소형무장헬기(LAH-1) 통신장비 결함사례 고찰과 검증체계에 대한 재고

서론

소형무장헬기(LAH-1: Light Armed Helicopter)은 양산단계에 진입하고 ‘24년 12월에 1호기가 최초 납품되며 전력화가 본격적으로 시작되었다. LAH-1의 통신계통은 기체 내 조종사, 부조종사, 후방석, 양쪽 스터브 윙에서 내부통화가 가능한 내부통화장비(ICS: Inter Communication System)와 지상 무전기와 통신하기 위한 U/VHF-AM, VHF-FM로 구성된다. 이 중 내부통화장비는 통신제어패널(ICP: Intercom Control Panel)와 음성접속유닛(AIU: Audio Interface Unit)로 구성된다. AIU는 무전기를 이용한 외부통신, 운용자 간 내부통신 기능을 기본 기능으로 하며, 항전 체계 구성품과 연동하여 주의/경고 음성도 제공한다. 이러한 AIU에서 LAH-1 최초양산 간 발생한 문제점들과 이를 개선한 주요 사례들을 모아 본 기고에서 소개한다. 이러한 사례들별 시사점에 대해 고찰하고, 검증체계 고도화의 필요성에 대해 제시한다.

LAH-1 통신시스템 개요

LAH-1의 통신시스템을 AIU 중심으로 살펴보겠다. 통신계통의 체계장비와의 관계도는 그림 1를 참고하기 바란다. 이와함께 그림 2에서는 AIU가 처리하는 신호라인에 대해 확인할 수 있다. ICS는 AM 및 FM무전기와 연결되어 아날로그 오디오 신호를 입출력 처리를 통해 외부 무전을 수행한다. 이 외에도 VOR, ILS, IFF, KVMF 등의 장비로부터 아날로그 오디오 신호를 입력받으며, 주의/경보를 위해서는 디스크리트 신호가 연동된다. 주의/경보 신호에는 생존계통, 항법계통, 사이클릭 스틱 등으로부터 입력받는 신호가 있다. 또한 SMFD와의 MIL-STD-1553B 통신을 통해 조종사의 오류정보, 통신채널 선택정보, 주파수 입력정보 등을 주고 받는다.

음성통신의 방식에는 PTT(Press To Talk) 방식과 HOT 마이크 방식이 있다. PTT는 통신을 위해 버튼을 눌러야 하는 방식이다. 이러한 PTT는 일체형 조종간(HOCAS) 또는 풋키를 통해 조작 가능하다. HOT 마이크 방식은 별도의 버튼 누름없이 마이크에 입력된 음성이 그대로 출력되는 방식이다.

AIU와 AM, FM, 항공기 내부통화 여부를 선택할 수 있는 ICP와는 RS-485로 통신한다. ICP로 통신채널, 볼륨조절, MUTE 및 백업모드 진입 등을 선택할 수 있다. 백업모드는 AIU 핵심부품 오작동이 확인되거나, 운용자가 ICP에서 백업모드로 진입하는 경우 및 CPU의 오작동이 검출되었을 때 진입하게 된다. 오디오는 백업채널로 전환되며 정조종사와 부조종사석은 제어패널 상 채널 선택과는 관계없이 통신채널이 강제 지정된다.

AIU 결함현상 및 개선적용

본 장에서는 LAH-1 AIU에서 발생한 다양한 결함과 개선적용 과정에 대해 살펴보겠다.

개발단계 간 식별된 이상소음 현상 개선

현상

'22.6.22. 개발시험 간 시동 종료 시 ICS 끊김 현상이 발생되었고, ‘따다다닥’ 소음이 ICS를 통해 계속 발생

원인분석

1차

항공기 진동조건에서 CODEC IC 클럭 임피던스 증가 시에 재현됨을 확인했다. AIU 의 오디오처리모듈(APM) 내 CODEC 제어용 SPI Line에 유입되는 노이즈 간섭 제거를 위한 Pull-up 저항을 추가하여 유입되는 노이즈 성분을 제거한 후, 확인시험 3회 수행 후 결함이 해소되었음을 확인했다.

2차

'24년 1월 체계업체 정비 작동검사 수행 중 개선된 AIU에서 이상 소음이 재발하였다. 고장탐구 결과, AIU와 ICP 간의 데이터통신을 담당하는 신호 라인(RS-485)에 이상을 확인했다. 이를 토대로 AIU 회로 분석 결과, 해당 신호라인과 같은 방향으로 진행되는 Audio Test Point 회로가 식별되었다. 두 신호가 같은 방향으로 진행되어 Test Audio Point를 통해 노이즈 인입 가능성이 제기되어 정상 신호 경로에 임의로 노이즈를 주입한 결과, 결함이 재현되었다. 그림 3는 APM 보드 내 신호 간섭 라인을 나타낸다.

개선방안

AIU APM 내에 있는 Audio Test Point는 개발 간 테스트 용도로 사용한 것으로, 제거하여도 기능/성능 상 문제가 없으며 노이즈 인입 경로로 확인되어 Audio Test Point 라인의 저항을 제거해 해당 회로를 비활성화하였다.

warning reset 이상현상 개선

현상

'24.2.6. 조종사 교육비행 중 항공기 내 음성경고(‘caution')가 발생하여 일체형 조종간(HOCAS: Hands on Collective and Stick)에서 ’Warning Reset‘ 버튼을 눌러 음성경고 해제하려 했으나, 스마트 다기능시현기(SFMD: Smart Multi Function Display) 리부팅됨

원인분석

비행 데이터 분석 결과, 'caution' 재생 중 'Low RPM' 재생 명령을 인가하고 'Warning Reset' 버튼을 누룰 때 SMFD로 미정의된 값이 전송되어 리부팅된 것을 확인했다. 원인은 두 가지로 식별되었으며 두 가지 모두 동시 조건일 때 재현되었다. 첫 번째는 AIU 소스코드 상 Warning Reset 처리 로직 설계 오류이며, 두 번째는 글리치¹⁾ 현상으로 인해 'Warning Reset' 버튼을 한 번 눌렀으나 2번 누른 것으로 인식된 것이었다.

AIU 소스코드 : warning reset 처리 로직 설계 오류 식별

① Warning Reset 시, 음성경고 FIFO에서 현재 재생중인 음성경고 삭제
② 음성경고 삭제 이후 FIFO 내에 남아있는 음성경고 재생 명령 인가
③ 따라서, 현재 재생중인 음성경고('caution’)가 아닌 다음 음성경고(‘Low RPM')를 SMFD로 전송하는 현상 발생

글리치 현상에 의한 Warning Reset 이중인가

본 절차는 다음 순번대로 그림4를 참고하기 바란다.

① Warning Reset 신호가 글리치 현상과 함께 인가됨
② 첫번째 Warning Reset 신호에서 ‘Caution’ 음성 경고가 삭제되고,
③ 글리치로 발생한 Warning Reset 신호에서 ‘Low RPM’ 음성경고가 삭제됨.
④ 존재하지 않는 음성경고번호를 보내기 위해 메모리 내 “쓰레기값”에 접근함.
⑤ 미정의된 값을 SMFD로 전송함.
⑥ 미정의된 신호를 수신한 SMFD가 해당 신호를 처리하면서 REBOOT 되는 현상 발생

개선방안

Warning Reset 시, 다음 음성경고 번호가 아닌 현재 재생 중인 음성경고 번호를 보내도록 로직 수정하고, Warning Reset의 글리치 현상을 제거하기 위해 Glitch 필터링 로직 추가

AIU WOW 입력 신호 안정화 개선

현상

'24.8.9. 레이더 고도지시계(RALT: Radar Altimeter) 체계 기능점검 간 저고도 경고음('Pull up') 미청취 현상이 발생했다. RALT는 항공기와 지면과의 고도를 측정하여 조종사에게 제공하는 장비이다. 조종사는 결심고도(착륙 접근 중 조종사가 착륙 및 복행 여부를 최종적으로 결정해야하는 고도, 즉 하한 고도값)을 설정할 수 있으며, 설정한 결심고도보다 RALT가 측정한 고도가 낮을 경우 항공기를 띄우라는 뜻의 경고음인 ’PULL UP'이 발생하는데 해당 경고음이 발생하지 않은 것이다.

원인분석

AIU의 음성경고가 정상적으로 재생하기 위해서는 그림 5와 같이 WOW²⁾ 매트릭스를 통해 GND(공중)이라는 디스크리트 신호를 입력받아야 한다.

회로 분석 결과, GND(공중) 신호레벨이 약 0.4V정도이며, 이는 AIU에 입력되는 FET소자에서 OPEN(지상)으로 인식하는 범위(Threshold 전압)인 0.4~1.5V에 속해있음을 확인했다. 특정 FET소자의 Threshold 전압이 0.4V정도로 낮을 경우 AIU는 현 상태를 공중이 아닌 지상으로 판단하여 음성경고를 재생하지 않은 것이다. 본 현상은 AIU에 입력되는 GND 전위가 비교적 높고, FET소자 특성에 따라 Threshold 전압이 비교적 낮을 때 발생한 것으로 GND의 전위레벨을 낮추어 입력되도록 하는 것이 개선 방향으로 결정되었다.

개선방안

AIU에 입력되는 GND신호 전위레벨을 낮추기 위해 그림 6와 같이 WOW 매트릭스를 거치지 않고 직접 GND 신호를 받을 수 있도록 회로를 개선했다.

MFL³⁾ 오탐 관련 SW 로직 개선

현상

'25.1월 LAH-1 비행 간 MFL 2개(VMU CODEC FAIL, TONE CODEC FAIL) 시현 후 사라짐

원인분석

원인분석은 그림 7를 참고한다.

① 외부 전자기 노이즈 발생에 의해 볼륨 제어 데이터 변화 추정
② 볼륨 제어와 CODEC BIT⁴⁾ 명령은 같은 신호라인을 이용해 CBIT⁵⁾간 CODEC BIT 명령과 볼륨 제어 명령이 동시에 발생하면 CODEC 칩에서 두 가지 명령이 모두 수행되지 않음

개선방안

외부 전자기 노이즈에 의해 볼륨 제어 명령이 오인지 되지 않도록 볼륨 인지 변화량을 5단계(0.06V)에서 10단계(0.12V)로 변경하고, CBIT 중 CODEC BIT 명령과 볼륨 제어 명령이 동시에 발생하지 않도록 동작 간 우선순위를 적용

사례별 시사점 고찰

LAH-1 운용 간 발생한 통신계통 관련 주요 결함 및 개선사례에 대해 살펴보았다. 본 개선사례들이 시사하는 바는 아래와 같다.

(1) 이상소음 발생 건은 개발단계에서 식별되어 1차 개선을 했음에도 양산단계에서 동일 현상이 재발한 건이다. 개발 간의 원인식별을 위해 항공기와 유사한 진동 환경 하에서 고장탐구를 진행한 것은 옳은 방향이었으나, 고장탐구의 범위가 AIU에 한정되어 있었는데 한계가 있다. 양산단계에서 고장탐구를 통해 ICP와 AIU 간 신호라인의 개발당시 테스트용으로 사용했던 라인과의 중첩이 있었음을 알 수 있었다. 2차에 걸친 개선을 통해 시스템 전체 신호라인의 상호영향을 분석하고 설계 초기부터 검증해야 하며, 테스트 포인트와 임시회로 같은 기능/성능 상 제거되어도 문제없는 개발단계의 잔재들의 영향성을 고려해야 함을 알 수 있다.

(2) Warning Reset 시, SMFD 리부팅이 발생하는 건은 AIU의 소스코드 설계 오류와 글리치 현상을 고려하지 못해 발생한 건이었다. 글리치 현상은 전원 스위칭 순간, 전자기 간섭, 회로설계 문제, 외부충격 및 진동 등에 의해 발생할 수 있다. 이를 방지하기 위해 주요 회로 라인에는 글리치 필터 회로 적용을 통해 글리치성의 짧은 노이즈는 무시토록 설계하는 등의 고려가 개발단계에서부터 필요함을 시사한다.

(3) 저고도 경고음 미청취 현상은 AIU 내 FET 소자별 특성과 비교적 높은 GND값이 발생한 조건이 모두 충족되어 나타났다. 이로 인해 경고음이 작동하지 않는 비행 안전성에 위협이 될 수 있는 상황으로 나타났다. AIU가 타 LRU들로부터 경고 정보 등 다양한 신호를 주고받는다는 점에서 신호해석 시, 소자 특성과 타 LRU 간의 오차 및 경계조건에서의 동작 검증을 통해 안전성을 확보해야 한다.

(4) AIU MFL 2개 시현 후 사라짐 현상은 외부 전자기 노이즈와 신호라인의 중첩으로 인해 발생한 것으로, 노이즈를 고려하여 볼륨 제어 레벨을 조정하고 신호처리의 우선순위를 정의함으로써 해소되었다. MIL-STD-1553에서는 구성품 간의 통신 신호 간 우선순위에 대해 언급한다. 예를 들어 RT로 전송된 두 번째 유효 명령어가 이전 명령보다 우선한다는 식이다. 이와 같이 구성품 내에서도 명령 우선순위를 명확히 정의하고, 시스템 전체에 일관되게 적용토록 하는 방안에 대한 검토가 필요하다.

결론

LAH-1 통신계통 전반과 관련 주요 개선내용에 대해 살펴보았다. 본 장에서는 이를 토대로 상기 결함들로 도출될 수 있는 결론 및 검증체계 고도화 필요성을 제기한다.

위 결함 사례 모두 단순히 구성품 단위의 문제가 아닌 통신계통에서 발생한 결함들이었다. 이는 구성품을 넘어 시스템 전체의 신호 흐름, 명령 처리 로직 등을 고려하지 못한 설계와 검증의 허점에서 비롯되었다. 구성품 단품에 비중을 둔 단편적 결함의 제거는 단기적인 해소 방안은 될 수 있으나, 헬기 무기체계가 30년 이상 사용 후 도태되는 장기 운용 관점에서는 결함 재발로 인한 고장탐구 재수행의 소요가 있다. 따라서 결함 발생 초기부터 타 계통과의 연계성, 체계의 와이어 하네스 건전성 검토 등의 체계 단위 및 계통 간 상호작용을 고려한 상세 고장탐구가 필요하다. 이를 위해 FTA(Fault Tree Analysis)를 고장탐구 단계에서 적극 도입하여 발생할 수 있는 원인들을 도식화하고 복잡한 상호작용 시스템에서도 결함 경로를 체계적으로 추적할 수 있도록 하는 것이 방안이 될 수 있다.

또한 상기 결함들은 두 가지 이상의 다중조건(동시 명령 발생, 외부 노이즈, 소자특성 등)이 충족되었을 때 발생할 수 있는 결함들로, 대다수 개발단계에서 식별되지 않은 것들이다. 실제 운용 환경은 보다 복잡하고 다수의 조건들로 운용되므로 초기 설계 검토 단계부터 다중조건을 고려한 검증 시나리오를 포함하는 것이 필요하다. 그 방법으로는 비정상적인 이벤트를 발생시키거나 고의로 결함을 강제 주입(fault injection)하여 시스템 대응 여부를 확인하는 방안이 있다. NASA에서 1992년에 발표한 Advanced Information Processing System 연구보고서를 참고하면, FET을 이용해 핀 단위로 연결을 끊거나 조작하는 방식으로 하드웨어 시험을 실시하고, 프로그램 메모리 조작을 통해 결함 시뮬레이션하여 소프트웨어 시험을 실시했다. 이를 통해 실제 회로 기반 반응을 검증하고 디버깅 및 리커버리 설계 개선에 기여할 수 있었다. 헬기 체계의 다양한 계통의 상호작용때문에 모든 이벤트를 예측할 순 없지만, 이러한 사례를 참고삼아 결함 시나리오를 다양하게 설정하여 개발단계에 반영할 필요가 있다. 이와 더불어 실제 운용 환경과 유사한 조건에서 다양한 시제로 반복 시험을 통해 적극적으로 내재 결함을 탐지하는 전 주기적 검증체계가 요구된다.