제4부 항법 — GNSS와 그 너머

4.4 결합 항법: GNSS/INS 약·강·초강결합과 무결성 감시

4.4.1 이 장에서 배우는 것 / 선수 지식 / 특히 중요한 독자

이 장은 GNSS와 관성항법을 하나의 필터로 묶는 방법을 다룬다. 앞 장(4.3)은 관성만으로 유지하는 시간을 계산했다. 이 장은 GNSS가 있는 동안 필터가 관성의 오차를 얼마나 배워 두는지, GNSS가 끊긴 뒤 그 덕을 얼마나 보는지, 그리고 GNSS가 틀렸을 때 그것을 어떻게 알아채는지를 계산한다.

배우는 것:

• 오차 상태 필터의 구조 — 상태(위치·속도·자세·센서 바이어스·시계), 예측과 갱신의 요지, 이노베이션과 그 공분산.
• 가관측성 — 어떤 기동이 어떤 오차를 드러내는가. 직진에서는 가속도계 바이어스를 끝내 배우지 못한다는 계산.
• 약결합·강결합·초강결합 — 결합 지점의 차이, 위성이 넷보다 적을 때의 거동, 추적 루프 보조(개념 수준).
• 무결성 감시 — RAIM의 잔차 검사(5기 검출·6기 배제), ARAIM, 이노베이션 검정의 오경보·미탐지, 보호 수준과 공분산의 정직성.
• 이상 센서 처리와 오토파일럿 EKF의 공개 구조 — GNSS 점프·다중경로·교란 때의 거동, PX4 EKF2와 ArduPilot EKF3의 공개 파라미터.
• GNSS 단절과 재획득의 계산 — 1축 결합 필터로 4.3.7의 순수 관성 곡선과 비교하고, 돌아온 GNSS를 다시 믿는 잣대를 4.13.8.2와 견준다.

선수 지식: 4.1(최소제곱 4.1.5.1, 네 지표와 보호 수준 4.1.7), 4.2(의사거리와 UERE 4.2.4.2), 4.3(오차 전파 4.3.6, 한계 시간 4.3.7, 정렬 4.3.8), 시각 동기 2.1.11. 칼만 필터 이론의 유도는 자매서 kalmann의 몫이고 이 장은 구조와 요지만 작성한다. 스푸핑 탐지 방법은 4.6, 재밍과 기만의 원리는 5.2·5.3, 시각·지형 보조는 4.7·4.8가 맡는다.

특히 중요한 독자: 엔지니어는 4.4.3(필터 구조·가관측성), 4.4.5(무결성), 4.4.8(시뮬레이션)을 본다. 인증 담당자는 4.4.5와 4.4.11·4.4.12를 본다. 운용 담당자는 4.4.6과 4.4.8.2의 표를 본다. 정책·사업 담당자는 4.4.2, 4.4.9, 4.4.10을 먼저 본다.

기준 시점과 정직성. 이 장은 2026년 10월 기준이며 지식 한계는 2026년 중반이다. 계산은 수평 한 축의 교육용 모형이고 fig-src/4.4-model.py(표준 라이브러리, 고정 시드 80)로 했다. 관성 오차 모형과 등급 가정은 4.3의 계산 모형(4.3-model.py)을 그대로 불러 사용했다. PX4·ArduPilot의 파라미터 이름과 기본값은 2026년 10월에 공개 문서와 소스 코드에서 확인한 것만 단정했고, 판에 따라 바뀔 수 있다 (제품·판 확인 필요). 제조사 성능은 (공개 주장치), 2차 출처 추정은 (추정)으로 표시했다.

4.4.2 개념·직관 — 관성이 예측하고 GNSS가 고친다

두 센서는 정확히 반대의 성질을 가진다. GNSS는 오차가 한정된다. 10분 뒤의 오차가 지금의 오차보다 크지 않다. 대신 측정이 느리고(대개 1~10 Hz) 잡음이 있으며, 바깥 신호여서 끊기거나 틀릴 수 있다(4.5). 관성은 빠르고 매끄럽고 바깥에 기대지 않는다. 대신 오차가 시간의 제곱과 세제곱으로 자란다(4.3.6).

결합은 이 둘을 한 필터에 넣는다. 관성이 매 순간 위치를 예측하고, GNSS가 들어올 때마다 예측과의 차이로 관성의 오차를 고친다. 필터는 위치만 고치지 않는다. 오차의 원인인 기울기와 센서 바이어스까지 추정해 둔다. 그래서 GNSS가 끊긴 뒤에도 관성이 4.3의 계산보다 오래 버틴다. 이 장의 계산(4.4.8)에서 전술 MEMS는 60 s 단절 끝의 오차가 순수 관성의 15.7 m에서 8.5 m로 줄었다. 다만 좋은 관성일수록 이 이득이 작고, 기동이 바뀌면 필터가 배우지 못한 성분이 드러난다.

결합의 두 번째 값은 무결성이다. 관성의 예측은 GNSS와 독립된 잣대여서, GNSS가 예측에서 크게 벗어나면 필터는 그 측정을 의심한다(이노베이션 검정). GNSS는 여분 위성으로 스스로를 검사한다(RAIM). 앞의 것은 관성 예측이 날카로운 동안, 뒤의 것은 긴 단절 뒤에 더 강하다(4.4.5.4).

세 축에서 요구가 다르다. 민간 UAS의 오토파일럿은 MEMS 관성과 수신기의 위치·속도 해를 묶는 약결합이 표준이고, GNSS를 잃으면 착륙이나 귀환을 판단할 시간을 버는 것이 목적이다(2.6.6). 군용 드론은 GNSS 거부 환경의 연속성이 목적이어서 강결합과 관성·GNSS 일체형 장치, 일부는 추적 루프까지 묶는 초강결합을 사용한다(4.6·4.13). AAM은 무결성을 보호 수준의 언어로 입증해야 하는 인증의 세계에 있다(4.1.7·17.14). 비교표는 4.4.10에 있다.

4.4.3 오차 상태 필터의 구조

4.4.3.1 왜 오차 상태인가 — 상태와 모형

결론부터: 결합 필터는 위치 자체가 아니라 관성 해의 오차를 추정한다. 관성의 기계화(4.3.5)는 비선형이지만 그 오차는 작아서 선형으로 다룰 수 있다. 또 관성은 필터와 따로 고속으로 돌고, 필터가 멈춰도(GNSS 단절) 항법 해가 끊기지 않는다.

앞의 다섯 줄을 합친 15개가 교과서의 표준 구성이다(Groves 2013). 오차는 선형 미분 방정식을 따르고 측정은 오차의 선형 함수다.

$$\delta\dot{\mathbf x}=F\,\delta\mathbf x+G\,\mathbf w,\qquad \mathbf z-\hat{\mathbf z}=H\,\delta\mathbf x+\mathbf n$$

이 장의 계산은 이 식의 수평 한 축 판이다. 4.3의 오차 방정식에 바이어스 두 개를 상태로 더했다.

$$\delta\dot p=\delta v,\qquad \delta\dot v=-g\,\delta\theta+s\,b_a+w_q,\qquad \delta\dot\theta=\frac{\delta v}{R}+s\,\varepsilon+w_N,\qquad \dot b_a=\dot\varepsilon=0$$

$s=\pm1$은 기수 방향이다. 기체가 180° 선회하면 몸체에 붙은 센서의 바이어스가 항법 좌표에서 부호를 바꾼다. 이 한 글자가 가관측성(4.4.3.3)을 정한다.

4.4.3.2 예측과 갱신 — 요지

필터는 두 단계를 되풀이한다. 예측은 관성이 하고, 갱신은 GNSS가 들어올 때 한다.

$$\hat{\mathbf x}^-_k=\Phi\,\hat{\mathbf x}^+_{k-1},\qquad P^-_k=\Phi P^+_{k-1}\Phi^{\top}+Q_d$$

$$\boldsymbol\nu=\mathbf z-H\hat{\mathbf x}^-,\qquad S=HP^-H^{\top}+R,\qquad K=P^-H^{\top}S^{-1},\qquad \hat{\mathbf x}^+=\hat{\mathbf x}^-+K\boldsymbol\nu,\qquad P^+=(I-KH)P^-$$

비엔지니어가 기억할 것은 둘이다. $P$는 필터의 자기 평가이고, $\boldsymbol\nu$와 $S$가 이노베이션 검정(4.4.5.4)의 재료다. 추정한 오차를 관성에 되돌리는 닫힌 고리와 되돌리지 않는 열린 고리는 선형 모형에서 같은 추정 오차를 내므로 이 장의 계산은 열린 고리로 했다. 이득이 왜 최적인지, EKF·무향 칼만 필터·팩터 그래프 최적화의 차이는 자매서 kalmann과 4.7.4.2가 다룬다.

4.4.3.3 가관측성 — 어떤 기동이 무엇을 드러내는가

결론부터: GNSS 위치는 측정에 영향을 주는 조합만 알려 준다. 수평 기울기 오차와 수평 가속도계 바이어스는 직진에서 같은 가속도 오차로 보여서 따로 분리되지 않는다. 기동이 조합을 바꿔야 개별 오차가 드러난다.

방위가 등속 비행에서 보이지 않는다는 점이 실무에서 가장 중요하다. 그래서 멀티콥터는 자력계나 이중 안테나 GNSS로 방위를 맞춘다. PX4 문서는 자력계 없이 IMU와 GNSS 수평 속도로 방위를 추정하는 경로를 설명하면서 이륙 뒤 수평 이동이 있어야 방위가 관측 가능해진다고 적는다. 4.3.8의 공중 정렬이 같은 원리다.

아래는 1축 모형(가정은 4.4.8.1)에서 GNSS를 $T$초 받은 뒤 필터의 사후 표준편차를 사전 값으로 나눈 것이다. 1이면 아무것도 배우지 못한 것이다. 왕복은 20 s마다 180° 선회하는 비행이다.

세 가지가 읽힌다. 첫째, 직진에서는 가속도계 바이어스를 끝내 배우지 못한다(0.96~0.99). 시간을 늘려도, 속도를 0.02 m/s로 재도 0.99였다. 구조적으로 가관측성이 없다. 둘째, 선회가 바이어스를 드러내도 얼마나 배우는지는 측정의 정밀도가 정한다. 전술 MEMS의 0.1 mg 바이어스를 절반 아래로 줄이려면 300 s 동안 0.02 m/s급 속도(반송파 기반, (경험 범위))가 필요했다(0.23). 셋째, 기동은 한 오차를 드러내고 다른 오차를 감춘다. 왕복은 자이로 바이어스가 만드는 램프를 번갈아 지워서 직진(0.37)보다 자이로 바이어스를 덜 배운다(0.95). 정직한 필터는 배우지 못한 성분의 불확실성을 $P$에 남겨 두고, 그 성분은 GNSS 단절 뒤 기동이 바뀔 때 오차로 드러난다(4.4.8.2).

4.4.3.4 시간 지연과 시계 정렬

GNSS 측정은 수신기가 잰 시각과 오토파일럿에 도착한 시각이 다르다. 지연을 무시하고 도착 시각의 관성 예측과 비교하면 속도 × 지연만큼 어긋난다. 6 kg 결합형(순항 13.9 m/s, 2.6.5.2)으로 계산하면 다음과 같다. 둘째 행은 축별 5σ 게이트(4.4.5.4)의 오경보가 지연이 없을 때보다 몇 배 느는지다(이노베이션 1σ를 1.5 m로 근사).

100 ms의 어긋남은 GNSS 잡음 1.5 m와 맞먹고 오경보를 40배 늘린다. 이 어긋남은 기동 방향을 따라 바뀌어서 선회 때만 이노베이션이 커지는 증상으로 나타난다. 대책은 둘이다. 수신기의 초당 펄스(PPS)로 하드웨어 시각 표지를 붙이고(2.1.11), 필터를 과거 시각에서 돌린다. PX4 EKF2는 측정마다 다른 지연을 다루려고 지연된 융합 시간축에서 필터를 돌리고, 출력은 상보 필터로 현재 시각까지 전파한다. 기본값은 최대 지연 EKF2_DELAY_MAX 200 ms, 출력 필터의 시간 상수 EKF2_TAU_VEL·EKF2_TAU_POS 0.25 s다(2026년 10월 소스 확인, (제품·판 확인 필요)).

2.2.3은 속도 루프의 위상 여유를 계산하며 융합 필터의 등가 지연을 0.1 s로 가정했다. 출력 예측기 구조에서는 빠른 운동이 IMU 지연만으로 출력에 나타나고, GNSS의 느린 보정은 시간 상수 0.25 s로 스며든다. 등가 지연은 하나의 숫자가 아니어서 실제 값은 비행 로그로 재야 한다(8.23) (확인 필요). 레버암도 같은 종류다. 안테나가 IMU에서 1 m 떨어져 있고 기체가 30 °/s로 요 회전하면 안테나는 0.52 m/s로 움직인다. GNSS 속도 잡음보다 크므로 보정한다(2.1.11).

4.4.4 약결합·강결합·초강결합

4.4.4.1 결합 지점

결합 방식은 GNSS 수신기의 처리 사슬 어디에서 필터로 들어가느냐에 따라 달라진다. 아래 그림이 세 지점을 보인다.

약결합의 약점 둘을 지적해 둔다. 하나는 연쇄 필터 문제다. 수신기 안의 필터가 이미 평활한 해를 다시 필터에 넣으면 측정 오차가 시간 상관을 가지는데, 필터는 이를 독립 잡음으로 보고 자기 정밀도를 과대평가한다. 측정 잡음 $R$을 키우거나 갱신 주기를 늦춰 완화한다. 다른 하나는 무결성이다. 위성 하나가 틀리면 수신기 해가 먼저 오염되고, 필터는 어느 위성이 틀렸는지 알 길이 없다. 강결합은 위성마다 이노베이션을 검사하므로 RAIM과 같은 일을 필터 안에서 한다(4.4.5.5).

4.4.4.2 위성이 넷보다 적을 때

의사거리 하나는 위성 방향의 거리 하나와 수신기 시계를 묶은 제약이다. 시계를 모르면 위성 $k$기가 주는 위치 제약은 $k-1$개다. 그래서 단독 해에는 4기가 필요하다(4.2.3.1). 강결합 필터는 4기 미만에서도 측정을 버리지 않는다. 위성이 보이는 방향으로는 오차가 붙잡히고, 보이지 않는 방향으로만 관성처럼 자란다. 도심 협곡에서 길 방향의 위성만 보이면(4.2.8) 길 방향 오차는 묶이고 길을 가로지르는 오차만 자라는 식이다. 두 가지가 제약을 하나씩 더한다. 기압 고도는 수직을 대신하고(2.8.8), 안정한 시계는 시계 미지수를 예측으로 바꾼다(4.12.4.1). 약결합은 수신기가 해를 내지 못하는 순간 순수 관성이 된다.

4.4.4.3 초강결합과 추적 루프 보조 — 개념

추적 루프는 위성 신호의 도플러 변화를 따라간다. 기체가 기동하면 루프는 그 동적 응력을 감당하려고 대역폭을 넓게 둔다. 초강결합은 관성이 예측한 도플러로 루프의 수치 제어 발진기(NCO)를 미리 움직여 루프가 남은 오차만 따라가게 한다. 그러면 대역폭을 좁힐 수 있고 추적 문턱이 내려간다. 얼마나 내려가는지는 4.6.5.3이 계산했다(대역폭 18 Hz에서 2 Hz로 줄이면 문턱 8.0 dB). 위성별 루프를 항법 필터 하나가 함께 구동하는 벡터 추적에서는 강한 위성의 정보가 약한 위성의 추적을 돕는다.

보조의 질은 필터의 속도 오차가 정한다. 속도 오차 0.05 m/s는 L1 파장(0.19 m)에서 도플러 0.27 Hz다. 이 장의 1축 계산(전술 MEMS)에서 GNSS가 있는 동안 속도 1σ는 0.05 m/s이고, 60 s 단절 끝에는 0.25 m/s(1.3 Hz)로 커진다. 보조가 가장 필요한 단절 구간에서 보조가 가장 무뎌진다.

대가도 개념 수준에서 분명하다. ① 관성 예측의 도플러 오차가 루프가 견딜 범위 안이어야 하므로 관성 품질과 지연이 요구된다. ② 수신기 발진기의 위상 잡음과 진동 민감도가 새 한계가 된다. ③ 수신기 내부에 접근해야 해서 상용 수신기로는 대개 불가능하고 인증 부담이 크다. ④ 문턱을 내릴 뿐 신호가 없는 곳에서 신호를 만들지 못한다. 간섭이 개선된 문턱보다 강하면 여전히 잃는다(원리는 5.2). 군용에서는 관성과 GNSS 수신기를 한 상자에 넣은 일체형 장치(EGI)가 오래 사용되었고, 미 공군의 현대화 사업(EGI-M)에서 M 코드 수신기를 갖춘 Northrop Grumman LN-351 시제가 2023년 비행시험을 했다고 보도되었다 (2차 출처, 공개 주장치). 결합의 깊이와 성능은 공개되지 않았다.

4.4.5 무결성 감시 — RAIM·ARAIM·이노베이션 검정·보호 수준

4.4.5.1 무엇을 보호하는가

경보 한계 $AL$, 위험 확률, 경보 시간, 보호 수준 $PL$의 정의는 4.1.7.1에 있다. $PL\le AL$이면 사용하고 넘으면 경고한다는 구조도 같다. 이 절은 보호 수준을 무엇으로 계산하느냐를 다룬다. 계열은 다섯이다.

ICAO가 정의하는 항공기 기반 보강(ABAS)에는 GNSS만 사용하는 RAIM과 기압 고도계·시계·관성을 함께 사용하는 AAIM이 함께 들어 있다(RTCA SC-159의 2026년 위임 범위 문서가 이 정의를 인용한다).

4.4.5.2 RAIM — 잔차로 고장을 찾는다

결론부터: 위성이 미지수보다 많으면 최소제곱(4.1.5.1)의 잔차가 생기고, 잔차가 크면 어딘가 틀렸다. 5기면 틀렸다는 것을, 6기면 어느 것이 틀렸는지를 알 수 있다. FAA의 발표 자료(ICAO 남미 회의, 2009)가 고장 검출에 5기(또는 4기와 기압 보조), 검출과 배제(FDE)에 6기(또는 5기와 기압 보조)를 적는다. 4.2이 "RAIM에 5기 이상"이라고 작성한 것은 검출의 조건이다.

$$\mathbf r=\left(I-HA\right)\boldsymbol\rho,\qquad A=\left(H^{\top}H\right)^{-1}H^{\top},\qquad T=\frac{\mathbf r^{\top}\mathbf r}{\sigma^{2}}\sim\chi^{2}_{\,n-m}$$

$n$은 위성 수, $m$은 미지수(위치 3 + 시계 1, 위성군이 늘 때마다 1씩)다. 오경보 확률로 문턱을 정하고, 검출 확률에서 필요한 비중심도 $\lambda_{\det}$를 구한다. 위성 $i$에 바이어스가 있을 때 수평 오차와 검정 통계량의 비가 그 위성의 기울기다.

$$\mathrm{HSLOPE}_i=\frac{\sqrt{A_{1i}^{2}+A_{2i}^{2}}}{\sqrt{1-(HA)_{ii}}},\qquad \mathrm{HPL}=\max_i\mathrm{HSLOPE}_i\cdot\sigma\cdot\sqrt{\lambda_{\det}}$$

기울기가 큰 위성은 큰 위치 오차를 만들면서도 잔차를 조금만 키운다. 가장 보기 어려운 위성이 보호 수준을 정한다. $\sqrt{\lambda_{\det}}$는 자유도마다 다르다.

첫 줄의 자유도 2가 4.6.6.2의 5.47σ와 같은 값이다(같은 정의). 둘째 줄은 항공 RAIM 문헌이 사용하는 자릿수로 둔 교육용 가정이다 (확인 필요). 4.1의 가상 위성군(서울, 24시간, 300 s 간격)과 4.2.4.2의 UERE 1.57 m, 둘째 줄의 확률로 계산하면 다음과 같다.

한 시각(위성 6기, 앙각 68°·53°·51°·44°·19°·15°)을 뜯어보면 5기와 6기의 차이가 보인다. 6기의 HPL은 14.1 m다. 하나씩 빼 5기로 만들면 HPL이 24.8~85 m인 경우가 넷, 1,228 m인 경우가 둘이다(51°나 15° 위성을 뺄 때). 남은 5기의 기하에서 한 위성의 기울기가 110을 넘어, 그 위성의 고장은 위치를 크게 옮기고도 잔차를 거의 키우지 않는다. 5기면 검출이 "가능"하지만 기하에 따라 이름뿐이다. 배제는 고장 위성을 뺀 뒤 남는 해의 보호 수준까지 다시 따져야 하는 이유다. 신호 인증(4.6.7)으로 인증된 위성만 사용하면 위성 수가 줄어 같은 문제가 커진다. 같은 잔차 검정은 UWB 앵커(4.10)와 지상 송신원(4.9)의 이상 측정을 거르는 데도 그대로 사용된다.

이 표는 원리를 보이는 값이고, 인증된 RAIM은 더 보수적인 $\sigma$를 사용해서 보호 수준이 더 크다. 위성군 하나로 비정밀 접근의 경보 한계 556 m(4.1.7.2)는 99.3 %의 시각에 만족하지만 40 m는 69 %에 그친다. 위성군 넷이면 HPL이 3~5 m로 줄지만, 위성 24기에 "고장은 한 번에 하나"라는 가정을 그대로 두기 어렵다. 그것이 ARAIM의 출발점이다.

4.4.5.3 ARAIM — 여러 위성군과 무결성 지원 메시지

ARAIM(Advanced RAIM)은 EU와 미국의 위성항법 협력 작업반(WG-C)이 2010년부터 연구한 개념이다. 2016년 2월 25일의 최종 보고서(Milestone 3)는 ARAIM이 기존 RAIM 구조에 네 가지를 더한다고 정리한다. 다중 위성군, 이중 주파수, 더 깊은 위협 분석, 그리고 갱신할 수 있는 무결성 지원 메시지(ISM)다.

ISM은 수신기가 고장 가설을 세울 때 사용하는 확률과 오차 한계다. 보고서의 예비 구성은 위성군별 고장 확률 $P_{\mathrm{const}}$, 위성별 고장 확률 $P_{\mathrm{sat}}$, 무결성용 정확도 지표 배율 $\alpha_{\mathrm{URA}}$, 연속성·정확도용 배율 $\alpha_{\mathrm{URE}}$, 명목 바이어스 $b_{\mathrm{nom}}$, 사용 가능 위성 표시를 포함한다. 수신기는 모든 위성을 사용한 해와, 고장 가설마다 그 위성(또는 위성군)을 뺀 부분 해를 함께 계산해 둘의 차이를 본다. 보호 수준은 가장 나쁜 가설까지 포괄한다.

보고서는 수평 서비스(H-ARAIM)부터 시작하고 수직 서비스(V-ARAIM, LPV-200 목표)는 자료와 경험이 쌓인 뒤에 하자고 권했다. 표준은 그 순서로 가고 있다. EUROCAE ED-259A(2023년 9월)는 H-ARAIM을 다음 판으로 미뤘다. RTCA SC-159의 위임 범위 문서(2026년 6월 23일 승인)는 DO-401A·ED-259B에 H-ARAIM, 재밍·스푸핑 강건성, OSNMA를 넣어 2027년 6월에 발행할 예정이고 V-ARAIM은 그 뒤로 남겼다. 같은 문서는 GNSS 보조 관성 시스템의 새 최소 운영 성능 표준(2028년 9월 예정)을 H-ARAIM과 맞추고 재밍·스푸핑 탐지 출력을 표준화하겠다고 적는다. 일정은 예정이다 (확인 필요).

4.4.5.4 이노베이션 검정 — 오경보와 미탐지

결합 필터 안의 검사는 이노베이션 검정이다. 정의는 4.6.6.2와 같다. 수평 2축 이노베이션 $\boldsymbol\nu$는 정상일 때 $N(\mathbf 0,S)$이고 통계량 $\boldsymbol\nu^{\top}S^{-1}\boldsymbol\nu$는 자유도 2의 카이제곱이다. 오경보 확률을 정하면 문턱이 $\gamma=-2\ln P_{FA}$이고, 탐지 확률은 오프셋을 예측 불확실성 $\sigma_S$로 나눈 $k$만의 함수다.

4.6는 같은 계산을 탐지 확률 대 오프셋으로 그렸고, 위 그림은 문턱을 가로축에 두어 교환을 보인다. 문턱 4.29σ에서 오경보는 $10^{-4}$이고 5.47σ의 오프셋을 놓칠 확률은 0.1이다. 이것이 4.6.6.2의 점이고 4.13.8이 재수락 판단에 사용한 계수다. 계수는 자유도에 따라 달라진다.

오토파일럿은 게이트를 표준편차의 배수로 둔다. PX4 EKF2_GPS_P_GATE와 EKF2_GPS_V_GATE는 기본 5(SD)이고, ArduPilot EK3_POS_I_GATE·EK3_VEL_I_GATE는 기본 500(표준편차의 백분율, 곧 5σ)이다(2026년 10월 소스 확인). 5σ를 축별 검정으로 보면 한 번의 오경보 확률은 $5.7\times10^{-7}$이고 5 Hz 갱신에서 시간당 0.01회다. 대신 탐지 확률 0.9에는 6.28σ의 오프셋이 필요하다. 수평 2축을 합친 검정이면 오경보가 $3.7\times10^{-6}$이다. 어느 정의인지는 구현에 따라 다르다 (제품·판 확인 필요). 4.5.7이 "마지막 방어선"이라고 부른 것이 이 게이트다.

필터 검정과 RAIM은 서로 다른 시간에 강하다. 이 장의 1축 필터에서 GNSS를 꾸준히 받는 동안 $\sigma_S=1.59$ m이므로 5.47σ_S는 8.7 m이고, 같은 확률 쌍으로 계산한 앞 절의 한 시각(위성 6기) RAIM HPL은 10.4 m다. 60 s 단절 뒤에는 $\sigma_S$가 8.6 m로 커져 47 m가 된다(4.4.8.3). 관성 예측이 날카로운 동안은 필터 검정이, 긴 단절 뒤에는 위성 여분이 더 믿을 만하다. 강결합의 위성별 검정은 둘을 함께 사용한다. 천천히 자라는 오프셋은 필터가 상태로 흡수해 이노베이션을 작게 유지한다는 약점(4.6.6.3)은 그대로여서 독립 센서와 누적 검정이 필요하다.

4.4.5.5 필터의 보호 수준과 공분산의 정직성

필터 공분산 $P$로 보호 수준을 만들 수 있다. 고장 없는 상태의 위치 공분산에 고장 가설(위성별 바이어스, 센서 고장)을 더해 가장 나쁜 경우를 포괄하는 방식이고, 강결합에서는 위성 하나씩을 뺀 필터 묶음을 함께 돌려 해 분리를 하는 구조가 문헌에 있다 (구현별 확인 필요). 어떤 방식이든 $P$가 정직해야 보호 수준이 의미를 가진다.

정직하지 않은 $P$가 어떤 사고를 내는지 계산했다. 실제 센서는 전술 MEMS인데 필터가 잡음과 초기 바이어스 분산을 작게 가정한 경우다. 60 s 단절 뒤 GNSS가 돌아올 때 축별 5σ 게이트를 적용하고 400회 몬테카를로를 돌렸다.

과신한 필터는 돌아온 정상 GNSS를 고장으로 보고 버린다. 버린 뒤에는 오차가 더 자라서 다음 측정도 버린다. 분산을 100분의 1로 본 필터는 절반이 60 s 내내 잠겼다. 이를 풀려고 오토파일럿은 "오래 거부되면 GNSS로 재설정"하는 길을 둔다. ArduPilot의 EK3_GLITCH_RAD(기본 25 m)는 필터 예측과 GNSS의 차이가 이 반경을 넘으면 위치·속도 상태를 GNSS로 재설정하는 한계다. PX4 문서도 오래 거부된 관측으로 상태 재설정을 시도한다고 적는다. 이 길은 관성이 틀렸을 때의 회복이지만 GNSS가 틀렸을 때는 틀린 해를 받아들이는 길이기도 하다. 4.13.8.2의 재수락 딜레마와 같은 문제이며, 판단은 셋째 센서(기압·시각·둘째 IMU)가 있어야 가려진다. 필터의 정직성은 시험에서 정규화 오차 제곱(NEES)과 이노베이션 제곱(NIS)의 통계로 확인한다(8.19·8.20).

4.4.6 이상 센서 처리 — 점프·다중경로·교란

이상의 대부분은 이노베이션에 먼저 나타난다. 문제는 GNSS가 틀렸는지 관성이 틀렸는지다. 두 원천만으로는 가릴 수 없다. 셋째 원천이 있어야 다수결이 된다(2.5.5.2).

GNSS가 아닌 보조 센서도 같은 문을 지난다. 시각 항법이나 지형 정합처럼 표준 보호 수준이 없는 해는 시스템이 스스로 낸 신뢰도(공분산·특징 수·정합 점수)를 필터가 측정 잡음 $R$로 받아들이고 같은 게이트로 검사한다(4.7.8·4.8). 신뢰도가 과소 보고되거나 오정합이 게이트를 통과하면 4.4.5.5의 과신이 그대로 생기고 바이어스 추정까지 오염된다.

다중 인스턴스는 IMU 고장을 GNSS 고장과 구분하는 실용적인 방법이다(구현은 4.4.7). 다만 같은 진동·같은 수신기를 공유하면 공통 원인으로 함께 틀린다(4.13.7). 스푸핑을 알아채는 방법은 4.6가, 기만의 원리는 5.3가 맡는다. 이 장의 몫은 탐지된 뒤 필터가 그 측정을 어떻게 다루느냐까지다.

4.4.7 오토파일럿 EKF의 공개 구조 — PX4 EKF2·ArduPilot EKF3

두 오픈소스 오토파일럿의 GNSS 결합은 공개 파라미터로 보아 약결합이다(GNSS 위치·속도, PX4는 선택적으로 이중 안테나 방위). 2026년 10월에 공개 문서와 소스 코드(PX4 main, ArduPilot master)에서 확인한 값이다 (제품·판 확인 필요).

두 가지를 읽어 둔다. 첫째, 위치 측정 잡음 기본값 0.5 m는 이 장의 1.5 m보다 작다. ArduPilot은 속도 잡음 값을 수신기가 보고하는 속도 정확도의 하한으로 사용한다고 적는다. 위치 잡음과 PX4의 두 값이 수신기 보고 정확도와 어떻게 섞이는지는 이번 확인에서 설명을 찾지 못했다 (확인 필요). 어느 쪽이든 필터에 들어가는 $R$이 실제 오차보다 작으면 필터가 과신한다(4.4.5.5). 둘째, 공개 파라미터에서 RAIM이나 보호 수준을 계산하는 기능은 보이지 않았다. 무결성은 게이트·재설정·다중 인스턴스로 다루고 위성별 검사는 수신기에 맡기는 구조다 (수신기별 확인 필요). 생태계는 9.6, 제품은 24.27이 다룬다.

4.4.8 수치 예시·워크스루 — GNSS 60 s 단절의 1축 결합 필터

4.4.8.1 가정

4.3.7.1은 등급 값을 "필터가 추정하고 남은 잔여 값"으로 두었다. 이 장은 그 값을 출발 시점의 불확실성으로 두고, GNSS가 있던 동안 필터가 그것을 얼마나 더 줄이는지 본다. 검증부터 했다. GNSS를 하나도 주지 않고 위치·속도 초기 오차를 0으로 두면 이 장의 5상태 전파가 60 s에 15.693 m로 4.3의 곡선(15.693 m)과 같다.

4.4.8.2 결과 — 4.3의 순수 관성과 비교

필터가 기울기와 가속도계 바이어스의 합성 오차를 배워 둔 덕분에 60 s 단절의 오차가 순수 관성의 0.38~0.54배다. 단절 시작의 합성 가속도 오차는 사전 0.88 mg에서 0.24 mg(GNSS 60 s)·0.18 mg(300 s)로 줄었다. 그러나 가속도계 바이어스 자체는 사전 값 그대로(0.099 mg)이고 자이로 바이어스는 60 s 동안 거의 배우지 못했다(0.97 °/h). 그래서 선회의 효과가 경우마다 다르다. GNSS 60 s 뒤 선회(B)는 오차를 9 % 줄였다. 배우지 못한 자이로 바이어스가 만든 추세가 선회로 거꾸로 돌아가 상쇄되기 때문이다. 자이로 바이어스를 더 배운 300 s 뒤의 선회(D′)는 10 % 늘렸다. 소비자 MEMS에서는 직진 26.8 m(몬테카를로 26.3 m)가 선회하면 36.6 m(34.8 m)로 37 % 늘었다. 1 mg의 가속도계 바이어스를 배우지 못한 채 부호가 뒤집혔기 때문이다. 귀환은 대개 선회로 시작하므로 이 차이가 실무에 걸린다.

등급별로 보면 이득이 고르지 않다(단절 60 s 끝의 1σ, 직진, 필터 공분산).

좋은 관성에서는 GNSS가 남긴 속도 불확실성이 단절 오차를 지배한다. 4.3의 곡선은 단절 순간의 위치·속도 오차를 0으로 둔 값이다. 항법급은 GNSS 60 s 뒤 0.019 m/s의 속도 불확실성만으로 60 s에 1.1 m가 쌓여 4.3의 1.02 m를 넘는다(2.28 m). GNSS를 300 s 받으면 모든 등급에서 4.3보다 작아지고, GNSS 속도를 함께 사용하면 더 줄어든다. 4.3.7의 표는 소비자·전술 MEMS에서는 보수적이고 항법급에서 GNSS를 짧게 받은 직후에는 낙관적이다.

버틸 시간도 4.3.7.2의 방식대로 직접 푼다. "허용 오차 ÷ 오차 성장률"(2.6.6·4.5·4.6)은 성장률이 상수일 때만 맞다. 필터의 1σ가 허용 오차에 닿는 시간은 다음과 같다(전술 MEMS, 직진).

오차를 절반 아래로 줄여도 버틸 시간은 1.3~1.7배만 늘어난다. 오차가 제곱·세제곱으로 자라는 물리가 4.3.7.2의 "센서 10배에 2~3배"와 같은 모양을 만든다. 성장률로 나누면 50 m에서 2.5배 낙관한다. 6 kg 결합형(13.9 m/s, 2.6.5.2)은 시나리오 A에서 50 m에 닿기까지 2.0 km를 간다(순수 관성은 1.5 km).

4.4.8.3 재획득과 재수락 — 4.13.8.2와 비교

GNSS가 돌아오면 필터는 첫 측정을 검정한다. 재획득 직전의 $\sigma_S=\sqrt{\sigma_p^2+1.5^2}$로 4.6의 계수 5.47을 사용하면 놓치지 않을 최소 오프셋이 나온다. 4.13.8.2는 같은 계수에 4.3의 순수 관성 오차를 넣었다.

전술 MEMS에서 4.13의 값은 1.8~2.5배 보수적이다. 필터가 배워 둔 바이어스가 재수락의 잣대를 짧게 한다. 항법급은 GNSS를 300 s 받았으면 4.13와 비슷하고(9.2 m 대 9.9 m), 짧게 받은 직후면 4.13보다 길다(14.9 m). 문턱을 거부 시간과 필터 공분산의 함수로 정하라는 것이 4.13.8.2의 권고를 구체화한 결론이다. 받아들인 뒤에는 몇 초 안에 띠가 돌아온다(재획득 5 s 뒤 1σ 0.7 m). 과신한 필터가 이 순간을 망치는 모습은 4.4.5.5가 보였다.

4.4.9 설계 트레이드오프 — 어디서 묶고 무엇을 믿을 것인가

결합의 깊이는 셋 가운데서 고른다.

① 약결합 — 아무 수신기로 되고 구현이 쉬워 오픈소스 오토파일럿의 표준이다. 위성 4기 미만에서 갱신이 끊기고 위성별 검사를 못 하며 연쇄 필터로 과신하기 쉽다.

② 강결합 — 원시 측정이 필요하다. 위성이 적어도 사용하고 위성별 검사가 된다. 시계 상태와 궤도·대기 보정을 필터 쪽에서 다뤄 소프트웨어가 무거워진다. 군용·측량·고급 관성 장치가 이쪽이다.

③ 초강결합 — 추적 문턱을 내려 약한 신호와 간섭에 강해진다. 수신기 내부 접근, 관성 품질, 짧은 지연이 필요하고 인증 부담이 크다.

무엇을 믿을지의 교환도 있다. 게이트를 좁히면 틀린 GNSS를 빨리 거르지만 정상 GNSS를 버리는 일이 늘고, 과신과 동시에 발생하면 잠긴다(4.4.5.5). 재설정 반경도 같은 교환이다.

견해: 소형 UAS에서는 ①에 정직한 공분산과 셋째 센서를 더하는 것이 결합 방식을 바꾸는 것보다 효율적이라고 본다. 근거는 셋이다. 첫째, 4.4.5.5의 계산에서 사고는 결합 방식이 아니라 과신한 $P$에서 났다. 둘째, GNSS가 틀렸는지 관성이 틀렸는지는 두 원천만으로 가려지지 않고(4.4.6), 기압·시각·둘째 IMU가 그 판정을 해 준다. 셋째, 강결합의 이득(위성 4기 미만, 위성별 검사)은 도심·교란 환경에서 크지만 원시 측정을 내는 수신기와 그것을 다룰 소프트웨어가 함께 필요하다. 도심 AAM과 군용은 ②가 기본이 되어야 한다고 본다. 무결성을 보호 수준으로 입증해야 하고(4.1.7), 위성별 검사 없이는 그 입증이 어렵기 때문이다. 이 판단은 수신기 원시 측정의 접근성과 인증 표준(4.4.5.3의 2027~2028년 예정 표준)에 따라 달라진다.

4.4.10 세 축 비교 — 같은 필터, 다른 요구

4.4.11 관련 규격·프로토콜

유료 표준의 본문은 옮기지 않았다. 규격 색인은 A.6, 항법 신호·데이터 규격은 9.16이 맡는다.

4.4.12 관련 규제·인증 요구와의 연결

4.4.13 함정과 한계

이 장의 한계도 밝혀 둔다.

• 수평 한 축 모형이다. 방위 오차·수직 채널·3차원 기하·환산계수 오차를 넣지 않았다. 가관측성의 표는 이 모형 안의 결과이고 방위의 가관측성은 정성적으로만 작성했다.
• GNSS 잡음을 백색으로 두었다. 실제의 다중경로·대기 오차는 수십 초 이상 상관되어 필터를 과신하게 만든다. 표의 필터 값은 그만큼 낙관적이다.
• 기수 변화를 순간 180° 선회로 단순화했다.
• RAIM 계산은 가상 위성군과 명목 $\sigma$를 사용했다. 인증된 RAIM의 값이 아니다. 확률 쌍 $1/15{,}000$·$10^{-3}$은 확인하지 못한 교육용 가정이다.
• PX4·ArduPilot의 값은 조회 시점의 개발 판이다. 비행 펌웨어의 판마다 다를 수 있다.

4.4.14 체크포인트·연구 질문

체크포인트

1. 결합 필터가 위치가 아니라 관성 해의 오차를 추정하는 이유 두 가지를 말하라.
2. 직진 비행에서 수평 가속도계 바이어스가 관측되지 않는 이유를 1축 오차 방정식의 $s$로 설명하고, 이것이 GNSS 단절 뒤 선회에서 어떤 결과를 내는지 말하라.
3. 약결합과 강결합이 위성 4기 미만과 위성 고장에서 어떻게 다르게 거동하는가?
4. RAIM에서 5기와 6기의 차이를 설명하고, 5기에서 HPL이 1 km를 넘을 수 있는 이유를 기울기로 말하라.
5. 수평 2축 이노베이션 검정에서 $P_{FA}=10^{-4}$의 문턱과 $P_D=0.9$에 필요한 오프셋을 구하고 1축 검정의 값과 비교하라.
6. 과신한 필터가 GNSS 재획득 때 잠기는 과정을 설명하라.

연구 질문 — 이 장에서 파생되는 열린 주제(25.7에 모은다)

1. 소형 UAS의 보호 수준 — 약결합 오토파일럿이 수신기 보고 정확도와 필터 공분산으로 인증에 사용할 수 있는 보호 수준을 낼 수 있는가? 어떤 고장 가설이 필요한가?
2. 기동 설계로 가관측성 얻기 — 임무 중 짧은 선회나 가감속을 넣어 바이어스를 배우는 비용(에너지·시간)과 GNSS 단절 오차의 이득을 어떻게 맞바꾸는가?
3. 재수락 문턱의 자동 설계 — 거부 시간과 필터 공분산의 함수로 문턱과 가중을 정하는 방법을 스푸핑·재밍 시나리오에서 검증할 수 있는가(4.13.8.2)?
4. 시간 상관 GNSS 오차와 정직성 — 다중경로처럼 상관된 오차를 상태로 넣거나 $R$을 적응시킬 때 NEES·NIS 일관성을 어떻게 입증하는가?

1차 출처(이 장)

• Groves, P. D., Principles of GNSS, Inertial, and Multisensor Integrated Navigation Systems, 2nd ed., Artech House, 2013.
• Farrell, J. A., Aided Navigation: GPS with High Rate Sensors, McGraw-Hill, 2008.
• Kaplan, E. D.; Hegarty, C. J. (eds.), Understanding GPS/GNSS: Principles and Applications, 3rd ed., Artech House, 2017.
• Parkinson, B. W.; Axelrad, P., "Autonomous GPS Integrity Monitoring Using the Pseudorange Residual," NAVIGATION, 35(2), 1988.
• Brown, R. G., "A Baseline GPS RAIM Scheme and a Note on the Equivalence of Three RAIM Methods," NAVIGATION, 39(3), 1992.
• EU-U.S. Cooperation on Satellite Navigation, Working Group C – ARAIM Technical Subgroup, Milestone 3 Report, Final Version, 2016-02-25.
• RTCA, SC-159 Terms of Reference, Revision 26(RTCA Paper No. 108-26/PMC-2833), 2026-06-23.
• FAA(L. Volchansky), "Predictive RAIM for RNAV 1 and RNAV 2 Operations Using TSO-C129 GPS," ICAO SAM Implementation Group, 2009-10-19.
• PX4 문서 "Using the ECL EKF"와 PX4-Autopilot 소스(src/modules/ekf2의 매개변수 정의), ArduPilot 소스(libraries/AP_NavEKF3/AP_NavEKF3.cpp), 2026년 10월 조회.

출처를 찾고 판을 추적하는 방법은 0.9에서 다룬다.

다음 장: 4.5은 이 장이 기대는 GNSS가 어디서 약한지를 다룬다. 신호가 열잡음 아래에 있어 간섭에 취약한 물리, 재밍과 스푸핑이 수신기·항법 해·오토파일럿·임무로 번지는 층, 공개된 사건과 법을 정리한다. 이 장의 이노베이션 검정과 단절 오차가 그 층 구조의 오토파일럿 층에서 다시 사용된다.