고장에 강건한 위성 탑재 영상레이다 상태천이 설계

Ⅰ. 서 론

영상레이다는 지상에 반사되어 수신한 레이다 신호를 이용하여, 지표 영상 정보를 획득할 수 있는 장비이다[1][2]. 영상레이다는 기상 상태 및 주야간의 구분 없이 영상획득이 가능하여 지상 관측, 빙하, 곡물, 석유 탐지 등 다양한 분야에서 활용되고 있다. 국내에서는 항공기 탑재 영상레이더가 2000년대 초반부터 연구되었으며, 현재는 위성 탑재 영상레이더 관련 연구가 활발히 진행되고 있다.

영상레이다는 영상획득을 위해 다양한 구성품으로 구성되어 있다. 위성의 크기 및 목적에 따라 상이할 수는 있지만, 일반적으로, 제어장치, 송수신장치, 안테나 그리고 안테나 전원 공급기로 구성된다.

고도 500~600Km 전후에서 운용되는 저궤도 위성의 경우, 대기권 밖에 존재하기 때문에 우주 방사선의 영향을 많이 받는다. 따라서 장비가 계속 켜져 있다면, 우주 방사능 영향으로 메모리 데이터 변형에 의한 FPGA 로직 이상 및 영구적 고장 발생 확률이 높아진다. 또한 구성품 동작 특성에 따라 높은 발열 발생으로 열적 문제가 발생할 수 있다. 마지막으로 발사 이후 임무 종료 시까지, 태양 전지를 이용하여 전력을 공급하는 위성 시스템의 특성상, 효율적인 전력 사용 및 제어가 필수적이다. 위와 같은 상황을 고려하여, 각 구성품의 전원을 항상 인가 해 놓지 않으며, 영상레이다 임무 수행 및 예열, 안정화 및 임무 준비 시간 등을 고려하여 각 장비 전원 인가(On)/차단(Off) 시점을 구분한다. 그리고 각 구성 장비의 전원 인가 상태(형상)를 고려해 단계를 구분하고 이를 ‘상태’로 정의한다.

각 ‘상태(State)’ 간(間) 상태 천이는 영상 촬영 계획을 고려하여, 지상국의 천이 명령에 따라 수행된다. 상태 천이 과정에서는 다음 ‘상태’의 구성품 전원 형상에 맞도록 각 장비의 전원을 인가 및 차단하는 과정이 수행된다. 각 ‘상태’에서는 현재 전원이 인가되어 있는 장치가 문제없는지를 주기적으로 감시한다. 하지만 상태 천이 구간에서는 각 장비의 전원 인가 구성이 변하므로 각 ‘상태’별로 정해진 모니터링을 수행하는 데 어려움이 있다. 따라서 기존의 위성들의 경우 상태 천이 과정 동안 주기적인 모니터링을 중단하고 일부 구성품의 전원 인가/차단이 정상적으로 수행되었는지만 확인하였다. 이 방법은 상태 천이가 단시간 내에 완료될 때는 문제가 없다. 하지만 구성품의 전원 인가 이후 초기화 과정 및 설계 복잡도가 증가함에 따라 수초~수십 초의 천이 시간이 소요되는 현재의 위성 시스템의 경우, 해당 시간 동안 장비의 모니터링이 수행되지 않는 것이기 때문에 고장 발생 시 고장 탐지 및 처리에 취약할 수 있다는 한계를 가진다.

본 연구에서는 위의 한계를 극복하고자, 고장에 강건한 위성 탑재 영상레이더 상태천이 설계 방안을 제시한다. 이를 위해 본 연구에서는 크게 3가지기능을 상태천이 설계에 반영하였다. 먼저 상태 천이 중 전원 인가/차단되는 구성품들의 안전을 보장하기 위한 전원 인가/차단 절차를 명시적으로 구성하고 확인하는 절차를 반영하였다. 두 번째로 전원이 인가되어 있는 장치들의 주기적인 모니터링이 지속되도록 설계하였다. 마지막으로, 고장 발생 시, 고장의 확산 방지 및 장치의 안전 보장을 위한 안전 상태를 상태천이 다이어그램에 반영하고 천이되도록 하였다. 위의 고장에 강건한 상태천이 설계를 통해, 보다 신뢰성 높은 위성 탑재 영상레이다 개발이 가능하였다.

Ⅱ. 관련 연구

1980년 영상레이다를 탑재한 최초의 위성이 개발된 이후, 미국과 유럽을 중심으로 다양한 위성 탑재 영사레이다가 개발 및 발사되었다[3]-[5]. 우리나라에서는 2005년에 다목적 실용위성 5호 개발을 통해 최초로 위성 탑재 영상레이다 연구 개발이 진행되었다. 이후 다목적 실용위성 6호, 군 정찰위성 등 다양한 위성 탑재 영상레이다 연구 개발이 진행되고 있으며[6], 초소형 위성 등 다양한 후속 영상레이다 위성 개발 계획이 예정되어 있다.

위성은 한번 발사하면 고장 상황에 대한 육안 판별 및 재현 시험이 불가능하다. 따라서 고장의 탐지, 차단 및 복구(FDIR, Fault Detection, Isolation and Recovery)에 대한 개념이 매우 중요하며, 설계에 잘 반영할 필요가 있다. [7]는 위성 시스템의 FDIR에 대한 전반적인 조사 연구를 제시하였으며, 위성 시스템의 특수성과 이를 위한 온 보드(On board) 소프트웨어의 기능들을 소개하였다. [8][9]에는 다양한 위성 시스템의 상황에 따른 FDIR 개념을 소개하고 있다. [8]에서는 편대 비행을 하는 두 위성의 고장 상황 제어에 관한 연구를 소개하였다. [9]에서는 고장 상황에서 위성의 안전성 보장을 위한 재복구 형상(Reconfiguration unit) 설계 개념을 소개한다. [10] 은 최근 활발히 연구되고 있는 인공지능 기술을 이용한 고장 탐지 기법에 관한 연구를 진행하였다. [11]은 복잡해지는 위성 탑재 영상레이다의 상태 정보를 효율적으로 지상 전송하기 위해, 텔레메트리 정보를 축소 시키는 기법을 소개하였다.

통상 위성 탑재 영상레이다의 고장 탐지는 각 구성품 개발 시, 각 부품의 규격 및 환경시험을 통한 온도의 영향성 등을 판단하여 기준값을 설정하고, 해당 정보를 주기적으로 확인하여, 초과하였을 경우를 고장으로 식별한다. 현재까지 개발 및 발사된 대부분 위성은 모두 위와 같은 개념의 고장 탐지기법을 활용한다. 하지만 각 장치의 전원 구성이 바뀌는 천이 구간에서의 고장 탐지 방법에 대해서는 명확히 연구된 적이 없었다. 본 연구는 해당 방법에 대해 고민해야 할 요소들을 식별하고, 정리하여 제시하고 있다.

Ⅲ. 고장에 강건한 위성 탑재 영상레이다 상태천이 설계

3.1 위성 탑재 영상레이다의 상태 정의

위성은 다양한 구성품들로 이루어진다. 표 1은 위성 탑재 영상레이다의 구성품과 각 역할을 보여주고 있다. 구성품 구성은 형상, 무게, 임무 조건 등에 따라 상이할 수 있다. 각 구성품의 전원은 영상레이다 임무에 기반하여 인가 시점이 결정된다. 일반적으로 안테나의 송수신 모듈(T/R module)은 높은 전력 소모와 발열이 발생한다. 따라서 최소한의 시간만 전원을 인가해야 한다. 제어장치의 파형 발생 모듈과 신호 수신 처리 모듈 역시, 영상 촬영 시에만 활용되며, 메모리 및 FPGA의 내 방사선 영향성을 최소화하기 위해 임무 시에만 전원 인가를 필요로 한다. 또한 각 장치가 정상적인 성능을 낼 수 있는 예열 시간도 전원 인가 설계의 고려 요소이다.

Table 1.

Major equipment of SAR payload

그림 1은 본 연구에서 설계한 위성 탑재 영상레이다의 임무 상태 천이 다이어그램이다. 본 연구에서 제시한 상태는 크게 종료(OFF), 초기(INIT), 대기(STANDBY), 사전 운용(PRE-OP), 운용(OP)으로 구성한다. 그리고 문제가 발생하였을 때 옮겨가는 안전 이상(STANDBY REFUSE) 및 초기 이상(INIT REFUSE)으로 구성한다.

Fig. 1.

State diagram of SAR payload

각 상태에 따른 영상레이다 구성품의 전원 인가 상태는 그림 2와 같다. 해당 임무 상태 정의 및 전원 인가 구성은 시스템 설계 단계에서 임무 목적 등에 따라 결정된다.

Fig. 2.

Power configuration of each state

지상에서 우주 궤도까지는 모든 장비가 꺼진 종료 상태로 유지된다. 그 후 제어장치와 송수신장치를 켜서 대기 상태에 머무르며 각 구성품의 상태를 점검하며, 지상 명령수신을 대기한다. 촬영 임무를 수신하면 촬영 시작 시간을 고려하여 사전 운용, 운용 단계로 순차적인 천이 과정이 수행된다. 운용 단계에서는 모든 장비의 전원이 인가되어 영상획득 임무를 수행하며, 임무가 종료되면 하향 천이하여 사전 운용, 대기 상태로 내려와 유지하게 된다.

3.2 구성품 전원 인가/차단 천이 절차 설계

상태 천이 중에는 복수의 장치 전원이 인가되거나 차단된다. 이때 모든 장비의 전원 인가/차단을 동시에 수행하고 최종적으로 정상 천이 여부만 확인한다면, 문제가 발생하여도, 어떤 장치에서 문제가 발생했는지 확인 불가능하다. 또한 영상레이다 스스로 장비 전원 제어를 수행하므로 최대한 안정적이고 보수적인 절차로 장치의 전원 인가 수행이 필요하다. 이를 위해 각 구성품의 전원 인가는 그림 3과 같은 개념으로 설계하였다. 먼저 전원을 인가하고자 하는 경우, 장비의 전원을 명시적으로 차단하고 차단되었는지를 확인하는 절차를 포함하였다. 이는 혹시 이전의 상태 천이 과정에서 의도치 않게 장비의 전원 On/Off 상태가 비정상 상황일 수 있기에 반영하였다. 장비의 전원 미인가 상태 확인 후 전원 인가 명령을 전송한다. 전원 인가 명령 이후 장비의 전원이 정상적으로 인가되었는지 확인한다.

Fig. 3.

Power on sequence concept during state transition

장비 전원 차단 시에는, 전원 차단 명령 전송 후, 차단 상태를 확인하는 과정으로 진행된다.

장비의 전원 인가/차단의 정상 동작 확인은 다양한 원격 측정 정보를 기반으로 가능하다. 이는 시스템 설계와 장비의 개발 비용과 관련될 수 있으나, 통상 전원의 릴레이 상태 확인 또는 해당 구성품의 2차 전압정보를 관찰하도록 구성한다. 또한 1553B, Space Wire, CAN과 같은 버스 통신 라인을 가지는 구성품의 경우, 통신의 활성화 여부를 추가로 점검한다.

특정 구성품의 초기화 과정에서 문제 발생하거나, 원격 측정 정보를 전달하는 통신 프로토콜의 문제에 따라 상태 천이가 종료되지 않고 멈추거나 대기하고 있을 수 있다. 이런 경우를 대비해 각 상태 천이의 천이 시간제한값(Transition timeout)을 설정하고, 이를 초과하면 고장으로 판단하도록 설계한다. 또한 제어소프트웨어 자체 문제 발생으로 교착(Dead-lock)상태가 발생하는 경우를 대비하여, 플랫폼에서는 제어소프트웨어로부터 주기적으로 수신하는 정보가 연속해서 전송되지 않는 경우, 강제 재부팅을 수행하도록 반영한다. 그림 4는 제안한 천이 개념을 반영하여 초기 상태에서 대기 상태로 천이 절차를 보여준다.

Fig. 4.

State transition sequence (INIT to STANDBY)

3.3 구성품의 주기적 모니터링

각 ‘상태’에서 제어소프트웨어는 영상레이다 고장 발생 여부를 주기적으로 감시한다. 하지만 상태 천이 중에는 각 장치 전원 구성 형상이 변경되므로, 기존에 주기적으로 수행하던 모니터링 항목으로 계속 모니터링 시 특정 장비 전원이 차단되면서 이상 동작을 유발할 수 있다. 따라서 기존의 경우 천이 중에는 모니터링을 중단하고, 천이가 완료되면 다시 활성화하는 식으로 반영하였다. 하지만 상태 천이가 약 30초 정도 지속되는 경우, 30초 정도 장비 모니터링이 중단되는 사항이기 때문에, 고장 상황에 취약해질 수 있다.

본 연구에서는 상태 천이가 발생할 경우, 두 천이 상태 중 낮은 상태를 기준으로 주기적 모니터링을 수행하도록 반영하였다. 낮은 상태란 구성 장비의 전원이 덜 켜져 있는 상태를 의미한다. 예를 들면 초기 상태에서 대기 상태로 천이하는 경우, 초기 상태의 모니터링 항목을 기준으로 천이 중간에도 주기적인 모니터링은 수행한다. 반대로 대기 상태에서 초기 상태로 천이하는 경우는, 초기 상태 항목을 기준으로 모니터링을 수행한다. 이를 통해 최대한 켜져 있는 장비의 주기적인 모니터링을 유지한다. 그림 5는 다음 낮은 상태의 설계 결과를 보여주고 있다.

Fig. 5.

Next lowest state definition

Ⅳ. 시험 결과

4.1 시험 환경 구성 및 출력 정보

본 연구에서 제시한 상태 천이 기능을 실제 소프트웨어에 반영하고, 이를 시험하기 위해 그림 6과 같은 시험 환경을 구성하였다. 시험 통제장치(Test controller equipment)는 지상과 위성 플랫폼을 모의하며, 명령 전송 기능을 수행한다. 프로세서 모듈(Processor module)은 본 소프트웨어가 탑재된 대상 보드이다. 제어소프트웨어에 의도적인 고장 모의를 위해 영상레이다 송수신기, 안테나 등의 주변 기기를 모사해주는 SAR 모의기(SAR simulator)에서 구성품이 전달하는 원격 측정 정보를 임의로 변경하여 오류 상황을 모의할 수 있도록 반영하였다.

Fig. 6.

Test environment and configuration about state transition design verification

제어소프트웨어의 다양한 행위는 이벤트 로그 정보로 기록되며, 해당 정보를 기반으로 검증할 수 있다. 이벤트 로그는 제어소프트웨어 내부 메모리에 저장되어 있다가 시험 통제장치 요청 명령 수신 시전달된다. 전달된 데이터는 시험 결과 데이터베이스(Test results DB)에 저장되고 분석 소프트웨어(Test data analysis equipment)에서 엑셀 파일형태로 변환하여 결과를 도시한다.

표 2는 본 영상레이다 시스템에서 정의한 이벤트 로그 타입 정보를 간략히 제시하고 있다. 이벤트 타입은 제어소프트웨어 행위에 따라 구별되며 본 시스템은 약 10여 개의 타입으로 구분되어있다. 제어소프트웨어의 이벤트 로그 정보는 각 항목 발생 시간 순서대로 저장하며, 각 타입에 따라 사전에 정의된 구조 및 정보를 기록한다.

Table 2.

Major event type and contents

본 연구에서 다루는 상태 천이의 경우 이벤트 타입 1번을 통해 기록되며, 고장 상황 발생 시, 타입 3, 4번의 이벤트가 기록된다.

4.2 정상적인 상태천이 시나리오 로그

표 3은 정상적인 상태 천이가 수행되었을 때의 이벤트 로그 정보를 보여준다. 본 예제는 영상레이다 OFF 상태에서 전원 인가 후 초기 천이 되고 대기상태 천이 명령을 수신하고 대기 상태 천이 결과의 이벤트 로그이다. 처음 영상레이다 전원 인가 후 부팅과 초기화 과정이 정상적으로 진행되었는지에 대한 로그를 남긴다.

Table 3.

Event log of nominal state transition

이후 시간 동기 명령을 전송하면, 해당 명령의 문법 검증 로그를 남기고, 해당 명령의 수행이 시작됨에 대한 로그가 기록된다. 이후 시간 동기 결과 이벤트가 기록된다. 이후 대기 명령 수신 처리 역시 동일한 과정을 거치며 로그가 남게 된다. 상태천이의 경우, 상태천이 시작 시점에 로그를 기록하며, 문제없이 상태천이가 완료되면 상태 변경 이벤트 로그를 기록하고 명령 수행 완료 로그를 기록한다. 이때 영상레이다 상태천이가 어떤 요구 (천이 명령/모니터링 오류, 기타⋯.)에 의해 발생함을 구별하여 기록하므로, 지상에서 명확한 상황 유추가 가능하다.

4.3 고장에 의한 상태천이 결과 로그 분석

표 4는 대기 상태에서 사전 운용 상태로 천이 과정 중, 모니터링 항목(ID: 0x8601)이 오류인 상황을 가정하였다. 이를 모의하기 위해 SAR 모의기의 출력값을 천이 중 비 정상값이 출력되도록 모의하였다. 먼저 ‘사전 운용’ 상태 천이 명령을 검증 및 수행 시작 이벤트 로그가 기록된다. 이후 모의기에서 0x8601 항목 값을 비 정상값인 0x385~0x388로 수정한다. 해당 값을 수신 후 제어소프트웨어의 모니터링 행위를 통해, 문제를 탐지하고 이벤트 타입 3번 로그를 기록한다.

Table 4.

Event log about anomaly in state transition

그리고 ‘사전 운용’ 상태가 아닌 ‘대기 이상’ 상태로 천이한다. 이후 ‘대기 이상’ 상태에서도 여전히 0x8601 모니터링 항목의 측정값이 기준값을 초과하기 때문에 차순위 하향 상태인 ‘초기 이상’ 상태로 천이하고 이벤트 로그를 남긴다. 이 경우 상태천이 트리거에 모니터링 오류에 의한 것임이 기록된다. 또한 상태천이 중 문제 발생 상황을 인지하고, 해당 문제가 더 확산하지 않도록 오류 이벤트가 발생되지 않을 때까지 하향 천이하여 해당 장비의 전원이 종료되는 상태까지 하향 천이하여 문제 확산을 막고 안전한 상태에 머무르며 후속 조치가 이루어질 때까지 대기하게 된다.

표 5는 상태 천이 중, 장비의 먹통 및 통신 오류와 같은 상황으로 예상 천이 시간 제한값이 초과(Transition timeout) 된 상황을 모의한 시험 로그이다. 해당 사항 모사를 위해 의도적으로 상태천이 기준 시간을 축소하고 수행하였다. 즉 30초가 소요되는 천이 절차의 천이 예상 시간(Safety timeout)을 10초로 강제 설정하였다. 사전 운용상태로의 천이 시작 후 10초가 지난 시점에 천이 시간 초과 고장이 탐지되며 대기 이상 상태로 천이된 로그를 확인할 수 있다. 이때 대기 안전 상태로의 천이 시간 3초가 반영돼 약 13초 이후 이벤트 타입 1번이 기록된 것을 확인할 수 있다. 그리고 상태천이 트리거는 천이 시간 초과임이 기록되어, 지상에서 천이의 사유 파악이 가능함을 확인할 수 있다. 만약 천이 과정에서 영상레이다의 소프트웨어가 제어 기능을 상실한 교착 상황(Dead lock)이 발생하여 먹통이 되는 경우, 시간제한값의 초과 여부도 판단할 수 없게 된다. 이 경우 플랫폼은 영상레이다에서 주기적으로 전달하는 특정 카운터 값이 갱신되지 않음을 확인하여 강제 재부팅을 수행해 준다.

Table 5.

Event log about transition timeout

Ⅴ. 결론 및 향후 과제

본 연구에서는 위성 탑재 영상레이다의 상태 천이 과정에 대한 설계 사항을 제시하였다. 발사 이후 육안으로 장비 상태 확인이 어려운 위성 시스템의 특수성을 고려하여, 고장 사항에 강건한 상태 천이 절차를 설계 및 시험하였다. 이를 위해 상태 천이 중 장비의 전원 인가를 순차적으로 수행하며, 안전한 상태 천이가 진행되도록 하였다. 그리고 상태 천이 과정에서도 낮은 상태 기준으로 주기적인 모니터링을 지속하도록 하였으며, 각 천이 시간 제한값을 기반으로 무한 대기 사항을 방지하도록 하였다. 마지막으로 고장 발생 시 잔여 장비의 안전을 보전하기 위해 ‘이상(Refuse)’ 상태 개념을 반영하였으며, 고장이 탐지되지 않을 때까지 하향 상태로 천이 하도록 설계하여 고장의 확산을 방지하고, 지상 교신 시까지 장비가 안전한 상태를 유지할 수 있도록 설계하였다.

본 연구를 통해, 고장 상황에서도 이상 현상을 발생시키지 않고, 지상에서 내려오는 이벤트 정보만으로도 고장의 확인 및 안전한 대처가 가능한 상태 천이 절차를 수립할 수 있었다. 또한 지상 시험을 통해, 문제 탐지 및 안전 상태로의 천이가 정상 동작하는 것을 지상 전송로그 분석을 통해 확인할 수 있었다.

본 설계를 반영한 시스템에서는 제어장치의 교착상태 상황 발생 시, 플랫폼에 의해 영상레이다 재부팅이 발생된다. 이 경우, 영상레이다 제어장치 휘발성 메모리(RAM)에 저장되어 있던 기존 이벤트 로그 정보를 지상으로 전달하지 못하고 초기화되는 한계가 존재한다. 따라서 전원 종료 상황이 발생하여도, 기존의 이벤트 로그를 안전히 보존하여 재부팅 이후 이를 복구하고 확인할 수있는 방안에 관해 추가 연구가 필요하다.

Acknowledgments

본 연구는 2023년 정부(방위사업청)의 재원으로 수행된 연구 결과임

References

• I. G. Cumming and F. H. Wong, "Digital Processing of Synthetic Aperture Radar", Artech House, 2005.
• Y. K. Chan and V. C. Koo, "An Introduction to Synthetic Aperture Radar (SAR)", Progress In Electromagnetics Research B, Vol. 2, pp. 27-60, 2008. [https://doi.org/10.2528/PIERB07110101]
• R. L. Jordan, "The Seasat—A synthetic aperture radar system", IEEE Journal of Oceanic Engineering, Vol. 5, No. 2, pp. 154-164, Apr. 1980. [https://doi.org/10.1109/JOE.1980.1145451]
• E. P. W. Attema, G. Duchossoil, and G. Kohlhammer, "ERS-1/2 SAR land applications: overview and main results", IGARASS '98 Sensing and Managing the Envrionment, Seattle, WA, USA, pp. 1796-1798, Jul. 1998. [https://doi.org/10.1109/IGARSS.1998.703655]
• F. D. Acqua, P. Gamba, and R. Battaglia, "Applications and design of a multi-polarization 2nd Generation SAR for the COSMO/SKYMED Constel-lation", Applications of Polarimetry and Polarimetric Interferometry, POLINSAR2005, pp. 41-45, Jan. 2005.
• Korea Aerospace Research Institute, http://www.kari.re.kr, , RND/Satellite [accessed: May 1, 2023]
• F. SalarKaleji and A. Dayyani, "A survey on Fault Detection, Isolation and Recovery (FDIR) module in satellite onboard software", 6th international Conference on Recent Advance in Space Technologies(RAST), Istanbul, Turkey, pp. 329-332, Jun. 2013. [https://doi.org/10.1109/RAST.2013.6581270]
• A. Schwab, C. Giese, and D. Ulrich, "TDX-TSX - On-board autonomy and FDIR of whispering brothers", Proc. of SpaceOps 2012, The 12th International Conference on Space Operations, Stockholm, Sweden, pp. 11-15, Jun. 2012. [https://doi.org/10.2514/6.2012-1290887]
• I. Cheon, "Conceptual Design of Reconfiguration and FDIR Management for Satellite System", Proc. of the korean sciety for aeronautical & space Scienes 2007, pp. 1663-1666, Nov. 2007.
• M. Lee, M. Kim, and D. Jeong, "AI-based Anomaly Detection Methodologies for Satellite and Implementation of Prototype", Proc. of the korean sciety for aeronautical & space Scienes 2019, pp. 512-513, Apr. 2019.
• H. Lee, H. Lee, A. Lee, S. Kim, and J. Sung, "SAR Payload Telemetry Data Reduction Techniques based on Trend Analysis", Journal of KIIT, Vol. 20, No. 2, pp. 139-147, Feb. 2022. [https://doi.org/10.14801/jkiit.2022.20.2.139]