method of conducting and verification for failure mode

한국항공우주학회지 55

Ⅰ. 서 론

자동비행제어시스템(AFCS, Automatic Flight Control

System)은 회전익 항공기의 핵심 기술이며 구성품이

지만 현재 독자 개발 기술이 미 확보된 분야이며 타

계통과 차별화된 항공기 개발의 핵심 기술 중 하나

로써 개발을 위해서는 많은 경험과 기술력이 필요로

되는 분야이다.

AFCS는 국외 선진 체계업체로부터 기술이전이 제

한되는 핵심기술로 미확보 시 체계개발, 양산, 후속

J. Korean Soc. Aeronaut. Space Sci. 48(1), 55-62(2020)

DOI:https://doi.org/10.5139/JKSAS.2020.48.1.55

ISSN 1225-1348(print), 2287-6871(online)

회전익 자동비행제어시스템 소프트웨어의 FMET 수행 및 검증 방안

염우성1, 하석운2

Method of Conducting and Verification for Failure Mode Effect Test of

Rotary Automatic Flight Control System Software

WooSung-Yeom1 and Seokwun-Ha2

Korea Aerospace Industries, LTD1

Department of Aerospace and Software Engineering, Gyeongsang National University2

ABSTRACT

It is necessary to develop digital flight control system by digital control technology to ensure

stability and maneuverability of rotary helicopter. It is important to meet functional

requirements of helicopter flight control system OFP and verify system reliability directly linked

to flight safety as a core technology that avoids the transfer of technology by overseas

advanced helicopter manufacturer. In this paper, we studied how to perform FMET for

operational flight program of rotary automatic flight control system.

록

회전익 헬리콥터의 안정성, 조종성 향상 및 증대를 보장하기 위해서는 디지털 제어기술에 의한

디지털 비행제어시스템의 개발이 필요하다. 헬리콥터 비행제어시스템 설계 및 개발 기술은 해외

선진 항공 개발사의 기술이전 기피 및 불가에 해당하는 핵심기술로써 헬리콥터 비행제어 시스템

운용소프트웨어인 OFP의 기능 요구조건 충족과 더불어 비행안전에 직결되는 시스템 신뢰도의 검

증이 필요하며 비행제어 시스템 운용 소프트웨어의 검증 방안 연구는 무엇보다 중요하다. 본 논문

에서는 회전익 자동비행제어시스템 소프트웨어의 FMET 수행 및 검증 방안에 관한 연구를 수행하

였다.

Key Words : AFCS(자동비행제어시스템), OFP(비행운용프로그램), FMET(고장모드 영향성 시험),

Stability(안정성), Reliability(신뢰성)

†Received : May 27, 2019 Revised : August 11, 2019 Accepted : August 21, 2019 1 Research Engineer, 2 Professor

2 Corresponding author, E-mail : [email protected]

Ⓒ 2020 The Korean Society for Aeronautical and Space Sciences

56 염우성․하석운 한국항공우주학회지

지원 등의 전체 수명주기 동안 지속적인 기술 종족

이 발생함으로 이를 탈피하기 위한 기술 확보 및 국

산화가 필요하다.

수리온, 소형민수헬기(LCH, Light Civil Helicopter),

소형군수헬기(LAH, Light Army Helicopter) 등의 개

발 사업의 경우도 AFCS에 대한 독자 개발 기술 미

보유 및 해외 선진 개발 업체 기술 이전 불가로 고

비용이 발생되었다.

회전익 비행조종컴퓨터에 탑재되는 자동비행조종

장치 소프트웨어는 실시간 운영체제를 기반으로 항

공기 자세와 대기정보를 획득하여 자동비행조종 명령

을 제어하는 비행운영프로그램으로써, 이러한 자동비

행제어시스템의 시스템 신뢰도 검증 및 시험은 MIL-

HDBK-516C[1], MIL-HDBK-338B, 그리고 MIL-HDBK-

87213A[2] 등에 그 근거를 두고 있으며 비행제어시

스템은 안전성에 매우 민감하기 때문에 개발 단계에

서 수많은 검증시험을 거치게 되고, 비행제어시스템

의 하드웨어, 소프트웨어의 독립적인 개발 단계에서

요구도 검증을 위한 많은 시험들이 수행된다. 그리고

통합 단계에서도 하드웨어/소프트웨어 통합시험 및

시스템 통합시험을 반드시 수행해야 한다.

회전익 비행제어시스템에서의 하드웨어, 소프트웨

어에 대한 시스템 통합시험은 다음의 3단계 시험이

수행된다[5].⦁ 1단계: SAVV(Stand-Alone Software Verification

and Validation) 시험⦁ 2단계: ISVV(Integrated System Verification and

Validation) 시험⦁ 3단계: FMET(Failure Modes and Effects Test)

시험

SAVV 시험에서는 소프트웨어의 요구도를 검증하

는 것으로 비행제어컴퓨터의 내부에서 수행되는 입

출력 신호 확인을 통해 기능적인 소프트웨어 요구도

를 검증한다.

ISVV 시험에서는 실제 하드웨어를 시뮬레이터에 적

용한 실시간 비행성 평가 시뮬레이션(HILS, Hardware

In the Loop Simulation) 환경에서 조종사가 포함된

동역학적인 시스템 레벨의 요구도 검증을 수행한다.

그리고 마지막으로 FMET 시험에서는 결함 모드

검증 및 확인 시험으로 비행제어시스템에 고장을 발

생시켜 시스템이 결함을 격리 및 보고하고 재구성된

제어법칙이 비행 특성 요구사항을 만족하는지를 확

인한다.

본 연구에서는 회전익 비행제어시스템의 시스템

통합시험 항목 중 하나인 FMET의 개념, 수행 및 검

증 방법에 대한 연구 내용을 기술한다.

1장은 서론으로 본 연구의 기술적 가치 및 배경에

대한 내용을 기술하고 2장은 본론으로써 FMET 수행

방안 및 절차에 대해 기술한다. 마지막으로 3장은 본

연구 수행 결론을 간략히 기술한다.

Fig. 1. Rotary AFCS Summary

제 48 권 제 1 호, 2020. 1. 회전익 자동비행제어시스템 소프트웨어의 FMET 수행 및 … 57

Ⅱ. 본 론

2.1 련 연구

2.1.1 회 익 자동비행제어시스템의 구성

회전익 자동비행제어시스템은 Fig. 1과 같이 비행

운용프로그램(OFP, Operation Flight Program)이 내

장된 디지털 비행제어컴퓨터와 각종 센서, 직렬 및

병렬 구동기, 조종간, 비행조종패널로 구성되며 비행

안전을 향상시키는 조종 안정성 증강시스템(SCAS,

Stability Control Augmentation System)를 기본적으

로 구현한다. 자동비행조종장치 소프트웨어는 항공기

센서와 작동기로의 입출력을 관장하는 입출력 관리,

고장 진단 및 배제를 위한 다중화 관리, 그리고 제어

법칙이 실행되는 제어법칙 관리 등으로 모듈화 되어

있다[3].

그리고, 조종 편의성을 제공하고 임무 수행을 지원

하는 자동비행(Auto-pilot)모드 기능을 구현하고 신뢰

성 보장을 위한 다중화 시스템, 자체 기능 및 인터페

이스 고장 탐색 등의 진단 기능 또한 보유하고 있다.

비행제어시스템은 Pitch, Roll, Yaw, Collective를 제

어하는 4축 AFCS를 통해 다양한 자동비행 기능을

제공하고 항공기 기본자세유지 기능과 대기속도/고

도 유지 획득, 자동항법비행 등과 같은 상위모드를

통해 조종사에게 조종 편의성을 제공한다.

2.1.2 시스템 설계 평가 방법

안전성이 중대한 시스템의 Design의 평가 및 검증

은 아래와 같은 4가지 방법으로 시행된다[4].

⦁ Failure Modes and Effects Analysis (FMEA)

⦁ Fault Tree Analysis (FTA)

⦁ Risk Analysis (RA)

⦁ Failure Modes and Effects Test (FMET)

Figure 2는 4가지 방법에 대한 차이를 도식화한 것

이며 본 연구와 연관성이 적은 결함 유형 및 발생

가능 원인에 대한 구조 트리를 이용한 분석 방법에

해당하는 Fault Tree Analysis 및 Risk Analysis에 대

한 구체적인 내용은 생략한다.

고장모드 영향성 분석(FMEA, Failure Modes

and Effects Analysis)은 시스템의 내부 component들

간 발생 가능한 결함을 고려하고 각각의 결함으로

인한 시스템 및 항공기 영향성을 정의하며 시스템과

연관된 위험 인자를 식별하고 정의한다.

고장모드 영향성 시험(FMET, Failure Modes

and Effects Test)은 기본적으로 FMEA를 따르며 결

함 모드에 따른 시스템 및 항공기 영향성을 확인하

기 위한 실제적인 시험을 수행하고 시뮬레이션 환경

에서 실제 고장을 주입을 수행한다.

FMET는 비행 안전성 향상을 위해 2중으로 설계된

비행제어시스템에 대해 다양한 단일 결함 및 중복

결함 조합을 정의하여 비행제어컴퓨터가 시스템의

결함을 감지하여 결함 격리 및 보고를 수행한 후, 재

형성된 제어법칙으로 시스템 요구 조건을 만족하는

지를 검증하는 시험이다. 또한 FMET는 하드웨어 및

소프트웨어 요구도, ICD(Interface Control Document)

의 검증을 하기 위한 것이 아니라 결함 발생에 따른

시스템 및 항공기의 반응을 평가하는 것으로 비행제

어컴퓨터, 각종 센서와 구동기 등의 결함이 비행 성

능에 미치는 영향을 객관적으로 평가하기 위해 시스

템에 직접 고장을 주입하고 시스템의 작동 상태를

확인하는 것이다.

Fig. 2. Design Evaluation Methods


2.2 FMET 시험 수행 검증

2.2.1 FMET 시험 환경 구축

FMET 수행을 위한 HILS 환경은 비행제어시스템

전체의 입출력 신호를 생성하고 통합하는 통합시험

스테이션(ITS, Integrated Test Station)을 중심으로

Fig. 4와 같은 실제 시뮬레이션 환경에 실제 하드웨

어를 적용하였고 비행제어컴퓨터(AFCC, Automatic

Flight Control Computer)와 외부 장비의 신호 연동

환경을 제공한다. 실제 하드웨어의 구성은 시현 장

비, 제어 패널, 조종간, 구동기 actuator들로 구성되

며 FMET 시험 수행 시 주요한 시험 인터페이스 환경

은 Fig. 3에서 붉은색으로 표시한 부분으로 구체적인

인터페이스는 Fig. 5에 표현하였다. Fig. 5는 비행제어

컴퓨터에 직접 연결되어 시험 환경 운용 소프트웨어

의 명령에 따라 비행제어컴퓨터 메인 프로세서를 제

Fig. 3. AFCS System Test Environment

Fig. 4. AFCS Hardware In the Loop Simulation

어하고 필요한 데이터를 획득하기 위해 TRACE32를

적용한 프로세서 모니터링 시스템과 시험 환경 운용

소프트웨어(SMITH, System Integrated Monitoring

Software)로 구성된다[6].

시험을 위해서 개발된 HILS 환경은 실제 항공기

탑재 비행제어컴퓨터와 조종석을 그대로 사용하고

동역학 특성을 적용하기 때문에 신뢰성 높은 비행성

평가 시험을 수행할 수 있다.

Figure 5와 같이 FMET 수행을 위한 HILS 시험 환

경은 비행제어컴퓨터(AFCC, Automatic Flight Control

Computer)와 외부 장비의 신호 연동 환경을 제공하

며 시험 수행에 필요한 비행제어컴퓨터의 입력신호

를 생성하는 통합시험스테이션(ITS, Integrated Test

Station)을 개발하였다. 그리고 비행제어컴퓨터에 직

접 연결되어 시험 환경 운용 소프트웨어의 명령에

따라 비행제어컴퓨터 메인 프로세서를 제어하고 필

요한 데이터를 획득하기 위해 TRACE32를 적용한 프

로세서 모니터링 시스템과 시험 환경 운용 소프트웨

어(SMITH, System Integrated Monitoring Software)

로 구성된다[6].

OFP MonitoringCPU Control

AFCC

TRACE32

NEXUS

NEXUS

ProcessorMonitorStation

SMITH

A429DiscreteMonitorControl

ITS

PWR A429 DIO AIO

TRACE32ProcessorMonitorStation

Fig. 5. System Test Environment Interface


2.2.2 FMET 모니터링 GUI 구성

Figure 6과 같이 FMET 시험 수행 환경을 통해 고

장 신호를 모사하고 주입된 고장 신호의 모니터링을

수행하여 실제 시험 수행 결과를 분석한다.

2.2.3 FMET 시험 수행 검증

FMET 시험은 아래 3가지 유형으로 분류된다.

유형 A : 단일 결함 시험

유형 B : 이중 결함 시험

유형 C : 조합 결함 시험

이와 같은 3가지 유형의 시험이 수행되며 그 절차

는 다음 Fig. 7과 같다. 최초 결함이 없는 초기화 상

태의 항공기 조건을 설정하고 유형에 따른 결함을

Fig. 7. FMET Test Procedure

주입한 후 항공기 기동을 수행하여 결함 발생을 확

인한다. 그리고 유형에 따라 다음 두 번째 결함을 입

력하여 결함의 감지 및 격리를 확인하여 해당 시험

을 종료한다.

2.2.4 시스템 통합시험 검증

FMET 검증을 포함한 회전익 자동비행제어시스템

의 시스템 통합시험 검증 수행은 Fig. 8의 순서로 수

행된다. 시스템 레벨에서 시험 계획서 및 절차서가

작성된 후 그 문서들이 요구도를 만족하는지를 확인

하고 만족될 경우 서론에서 언급한 3단계의 시험을

착수하게 된다. 해당 시험 결과가 정상적으로 완료될

경우는 최종 보고서 및 OFP 소프트웨어가 배포되고

만약 시험 수행간 문제가 발생할 경우 분석 결과를

토대로 발생 문제가 시험 방법이 원인일 경우 최초

절차서 작성부터 재수행을 수행하며 시험 방법이 문

제가 아닐 경우 발생된 소프트웨어, 하드웨어, 시스

템 결함 및 문제점에 대한 시스템 및 소프트웨어 산

출물의 이상현상 결과보고(SPAR, System/Software

Product Anomaly Report) Board를 통해 해당 문제

에 대한 고장탐구 및 처리 방안을 결정한다[7].

기 계획 및 작성된 시험 계획서에 따라 시험 절차

서가 작성되고 이 문서들은 시스템 요구 사항을 만

족하는지의 확인이 필요하다. 시스템 요구 사항의 만

족이 확인된 후 서론에서 언급한 시스템 통합시험 3

단계의 절차가 수행되고 각각의 단계의 시험 분석

결과에 따라 결과 보고서, SPAR 생성, 그리고 최종

OFP의 배포가 결정된다.

2.2.5 FMET 결함 정의

회전익 비행제어시스템에 발생할 수 있는 결함들

Fig. 6. GUI designed for System Monitoring and Analysis


은 AFCS FMECA(Failure Mode Effect and Critical

Analysis) 및 Failure Management에 정의된 요구 사

항을 만족하도록 FMET 결함 장치 및 주입될 결함으

로 Fig. 9와 같이 정의된다.

2.2.6 FMET 시험 이스 생성

FMET 시험 케이스의 생성은 Fig. 9에서 정의된 결

함 발생 장치에 따라 Fig. 10과 같이 유형별 시험 케

이스를 정의하고, 각각의 시험 케이스들은 결함 발생

시 조치, 시현, 항공기 영향성과 같은 시스템 및 소

Fig. 9. AFCS Failure Device Definition (sample)

프트웨어 레벨의 요구 조건을 만족하는지 확인하기

위한 FMET 검증 시트를 Fig. 11과 같은 형태로 작성

하였다.

FMET 검증 시트는 Fig. 11과 같이 구성되며 Fig.

11은 Fig. 10의 시험 케이스 중에서 시험 순서 1번

(파란색 표시)에 대한 검증 시트이다.

검증 시트는 수행 일자, 시험 수행 형상 정보, 수

행 절차, 예상 결과, 조종사 권고사항, 발생 SPAR 등

으로 구성되며 시험 결과를 기록하게 된다[7].

Fig. 10. List of FMET Test Cases (samples)

Fig. 8. Verification & Validation Process


Fig. 11. Failure Mode & Evaluation sheet (sample)

2.3 FMET 시험 수행 검증 결과

FMET는 총 230여 개의 시험 케이스에 대한 시험을

수행하였고 본 연구에서는 지면 관계상 FMET 시험

결과 중에서 Fig. 10의 75번 ADC 고장시험과 157번

AFCC 고장 시험 항목에 대해서만 결과를 기술하였다.

2.3.1 Air Data 센서 고장 시험(ADC-06)

대기자료 센서는 항공기 주변의 대기 물리량을 측

정하여 속도, 고도, 상승률, 외기 온도 등을 제공하여

비행제어시스템 및 기타 항법 계통에 필요한 정보를

제공하는 중요한 센서이다. 대기자료 센서는 2중화

된 센서로써 신뢰성을 높일 수 있으며 본 시험은

FMET 시험 수행 환경인 ITS를 통해 2중화된 대기자

료 센서의 각각의 데이터 차이가 발생되는 고장 상

황을 모사한 후 발생된 결함 상황으로 인한 대기 자

료 차이 발생 시 시스템 및 소프트웨어에서 정의된

설계 내용 및 시현이 설계된 내용으로 구현되고 발

생 결함에 대한 격리, 보고가 정상적으로 수행되는

것을 확인하였으며 Fig. 12에 나타내었다.

Figure 12에서 발생 고장 주입 및 설계 검증 확인

부분에서 각 센서간 차이가 발생된 고장 상황의 값

을 확인할 수 있고 관련 신호 확인 부분과 결함 발

생 시현 로직 확인 부분에서 고장에 따른 항공기 시

현 및 고장에 따른 Discrete 또는 ARINC 통신 상태

를 확인한다.

2.3.2 비행제어컴퓨터 고장 시험(AFCC-02)

회전익 비행제어컴퓨터는 회전익 비행제어시스템

의 구성품 중 가장 중요한 구성품으로써 비행제어컴

퓨터 내부에는 개발된 핵심기술 소프트웨어인 OFP

가 장입된다. 비행제어컴퓨터는 대기자료 센서 및 자

세제어 센서로부터의 센서 데이터를 계산하여 구동

기 조종면으로 명령을 출력하고 각종 패널, 조종 스

틱 및 시현 계통과도 연동된다. 회전익 비행제어컴퓨

터는 가장 높은 신뢰성을 요구하며 항공기의 기본적

인 안정화 및 자동 비행을 가능하게 한다. 본 시험은

회전익 비행제어컴퓨터의 주요 고장 모사 시험 중

CPU 결함에 대한 결함 검증을 수행하였으며 실제

Fig. 12. Air data failure test result (sample)


비행제어컴퓨터 하드웨어의 CPU단을 물리적으로 단

락시켜 CPU에 대한 고장의 강제 주입 시 결함 격리

및 보고가 정상적으로 수행되고 OFP의 결함 발생 후

적절한 후속프로세스를 확인하였으며 Fig. 13에 나타

내었다. Fig. 13에서 CPU 고장주입 및 설계 검증 확

인 부분은 실제 물리적으로 CPU를 단락시킬 경우

발생되는 하드웨어 및 소프트웨어적으로 CPU 단락

을 제대로 감지되고 있는지를 확인하고 CPU 고장

주입 및 관련 신호 확인에서 CPU 고장에 따른 현재

상태 및 설계에서 정의하는 관련 신호를 확인한다.

Ⅲ. 결 론

회전익 비행제어시스템의 비행운용 프로그램 소프

트웨어의 검증을 위한 FMET 시험 및 검증 방안을

연구하여 제시하였으며 이를 기반으로 회전익 비행

제어 시스템 요구 문서에 정의된 고장 발생 및 비행

안전에 영향을 미칠 수 있는 항목을 정의하고 HILS

환경에서 시험을 수행하고 분석하여 검증을 하였다.

제시한 FMET 수행 및 검증 방안에 대한 실험 결과,

고장 및 비상 상황에서도 결함을 감지, 격리 및 보

고를 수행하고 재형성된 제어법칙을 이용하여 요구

도를 만족하며 안전하게 비행할 수 있는 것이 검증

되는 만족할 만한 결과를 얻었다. 이 결과를 토대로

향후 지상시험 및 실제 비행시험을 수행할 예정이며

본 연구는 독자헬기개발 역량 확보를 위한 “소형무

장헬기 연계 민수헬기 국외업체 이전 기피 핵심기술

개발 과제”의 일환으로 수행되었습니다.

후 기

본 연구는 2019년도 산업통상자원부 및 산업기술평

가관리원(KEIT) 연구비 지원에 의한 연구사업의 일환

으로 수행되었습니다(No. 10053157).

References

1) MIL-HDBK-516C, “Airworthiness Certification

Criteria,” February 2008, p. 149.

2) MIL-HDBK-87213A, “Electronically/Optically

Generated Airborne Displays,” February 2005, p. 16.

3) EUROCOPTER, “AFCS Description Document,”

Rev F, January 2011, p. 36.

4) Kim, C., “5 Design Evaluation of Safety-

Critical Computer Systems,” Electrical and Computer

Engineering Howard University, May 2008, p. 3.

5) Yeom, W. S., “Core-Tech AFCS System Test

Plan,” Korea Aerospace Industry, September 2017,

p. 5.

6) Kim, H. S., “Core-Tech Automatic Flight

Control System Test Description,” Korea Aerospace

Industry, January 2018, p. 10.

7) Yeom, W. S., “Core-Tech Automatic Flight

Control System Test Description Appendix C,”

Korea Aerospace Industry, July 2018, pp. 15, 18.

Fig. 13. AFCS Computer failure test result (sample)

method of conducting and verification for failure mode

Documents