# 장애 내성 아키텍처: NASA가 Artemis-2 임무를 위해 Orion 탑재 시스템의 신뢰성을 어떻게 보장하는가
깊은 우주에서 승무원 안전을 보장하기 위해 NASA는 Orion 우주선에 다단계 장애 내성 시스템을 개발했습니다. Apollo 시대의 단순화된 해결책과 달리, 현대 아키텍처는 하드웨어 중복, 결정론적 알고리즘, 그리고 방사선 글리치와 전체 프로세서 고장을 견딜 수 있는 백업 소프트웨어를 결합합니다. 생명 유지부터 항법까지 중요한 기능들은 모든 구성 요소가 최소 세 층의 보호를 갖춘 시스템을 통해 관리됩니다.
8채널 중복: "Fail-Silent" 원리
시스템의 핵심은 두 대의 탑재 컴퓨터로 구성되며, 각 컴퓨터에는 두 개의 비행 관리 모듈(FMM)이 들어갑니다. 각 FMM 내부에는 쌍으로 된 프로세서가 실시간으로 서로의 계산을 상호 검증하며 작동합니다. 이로 인해 8개의 프로세서가 동일한 코드를 병렬로 실행하는 구조가 됩니다. 계산에서 불일치가 감지되면(예: 방사선 영향으로), 결함 프로세서는 즉시 "fail-silent" 상태로 전환되어 잘못된 데이터가 제어 시스템에 도달하는 것을 방지합니다.
이 접근 방식은 올바른 결과를 결정하기 위해 투표에 의존하는 전통적인 3중 중복 시스템과 근본적으로 다릅니다. Orion은 우선순위 기반 소스 선택을 구현합니다: 시스템은 최고 우선순위 FMM부터 순차적으로 사용 가능한 FMM을 확인합니다. 4개 모듈 중 3개가 고장 나더라도 우주선은 여전히 임무를 안전하게 완료할 수 있습니다. 핵심 혁신은 동적 재구성으로, fail-silent 모드의 모듈이 자동으로 재부팅되어 작동 중인 유닛과 동기화된 후 승무원 개입 없이 서비스로 복귀합니다.
주요 보호 구성 요소:
- 하드웨어 결과 비교를 통한 쌍 프로세서
- 단일 비트 오류 교정을 위한 3중 모듈 중복 메모리(TMR)
- 지속적 데이터 검증을 통한 중복 네트워크 인터페이스
- 투표 대신 우선순위 소스 선택 방식
- 비행 중 동적 재구성
결정론적 동기화: 비동기성 극복
8개의 프로세서의 동기 작동을 위해 시계 주파수 미세 변동으로 발생할 수 있는 타이밍 불일치를 제거해야 합니다. NASA는 모든 작업이 중앙 집중식 시간 도메인을 통해 동기화되는 시간 트리거 아키텍처(TTEthernet)를 채택했습니다. 비행 소프트웨어는 엄격한 시간 프레임워크 내에서 작동합니다:
- 메이저 프레임(1초)이 마이너 프레임(밀리초 간격)으로 나뉨
- ARINC 653 표준을 준수하는 스케줄러가 보장된 타이밍 제약으로 작업 할당
- 각 FMM이 정확히 정의된 순간에 동일한 입력 데이터 수신
이 모델은 프로세스 간 공간적·시간적 격리를 보장하여 한 구성 요소가 다른 구성 요소에 영향을 미치지 않도록 합니다. 할당된 시간 슬롯을 초과하는 중요 애플리케이션은 자동으로 비활성화되고 재시작됩니다. 동기화를 유지하기 위해 시스템은 매초 각 FMM의 로컬 클럭을 네트워크의 "참" 시간에 맞춰 수정하며, 나노초 정밀도로 편차를 측정합니다.
카네기 멜론 대학교의 Michael Riley는 이러한 결정론성이 현대 개발에서 드물다고 지적합니다: "애자일 방법론은 종종 반복 속도를 위해 아키텍처 규율을 희생하며, 이는 기술 부채로 이어집니다. 임무 중요 시스템에서는 이는 용납될 수 없습니다—코드 한 줄 한 줄이 엄격한 타이밍과 기능 사양을 충족해야 합니다."
이질성 중복
8채널 중복에도 시스템 전체 고장 위험이 있습니다—예를 들어 주 비행 소프트웨어의 버그. 이를 완화하기 위해 Orion에는 독립적인 중복 비행 소프트웨어 시스템(RFS)이 탑재되어 있으며, 이는:
- 별도의 하드웨어 스택에서 실행
- 대체 운영 체제 사용
- 간소화된 제어 알고리즘 탑재
- 주 시스템과 병렬 작동
RFS는 주 시스템과 최대한 다르게 설계되어 상관 오류를 제거합니다. 주 채널 완전 고장 시 백업 시스템이 자동으로 제어를 인수하여 우주선을 안전 모드로 전환합니다. 그 알고리즘은 태양 전지판 방향 설정과 열 제어를 포함해 차량 안정화에 필요한 모든 중요 작업을 수행할 수 있습니다.
완전 전원 손실 시나리오("dead bus")에 특별 주의를 기울입니다. 전원 복원 후 Orion은 순차적으로:
- 우주 내 자세 안정화
- 태양광 패널을 에너지원으로 향하게 함
- 열 안정성 확보
- 통신 복구 시도 개시
승무원은 기계적 인터페이스를 통해 비상 프로토콜을 수동으로 활성화하여 개입할 수도 있습니다.
주요 요점
- 8채널 중복과 fail-silent 메커니즘으로 컴퓨트 모듈 75% 손실 후에도 작동성 유지.
- TTEthernet와 ARINC 653 기반 결정론적 아키텍처로 나노초 정밀도의 작동 동기화 보장.
- RFS를 통한 이질성 중복으로 주·백업 시스템 간 오류 상관 제거.
- Monte Carlo 스트레스 테스트로 복구 알고리즘 검증을 위한 재앙 시나리오 시뮬레이션.
- 방사선 강화 하드웨어에 TMR 메모리와 지속적 데이터 무결성 검사 중복 네트워크 인터페이스 포함.
우주 유사 조건에서의 검증
아키텍처 신뢰성을 검증하기 위해 NASA는 다단계 테스트 전략을 사용합니다. 개발 중 시뮬레이터가 Van Allen belts의 방사선 환경을 재현합니다. 핵심 방법은 슈퍼컴퓨터 모델을 통해 인공 결함을 주입하는 것으로,
- 여러 FMM 간 동기 고장
- 비동기 타이밍 불일치
- 네트워크 패킷 손실
- 지정 간격 하드웨어 고장
모드 전환 테스트에 특별 초점. 예를 들어 22초 내 3개 FMM 손실 시뮬레이션에서 시스템은 남은 모듈로 원활히 전환하면서 자세 제어를 유지해야 합니다. 모든 테스트는 예상 임무 부하를 초과하며 최소 30% 안전 여유를 둡니다.
이 절차들은 모듈 재부팅 후 시스템 재구성 중 타이밍 창과 같은 숨겨진 취약점을 발견하고 수정했습니다. Johnson Space Center의 Nate Wittenbrock은 이렇게 말합니다: "우리의 목표는 단순히 고장을 감지하는 것이 아니라, 인간 개입 없이 시스템이 완전 기능으로 복귀하도록 보장하는 것입니다."
Apollo에서 Artemis로의 전환은 신뢰성 접근 방식의 진화를 보여줍니다: 1960년대에는 제한된 탑재 컴퓨팅 파워를 기계적 백업이 보상했지만, 오늘날 소프트웨어가 최후의 방어선입니다. Orion 아키텍처는 자율 주행 차량부터 중요 인프라까지 미래 시스템의 표준을 제시하며, 여기서 단일 비트 플립이 재앙을 초래할 수 있습니다.
— Editorial Team
아직 댓글이 없습니다.