인공위성 개발을 위한 제품보증 프로그램

인공위성 시스템 개발 프로그램

인공위성 시스템의 구성

인공위성 시스템은 크게 세 가지 세그먼트(Segment)로 구성된다. 발사 세그먼트(Launch Segment)는 발사체(Launch Vehicle), 발사장, 그리고 발사 지원 시스템을 포함하며, 인공위성을 목표 궤도에 정확하게 투입하는 역할을 담당한다. 지상 세그먼트(Ground Segment)는 위성 운용을 위한 지상국, 사용자의 임무 운용 센터(Mission Operations Center), 그리고 이를 연결하는 지상 통신망으로 구성된다. 우주 세그먼트(Space Segment)는 궤도상에서 임무를 직접 수행하는 인공위성으로 구성되며, 시스템 전체의 핵심 요소이다. [그림 1]은 이러한 인공위성 시스템을 도식적으로 나타낸다.

인공위성의 구조

우주 세그먼트를 구성하는 인공위성은 본체(Bus)와 탑재체(Payload)로 이루어진다. 탑재체는 광학 카메라, 레이더, 통신 중계기 등 위성 고유의 임무 기능을 담당하는 부분이다. 본체는 탑재체가 임무를 원활히 수행할 수 있도록 전력 공급, 자세 및 궤도 제어, 지상과의 통신, 온도 제어 등 기본 유지 기능 전반을 지원한다. [표 1]은 인공위성 본체를 구성하는 각 서브시스템과 그 주요 역할을 나타낸다.

인공위성 개발 프로그램

인공위성 개발 프로그램은 임무 요구사항 정의부터 설계, 제작, 시험, 발사, 그리고 임무 종료까지 전체 생애주기(Life Cycle)에 걸쳐 정의된다. 각 개발 단계는 구체적인 기술적 목표와 다음 단계 진입을 위한 조건을 갖고 있으며, 단계 종료 시 마일스톤 리뷰(Milestone Review)를 통해 진입 여부가 결정된다. [표 2]는 ESA(European Space Agency)의 ECSS(European Cooperation for Space Standadization) 기준에서 정의하는 인공위성 개발 단계와 단계별 주요 활동을 나타낸다.^[1]

전통적인(Legacy Space) 인공위성 개발 프로그램에서, 요구조건 및 설계는 시스템 수준에서 서브시스템, 구성품 수준으로 단계적으로 하위 할당(Flow-down)되어 구체화된다. 반대로, 제품의 구현 및 검증은 구성품 수준에서 출발하여 서브시스템, 최종적으로 시스템 수준으로 통합되며 진행된다. 제품보증은 이 과정 전반에 걸쳐 시스템 엔지니어링과 함께 요구조건의 일관성을 유지하고, 설계의 합치성을 검증하며, 임무 리스크를 관리하는 역할을 담당한다.

제품보증 프로그램

품질보증과 제품보증

품질보증(Quality Assurance)은 품질 관리의 한 부분으로서, 규정된 품질 요구사항이 충족될 것이라는 신뢰를 제공하는 데 중점을 둔다.^[2] 반면, 제품보증(Product Assurance)은 적합한 설계 및 구현 방법을 통해 제품의 품질이 실질적으로 확보되도록 하는 데 중점을 둔다.^[3] 따라서 제품보증은 품질보증의 개념을 포괄하면서도, 신뢰성 보증, 안전성 보증, 그리고 전기전자부품 및 재료·공정 관리 등 기술적 관점의 설계보증(Design Assurance) 활동까지 포함하는 보다 광범위한 개념이다. [그림 2]는 품질보증과 설계보증으로 구분된 제품보증의 주요 업무를 나타내고 있다.

제품보증의 주요 요소

역사적으로 제품보증의 중요성은 NASA의 아폴로 프로그램과 초기 위성 임무의 실패 사례들을 통해 부각되었다. NASA는 이러한 경험을 바탕으로 제품보증의 기준과 방법을 체계화하여, 절차 요건, 표준, 핸드북 등 방대한 기술 문서 체계를 구축하였다. 유럽의 ESA 역시 ECSS(European Cooperation for Space Standardization) 표준 체계를 정립하여 제품보증을 제도화하였다. 오늘날 NASA와 ESA의 제품보증 표준은 인공위성 개발의 국제적 기준으로 세계 우주산업 전반에 걸쳐 폭넓게 활용되고 있다.

ESA의 ECSS 기준에서 정의하는 제품보증의 주요 업무 영역은 [표 3]과 같다. 이들 활동은 각각 독립적으로 수행되는 것이 아니라, 상호 긴밀히 연계되어 임무 위험을 최소화하는 방향으로 운영된다. 예를 들어, 신뢰성 분석 결과는 전기전자부품 선정 기준 수립과 연계되며, 재료의 기체방출(Outgassing) 특성은 위성 내부 오염 방지를 위한 주요 검증 대상이 된다. 본 기고에서는 이러한 제품보증의 주요 요소 중 인공위성 제품보증의 특성을 가장 잘 대표하는 신뢰성 보증, 전기전자부품 관리, 그리고 재료 및 공정 관리를 중심으로 설명한다.

제품보증 계획

각각의 제품보증 업무는 업무의 특성에 따라 프로그램의 개발 단계 전반에 걸쳐 체계적으로 계획이 수립되어야 한다. 제품보증의 주요 업무를 프로그램 개발 단계에 따라 개략적으로 배치하면 [그림 3]과 같다. 이와 같이 프로그램의 단계에 따라 제품보증의 각 업무를 배치하고 서로의 역할 및 관계를 계획하는 작업은 개발 단계의 초기에 수행되어야 하며 그 결과는 제품보증 프로그램 계획서(Product Assurance Program Plan)에 문서화된다.

NASA는 임무의 중요도에 따라 Class A에서 D까지 구분된 위험(Risk) 관리 체계를 운영하며,^[4] ESA 역시 이와 유사하게 임무 중요도를 Class 1(안전 우선, 유인 임무)에서 Class 5(저위험, 교육 목적)까지 구분하기도 한다.^[5] 임무 위험 수준이 높을수록 더 엄격한 제품보증 프로그램을 계획하며, 낮은 수준의 임무에 대해서는 제품보증 기준을 합리적으로 조정(Tailoring)하는 것이 허용된다. 이러한 제품보증 기준의 조정은 뉴스페이스 시대의 소형위성 개발에서 특히 중요한 의미를 갖는다. [표 4]는 임무 중요도에 따른 제품보증 프로그램의 조정 사례를 나타낸다.^[6]

신뢰성 보증

[그림 4]에 나타낸 것과 같이, 우주 시스템의 신뢰성 보증은 세 가지 관점에서 접근할 수 있다. 첫째, 임무 기간 중 시스템이 정상적으로 동작할 확률을 보증하는 임무 성공 확률(Operational Probability), 둘째, 단일 고장이 발생하더라도 임무 실패로 이어지지 않도록 설계 수준에서 보증하는 고장 내성(Fault Tolerance), 셋째, 임무 말기까지 요구 기능과 성능 마진이 유지됨을 보증하는 임무 말기 성능(End-of-Life Performance)이다. 이 세 가지 관점은 상호 보완적으로 운용되며, 함께 통합된 신뢰성 보증 프로그램을 구성한다.

임무 성공 확률 (Operational Probability)

시스템의 임무 성공 확률은 신뢰성 예측 및 가용성 예측을 통해 분석될 수 있다. 신뢰성은 각 구성품의 고장률을 바탕으로 하여 임의 시간 후에 시스템이 요구되는 기능을 수행할 수 있는 확률을 의미하며, 가용성은 회복가능한 시스템에 대해 시스템이 요구되는 기능을 수행할 수 있는 확률을 의미한다. 신뢰성 예측은 시스템의 고장 특성에 따른 성공 확률 예측이 목적이며, 가용성 예측은 고장 및 복원이 가능한 상황을 전제로 시스템이 서비스 가능한 확률을 예측하는 것이 목적이다. 따라서 수리가 불가능한 인공위성에 대해서는 주로 임무 신뢰성 예측을 수행한다. 그러나, 지상 시스템 또는 여러 위성이 잉여성(Redundancy)을 제공할 수 있는 위성군(Constellation) 임무에 대해서는 가용성 예측을 수행하기도 한다.

임무 신뢰성 요구조건이 규정되면 위성 개발자는 기존 설계의 신뢰성 예측치를 바탕으로 달성 가능한 신뢰성 목표치를 설정한 후 이를 하위 서브시스템 및 장비품에 할당한다. 신뢰성 할당은 각 장비품의 신뢰성 예측 결과를 반영하여 전체 시스템의 임무 신뢰성 요구조건이 만족될 수 있도록 지속적으로 조정된다.

장비품 수준의 신뢰성 예측은 일반적으로 MIL-HDBK-217에^[7] 제시된 부품 고장률(Failure Rate)을 기반으로, 모듈 수준의 고장률을 산출하고, 이후 신뢰성 블록 다이어그램(Reliability Block Diagram)으로 구성된 논리 모델을 통해 장비품 또는 시스템 수준의 신뢰성을 예측한다. ECSS-Q-HB-30-08에는^[8] MIL-HDBK-217 이외의 고장률 데이터베이스 선정 방안이 제시되어 있다.

예측된 신뢰도가 할당된 요구조건을 충족하지 못하는 경우에는 이중화(Redundancy) 설계 강화, 고신뢰성 부품 채택, 열 설계 개선을 통한 동작 온도 저감 등의 방안이 검토될 수 있다. 이러한 과정은 ‘신뢰성 할당 → 시스템 설계 → 신뢰성 모델 수립 → 신뢰성 예측’의 순서로 반복 수행되며, 신뢰성 요구조건이 만족되고 설계가 확정될 때까지 계속된다.

고장 내성 (Fault Tolerance)

아무리 높은 임무 신뢰성을 확보하더라도, 충분한 시간이 지나면 모든 시스템은 결국 고장 상태에 이르게 된다. 그러나 시스템 고장의 영향이 중대한 경우에는, 고장이 발생하더라도 시스템이 정상적으로 동작하거나, 최소한 안전한 상태를 유지할 수 있도록 설계하는 것이 요구된다. 이를 고장 내성(Fault Tolerance)이라 한다.

단일한 고장으로 인해 인공위성의 임무 손실이 발생하는 경우, 이를 단일점 고장(Single Point Failure, SPF)이라 한다. 인공위성 설계에서는 단일점 고장이 최소화되도록 설계하며, 고장 가능성이 있는 능동 부품에 대해서는 단일점 고장이 원칙적으로 배제되도록 설계한다. 일반적으로, 인공위성 임무 수행에 필수적인 기능에 대해서는 최소한 ‘단일한 고장에 대한 내성’을 요구하며, 안전과 관련된 고위험 기능에 대해서는 ‘중복 고장에 대한 내성’을 요구하기도 한다.

인공위성의 고장 내성은 FMEA(Failure Mode and Effects Analysis)를 통해 식별·평가되며, FDIR(Fault Detection, Isolation and Recovery) 설계를 통해 확보된다. FMEA는 시스템 내 각 구성품의 잠재적 고장 모드를 식별하고, 각 고장 모드가 상위 시스템에 미치는 영향과 심각도를 체계적으로 평가하는 기법이다. 운용 중인 위성은 텔레메트리를 통한 제한된 정보만을 지상에 전송하므로, 발생한 고장이 지상에서 적절히 식별되어, 잉여(Redundancy) 구성품으로의 전환 등 적절한 대응 조치가 이루어질 수 있도록 FDIR 설계가 수행되어야 한다. FDIR 설계는 FMEA 과정과 병행하여 수행되며, 고장 내성 요구조건이 만족되고 식별된 모든 고장 모드에 대한 대응 절차가 완료될 때까지 반복적으로 진행된다. [그림 5]는 전형적인 FMEA 및 FDIR 과정 및 결과 테이블이다.

임무 말기 성능 (End-of-Life Performance)

위성은 임무 수명이 종료되는 시점까지 요구된 기능과 성능을 유지할 수 있어야 한다. [그림 6]에서 나타낸 것과 같이, 임무 수명이 경과함에 따라 부품의 전기적 특성이 점진적으로 열화되고, 부품 특성의 산포가 증가하며, 예기치 못한 운용 환경의 변화가 발생하여 임무 초기에 설정된 설계 마진이 충분하지 않게 될 수 있다. 따라서 적절한 추가 설계 마진을 확보하는 것은 임무 수명 말기의 성능을 보장하기 위해 중요하다. 임무 말기의 성능 보증을 위해 수행되는 대표적인 분석 방법으로는 부품 응력 해석(Part Stress Analysis)과 최악 경우 분석(Worst Case Analysis)이 있다.

부품 응력 해석은 전기전자 부품의 실제 동작 조건을 규정된 허용값과 비교하여 부품의 스트레스 비율(Derating Ratio)을 평가한다. NASA EEE-INST-002^[9] 및 ESA ECSS-Q-ST-30-11^[10] 등에서는 부품 유형별 최대 허용 스트레스 비율을 규정하고 있다.

최악 경우 분석 부품의 초기 공차(Initial Tolerance), 온도에 따른 특성 변화, 방사선 영향, 노화(Aging) 효과가 최악의 조합으로 영향을 미치는 경우를 가정하여 성능 마진을 분석한다. ESA ECSS-Q-60-11^[11] 등은 위성의 임무 기간 및 운용 조건별로 부품에 고려되어야 하는 추가적인 설계 마진을 제시하고 있다.

전기전자부품 관리

인공위성은 수많은 전기전자부품으로 이루어진 복잡한 전자 시스템이라고 해도 과언이 아니다. 따라서 전기전자부품 관리는 인공위성 제품보증의 핵심 활동이다. [그림 7]에 나타낸 것과 같이, 전기전자부품 관리는 세 가지 관점에서 접근한다. 신뢰성이 이미 검증된 부품을 선정하는 표준 부품(Standard Parts) 관리, 비표준 부품에 대한 적합성을 검증하는 평가(Evaluation), 그리고 우주 방사선에 대한 내성을 검증하는 방사선(Radiation) 관리가 그것이다.

표준 부품 (Standard Parts)

NASA와 ESA는 우주 시스템에 활용하기 위해 검증되고 관리되는 부품을 우주 인증 부품으로 관리하고 있다. 미국의 경우, 우주 인증 부품은 국방 체계의 MIL QPL(Qualified Product List) 인증 부품을 근간으로, NASA가 규정한 규격 목록에 따라 정의된다. 유럽의 경우에는 ESA의 ESCC(European Space Components Coordination) 규격 기반의 QPL 체계를 통해 관리되며, 해당 목록에 등재된 부품은 우주 환경 적합성이 검증된 것으로 간주된다. [그림 8]은 미국 및 유럽의 우주 인증 부품 관리 체계를 개략적으로 나타낸다.

인공위성 개발자는 통상 NASA 및 ESA가 지정한 인증 부품을 바탕으로, 해당 사업의 임무 중요도에 적합한 부품 품질 등급을 표준 부품 요건으로 규정한다. [표 5]는 그동안 우리나라에서 개발된 인공위성 프로그램의 위험 수준에 따른 표준 부품 요건을 나타낸다.

표준 부품은 통상 고가이나, 이를 사용할 경우, 부품에 대한 추가 검증이 필요 없으므로, 결과적으로 부품 획득에 소요되는 일정과 비용을 줄일 수 있다. 일부 부품 제조사들은 인증 부품은 아니지만, 우주용으로 사용할 수 있는 자체 검증 부품을 제공하기도 한다. 그러나 이는 여전히 비표준 부품으로 분류된다.

평가 (Evaluation)

부품의 평가(Evaluation)는 모든 부품에 대해 수행되는 스크리닝(Screening)과 표본 부품에 대해 수행되는 적격성 검증(Qualification)으로 구분된다. 스크리닝은 제조 공정 중 발생한 잠재적 결함을 가진 초기 불량 부품을 조기에 걸러내어 초기 고장률을 낮추는 것이 목적이며, 부품의 수명에 영향을 주지 않는 수준의 환경 스트레스를 인가하는 시험으로 구성된다. 적격성 검증은 주로 로트 수락시험(Lot Acceptance Test)의 형태로 수행되며, 부품의 설계 한계를 확인하고 해당 로트의 품질 수준을 보증하기 위한 시험으로 구성된다.

통상적으로 이러한 스크리닝과 로트 수락시험은 부품 제조사에 의해 수행되며, 시험 규격은 해당 부품에 대한 MIL 및 ESCC 규격서에 규정되어 있다. 인공위성 개발자가 직접 부품 평가를 수행해야 하는 경우는 표준 부품이 아닌 부품을 사용하고자 할 때이다. 이 경우, 해당 부품이 표준 부품과 대등한 신뢰성을 갖추고 있음을 추가 검증을 통해 확인한 후 적용하며, 검증 계획은 일반적으로 해당 부품 유형의 스크리닝 및 로트 수락시험 규격 요건을 참고하여 수립된다. [그림 9]는 집적회로의 ESCC 규격에 제시된 스크리닝 및 로트 수락시험 흐름도를 나타낸다.

우주 방사선 (Radiation)

우주 환경은 인공위성에 다양한 영향을 미치는데, 그중에서도 우주 방사선은 전기전자부품에 특히 심각한 영향을 준다. 지구 궤도에서 운용되는 인공위성에 영향을 미치는 방사선은 크게 지구 자기장에 포획된 입자들(반 앨런대의 전자·양성자)과 태양 및 은하로부터 유입되는 고에너지 입자(태양 양성자 및 은하 우주선)로 구분할 수 있다. 우주 방사선이 전기전자부품에 미치는 영향은 [표 6]과 같이 크게 세 가지로 구분된다.

우주 방사선 환경이 부품이 견딜 수 있는 특성 한계를 초과할 경우, 방사선으로 인한 기능 오류 또는 영구적 손상이 발생한다. 따라서 전기전자부품 방사선 관리의 핵심은, 부품의 방사선 내성 특성을 사전에 확인하고, 해당 위성의 운용 궤도와 임무 기간에서 예상되는 우주 방사선 환경에 대해 충분한 내성을 갖춘 부품을 선정하는 것이다. 방사선 내성이 부족한 부품에 대해서는 추가 차폐(Shielding) 설계, 설계 변경을 통한 내성 향상, 또는 더 높은 내성을 갖는 대체 부품으로의 교체 등 위험 경감 조치를 취해야 한다. [표 7]은 방사선 효과에 대한 부품 내성 기준 및 위험 경감 조치의 사례를 나타낸다.

재료 및 공정 관리

인공위성에 사용되는 재료는 극한의 우주 환경에서 장기간 성능을 유지해야 한다. 이러한 재료는 다양한 공정을 거쳐 인공위성에 적용되는데, [그림 10]에 나타낸 것과 같이, 재료 및 공정 관리 역시 세 가지 관점에서 접근한다. 즉, 이미 사용 이력이 있는 검증된 재료를 선정하는 검증된 재료(Qualified Materials)의 선정, 신규 소재 및 공정에 대한 평가(Evaluation), 그리고, 재료 요구조건(Materials Requirement) 확인이 그것이다.

검증된 재료(Qualified Materials)

전기전자부품과 비교할 때, 새로운 재료의 우주 적합성을 검증하기 위해서는 일반적으로 더 많은 시간과 비용이 소요된다. 따라서 특별한 사유가 없는 한, 대부분의 인공위성 개발자는 기존 우주 임무에서 사용된 이력이 있거나 우주용으로 인증된 재료를 우선적으로 선정하여 적용한다. NASA의 MSFC-HDBK-527^[12] 및 ESA의 ECSS-Q-70-71^[13] 등은 우주용으로 검증된 재료 목록을 제공하는 대표적인 문서이다. NASA는 우주용 재료의 데이터베이스로 MAPTIS(Materials and Processes Technical Information System)를^[14] 운영하고 있으나, NASA 계약에 참여하지 않는 사용자에게는 접근이 제한된다.

평가 (Evaluation)

검증되지 않은 재료 또는 공정을 적용해야 하는 경우에는 해당 재료 또는 공정에 대한 체계적인 평가가 선행되어야 한다. ESA의 ECSS-Q-ST-70은^[15] 해당 업체에서 처음으로 적용하거나, 해당 용도로 검증되지 않았거나, 또는 해결되지 않은 기술적 문제가 있는 재료 및 공정을 중요(Critical) 재료 및 공정으로 구분하고, 적절한 평가 프로그램을 수행하도록 요구한다. 평가 프로그램은 해당 재료의 특성, 적용 목적 및 환경을 분석하여 시험 계획을 수립하고, 시험 결과를 바탕으로 적합성을 판정하는 방식으로 진행된다. [그림 11]은 신규 재료의 위성 적용을 위한 적합성 평가 사례를 나타낸다.

재료 요구조건 (Materials Requirment)

인공위성을 비롯한 우주 시스템은 지상에서 장기간 조립·시험이 수행되며, 임무 특성에 따라 사람이 거주하는 밀폐된 공간에서 기능을 수행하기도 한다. 이에, 우주 시스템에 사용되는 재료는 일반적으로 내부식성 및 내연성이 요구되며, 인체에 유해해서는 안된다. 또한 우주용 재료는 외부 구조물, 태양전지판, 열방호 코팅 등에 적용되어 장시간 우주 환경에 직접 노출될 수 있으므로, 적용되는 우주 환경에 대한 영향을 고려하여 적합한 재료를 선정해야 한다. 주요 우주 환경 요인과 재료에 대한 영향은 [표 8]과 같다. 그밖에 무연납 사용에 따른 주석 휘스커(Tin Whisker) 예방 역시 재료 요구조건의 하나로 대응하고 있다. 통상 재료 요구조건은 해당 인공위성 개발 프로그램의 제품보증 요구조건이나 환경 요구조건에 포함되어 규정된다.

뉴스페이스 시대 국방 위성 프로그램의 제품보증

전통적인 우주 개발(Legacy Space) 방식은 높은 신뢰성과 보수적인 설계, 긴 설계 수명을 추구하며 NASA 및 ESA의 엄격한 우주 표준에 따른 제품보증 체계를 적용한다. 개발 기간이 길고 높은 비용이 수반되지만, 임무 성공률 측면에서 오랜 기간 검증된 방식이다.

반면, 뉴스페이스(New Space)는 빠른 신기술 적용, 짧은 개발 기간, 낮은 비용을 특징으로 하며, 소형 위성 군집(Constellation) 운용, 상용(COTS) 부품 활용, 애자일(Agile) 개발 방법론 도입 등을 통해 개발 속도와 비용 효율성을 극대화한다. 그러나 이 과정에서 개별 위성의 임무 신뢰성과 설계 수명에 대한 기준이 완화되는 경향이 있으며, 개별 위성의 실패를 군집 운용을 통한 시스템 수준의 가용성으로 보완하는 접근 방식을 취한다.

그러나 군집 운용을 통한 시스템 수준의 가용성 확보가 불가능한 경우, 즉 단일 위성이 독립적으로 임무를 수행해야 하는 경우에는 개별 위성의 신뢰성이 여전히 매우 중요하다는 근본 원칙이 변하지 않는다. 이 경우에는 뉴스페이스의 장점을 훼손하지 않는 수준에서 전통적인 우주 개발의 원칙이 적절히 적용되어야 한다.

이는 앞에서 기술한 제품보증의 원칙과 핵심 업무들을 임무의 중요도에 따라 합리적으로 조정(Tailoring)함으로써 구현될 수 있다. 예를 들어, 부품 등급은 임무 요건에 맞추어 하향 조정하되 방사선 검증 및 스크리닝 등 핵심 검증 활동은 유지하고, 신뢰성 분석은 간소화하되 단일점 고장(SPF) 배제 원칙은 준수하는 방식이 될 수 있다.

궁극적으로, 뉴스페이스 시대의 국방 위성 제품보증은 ‘최대한 많은 규격을 적용하는 것’이 아니라, ‘임무 성공을 위해 꼭 필요한 보증 활동을 올바르게 수행하는 것’이라는 철학으로 전환되어야 한다. 이는 국방 우주 전력의 신속한 확보와 높은 임무 신뢰성이라는 두 가지 요구를 동시에 충족시키는 길이다.