10019 (내용 확인).
• Beard, R. W.; McLain, T. W., Small Unmanned Aircraft: Theory and Practice, Princeton University Press, 2012 — 항법·경로 개념.
• NASA Langley Research Center, Safe2Ditch 공개 자료(NASA NTRS) — 시연 보고서 확인.
• 이 책 1.11.7·1.26(가상 6 kg 결합형의 에너지 모형), 1.16.7.1(공통 원인).

출처를 찾고 판을 추적하는 방법은 0.9에서 다룬다.

다음 장: 2.7에서 착륙을 다룬다. 비상 착륙이 "아무 데나 내리는 것"이라면 정밀 접근은 정해진 좁은 자리에 정확히 내리는 일이다. 함상 갑판의 운동, 이동 플랫폼, 버티포트의 열화된 GNSS 아래에서 착륙 위치 오차를 어떻게 버짓으로 쪼개고 착륙 창을 읽는지 본다.