제2부 비행제어·항공전자·감시
2.9 항공전자 구조와 탑재 컴퓨팅: IMA·SWaP·엣지 AI
2.9.1 이 장에서 배우는 것 / 선수 지식 / 특히 중요한 독자
앞 장들은 기체와 추진·전력·열을 다뤘다. 이 장은 그 위에서 계산하고 판단하고 연결하는 전자 계통, 곧 항공전자(avionics)의 구조를 다룬다. 무엇을 어디서 계산하느냐는 선택 하나가 무게·전력·고장이 번지는 길·인증 증거의 양을 한꺼번에 정한다. 최근에는 카메라 영상을 기체 안에서 처리하는 에지 AI가 전력과 열이라는 새 비용을 들여왔다. 이 장은 그 비용을 체공 시간으로 환산한다.
배우는 것:
- 구조의 선택 — 연합형(기능마다 박스)과 통합 모듈형(IMA)이 각각 무엇을 얻고 무엇을 잃는가.
- 파티셔닝과 공유 자원 — 시간·공간 분할이 보장하는 것과, 멀티코어에서 깨지는 곳.
- 기체 내부 버스 — 센서 비트율과 버스 용량을 맞춰 보고 영상 경로와 제어 경로를 나눠야 하는 이유.
- 탑재 컴퓨팅의 선택 — MCU·응용 SoC·FPGA·GPU 모듈·AI 가속기를 비행 중요 기능과 임무 기능에 어떻게 배치하는가.
- SWaP의 연쇄 — 전력이 열이 되고, 열이 방열판 질량이 되어, 배터리를 잠식하는 계산. 에지 AI 5·15·30 W의 체공 비용.
- 환경과 보증 — 온도 등급, 대기 중성자에 의한 단일사건효과, DO-254·DO-297·멀티코어 지침.
선수 지식: 보조 전력이 체공을 깎는 계산(1.9.6), 결합형의 호버·순항 에너지 모형(1.11.5.2·1.11.7), 쿼드콥터 호버 동력(1.7.7.1), 열 경로와 냉각 방식(1.25.4·1.25.6), 방진과 센서 진동(1.29.5). 소프트웨어 쪽(실시간 운영체제(RTOS)·파티션 구현)은 2.10, 버스 규격은 9.4, 온보드 영상 처리 알고리즘은 6.11·6.12, 인터페이스 관리는 8.3, 에지 AI 하드웨어 상세는 자매서 nvidia(NV)가 맡는다.
특히 중요한 독자: 엔지니어는 2.9.7·2.9.8의 계산을 직접 해 본다. 사업 담당자는 2.9.8의 두 표와 2.9.11의 선택지를 본다. 인증 담당자는 2.9.4·2.9.10을 읽는다. 상용 부품과 멀티코어가 인증 증거를 어떻게 바꾸는지가 거기 있다. 정책·법무 담당자는 2.9.12의 비교표와 2.9.14만 읽어도 된다.
기준 시점과 정직성. 이 장은 2026년 10월을 기준으로 작성한 기술 장이며 지식은 2026년 중반까지다. 계산 예(2 kg 쿼드콥터·4 kg 고정익·6 kg 결합형)는 앞 장의 가상 기체이고 컴퓨팅 모듈·방열판의 값은 이 장이 세운 가정이다. 특정 제품의 제원이 아니다. 전력 등급(5·15·30 W)은 모듈의 종류가 아니라 계산을 위한 눈금이다. 규격 번호와 판은 확인한 것만 적었고 나머지는
(확인 필요)로 두었다. 수치는 파이썬(math)으로 계산했다.
2.9.2 개념·직관 — 항공전자는 박스가 아니라 자원을 나눠 사용하는 규칙이다
항공전자 구조의 핵심 질문은 하나다. 컴퓨팅·통신·전원·냉각이라는 네 자원을 기능들이 어떻게 나눠 사용하는가. 많이 나눠 쓸수록 가볍고 값싸고 고치기 쉽다. 그러나 한 기능의 문제가 이웃 기능으로 번질 길이 생긴다. 안 나눌수록 고장이 갇히지만 무겁고 배선이 늘어난다. 이 장은 그 균형을 세 층에서 본다. 구조(연합형과 IMA), 계산 자원(컴퓨팅의 선택과 SWaP), 보증(어떤 증거로 격리를 입증하는가)이다.
결론부터: 구조는 세 가지를 정한다. 고장이 퍼지는 경로(한 박스가 죽으면 무엇을 잃는가), 인증 증거의 양(격리가 설계 성질인가, 입증해야 할 주장인가), 체공을 깎는 전력과 질량이다. 소형 기체에서는 마지막 항목이 지배적이고, 사람이 타는 기체에서는 앞의 둘이 지배적이다.
세 축에서 요구가 이렇게 달라진다.
- 군용 드론은 크기·무게·전력(SWaP)의 한도가 가장 빡빡하고 환경(온도·진동·EMI) 등급이 높다. 소형 소모성 기체는 보드 한두 장이고, 대형 MALE·HALE은 이중·삼중 비행 컴퓨터와 임무 컴퓨터를 두며 개방형 구조(9.11)로 임무 장비를 바꿔 끼운다. 공급망과 국산화도 구조 선택에 들어간다.
- 민간 UAS는 오토파일럿 보드 하나에 필요하면 컴패니언 컴퓨터를 추가한다. 값과 개발 속도가 우선이라 상용 부품(COTS)을 사용하고, 감항 증거 대신 운용 승인과 운용 한계로 위험을 관리하는 경우가 많다.
- AAM은 유인기 수준의 구조다. 비행 중요 기능은 이중·삼중으로 두고, 객실·서비스 기능과 분리한다. 처리 장치마다 개발 보증 수준(DAL)이 붙고, IMA를 사용하면 DO-297의 증거 체계를 따른다.
2.9.3 구조의 진화 — 연합형에서 통합 모듈형까지
2.9.3.1 연합형 — 기능마다 박스 한 개
연합형(federated)은 기능마다 전용 박스(LRU, 현장 교환 단위)를 두는 구조다. 박스마다 자기 처리기·전원·커넥터가 있다. 고장 경계가 박스라서 물리적으로 분명하고, 공급자가 박스를 독립적으로 개발·인증할 수 있다. 한 기능을 바꿔도 다른 박스는 건드리지 않는다. 오랫동안 항공기가 이 방식이었다.
대가는 규모에서 나온다. 기능이 $N$개면 박스·전원·커넥터·설치 공간이 $N$배로 늘고, 박스마다 처리 여유를 따로 남겨 두므로 전체 활용률이 낮다. 기능을 더하려면 박스를 더하고 배선을 늘려야 한다.
2.9.3.2 통합 모듈형(IMA) — 공용 플랫폼 위의 파티션
통합 모듈형 항공전자(IMA, integrated modular avionics)는 처리 모듈과 네트워크를 공용으로 두고 기능을 소프트웨어 응용으로 올린다. 한 모듈 안에서 기능마다 파티션(2.9.4)이라는 보호된 실행 구역을 받는다. 대형 민항기(보잉 787·에어버스 A380 등)에서 본격화되었다 (공개 자료).
얻는 것은 박스·배선·무게의 감소, 활용률 향상, 기능 추가를 하드웨어 증설 없이 소프트웨어 변경으로 하는 유연성, 예비 모듈을 여러 기능이 나눠 사용하는 다중화다. 잃는 것은 셋이다. 첫째, 공유 자원이 간섭할 수 있다. 격리는 설계의 성질이 아니라 입증할 주장이 된다. 둘째, 한 모듈이 고장 나면 여러 기능을 한꺼번에 잃는다. 모듈 배치와 다중화로 폭발 반경을 줄여야 한다. 셋째, 플랫폼 공급자·응용 공급자·통합자가 서로 다른 조직이라 증거의 소유가 분리된다. 이것을 정리한 것이 RTCA DO-297(유럽 ED-124)이다. 역할을 나누고 점진적 수락(모듈·플랫폼 수락 → 응용 수락 → IMA 시스템 수락 → 항공기 통합 → 변경·재사용)으로 증거를 쌓는다. 태스크의 번호 구분은 자료마다 달라 (확인 필요)다.
2.9.3.3 소형 UAS의 현실 — 비행 컴퓨터와 임무 컴퓨터의 이원 구조
소형·중형 UAS의 대부분은 사실상 두 박스 연합형이다. 하나는 비행 컴퓨터(오토파일럿 보드, MCU 중심)로 자세·위치 제어와 안전 기능을 맡는다. 다른 하나는 임무 컴퓨터(리눅스 계열 응용 SoC)로 영상·통신·AI를 맡는다. 둘은 좁은 메시지 인터페이스(MAVLink, 9.5)나 이더넷으로 이어진다. 이 구조의 핵심 규칙은 하나다. 임무 컴퓨터가 멈추거나 리셋돼도 비행은 계속되어야 한다. 이유는 2.9.9의 부팅 시간 계산에서 나온다.
| 항목 | 연합형(대형) | 이원형(소형 UAS) | IMA |
|---|---|---|---|
| 처리 장치 | 기능마다 박스 | 비행 컴퓨터 + 임무 컴퓨터 | 공용 모듈 몇 개 |
| 고장 경계 | 박스(물리) | 박스(물리) | 파티션(논리) + 모듈(물리) |
| 기능 추가 | 박스·배선 추가 | 임무 컴퓨터에 소프트웨어 추가 | 파티션 추가, 자원 버짓 재검토 |
| 인증 증거 | 박스별 | 비행 컴퓨터에 집중 가능 | DO-297 점진적 수락 |
| 약점 | 무게·배선·활용률 | 두 박스 사이 인터페이스 | 공유 자원 간섭, 한 모듈의 다중 기능 상실 |
| 대표 적용 | 구형 유인기, 대형 군용 기체 | 소형 군용·민간 UAS | 대형 민항기, 신형 AAM과 군용 (추세) |
2.9.4 파티셔닝과 공유 자원 — 격리는 어디까지 보장되는가
파티션은 두 방향으로 분할된다. 공간 분할은 메모리 보호 하드웨어(MPU·MMU)가 다른 파티션의 영역에 접근하는 것을 막는다. 시간 분할은 파티션이 정해진 시간 창에서만 처리기를 사용하게 하고, 창을 넘기면 커널이 끊는다. ARINC 653이 이 구조의 응용 인터페이스(APEX)와 구성 방식을 정한다. Part 1 보충판 5(2019)는 멀티코어 서비스를 더했다. 구현과 스케줄은 2.10에서 다룬다.
파티셔닝이 보장하는 것과 보장하지 못하는 것을 나눠 보면 인증의 쟁점이 보인다.
| 자원 | 파티셔닝이 막는가 | 남는 위험 |
|---|---|---|
| 처리 시간 | 막는다(창 단위) | 창 안의 초과는 그 파티션 몫, 창 전환 지연이 제어 지연에 더해진다 |
| 메모리 영역 | 막는다(보호 하드웨어) | 보호 설정 자체의 오류 |
| 캐시·메모리 컨트롤러·인터커넥트 | 막지 못한다 | 멀티코어 간섭으로 실행 시간이 늘어난다 |
| 공통 전원·클록·리셋 | 막지 못한다 | 공통 원인 고장(1.16.7.1, 8.4) |
| 입출력 장치·버스 | 포트 규칙으로만 | 한 응용이 버스를 독점 |
멀티코어 간섭의 크기는 단순한 상한 모형으로 어림할 수 있다. 어떤 태스크가 실행 시간 중 비율 $f$를 메모리 대기에 사용하고, 코어 $N$개가 같은 메모리를 번갈아 중재(라운드 로빈)로 사용하면 한 접근이 최악에 다른 $N-1$개 접근 뒤에 서므로 다음과 같다.
$$\frac{C_{N}}{C_{1}}\le 1+f\,(N-1)$$
| 메모리 대기 비율 $f$ | $N=2$ | $N=4$ | $N=8$ |
|---|---|---|---|
| 0.1 | 1.1 | 1.3 | 1.7 |
| 0.3 | 1.3 | 1.9 | 3.1 |
| 0.5 | 1.5 | 2.5 | 4.5 |
읽는 법: 데이터를 많이 읽는 영상·AI 태스크는 $f$가 커서, 같은 칩의 다른 코어가 일할 때 최악 실행 시간이 두 배 이상 늘 수 있다. 이 식은 요청이 하나씩 순서대로 처리되는 단순 모형이고 실제 간섭 경로(캐시 일관성·DRAM 뱅크 충돌)는 더 복잡하다. 그래서 인증은 단일 코어 때의 실행 시간 분석을 멀티코어에 그대로 사용하지 못한다. 이 쟁점은 CAST-32A에서 시작해 EASA AMC 20-193(2022년 1월)과 FAA AC 20-193(2024년 1월 발행으로 보고됨 (확인 필요: 2차 출처))으로 이어졌다. 요지는 공유 자원의 간섭 경로를 찾아 제한하고 측정으로 실행 시간의 상한을 입증하라는 것이다. 방법은 코어 고정·캐시 분할·메모리 대역폭 감시·단일 코어 운용 같은 완화책이다.
소형 UAS도 같은 물리를 따른다. 인증이 없어도 임무 컴퓨터의 영상 처리가 메모리 대역을 사용하면 같은 칩에서 도는 비행 제어 루프의 지터가 커질 수 있다. 루프 지터가 위상 여유를 깎는 계산은 2.10에 있다.
2.9.5 기체 내부 버스 — 구조를 정하는 약속
버스는 세 길을 이어 준다. 센서에서 컴퓨터로, 컴퓨터에서 작동기로, 컴퓨터에서 컴퓨터로다. 요구는 지연 상한(결정성), 대역폭, 결함 격리(한 노드의 고장이 버스 전체를 막지 않을 것)다. 규격 상세는 9.4에 있고 여기서는 구조를 정하는 성질만 비교한다.
| 버스 | 속도(공칭) | 결정성의 방식 | 전형적 용도 |
|---|---|---|---|
| ARINC 429 | 12.5·100 kbit/s | 단방향 점대점, 송신기 하나 | 유인기의 센서·컴퓨터 연결 |
| MIL-STD-1553B | 1 Mbit/s | 버스 제어기가 명령·응답으로 통제 | 군용 기체의 통합 버스 |
| CAN·CAN FD | 1 Mbit/s·데이터 구간 수 Mbit/s | 식별자 우선순위 중재 | 소형 UAS의 전자 변속기(ESC)·센서(DroneCAN 등) |
| ARINC 664 Part 7(AFDX) | 100 Mbit/s | 가상 링크에 대역폭·지터 한도를 배정 | IMA의 공용 네트워크 |
| 시간 민감 네트워킹(TSN)·이더넷 | 100 Mbit/s~수 Gbit/s | 시간 창 스케줄링(IEEE 802.1) | 영상·임무 데이터, 차세대 코어 네트워크 (추세) |
| SPI·I²C·UART | 보드 안 | 점대점 또는 소수 노드 | IMU·기압계 직결, 부품 사이 |
CAN의 처리량을 직접 계산해 본다. 표준 식별자 프레임은 데이터 8바이트를 실어도 111비트이고, 비트 삽입(같은 비트 5개 뒤의 반대 비트)까지 최악으로 세면 $8n+47+\lfloor(34+8n-1)/4\rfloor=135$비트다. 1 Mbit/s에서 실어 나르는 데이터는 최대 $64/111=57.7\ \%$, 최악 $64/135=47.4\ \%$, 곧 약 474~577 kbit/s다. 소형 UAS의 가상 구성(IMU 1 kHz를 프레임 2개로, ESC 명령 4개를 400 Hz로, ESC 원격측정 4개를 50 Hz로, GNSS 10 Hz에 프레임 3개, 기압·자력 50 Hz에 프레임 2개)을 올리면 부하는 각각 27.0·21.6·2.7·0.4·1.4 %로 합계 53 %다(최악 비트 삽입 기준). IMU 하나가 버스의 4분의 1을 차지하므로 IMU를 SPI로 비행 컴퓨터에 직결하고 CAN은 느린 주변장치에 사용하는 설계가 흔하다.
센서 비트율은 더 큰 차이를 보인다. 아래 값은 비압축 비트율을 식으로 계산한 것이다.
| 센서 | 계산 | 비트율 |
|---|---|---|
| 1080p 30 Hz 영상(YUV 4:2:0, 화소당 12비트) | $1920\times1080\times12\times30$ | 746 Mbit/s |
| 4K 30 Hz 영상 | $3840\times2160\times12\times30$ | 2.99 Gbit/s |
| 열화상 640×512 30 Hz(16비트) | $640\times512\times16\times30$ | 157 Mbit/s |
| LiDAR 30만 점/초(점당 16바이트) | $3\times10^{5}\times128$ | 38.4 Mbit/s |
| IMU 1 kHz(샘플당 16바이트) | $1000\times128$ | 0.128 Mbit/s |
결론: 영상은 CAN이나 ARINC 429에 실을 수 없고(비압축 1080p는 CAN 데이터 처리량의 1,000배 이상), 기체 안의 영상 경로는 이더넷·MIPI·USB 같은 별도 전송로를 사용한다. 비행 제어 경로와 물리적으로 나눠야 영상 부하가 제어 지연을 늘리지 않는다. 압축하면 줄지만(1080p H.265 약 4 Mbit/s로 가정) 인코더 지연이 붙는다(3.12).
2.9.6 탑재 컴퓨팅의 선택 — 무엇을 어디에 탑재하는가
계산 장치의 종류마다 결정성·연산 능력·전력·인증 용이성이 다르다. 전력대는 모듈 수준의 대략이며 제품마다 다르다 (경험 범위).
| 종류 | 맡기는 일 | 장점 | 한계 | 전력대 |
|---|---|---|---|---|
| MCU | 비행 제어 루프, 배전·BMS 관리 | 지연이 결정적, 부팅 즉시, 작다 | 연산·메모리 작음 | 0.1~1 W |
| 안전 MCU(록스텝 코어·ECC) | 안전 필수 감시, 독립 모니터 | 오류를 하드웨어로 잡는다 | 값, 생태계 좁음 | 0.5~2 W |
| 응용 SoC(다중 코어, 리눅스) | 임무 관리, 통신, 영상 입출력 | 소프트웨어 자산 풍부 | 지연 변동, 부팅 수십 초 | 2~10 W |
| FPGA·SoC-FPGA | 저지연 병렬 처리(영상 전처리·신호 처리) | 지연이 결정적이고 병렬 | 개발 난이도, DO-254 대상 | 3~20 W |
| GPU 모듈 | 딥러닝 추론, 영상 분석 | 연산량 큼, 개발 도구 풍부 | 전력·열, 인증 어려움 | 7~30 W 이상 |
| AI 가속기(NPU형) | 추론 전용 | 와트당 연산이 높다 | 지원 모델·연산자 제한 | 1~5 W(+호스트) |
배치의 원칙은 비행 중요 기능을 지연이 결정적이고 단순한 쪽에, 변동이 큰 기능을 격리된 쪽에 두는 것이다. 비행 제어·안전 감시·전원 관리는 MCU 계열에, 영상·AI·통신 관리는 임무 컴퓨터에 둔다. 두 가지를 더 적용한다. 전원을 분리해 임무 컴퓨터의 과전류·리셋이 비행 컴퓨터의 전압을 저하시키지 않게 하고(1.19), 임무 컴퓨터가 비행 컴퓨터에 주는 명령은 허용 목록의 좁은 메시지로 제한한다(2.9.10.3).
에지 AI의 전력은 대체로 $P\approx P_{\text{기저}}+\dfrac{R_{\text{연산}}}{\eta_{\text{유효}}}$로 어림한다. $P_{\text{기저}}$는 메모리·영상 입출력·운영체제가 사용하는 몫이고, $R_{\text{연산}}$은 초당 연산 요구, $\eta_{\text{유효}}$는 유효 연산 효율(와트당 연산, 공칭값보다 한참 낮다)이다. 소형 모델 한 스트림은 연산 자체보다 기저 전력과 메모리 이동이 지배하는 경우가 많다. 반대로 해상도·스트림 수·모델 크기를 키우면 연산 항이 급속히 커져 등급이 5 W에서 15 W, 30 W로 올라간다. 전력 모드를 고를 수 있는 모듈이 많으므로 전력 모드를 낮추는 것이 곧 방열판과 체공을 줄이는 길이다. 하드웨어 상세는 자매서 NV를 본다.
2.9.7 SWaP과 열 — 전력은 어떻게 질량이 되는가
SWaP은 크기(size)·무게(weight)·전력(power)이다. 비용(cost)을 붙이면 SWaP-C다. 세 항목은 따로 놀지 않는다. 전자 장치가 사용한 전력은 거의 전부 열이 되고(1.25.3), 그 열을 대기로 내보내는 방열판은 질량과 부피다. 그 질량은 같은 이륙 중량에서 배터리를 잠식한다. 전력이 곧 질량이다.
방열판의 크기는 열저항 사슬에서 나온다. 소자 접합부에서 대기까지 열저항이 직렬이므로
$$T_j=T_{\text{amb}}+P\left(R_{js}+\frac{1}{hA}\right)\ \Rightarrow\ A=\frac{1}{h\left(\dfrac{T_j-T_{\text{amb}}}{P}-R_{js}\right)},\qquad m_{\text{sink}}=\frac{A}{\alpha}$$
이다.
| 기호 | 뜻 | 이 장의 가정 |
|---|---|---|
| $T_j$ · $T_{\text{amb}}$ | 접합부 허용 온도 · 외기 온도 | 85 °C · 40 °C(뜨거운 날 지상, 열 소크 전의 값) |
| $R_{js}$ | 접합부에서 방열판 바닥까지 열저항 | 0.5 K/W |
| $h$ | 방열판 표면의 총괄 열전달 계수 | 자연 대류+복사 10, 강제 대류 40 W/(m²·K) |
| $A$ · $\alpha$ | 유효 방열 면적 · 질량당 면적 | $\alpha=0.25$ m²/kg(핀 간섭·핀 효율을 뺀 값) |
결론부터: 방열판 질량은 전력에 비례하지 않고 훨씬 가파르게 는다. 분모의 괄호 $\Delta T/P-R_{js}$가 전력이 커질수록 0에 가까워지기 때문이다. 이 가정에서는 $P=\Delta T/R_{js}=90$ W에서 방열판이 무한히 커진다. 계산 결과는 다음과 같다.
| 컴퓨팅 전력 | 방열판 면적(자연) | 방열판 질량(자연) | 방열판 질량(강제 대류) | 모듈 질량(가정) |
|---|---|---|---|---|
| 5 W | 0.012 m² | 47 g | 12 g | 35 g |
| 15 W | 0.040 m² | 160 g | 40 g | 85 g |
| 30 W | 0.100 m² | 400 g | 100 g | 160 g |
모듈 질량은 $0.010+0.005\,P$ [kg]로 가정했다(보드·캐리어·커넥터). 전력이 3배(5→15 W)이면 자연 대류 방열판은 3.4배, 6배(5→30 W)이면 8.5배다. 공기 흐름이 있으면 같은 전력의 방열판이 4분의 1이다. 고정익의 순항 기류나 멀티콥터의 프로펠러 후류를 사용하는 덕트 설계가 의미 있는 이유다. 반대로 호버·지상 대기에서는 기류가 약하거나 없다(1.25.7). 밀도가 줄어도 자연 대류의 $h$가 밀도의 0.5승에 따라 준다고 보면 고도 3,000 m에서 면적이 16 % 늘고, 15 W의 방열판은 160 g에서 186 g이 된다(1.25.7의 공랭 열화와 같은 방향).
접합부 한도에 닿으면 처리기는 스스로 클록을 낮춘다(열 스로틀링). 그러면 추론 처리율이 줄어 비행 중 영상 분석이 필요한 속도를 못 맞춘다. 방열이 모자란 설계는 질량이 아니라 성능 저하로 값을 치른다.
2.9.8 수치 예시 — 에지 AI는 체공을 얼마나 깎는가
앞 장의 세 기준 기체를 그대로 사용한다. 기존 전력 $P_0$는 이미 오토파일럿·통신·카메라의 보조 전력을 포함하며(쿼드 15 W, 고정익 10 W, 결합형 15 W) 여기에 추가 컴퓨팅 전력 $\Delta P$를 가산한다.
| 기체 | 출처 | 기존 평균 전력 $P_0$ | 사용 가능 에너지 $E_0$ | 기존 비행 시간 |
|---|---|---|---|---|
| 2 kg 쿼드콥터(호버) | 1.7.7.1 | 270.0 W | 81.6 Wh | 18.1분 |
| 4 kg 고정익(1.2배 실속 속도 순항) | 1.9.6 | 58.6 W | 172.8 Wh | 177분 |
| 6 kg 결합형(호버 시간 비중 5 %) | 1.11.5.2·1.11.7.2 | 180.5 W | 346 Wh | 115분 |
$P_0$는 세 기체의 앞 장 식을 다시 계산해 재현했다(결합형은 $0.05\times855+0.95\times145$). 전력만 반영하면 에너지 $E_0$가 같으므로 비행 시간은 $P_0/(P_0+\Delta P)$배가 되고, 감소율은 다음이다.
$$\text{감소율}=\frac{\Delta P}{P_0+\Delta P}$$
| $\Delta P$ | 2 kg 쿼드 | 4 kg 고정익 | 6 kg 결합형 |
|---|---|---|---|
| 5 W | 1.8 % | 7.9 % | 2.7 % |
| 15 W | 5.3 % | 20.4 % | 7.7 % |
| 30 W | 10.0 % | 33.9 % | 14.3 % |
| 10 % 감소를 부르는 $\Delta P$ | 30.0 W | 6.5 W | 20.1 W |
첫 번째 읽을 것: 기존 전력이 작은 기체일수록 같은 컴퓨팅이 더 비싸다. 고정익은 호버를 하지 않아 전체 전력이 59 W뿐이라 15 W가 20 %를 차지한다. 호버 전력이 큰 쿼드는 같은 15 W가 5 %다. 효율이 좋은 기체가 오히려 탑재 전자 장치에 민감하다는 역설이다. 이는 1.9.6에서 보조 10 W가 체공의 17 %를 줄였다는 결과의 연장이다. 기체 효율이 올라갈수록 전자 장치의 몫이 커진다.
두 번째 읽을 것: 질량을 넣으면 손실이 훨씬 커진다. 이륙 중량을 고정하고 모듈·방열판 질량만큼 배터리를 줄이면(배터리 비에너지 180 Wh/kg, 사용 가능 80 %) 4 kg 고정익은 다음과 같다.
| $\Delta P$ | 전력만 | + 모듈 질량 | + 방열판(강제 대류) | + 방열판(자연 대류) |
|---|---|---|---|---|
| 5 W | 7.9 % | 10.5 % | 11.5 % | 14.2 % |
| 15 W | 20.4 % | 26.0 % | 28.7 % | 36.6 % |
| 30 W | 33.9 % | 42.7 % | 48.2 % | 64.7 % |
15 W 모듈은 4 kg 고정익의 체공을 177분에서 전력만 반영하면 141분, 자연 대류 방열판까지 반영하면 112분으로 줄인다. 같은 계산을 다른 기체에 하면 6 kg 결합형은 15 W에서 7.7 %가 17.1 %로(자연 대류), 2 kg 쿼드는 5.3 %가 43.9 %로 커진다. 쿼드는 배터리가 0.6 kg뿐이라 모듈과 방열판 0.245 kg이 배터리의 약 41 %를 잠식하기 때문이다. 이 값들은 상한 쪽 추정이다. 실제 설계는 방열판을 구조재와 겸하거나 덕트로 기류를 유입하고, 모듈을 가볍게 만들어 값을 줄인다.
세 번째 읽을 것: 줄이는 방법은 전력, 듀티, 위치 세 가지다.
- 듀티 사이클. 상시 감지는 낮은 전력(저해상도·저빈도)으로 하고 후보가 보이면 높은 전력으로 확인한다. 최대 15 W·대기 3 W 모듈을 25 %만 가동하면 평균 6 W, 10 %면 4.2 W다. 4 kg 고정익의 감소율은 15 W 상시 20.4 %에서 평균 6 W의 9.3 %로, 4.2 W의 6.7 %로 준다. 단 최대 전력에 맞춘 방열판 질량은 그대로다. 열 용량이 평균 전력과 가동 시간 사이를 완충해 주는 정도는 1.25.4의 열저항·열용량 계산으로 확인한다.
- 모델과 입력의 경량화. 해상도·프레임 속도·모델 크기를 임무가 요구하는 만큼으로 줄이면 연산 항이 줄어 등급이 한 칸 내려간다.
- 처리 위치. 영상을 지상으로 보내 처리하면 탑재 전력은 줄지만 송신 전력과 링크 대역, 지연이 생긴다(3.12·6.11). 링크가 끊기면 기능을 잃으므로 안전과 임무가 링크에 달리는지가 선택을 결정한다.
이 계산은 정상 비행의 평균이다. 전력을 늘리는 일은 열 한계·전원 버스 용량(1.19)·배터리 출력(1.22.6)에도 걸린다. 15 W는 100 Wh 배터리에서 크지 않지만 순간 부하와 부팅 때 돌입 전류는 별도로 확인한다.
2.9.9 환경과 방사선 — 책상 위 부품이 하늘에서 견디는가
온도 등급. 소자의 주위 온도 등급은 관행적으로 다음과 같다. 상용급 0~70 °C, 산업용 −40~85 °C, 차량용 AEC-Q100 등급 2가 −40~105 °C·등급 1이 −40~125 °C, 군용 −55~125 °C다. 소비자용 SoC는 대개 상용급·산업용 범위이므로 뜨거운 날 밀폐 기체 안(1.25.7의 열 소크)이나 −20 °C 겨울 기동에서 보증 밖이 될 수 있다. 저온 기동에는 히터 전력이 SWaP 항목에 더해진다. 시험 방법은 DO-160과 MIL-STD-810(8.9)이고, 전자파 환경은 8.10이다.
진동과 충격. 방진 마운트와 공진 회피는 1.29.5·1.29.6이다. 보드 수준에서는 BGA 솔더와 커넥터가 피로 약점이고 팬의 베어링은 진동과 먼지에 약하다. 소형 UAS의 충돌 충격은 커넥터와 저장 매체(SD 카드의 접점)에서 먼저 고장을 낸다.
전원과 부팅. 임무 컴퓨터가 과전류로 리셋될 때 복귀 시간이 중요하다. 응용 SoC의 리눅스 부팅이 30초라 가정하면((경험 범위)) 13 m/s 순항은 390 m를 그동안 임무 기능 없이 간다. 호버의 쿼드는 임무 컴퓨터 없이 호버가 가능해야 한다. 비행 컴퓨터는 MCU라서 밀리초 안에 복귀한다. 이 격차가 비행과 임무를 분리해야 하는 이유다.
대기 중성자와 단일사건효과. 고고도에서는 우주선이 대기와 부딪혀 만든 중성자가 반도체에 들어와 한 비트를 뒤집거나(SEU, 일시적 오류), 기능 중단(SEFI)·래치업(SEL, 파괴로 이어질 수 있음)·전력 소자의 소손(SEB)을 일으킨다. 고전압 전력 소자(1.17·1.19)도 대상이다. JEDEC JESD89A의 기준 선속은 뉴욕시 해면 10 MeV 이상 중성자 약 13개/(cm²·시간)($3.6\times10^{-3}$ 개/(cm²·초))이다. 소자의 비트당 단면적 $\sigma$를 알면 오류율(FIT, $10^{9}$시간당 건수)은 다음이다.
$$\text{FIT}=\sigma\,\Phi\times10^{9},\qquad \Phi=13\ \text{개/(cm}^{2}\cdot\text{시간)}$$
비트당 단면적을 $10^{-14}$ cm²로 두면(최신 공정 SRAM의 자릿수 (경험 범위), 소자마다 시험 필요) 1 Mbit당 약 136 FIT다. 온칩 메모리 32 Mbit이면 4,360 FIT, 곧 $4.4\times10^{-6}$ /시간이고 평균 사건 간격이 약 23만 시간이다. 선속은 고도에 따라 크게 는다. 고도 3,800 m에서 약 18배(JEDEC 식으로 보고한 공개 문헌), 12 km에서 약 300배(자릿수 (확인 필요))다. 12 km에서 같은 칩은 $1.3\times10^{-3}$ /시간, 약 760시간마다 한 번이고 10시간 비행에서 사건 확률이 1.3 %다. 기단 100대가 연 1,000시간씩 날면 연 131건이다. 대기 중성자 선속은 대략 15~20 km 부근에서 최대가 되고 그 위에서 다시 줄어드는 것으로 알려져 HAPS(1.15)는 이 값보다 더 가혹하다 (확인 필요).
결론: 150 m 이하에서 나는 소형 UAS는 이 효과를 따로 설계하지 않아도 된다(선속이 해면과 거의 같다). 장기체공 고고도 기체(10.4·1.15)와 고도 수 km의 대형 eVTOL은 ECC 메모리·오류 스크러빙·록스텝·워치독으로 막는다. 분량은 크지 않아도 메모리 오류를 조용히 지나치는 것이 위험하므로(조용한 자료 오염) 오류를 감지해 보고하는 구조가 핵심이다. 방법은 IEC 62396 계열이 정한다.
2.9.10 설계 보증·개방형 구조·보안
2.9.10.1 어떤 증거를 요구받는가
| 대상 | 지침 | 요지 |
|---|---|---|
| 소프트웨어 | RTCA DO-178C(ED-12C) | 개발 보증 수준(DAL) A~E별 목표. 상세는 8.8 |
| 복잡한 전자 하드웨어(FPGA·ASIC·PLD) | RTCA DO-254(ED-80), FAA AC 20-152A, EASA AMC 20-152A | DAL A·B·C 하드웨어의 설계 보증. 상용 소자·IP 보강 목표 포함 |
| 통합 모듈형 항공전자 | RTCA DO-297(ED-124), EASA AMC 20-170, FAA AC 20-170 | 플랫폼·응용·통합자의 역할 분담과 점진적 수락 |
| 멀티코어 | EASA AMC 20-193, FAA AC 20-193 | 간섭 경로 식별·제한과 실행 시간 상한 입증 |
| 환경 | RTCA DO-160, MIL-STD-810 | 온도·진동·전원·전자파 시험(8.9) |
DO-178C의 DAL은 고장 영향의 심각도(치명·위험·중대·경미·영향 없음)에서 나온다(8.4). 소형 UAS는 이 증거를 요구받지 않는 경우가 많다. 그래도 같은 논증을 운용 위험 평가(SORA, 17.17)에서 다른 형식으로 요구받는다.
2.9.10.2 상용 부품(COTS)의 문제
소비자용 SoC와 모듈은 설계 자료를 볼 수 없고, 제조사가 변경을 알려 주지 않으며, 단종이 빠르다(소비재 수명 몇 년 대 항공기 수십 년). DO-254 같은 설계 보증 증거를 만들 수 없다. 대응은 네 가지다. ① 사용 제한(안전 필수 기능에는 사용하지 않는다). ② 시스템 수준 방어(독립 감시기가 출력을 검사하고 실패하면 안전 상태로. 런타임 보증 7.8, ASTM F3269-21). ③ 시험 기반 특성화와 실사용 이력. ④ 공급망 관리와 단종 대비(8.21). 상용 부품을 비행 중요 경로에 놓는 대신 임무 컴퓨터로 격리하는 이원 구조가 인증 증거를 줄이는 이유다.
2.9.10.3 개방형 구조·인터페이스·보안
개방형 체계 구조(9.11: MOSA·FACE·SOSA)는 모듈과 인터페이스를 표준으로 나눠 임무 장비를 바꿔 끼우게 한다. 인터페이스 정의는 ICD(8.3)가 포함하고 전력·데이터·열·기구·시야 다섯 계열을 모두 다룬다. 탑재 컴퓨터는 이 가운데 전력(돌입 전류·과도 전압)과 열(방열 경로)이 가장 자주 어긋난다.
보안. 컴퓨터가 늘면 공격 표면이 는다. 파티션과 별도 박스는 보안 경계이기도 하다. 임무 컴퓨터(네트워크·카메라·AI 모델 입력)는 노출되고, 비행 컴퓨터는 좁은 허용 목록 메시지로만 명령을 받게 하면 임무 컴퓨터가 뚫려도 비행 제어를 쥐지 못한다. 보안 부팅·서명·키 저장은 8.13, 노획 시 보호는 8.17, 하이재킹은 8.16이다. 디버그 포트(JTAG)의 잠금도 설계 항목이다. 이 장은 구조 수준의 방어까지만 작성한다.
2.9.11 설계 트레이드오프
① 하나로 모은다(IMA형). 공용 모듈 위에 파티션으로 기능을 올린다. 무게·배선이 최소이고 기능 추가가 소프트웨어 변경이다. 대가는 공유 자원 간섭의 입증과 한 모듈이 여러 기능을 잃는 위험, 증거 체계의 복잡도다. 대형 유인기와 신형 AAM이 이 방향이다.
② 비행과 임무를 둘로 나눈다(이원형). 작고 결정적인 비행 컴퓨터와, 자유롭게 바꾸는 임무 컴퓨터를 좁은 인터페이스로 잇는다. 임무 컴퓨터의 고장이 비행을 막지 않고 인증 증거를 비행 컴퓨터에 모을 수 있다. 대가는 박스 두 개의 무게·전력과 인터페이스 관리다. 소형·중형 UAS의 표준이다.
③ 연합형을 유지한다. 기능마다 박스를 둔다. 고장 경계가 분명하고 공급자가 독립이다. 대가는 무게와 배선이다. 대형 군용 기체와 오래된 유인기가 이 방향이고, 개량 때 기존 박스를 재사용하는 경우가 많다.
| 방식 | 맞는 대상 | 대가 | 인증·안전 함의 |
|---|---|---|---|
| ① IMA형 | 신규 대형 AAM, 대형 군용 | 간섭 입증, 증거 복잡 | DO-297·AMC 20-193 |
| ② 이원형 | 소형·중형 UAS | 박스 둘, 인터페이스 | 비행 컴퓨터에 증거 집중 |
| ③ 연합형 | 개량 기체, 이질적 공급자 | 무게·배선 | 박스별 인증 재사용 |
견해: 소형·중형 UAS에서는 ②에 전력 버짓을 먼저 정하는 규칙을 붙이는 편이 낫다고 본다. 근거는 이 장의 계산이다. 4 kg 고정익에서 15 W는 5 W의 두 배가 넘는 비용이다(전력만 7.9 대 20.4 %, 질량까지 자연 대류로 넣으면 14.2 대 36.6 %). 비용이 전력에 비례하지 않고 가파르게 오르므로, 임무가 요구하는 처리율을 먼저 정하고 그것을 감당하는 최저 전력 등급을 고르는 편이 유리하다. 호버 전력이 큰 기체는 전력 항이 작아(2 kg 쿼드는 30 W에서 10 %) 고성능 모듈이 가능해 보이지만, 질량 항이 막는다. 같은 30 W의 모듈과 자연 대류 방열판이 560 g이라 0.6 kg 배터리의 93 %를 잠식한다. 그래서 30 W급은 모듈 질량의 비중이 작은 큰 기체나, 방열을 구조와 기류에 겸하는 설계에 맞다. 대형 AAM은 ①로 가되 상용 부품은 비행 중요 기능에서 빼고 객실·서비스 영역에 격리한다. 이 판단은 가정한 방열 모형에 기대며, 실제 방열은 시험으로 확인해야 한다.
2.9.12 세 축 비교
| 항목 | 군용 드론 | 민간 UAS | AAM |
|---|---|---|---|
| 구조 | 소형은 이원형, 대형은 연합형·개방형(MOSA) | 이원형(오토파일럿 + 컴패니언) | IMA형·다중화, 객실·서비스 분리 |
| 지배 제약 | SWaP, 환경 등급, 공급망·국산화 | 값, 개발 속도, 체공 | 보증 수준(DAL), 고장 허용, 중량 |
| 컴퓨팅 | 상용 부품의 군용 등급화, 방사선 내성(고고도) | 상용 부품, 에지 AI 확산 | 인증 가능한 부품, 이종 다중화 |
| 보증 | MIL-STD-810·461, 군 감항(12.3) | 운용 승인·SORA(17.17) | DO-178C·DO-254·DO-297, 형식증명(17.14) |
| 에지 AI | 표적 인식·항법 보조(임무 컴퓨터) | 점검·농업·측량 영상 분석 | 지상 감시·착륙 보조 (보증이 쟁점)(7.4) |
| 관련 장 | 9.11·10.4 | 14.4·24.27 | 15.3·15.6 |
2.9.13 관련 규격·프로토콜
| 문서 | 발행 | 무엇을 정하나 | 상세 장 |
|---|---|---|---|
| RTCA DO-297 / EUROCAE ED-124(2005) | RTCA·EUROCAE | IMA의 개발 지침과 인증 고려(역할·점진적 수락) | 8.8·20.9 |
| AMC 20-170 / AC 20-170 | EASA·FAA | IMA의 인정 방법 (AC는 개정 진행 확인 필요) | 20.9 |
| RTCA DO-254 / ED-80, AC 20-152A, AMC 20-152A | RTCA·FAA·EASA | 복잡한 전자 하드웨어의 설계 보증 | 8.8 |
| RTCA DO-178C / ED-12C | RTCA·EUROCAE | 소프트웨어 개발 보증 | 8.8 |
| AMC 20-193 / AC 20-193 | EASA(2022-01)·FAA(2024-01 보고) | 멀티코어 처리기의 간섭 입증 | 8.8 |
| ARINC 653 Part 1 Supplement 5(2019) | AEEC(ARINC) | 파티션 응용 인터페이스(APEX) | 2.10 |
| ARINC 664 Part 7 · ARINC 429 · MIL-STD-1553B | AEEC·미 국방부 | 결정적 항공 네트워크·버스 | 9.4 |
| RTCA DO-160 · MIL-STD-810 | RTCA·미 국방부 | 환경 시험(판 확인 필요) | 8.9 |
| JEDEC JESD89A · IEC 62396 시리즈 | JEDEC·IEC | 소프트 오류 측정, 항공전자의 대기 방사선 영향 관리 | 이 장 |
| FACE 기술 표준 · SOSA | The Open Group | 개방형 항공전자·센서 구조 | 9.11 |
| ASTM F3269-21 | ASTM | 런타임 보증으로 복잡 기능의 거동을 제한 | 7.8 |
판 기호를 확인하지 못한 문서는 해당 장에서 확인한다. 유료 표준의 본문은 옮기지 않았다. 규격 지형은 9.1, 색인은 A.6에 있다.
2.9.14 관련 규제·인증 요구와의 연결
| 기술 사실 | 일으키는 요구 | 상세 |
|---|---|---|
| 공유 자원은 간섭할 수 있다 | IMA와 멀티코어의 격리 입증(DO-297·AMC 20-193) | 8.8·20.9 |
| 상용 부품의 설계 자료가 없다 | 사용 제한·시스템 수준 방어·서비스 이력의 대체 증거 | 20.6·7.8 |
| 한 모듈이 여러 기능을 잃는다 | 공통 원인 해석, 모듈 배치·다중화 | 8.4·2.5 |
| 전력은 열이고 열은 한계가 있다 | 환경 시험 온도·열 한계 입증 | 8.9·1.25 |
| 고고도에서 소프트 오류가 는다 | 오류 감지·완화 증거 | 1.15·10.4 |
| 임무 컴퓨터가 노출된다 | 사이버보안 개발 보증과 제품 보안 | 8.11·8.13 |
| 에지 AI는 보증이 어렵다 | 기계학습 보증, 런타임 감시 | 7.4·7.8 |
2.9.15 함정과 한계
| 오해 | 실제 | 더 볼 곳 |
|---|---|---|
| "AI 모듈은 와트 몇 개일 뿐이다" | 4 kg 고정익에서 15 W는 체공 20 %, 방열 질량까지 넣으면 37 %다 | 2.9.8 |
| "IMA는 파티션이 있으니 격리된다" | 캐시·메모리·버스 같은 하드웨어 공유 자원은 막지 못한다. 멀티코어는 최악 실행 시간이 두 배 이상 늘 수 있다 | 2.9.4 |
| "연합형은 낡은 구조다" | 고장 경계가 분명하고 인증 재사용이 쉬워 개량 기체에서는 합리적이다 | 2.9.3.1 |
| "영상도 CAN으로 보내면 된다" | 비압축 1080p는 746 Mbit/s로 CAN 데이터 처리량의 1,000배 이상이다 | 2.9.5 |
| "방열판은 전력에 비례해 커진다" | 비례보다 가파르다. 5→30 W에서 자연 대류 질량이 8.5배다 | 2.9.7 |
| "소비자용 SoC는 어디서나 된다" | 온도 등급 밖, 부팅 수십 초, 설계 자료 없음, 단종이 빠르다 | 2.9.9·2.9.10.2 |
| "방사선은 우주 얘기다" | 12 km에서는 해면의 약 300배 선속으로 32 Mbit에서 수백 시간마다 한 번 오류가 난다. 150 m 이하 소형기는 영향이 거의 없다 | 2.9.9 |
이 장의 한계다.
- 방열 모형은 1차원 열저항 사슬이다. 열 분산·핀 간섭·덕트 유동·열 용량을 넣지 않았다. $h$·$\alpha$·$R_{js}$는 가정이고 실제 설계는 열 시험으로 정한다(1.25.9).
- 모듈 질량 식($0.010+0.005\,P$)은 가정이다. 모듈의 질량은 제품마다 크게 다르다.
- 체공 계산은 평균 전력이다. 순간 첨두, 열 스로틀링, 부팅·기동 전력은 넣지 않았다.
- 멀티코어 상한 식은 단순 모형이다. 실제 간섭은 시험으로만 알 수 있다.
- 단일사건효과의 $\sigma$는 자릿수 가정이다. 소자의 단면적은 시험 자료가 필요하다. 12 km 선속 배율은 공개 문헌의 자릿수이고 확인이 필요하다.
- 구조 선택의 증거 체계(DO-297의 태스크 번호 구분 등)는 원문에서 확인하지 못한 부분이 있다.
2.9.16 체크포인트·연구 질문
체크포인트
- 연합형과 IMA가 각각 고장을 가두는 경계가 무엇인지 말하고, IMA에서 격리를 입증해야 하는 이유를 설명하라.
- 파티셔닝이 막는 자원과 막지 못하는 자원을 하나씩 들고, 코어 4개·메모리 대기 비율 0.3일 때 최악 실행 시간 배율을 구하라.
- 1 Mbit/s CAN의 데이터 처리량 상한을 구하고, 1 kHz IMU를 CAN에 싣기 어려운 이유를 부하율로 설명하라.
- 4 kg 고정익(기존 58.6 W)에 15 W 모듈을 탑재했을 때 체공 감소율을 전력만으로 구하고, 방열판 질량(자연 대류 160 g)과 모듈 질량(85 g)을 넣으면 왜 더 커지는지 말하라.
- 방열판 질량이 전력에 비례하지 않는 이유를 열저항 식으로 설명하라.
- 소형 UAS가 비행 컴퓨터와 임무 컴퓨터를 나누는 이유 세 가지를 들어라.
연구 질문 — 이 장에서 파생되는 열린 주제(25.7에 모은다)
- 소형 UAS의 멀티코어 간섭 — 상용 SoC에서 임무 부하가 비행 제어 루프의 지터에 주는 영향을 공개 벤치마크로 정량화할 수 있는가? 인증이 없는 기체에서 어떤 설계 규칙이 필요한가?
- 에지 AI의 에너지 대비 가치 — 온보드 추론과 지상 전송의 전력·지연·가치를 한 모형으로 비교해 임무별 최적 처리 위치를 정할 수 있는가(6.11)?
- 상용 부품의 대체 증거 — 서비스 이력·시험 특성화·런타임 감시로 낮은 DAL의 증거를 어떻게 구성하는가(7.8·8.8)?
- 고고도 상용 부품의 소프트 오류 실측 — HAPS·HALE의 비행 중 SEU 데이터를 공개 자료로 모을 수 있는가? 선속 모형의 고도별 오차는 얼마인가?
1차 출처(이 장)
- Spitzer, C. R.; Ferrell, U.; Ferrell, T. (eds.), Digital Avionics Handbook, CRC Press(판 확인 필요).
- Moir, I.; Seabridge, A.; Jukes, M., Civil Avionics Systems, 2nd ed., Wiley, 2013.
- Moir, I.; Seabridge, A., Military Avionics Systems, Wiley, 2006.
- Incropera, F. P.; DeWitt, D. P., Fundamentals of Heat and Mass Transfer, Wiley(판 확인 필요).
- Baumann, R. C., "Radiation-induced soft errors in advanced semiconductor technologies," IEEE Transactions on Device and Materials Reliability, 2005.
- RTCA DO-297 / EUROCAE ED-124(2005), RTCA DO-254, RTCA DO-178C, FAA AC 20-152A, EASA AMC 20-152A, EASA AMC 20-170, EASA AMC 20-193, FAA AC 20-193, ARINC 653, JEDEC JESD89A, IEC 62396, ASTM F3269-21.
출처를 찾고 판을 추적하는 방법은 0.9에서 다룬다.
다음 장: 2.10에서 이 장이 정한 하드웨어 위에서 도는 비행 소프트웨어를 본다. 드라이버에서 추정기·제어기·출력으로 이어지는 계층, 주기와 지터와 마감, 스케줄 가능성 계산, 파티션 스케줄과 비행 모드 상태 기계, 그리고 현장 갱신(보안 부팅·이중 이미지·롤백)을 다룬다.