제3부 전파·통신
3.11 C2 링크(CNPC) 설계: 필요 링크 성능·다중화·링크 상실 절차
3.11.1 이 장에서 배우는 것 / 선수 지식 / 특히 중요한 독자
무인기에서는 링크가 곧 조종석이다(2.11). 그 링크 가운데 안전에 걸린 부분이 C2 링크다. 영상이 끊기면 운용이 불편해지지만 C2가 끊기면 기체가 주인을 잃는다. 이 장은 C2 링크를 무엇을 얼마나 보장해야 하는가(요구)에서 출발해 어떻게 구성하는가(설계)로 내려간다. 비상 대응의 기체 쪽 논리는 2.6.6이 다뤘고, 이 장은 그 앞단인 링크 쪽 설계에 집중한다.
배우는 것:
- CNPC와 필요 링크 성능 — C2 링크가 실어 나르는 것과 성능을 말하는 네 지표(거래 시간·연속성·가용도·무결성).
- 요구에서 설계로 — 조종 수준이 지연 한도를 정하고, 한도에서 영상 경로를 뺀 것이 C2 상향 버짓이 되는 과정(2.11.6의 이어 사용하기).
- 링크의 두 형태 — 지상 가시선(전용 대역 5030~5091 MHz의 성격과 대가)과 위성.
- 다중화와 공통 원인 — 가용도 식, 공통 원인 비율 $\beta$가 형성하는 하한, 전환 시간이 줄이는 가용도, 레일리 페이딩 여유의 가격.
- 링크 감시와 핸드오버 — 생존 신호와 링크 품질 지표, 시간 초과의 오경보 통계, 지상국 간·매체 간·저궤도 핸드오버.
- 링크 상실 절차의 링크 쪽 설계 — 상태 기계, 재획득, 낡은 명령의 위험.
선수 지식: 2.11.5·2.11.6(지연과 조종 수준), 2.6.6(링크 상실 절차), 2.5.4.3·1.16.7.1(공통 원인), 3.9(필요 SNR)·3.10(접속). 위성 링크 자체는 3.13, 셀룰러는 3.14, 성능 표준 문서의 구조는 9.13이 맡는다.
특히 중요한 독자: 인증·법무 담당자는 3.11.3(필요 링크 성능)과 3.11.12를 본다. 비가시권(BVLOS) 승인과 인증 범주 UAS의 관제 통합이 이 지표에 기댄다. 엔지니어는 3.11.5의 다중화 계산과 3.11.6의 시간 초과 통계를 건너뛰지 않는다. 정책·사업 담당자는 3.11.9의 선택지와 3.11.10 비교표를 본다.
기준 시점과 정직성. 2026년 10월 기준의 설계 장이다. 미국의 전용 대역 규칙(FCC Part 88)과 DO-362A의 인용은 연방관보 문서로 확인했다. DO-362A·DO-377A·ICAO Annex 10 Volume VI·Doc 10019·Doc 9869의 본문은 유료이거나 확인하지 못했고, 이 장은 공개 문서가 인용한 날짜와 구조만 작성한다. 필요 링크 성능의 수치는 이 장의 설계 가정이며 표준의 값이 아니다. 계산은 파이썬(
math)으로 했고 스크립트는fig-src/3.11-model.py에 있다. 확인하지 못한 사항은(확인 필요)로 표시했다.
3.11.2 개념·직관 — C2 링크는 서비스이고, 성능은 거래로 잰다
CNPC(Control and Non-Payload Communications)는 조종 명령, 기체 상태·항법 정보, 관제와의 음성·데이터 중계처럼 안전과 운항에 필요한 통신을 지칭한다. 영상·센서 같은 임무 탑재체 통신은 CNPC가 아니다(3.12). 국제민간항공기구(ICAO)는 이를 C2 링크라 부르고, 무인항공기(RPAS)를 위한 별도 부속서 체계(Annex 10 Volume VI)를 두고 있다 (채택·발효일은 2차 자료마다 달라 확인 필요).
한 가지 관점의 전환이 설계 전체를 정한다. 링크를 장비로 보지 않고 서비스로 본다. 서비스의 성능은 신호 세기나 비트율이 아니라 운용 거래(명령을 내리고 기체가 받아 응답하는 한 번의 주고받음)가 얼마나 빨리, 얼마나 확실하게, 얼마나 정확하게 끝나는가로 잰다. 이 접근을 성능 기반(performance-based) 요구라 한다. 장비 제조사는 어떤 파형을 쓰든 같은 거래 성능을 맞추면 되고, 인증은 그 성능을 증명하면 된다.
세 축에서 같은 요구가 다르게 풀린다.
- 군용 드론은 위성과 가시선 링크를 겸하고 항재밍과 은닉이 성능 지표에 추가된다(3.18). 파형과 성능은 대부분 비공개다.
- 민간 UAS는 비면허 대역과 셀룰러가 현실이고, 인증 범주의 비가시권 운용부터 보호된 전용 대역과 성능 표준이 걸린다.
- AAM은 도심에서 인증된 C2 서비스와 다중화를 요구받고, 지상 인프라(15.15)가 주 경로가 된다.
3.11.3 필요 링크 성능
3.11.3.1 네 지표
ICAO의 성능 기반 통신·감시 개념(Doc 9869, PBCS)은 통신 서비스의 필요통신성능(RCP)을 네 값으로 말한다 (정의는 ICAO 작업 문서로 2차 확인, Doc 9869 원문 미확인). RPAS의 C2 링크에는 같은 틀을 필요 링크 성능(RLP)이라 하며 Annex 10 Volume VI가 개념을 둔다 (2차 확인). 용어가 문서마다 RCP와 RLP로 달라지므로 이 장은 지표의 뜻으로 사용한다.
| 지표 | 뜻 | C2에서의 질문 |
|---|---|---|
| 거래 시간(transaction time) | 거래가 끝나야 하는 최대 시간. 이 시간이 지나면 다른 절차로 넘어간다 | 조종 수준이 견디는 지연은 얼마인가 |
| 연속성 | 서비스를 시작한 거래가 허용 시간 안에 끝날 확률 | 비행 한 시간 동안 끊기지 않을 확률은 |
| 가용도 | 필요할 때 거래를 시작할 수 있을 확률 | 링크가 사용할 수 있는 시간의 비율은 |
| 무결성 | 거래가 검출되지 않은 오류 없이 끝날 확률 | 틀린 명령이 기체에 닿을 확률은(3.9.6.2) |
3.11.3.2 표준과 규칙의 지형
| 문서·규칙 | 발행 | 확인한 것 | 상세 |
|---|---|---|---|
| RTCA DO-362A — C2 Data Link MOPS(지상) | RTCA | 2020년 12월 17일판. 미 연방규정이 인용한다 | 9.13 |
| RTCA DO-377A — C2 링크 시스템 MASPS | RTCA | 2021년 9월 16일판. FAA의 TSO-C213a 초안이 인용한다 (본문 미확인) | 9.13 |
| 47 CFR 제88부 | 미 FCC | 5030~5091 MHz 대역의 무인항공기 제어 링크 서비스 규칙. 2025년 1월 8일 연방관보 게재, 2025년 2월 7일 발효(일부 조항은 지연) | 17.8·17.19 |
| ICAO Annex 10 Vol VI, Doc 10019 | ICAO | RPAS C2 링크의 절차·필요 링크 성능 개념, 링크 상실의 정의 (2차 확인) | 17.2 |
| EASA SC RPAS.C2-01 | EASA | C2 링크의 무결성·신호 세기·지연·연속성을 감시하고 안전 평가가 값을 정하게 한다 (2차 확인) | 17.11 |
DO-362B와 DO-377B가 진행 중이거나 승인됐다는 보도가 있어 위 판이 최신이 아닐 수 있다 (확인 필요). 연방관보 문서에 따르면 DO-362A는 FCC 규칙에서 송신 출력·점유 대역폭·대역외발사·스펙트럼 마스크·시분할 이중(TDD) 프레임률의 기술 요건을 공급한다. 곧 성능 표준이 규칙의 일부가 된다. 표준의 문서 구조와 요건은 9.13이 다룬다.
3.11.3.3 요구에서 설계로 — 지연 한도에서 C2 버짓까지
결론부터: 지연의 요구는 링크가 아니라 조종 수준이 정한다. 사람이 직접 자세를 몰면 수십 ms가, 속도를 지시하면 1초 남짓이, 경로점을 지시하면 수 초가 한도다. 영상 경로가 먼저 한도를 차지하고, 남은 것이 C2 상향 버짓이다.
2.11.5의 위상 여유 식에서 한도를 구한다. 사람의 지연 $\tau_e=0.25$ s, 위상 여유 하한 30°, 조종 수준별 사람의 교차 주파수 $\omega_c$에서 다음이다. 기체 안쪽 루프의 지연 보정은 2.2.3의 교차 주파수에서 온다.
$$\tau_{L,\max}=\frac{(90^{\circ}-\mathrm{PM}_{\min}-\arctan(\omega_c/\omega_i))\,\pi/180^{\circ}}{\omega_c}-\tau_e$$
| 조종 수준 | $\omega_c$ [rad/s] | $\tau_{L,\max}$ 기본 | 안쪽 루프 보정 후 |
|---|---|---|---|
| 정밀 호버(자세 명령) | 2.5 | 0.169 s | 0.026 s |
| 속도 명령 | 0.5 | 1.84 s | 1.30 s |
| 경로점 지시 | 0.1 | 10.2 s | 8.1 s |
(정밀 호버와 속도 명령의 값은 2.11.6의 한계 지연과 같고 파이썬으로 다시 계산해 일치를 확인했다.) 한도 $\tau_{L,\max}$는 영상 경로 지연과 C2 상향 지연의 합의 상한이다. 속도 명령 수준에서 보정 후 한도 1.30 s를 사용하고 2.11.6의 영상 경로(포착~표시)를 빼면 C2 상향이 사용할 수 있는 버짓이 나온다.
| 구성(2.11.6) | A 아날로그 FPV | B 디지털 FPV | C LTE 영상 | D GEO 위성 |
|---|---|---|---|---|
| 영상 경로 [ms] | 34 | 98 | 313 | 555 |
| C2 상향 버짓 [ms] | 1,269 | 1,205 | 990 | 748 |
| 실제 명령 상향 [ms] | 10 | 15 | 80 | 288.7 |
| 버짓 대비 | 1 % | 1 % | 8 % | 39 % |
읽을 것 셋. 첫째 속도·경로 명령 수준에서는 GEO 위성도 버짓의 39 %만 쓰므로 지연은 병목이 아니다. 둘째 정밀 호버(보정 후 26 ms)는 A의 영상 경로 34 ms만으로 이미 한도를 넘는다. 이 수준은 링크를 거치지 않고 기체 안쪽 루프가 하거나 직접 시야에서만 가능하다(2.11.5의 규칙). 셋째 한도가 넉넉하다는 사실이 C2 링크 요구가 느슨하다는 뜻은 아니다. 지연은 평균이 아니라 허용 시간 안에 끝날 확률(연속성)로 말해야 하고, 그 꼬리가 다음 절들의 주제다.
그림은 같은 명령 상향 지연이 무엇으로 이뤄지는지 보인다. A·B·C의 분해는 이 장의 가정이고 합은 2.11.6과 같다. 줄일 수 있는 것은 입력·접속 대기, 재전송, 처리, 망 경유다(3.9·3.10). GEO에서는 광속이 정하는 238.7 ms(2.11.6, 3.13.3.2)가 83 %이고 줄지 않는다.
3.11.4 링크의 두 형태
3.11.4.1 지상 가시선 링크와 전용 대역
지상 가시선 링크는 지연이 작고(3.11.3.3의 A·B 구성은 10~15 ms) 용량이 크며 지상국 수만큼 확장된다. 한계는 가시선이다. 전파 수평선 식 $d\approx4.12(\sqrt{h_1}+\sqrt{h_2})$ km(2.13.3.3)를 사용하면 150 m 고도의 기체와 10 m 지상 안테나는 최대 63.5 km, 3,000 m 고도의 대형 기체는 최대 239 km까지 곧바로 본다. 지형·건물이 이를 줄인다.
이 링크의 대역은 세 갈래다. 비면허 대역(ISM)은 사용하기 쉽지만 보호받지 못한다(3.1.4.1). 셀룰러는 인프라를 빌린다(3.14). 전용 대역은 2012년 세계전파통신회의(WRC-12)가 무인기의 지상 가시선 C2를 위해 항공이동(R)업무로 분배한 5,030~5,091 MHz(61 MHz 폭)다 (2차 확인). 보호받는 대신 장비·면허 규칙이 따라야 한다. 미국은 2024년의 FCC 보고서와 명령(FCC 24-91, WT Docket 22-323)으로 새 제88부를 만들어, 운용자가 비망형(non-networked) 운용의 직접 주파수 지정을 받게 했다. 지정은 동적 주파수 관리 시스템(DFMS)이 맡고, DFMS가 가동되면 비망형 블록은 5040~5050 MHz(가동 전 과도기에는 5040~5060 MHz)다. 망형 서비스와 최종 대역 계획은 후속 규칙 제정이 남아 있다(연방관보 90 FR 1380, 2025년 1월 8일 게재, 1차 확인). 한국과 유럽의 도입 상태는 이 장이 확인하지 못했다 (확인 필요).
전용 대역의 대가를 계산해 보자. 기준 C2 링크(3.1)를 그대로 두고 주파수만 2.4 GHz에서 5.06 GHz(대역 중앙)로 옮기면 5 km의 자유공간 손실이 114.0 dB에서 120.5 dB로 6.5 dB 늘어난다. SNR은 22.0 dB에서 15.5 dB로, 같은 여유에서 닿는 거리는 0.47배다. 이 6.5 dB를 안테나 이득·송신 전력으로 되찾아야 한다. 보호받는 대역은 여유의 일부를 사서 얻는 것이다.
3.11.4.2 위성 링크와 비교
| 항목 | 지상 가시선 | 위성(GEO) | 셀룰러(3.14) |
|---|---|---|---|
| 도달 | 가시선(수십~수백 km) | 위성 가시권 전체 | 망 커버리지 |
| 지연(한 방향) | 10~15 ms(2.11.6 A·B) | 288.7 ms 이상(2.11.6 D) | 80 ms(2.11.6 C), 혼잡하면 더 |
| 가용도를 깎는 것 | 가림·간섭·페이딩 | 강우(3.5)·기체 안테나 지향(3.7) | 커버리지 구멍·혼잡·핸드오버 |
| 규제 상태 | 전용 대역은 미국이 규칙 정비 중 | Ku·Ka는 WRC-15 결의 155, 이후 WRC-23의 후속 논의 (3.13, 확인 필요) | 면허 통신사·약관 |
| 다중화의 짝으로 | 위성 또는 셀룰러와 | 가시선과 | 가시선·위성과 |
전파 경로·장애 요인이 서로 다른 짝일수록 다중화의 효과가 크다(3.11.5). 가시선과 위성은 가림과 강우라는 서로 다른 약점을 갖는다. 위성 링크의 설계는 3.13, 지상 링크의 여유 설계는 3.8가 맡는다.
3.11.5 다중화와 가용도
3.11.5.1 가용도 식과 공통 원인이 형성하는 하한
링크 하나의 비가용도(사용할 수 없는 시간의 비율)를 $u$라 하자. 독립인 두 링크를 병렬로 두면 둘 다 죽어야 서비스를 잃으므로 가용도는 $1-(1-a)(1-b)$이다. 문제는 독립이 아니라는 것이다. 2.5.4.3의 $\beta$-요인 모형을 링크에 적용한다. 비가용도 $u$ 가운데 $\beta$는 모든 링크를 함께 쓰러뜨리는 공통 원인이고 나머지는 링크마다 독립이다.
$$U_{\mathrm{sys}}(n)=\beta\,u+\big((1-\beta)\,u\big)^{n}$$
$n\to\infty$에서도 $\beta u$ 밑으로 내려가지 않는다. 이것이 1.16.7.1에서 독립 감시 장치가 형성한 하한과 같은 논리다. 링크 하나가 99.9 %($u=10^{-3}$)일 때의 계산이다(파이썬).
| 링크 수 $n$ | $\beta=0$ | $\beta=0.01$ | $\beta=0.1$ | $\beta=0.3$ |
|---|---|---|---|---|
| 1 | $1.0\times10^{-3}$ | $1.0\times10^{-3}$ | $1.0\times10^{-3}$ | $1.0\times10^{-3}$ |
| 2 | $1.0\times10^{-6}$ | $1.10\times10^{-5}$ | $1.01\times10^{-4}$ | $3.0\times10^{-4}$ |
| 3 | $1.0\times10^{-9}$ | $1.0\times10^{-5}$ | $1.0\times10^{-4}$ | $3.0\times10^{-4}$ |
결론: 둘째 링크는 값지고 셋째는 거의 쓸모가 없다. $\beta=0.01$이면 9가 셋에서 약 다섯(99.999 %)으로, $\beta=0.1$이면 넷으로 늘고 그 뒤로는 평평하다. 다중화의 값은 링크 수가 아니라 $\beta$를 얼마나 낮췄는가에 있다. 서로 다른 두 링크(가시선 99.9 %, 위성 99.8 %)의 쌍은 완전 독립이면 비가용도 $2\times10^{-6}$(9가 5.7개)이지만 $\beta=0.01$이면 $1.2\times10^{-5}$(4.9개), $\beta=0.1$이면 $1.0\times10^{-4}$(4.0개)다(공통 원인은 더 좋은 쪽의 비가용도를 넘지 않는다고 둔 모형). 99.999 %를 얻으려면 이 쌍에서 $\beta\lesssim0.8\,\%$가 필요하다.
3.11.5.2 $\beta$는 어디서 오나
$\beta$는 측정으로 얻는 값이 아니라 설계가 줄이는 값이다. 아래는 링크 다중화에서 공통 원인이 되는 것들과 줄이는 길이다.
| 공통 원인 | 예 | 줄이는 길 |
|---|---|---|
| 같은 대역·같은 간섭 | 두 링크가 같은 ISM 대역의 같은 혼잡을 맞는다 | 다른 대역·다른 매체 |
| 같은 안테나 위치·차폐 | 기체 롤에 두 안테나가 함께 가린다 | 상·하면 분리, 다이버시티(3.6·3.7) |
| 같은 날씨 | Ku·Ka 위성 링크 둘이 같은 강우 | 가시선과 위성 짝(3.5) |
| 같은 지상 설비 | 한 지상국의 전원·광역망·건물 | 지상국 다중화, 다른 지리 |
| 같은 소프트웨어·키 | 링크 관리자 버그, 같은 인증 키·파서 | 다양성 설계, 키 분리(9.19) |
| 같은 기체 계통 | 같은 전원 모선, 같은 비행 컴퓨터 입력 | 독립 전원, 이종 처리(2.5·1.19) |
| 같은 공격면 | 두 링크가 같은 사이버 취약점 | 3.18·8.16 |
그림은 한 구성을 보인다. 주파수·매체·안테나·지상국을 달리해 링크 사이의 독립을 만들지만, 양 끝의 링크 관리자와 콘솔·비행 컴퓨터가 두 링크의 공통 요소로 남는다. 이 공통 요소의 신뢰도가 $\beta$의 하한을 정하므로, 링크 관리자는 가장 단순하고 가장 오래 검증된 부분이어야 한다(2.5.9의 비유사 설계).
3.11.5.3 전환 시간과 레일리 여유의 값
전환이 줄이는 가용도. 다중화가 살리는 것은 전환이 끝난 뒤다. 주 링크가 죽고 대기 링크로 넘어가는 동안은 서비스가 없다. 주 링크의 고장 빈도 $f$[회/시간], 검출·전환 시간 $T_d$이면 추가 비가용도는 $fT_d/3600$이다. $f=0.1$회/시간(10시간에 한 번)이면 다음이다.
| 검출·전환 시간 $T_d$ | 0.5 s | 3 s | 10 s | 30 s |
|---|---|---|---|---|
| 추가 비가용도 | $1.4\times10^{-5}$ | $8.3\times10^{-5}$ | $2.8\times10^{-4}$ | $8.3\times10^{-4}$ |
위의 가시선·위성 쌍($\beta=0.005$, $7.0\times10^{-6}$)에 전환 시간 3 s를 더하면 $9.0\times10^{-5}$로 9가 4.04개다. 전환 시간이 다중화의 이득을 거의 다 지운다. 99.999 %(비가용도 $10^{-5}$)를 충족하려면 쌍의 $7.0\times10^{-6}$을 빼고 남는 $3.0\times10^{-6}$ 안에 들어야 하므로 $T_d\le0.11$ s이어야 한다. 현실의 처방은 대기가 아니라 동시 송신이다. 같은 명령을 두 링크에 모두 보내고 순서 번호로 중복을 지워 먼저 온 것을 사용하면 전환 시간이 0이 된다. 대가는 두 링크가 모두 용량을 사용하고 두 링크의 명령이 같은 것임을 보증하는 논리가 늘어난다는 점이다.
레일리 여유의 값. 여유로 가용도를 사는 방법도 있지만 비싸다. 레일리 페이딩에서 수신 SNR이 평균보다 $M$ dB 이상 낮아 중단될 확률은 $1-e^{-10^{-M/10}}$이다(3.3.4.1).
| 가용도 목표 | 99 % | 99.9 % | 99.99 % | 99.999 % |
|---|---|---|---|---|
| 필요 여유 $M$ | 20.0 dB | 30.0 dB | 40.0 dB | 50.0 dB |
가용도 한 자릿수에 10 dB, 곧 자유공간 거리 3.2분의 1이다. 이것이 한 링크의 여유를 키우는 것보다 다이버시티와 링크 다중화가 싼 이유다. 예를 들어 안테나 2개의 선택 합성은 99.99 %의 여유를 40.0 dB에서 20.0 dB로 낮춘다(3.7.7.2). 가시선이 강하면 라이시안 분포라 이보다 훨씬 덜 들지만(3.3.4.2), 수치는 환경이 정한다 (3.4, 3.20의 실측으로 확인).
3.11.6 링크 감시와 핸드오버
3.11.6.1 감시 지표
링크가 끊기기 전에 나빠지는 것을 알아야 한다. 감시 지표는 세 층이다.
- 생존 신호. 양 끝이 주기적으로 보내는 하트비트. 마지막 수신 후 경과 시간이 가장 직접적인 지표다. MAVLink 계열의 관례는 1 Hz이고 4~5회 연속 미수신이면 단절로 본다. RF 링크의 전형값이며 프로토콜이 정하지 않는다(9.5.5).
- 링크 품질. 수신 신호 세기, SNR, 패킷 오류율, 재전송 횟수, 사용 중인 MCS(3.9). 이들로 링크 여유 $M=\mathrm{SNR}-\mathrm{SNR}_{\mathrm{req}}$를 추정하고 임계(예: 6 dB) 아래에서 경보를 낸다(2.11.4). 끊김 전에 거리를 줄이거나 안테나를 지향하게 할 시간을 번다.
- 서비스 지표. 왕복 시간, 순서 번호 간격, 인증 실패 횟수. 지연이 늘거나 인증 실패가 늘면 링크는 살아 있어도 서비스는 열화된 것이다(3.18).
3.11.6.2 시간 초과 설계 — 오경보는 꼬리가 정한다
생존 신호가 $T$ 초 끊기면 링크 상실로 선언한다(2.6.6이 15 m/s에서 3·10·30 s가 45·150·450 m를 더 가게 한다고 보였다). 짧으면 일시 끊김에 오경보를 내고, 길면 그동안 기체가 간다. 링크 쪽에서는 이 선택을 끊김의 통계로 해야 한다. 끊김이 시간당 $\lambda_o=6$회, 평균 지속 2 s라 하자(가정). 시간 초과 $T$를 넘기는 끊김의 오경보 횟수는 지속 시간의 분포가 정한다. 지수 분포와, 평균을 맞춘 꼬리가 무거운 파레토 분포($\alpha=1.5$)를 비교했다.
| 시간 초과 $T$ | 3 s | 10 s | 30 s |
|---|---|---|---|
| 지수 분포의 오경보 [회/시간] | 1.34 | 0.040 | $1.8\times10^{-6}$ |
| 파레토 분포의 오경보 [회/시간] | 0.63 | 0.10 | 0.020 |
3 s에서는 두 분포가 비슷하지만 30 s에서는 1만 배 이상 벌어진다. 지수 분포를 가정해 30 s면 오경보가 사실상 없다고 결론내는 것은 위험하다. 지형 그늘이나 기체 롤에 의한 가림 같은 버스트 끊김은 꼬리가 무겁다. 독립 패킷 손실이라면 연속 $k$번 손실이 $p^k$로 급감해 오경보는 거의 없다. 시간 초과 선택에서 중요한 것은 평균 오류율이 아니라 끊김 지속 시간의 상위 분포이고, 이는 실제 운용 데이터로만 얻는다(3.20·8.23). 같은 이유로 2.6.6의 대기 시간은 기체·구역·링크 특성별로 정해야 한다. GNSS가 함께 교란된 환경이라면 대기하는 동안 관성 오차가 자라 복귀 반경이 줄어든다. 그래서 대기 시간은 GNSS 상태에 따라서도 달리 정한다(5.8.6.2).
3.11.6.3 핸드오버
핸드오버는 서비스를 유지하며 연결을 옮기는 일이다. 세 종류가 있다.
| 종류 | 예 | 중단을 만드는 것 | 완화 |
|---|---|---|---|
| 지상국 간 | 기체가 한 지상국 가시권에서 다음으로 | 재접속·재인증·슬롯 재배정 | 중첩되는 커버리지, 사전 접속(make-before-break) |
| 매체 간 | 가시선 ↔ 위성·셀룰러 | 대기 링크의 동기 재획득 | 대기 링크를 상시 연결(핫 스탠바이), 동시 송신 |
| 저궤도 위성 간 | 4~5분마다 위성 교체 | 빔·위성 전환 | 단말 안테나의 연속 추적(3.7·3.13) |
저궤도는 빈도가 크다. 고도 550 km에서 위성 한 대의 통과가 4.5분(3.13.3.3)이면 한 시간에 13.3번 옮기는 셈이고, 한 번에 0.2 s(가정) 끊기면 비가용도가 $7.4\times10^{-4}$로 9가 3.1개다. make-before-break(새 연결을 먼저 만든 뒤 옛 연결을 끊음)이면 이 몫이 사라진다. 한편 링크 핸드오버와 원격조종국 간 조종 권한의 인계(RPS handover, 2.11.3.3·16.9)는 다른 층이다. 후자는 사람과 책임의 이동이고 링크가 끊기지 않아도 일어난다.
3.11.7 링크 상실 절차 — 링크 쪽 설계
ICAO의 RPAS 문서는 링크 상실을 원격조종사가 통신 채널의 열화나 고장 때문에 더는 기체를 관리할 수 없는 상태로 정의한다 (Doc 10019·RPAS 운용개념서, 2차 확인). 기체가 어떻게 행동하는가(귀환·체공·착륙·비행 종료)는 2.6.6과 2.6.5가 다룬다. 링크 쪽에서 설계할 것은 다섯이다.
- 상태 기계. 정상 → 열화(경보) → 상실(시간 초과) → 복구(재획득)의 네 상태와 전이 조건을 링크 관리자가 갖는다. 전이마다 기록을 남긴다(8.23).
- 상실 선언의 입력. 한 지표가 아니라 생존 신호 경과·링크 여유·인증 상태의 조합으로 선언하고, 이중 링크에서는 모든 링크가 상실일 때만 선언한다. 일부 상실은 전환이다.
- 재획득. 링크가 돌아오면 재인증과 재동기 뒤에 서비스를 연다. 자동으로 이전 모드로 돌아가지 않고 원격조종사 확인을 거친다(2.6.6).
- 낡은 명령. 끊긴 동안 쌓인 명령이 링크 복구 직후 한꺼번에 실행되면 위험하다. 명령에 유효 시간(TTL)과 순서 번호를 붙여 시간이 지난 명령은 버린다. 재전송 공격의 방호(9.19)와 같은 장치다.
- 관제 통지. 관제와 공역을 나누는 운용에서는 링크 상실을 알리는 수단이 있다. 트랜스폰더 코드 7400이 미국·영국의 사례이고 ICAO 전 세계 표준 여부는 2.6.6이 확인하지 못했다
(확인 필요). 인증 범주 UAS의 절차는 17.4가 다룬다.
사이버 위협은 링크 상실과 동시에 발생한다. 재밍과 하이재킹은 링크를 끊거나 가로채며(5.2·8.16), 방호는 3.18가 다룬다. 링크 상실 절차는 위협이 아니라 결과에 반응하므로 공격이든 고장이든 같은 안전 상태로 가는 것이 기본 설계다.
3.11.8 수치 예시·워크스루 — 가시선과 위성의 이중 C2
요구에서 설계 파라미터까지 한 줄로 이어 본다. 가상 구성이다. 중형 UAS가 전용 대역의 지상 가시선 링크와 GEO 위성 링크를 이중으로 사용하고, 운용은 속도·경로점 명령 수준이며 영상은 GEO 구성(2.11.6 D)이다.
| 단계 | 근거 | 결과 |
|---|---|---|
| ① 지연 한도 | 속도 명령, 보정 후 $\tau_{L,\max}$ (3.11.3.3) | 1.30 s |
| ② C2 상향 버짓 | 한도 − 영상 경로 555 ms | 748 ms |
| ③ 실제 지연 | 위성 288.7 ms, 가시선 15~80 ms | 버짓의 39 % 이하 |
| ④ 가시선 링크 여유(10 km) | 5.06 GHz, 송신 33 dBm, 지상 안테나 14 dBi(추적), 기체 2 dBi, 손실 합 2 dB, 1 MHz: 수신 $-79.5$ dBm, SNR 28.5 dB, QPSK 1/2(필요 2.2 dB) 여유 26.3 dB | 레일리 가정 가용도 99.77 %(20 km에서 약 99 %) |
| ⑤ 쌍의 가용도 | 가시선 99.9 %·위성 99.8 %, $\beta$를 0.5 %로 설계 | $7.0\times10^{-6}$(9가 5.2개) |
| ⑥ 전환 | 대기(3 s) 대신 동시 송신 | 추가 비가용도 0, 대기라면 $8.3\times10^{-5}$ |
| ⑦ 시간 초과 | 10 s, 끊김 통계(가정) | 오경보 0.04~0.10회/시간, 40 m/s에서 400 m |
④에서 바꾼 값은 기준 C2 링크 대비 주파수(2.4→5.06 GHz), 송신 전력(20→33 dBm), 지상 안테나(8→14 dBi)이며 나머지는 같다. 값은 가정이다. 읽을 것 셋. 첫째 지연은 병목이 아니다(③). 둘째 가용도를 정하는 것은 링크 하나의 여유보다 $\beta$와 전환 방식이다(④⑤⑥). ⑤의 9가 5.2개는 ⑥에서 전환을 대기로 두면 4.04개로 내려간다. 셋째 시간 초과 10 s는 끊김 지속 시간의 상위 분포를 모르면 근거가 없다(⑦). 이 구성의 링크 감시·전환 논리가 곧 안전 논증의 증거가 된다(20.6).
3.11.9 설계 트레이드오프 — 링크를 몇 개, 어떻게 둘 것인가
① 전용 단일 링크. 비면허 또는 전용 대역 하나. 가볍고 싸며 간단하다. 가용도는 링크 하나의 여유와 간섭 환경이 정하고 링크 상실이 곧 절차 진입이다. 사람 위가 아닌 가시권 운용이나 소형 UAS에 맞다.
② 이종 이중 링크(전환 또는 동시 송신). 가시선과 위성·셀룰러 짝. $\beta$를 낮추는 가장 효과적인 방법이다. 대가는 장비와 안테나 두 벌, 링크 관리자 논리, 두 링크의 비용이다. 비가시권과 인증 범주에 요구된다.
③ 상용 망 다중 경로(셀룰러 이중 통신사 등). 지상 인프라를 빌려 여러 경로를 만든다(3.14). 비용이 낮고 도달이 넓지만 같은 지상 설비·정책에 묶여 $\beta$가 클 수 있고 성능 보증이 약정에 달린다.
견해: 인명과 재산에 영향을 주는 비가시권 운용의 C2는 ②를 기본으로 삼되, 전환이 아니라 동시 송신으로 구성하는 편이 낫다고 본다. 근거는 셋이다. 첫째 3.11.5.1의 계산처럼 둘째 링크의 가치는 $\beta$에 달려 있고 셋째 링크로는 그것을 줄이지 못한다. 둘째 3.11.5.3처럼 전환 시간 3 s가 5개째 9를 깎으므로 대기 방식은 다중화의 이득을 지운다. 셋째 3.1.10의 견해가 말하듯 같은 비면허 대역에만 의존하는 다중화는 같은 혼잡을 함께 맞는다. 반대로 사람이 없는 구역의 가시권 소형 운용에는 ①로 충분하고 ②는 과하다. 단 ②의 대가인 링크 관리자가 새 공통 원인이라는 점은 남는다.
3.11.10 세 축 비교
| 항목 | 군용 드론 | 민간 UAS | AAM |
|---|---|---|---|
| 주 링크 | 가시선 + 위성, 항재밍 파형 | 비면허·셀룰러, 인증 범주는 전용 대역 | 지상 인프라(전용·셀룰러), 이중 경로 |
| 요구 성능의 출처 | 군 요구·체계 규격(공개 한계) | BVLOS 승인·인증 기준, 표준(DO-362A 계열) | 인증 기준·운항 요건(15.15) |
| 다중화 | 가시선·위성·릴레이, 항재밍 | 소형은 단일, 인증 범주는 이종 이중 | 이중·삼중 경로와 인증된 전환 논리 |
| 링크 상실 | 자율 임무 지속·귀환(5.8) | 귀환·체공·착륙(2.6), 관제 통지 | 안전 착륙 또는 지정 지점, 운항 센터 통지 |
| 관련 장 | 3.16·9.9 | 14.15·17.4 | 15.13·15.15 |
3.11.11 관련 규격·프로토콜
| 문서 | 발행 | 무엇을 정하나 | 상세 |
|---|---|---|---|
| RTCA DO-362A | RTCA(2020-12-17) | 지상 C2 링크 MOPS. 송신 출력·점유 대역폭·마스크·TDD 프레임률 (본문 미확인) | 9.13 |
| RTCA DO-377A | RTCA(2021-09-16) | C2 링크 시스템의 MASPS (본문 미확인) | 9.13 |
| 47 CFR 제88부 | 미 FCC | 5030~5091 MHz 대역 UAS 제어 링크 서비스 규칙(1차 확인) | 17.19 |
| ICAO Annex 10 Volume VI, Doc 10019, Doc 9869 | ICAO | C2 링크 절차·필요 링크 성능, RPAS 매뉴얼, 성능 기반 통신 개념 (2차 확인) | 17.2 |
| ITU 전파규칙, 5030~5091 MHz 분배(WRC-12) | ITU | 항공이동(R)업무 분배 (2차 확인) | 17.19 |
| MAVLink(하트비트), STANAG 4586 | 오픈·NATO | 생존 신호와 C2 메시지 형식 | 9.5·9.7 |
3.11.12 관련 규제·인증 요구와의 연결
| 이 장의 기술 | 일으키는 요구 | 연결 |
|---|---|---|
| 필요 링크 성능 | C2 링크의 지연·연속성·가용도·무결성 목표와 그 입증(해석·시험) | 9.13·20.6 |
| 다중화·$\beta$ | 안전 평가에서 링크 상실의 확률과 공통 원인 분석 | 8.4·2.5 |
| 링크 상실 절차 | 기체가 링크 상실 시 취할 행동과 대기 시간, 관제 통지 | 2.6.6·17.4·17.2 |
| 전용 대역 | 주파수 지정·장비 적합성(표준 인용)·운용자 요건 | 17.19·18.16 |
| 비가시권 운용 승인 | C2 링크 성능을 운용 승인의 근거로 제시 | 14.15·17.6·18.6 |
| 링크 인증·재전송 공격 방지 | C2의 무결성·진본성 요구 | 8.11·9.19 |
3.11.13 함정과 한계
| 오해 | 실제 | 더 볼 곳 |
|---|---|---|
| "링크를 둘 두면 가용도가 제곱된다" | 공통 원인 비율이 하한을 정한다. $\beta=0.1$이면 셋째 링크는 아무것도 보태지 못한다 | 3.11.5.1 |
| "전환만 되면 다중화다" | 전환 3 s가 99.999 %를 4.04개 9로 깎는다. 동시 송신이 낫다 | 3.11.5.3 |
| "GEO는 지연 때문에 C2에 못 사용한다" | 속도·경로 명령 수준에서는 버짓의 39 %만 사용한다. 못 사용하는 것은 정밀 직접 조종이다 | 3.11.3.3 |
| "시간 초과 10 s면 충분히 안전하다" | 오경보는 끊김 지속 시간의 꼬리가 정한다. 지수 가정이면 1만 배 낙관한다 | 3.11.6.2 |
| "전용 대역이면 간섭이 없다" | 분배는 보호의 시작이다. 6.5 dB의 손실 대가와 규칙·장비의 정비가 따른다 | 3.11.4.1 |
| "위성과 가시선을 합치면 독립이다" | 링크 관리자·콘솔·비행 컴퓨터·키는 공통이다 | 3.11.5.2 |
| "링크 상실은 비행 종료로 해결된다" | 복구 뒤의 낡은 명령과 재인증이 새 위험이다 | 3.11.7 |
이 장의 한계도 밝힌다. 필요 링크 성능의 수치는 이 장의 설계 가정이고 표준의 값이 아니다. $\beta$와 끊김의 분포는 가정이며 공개된 실측이 부족하다. 가용도의 곱셈 모형은 고장의 독립(공통 원인 제외)을 가정한다. 5.06 GHz 링크의 여유는 자유공간 식이고 지면 반사·가림은 넣지 않았다(3.2). DO-362A의 파형·요건 본문, ICAO Volume VI 본문은 확인하지 못했다. 한국의 전용 대역 도입 상태도 확인하지 못했다. 실제 링크의 성능은 시험으로 입증한다(3.20·9.23).
3.11.14 체크포인트·연구 질문
체크포인트
- 필요 링크 성능의 네 지표를 설명하고, 각 지표가 C2 링크의 어떤 설계 선택으로 나타나는지 하나씩 말하라.
- 속도 명령 수준에서 GEO 위성 C2 상향의 버짓 대비 사용률이 39 %인 계산을 재현하라. 정밀 호버는 왜 링크 밖에서 할 수 없는가?
- $\beta=0.1$일 때 링크를 둘에서 셋으로 늘려도 가용도가 거의 오르지 않는 이유를 식으로 설명하라.
- 주 링크 고장이 10시간에 한 번이고 전환에 3 s가 걸리면 추가 비가용도는 얼마인가? 이를 없애는 구조는 무엇이고 대가는?
- 시간 초과를 지수 분포 가정으로 정할 때의 위험을 30 s 예로 설명하라.
- 5030~5091 MHz 전용 대역으로 옮기면 같은 장비의 거리가 왜 0.47배가 되는가? 이를 되찾는 수단 둘을 들라.
연구 질문 — 이 장에서 파생되는 열린 주제(25.7에 모은다)
- 링크 끊김 지속 시간의 공개 분포 — 지형·기체 자세·간섭이 만드는 끊김의 길이 분포를 어떤 공개 데이터(8.23의 비행 로그)로 추정할 수 있고, 시간 초과 선택에 어떻게 사용하는가?
- 링크 다중화의 $\beta$ 추정 — 서로 다른 매체 두 링크의 공통 원인 비율을 운용 데이터로 어떻게 추정하는가? 링크 관리자의 비유사 설계가 줄이는 몫은?
- 동시 송신 C2의 보증 — 두 링크에 같은 명령을 보내고 중복을 지우는 구조의 순서·일관성·재전송 공격 방호를 어떻게 형식적으로 보증하는가?
- 저궤도 위성 C2의 필요 링크 성능 입증 — 핸드오버와 상용 서비스의 정책 변동을 안고 연속성을 어떻게 증명하는가?
1차 출처(이 장)
- 연방관보 90 FR 1380(2025-01-08), FCC 24-91, WT Docket No. 22-323 "Spectrum Rules and Policies for the Operation of Unmanned Aircraft Systems" — 47 CFR 제88부, 제88.117조(DO-362A 인용).
- RTCA DO-362A Command and Control (C2) Data Link Minimum Operational Performance Standards (MOPS) (Terrestrial), 2020-12-17
(본문 미확인). - RTCA DO-377A Minimum Aviation System Performance Standards for C2 Link Systems Supporting Operations of Unmanned Aircraft Systems in U.S. Airspace
(제목 확인 필요, 본문 미확인). - ICAO Annex 10 Aeronautical Telecommunications Volume VI, Doc 10019 Manual on Remotely Piloted Aircraft Systems (RPAS), Doc 9869 Performance-based Communication and Surveillance (PBCS) Manual
(본문 미확인). - ITU-R M.2171 Characteristics of unmanned aircraft systems and spectrum requirements to support their safe operation in non-segregated airspace
(판 확인 필요). - EASA SC RPAS.C2-01 RPAS Command and Control
(2차 확인). - Billinton, R.; Allan, R. N., Reliability Evaluation of Engineering Systems: Concepts and Techniques, 2nd ed., Plenum, 1992(공통 원인 모형의 일반 교과서).
- IEC 61508-6 부속서(β-요인 모형, 2.5과 같음).
출처를 찾고 판을 추적하는 방법은 0.9, 규격의 지형은 9.1에서 다룬다.
다음 장: 3.12에서 C2와 분리된 짝, 영상·임무 데이터링크를 본다. 아날로그 FM 영상과 디지털 영상의 지연과 열화 방식, H.264·H.265 압축과 GOP가 만드는 복구 시간, 재전송과 FEC의 교환, 비트율과 링크 버짓의 관계, 군 영상 링크와 메타데이터를 2.11.6의 지연 버짓과 맞춰 다룬다.