국내외 큐브위성 운용 사례로 살펴본 교훈과 대책

큐브위성 임무 실패의 대부분은 위성 사출 이후 운영 초기 시스템의 오작동이나 고장(Infant mortality)과 관련 있는 것으로 알려져 있으며, Fig. 2에서 제시하고 있는 것과 같이 특정 시간을 넘어 시스템 안정화 상태로 진입하면서 임무 실패율은 급격히 낮아지고 위성의 임무 수명 점에 가까워지면서 임무 실패율은 다시 상승하게 된다.

Fig. 2. Cube satellite mission failure rate during orbital operation [8].

Download Original Figure

현재까지 국내 경연대회를 통해 제작·발사된 큐브위성 중 일부 임무 데이터를 수신한 경우를 제외하고는 대부분이 시스템의 오작동이나 고장에 해당하는 것으로 판단된다. 따라서, 시스템이 안정화되어 임무 실패율이 급격하게 낮아지는 시점에 진입할 수 있도록 큐브위성 개발 단계에서 시스템 신뢰성 확보 방안 마련이 필요하다. 큐브위성과 같이 여러 서브시스템이 통합되어 기능이 구현되는 시스템에서 신뢰성을 확보하기 위한 대책으로는 서브시스템 HW/SW 기능의 이중화(redundancy)와 기능 중점의 통합 테스트 반복 수행이 대안으로 제시되고 있다.

동일한 서브시스템으로 구성된 위성을 대상으로 이중화와 통합 테스트 반복을 가정하여 수행된 신뢰성 향상(시스템의 고장 및 오류 수정) 시뮬레이션 결과를 살펴보면(Fig. 3), 실제 큐브위성의 임무 수명인 약 1년을 가정했을 때 이중화를 통해 확보된 시스템의 신뢰성이 약 73%에 비해 통합 테스트의 반복으로 인해 향상된 신뢰성이 약 6% 정도 우수한 것을 확인할 수 있다. 위성의 임무 수명을 1년 이상으로 늘리면 이중화와 통합 테스트를 반복해도 시스템의 전반적인 신뢰성은 낮아지지만, 임무 수명 1년의 결과와 마찬가지로 서브시스템의 이중화에 비해 통합 테스트의 반복으로 인한 신뢰성 향상 효과가 더 우수하다.

Fig. 3. Comparison of reliability improved through subsystem redundancy and integrated test repetition operation [8].

Download Original Figure

Fig. 4에 제시된 신뢰성 시뮬레이션 결과는 규슈 공업대학에서 개발한 HORYU-IV 위성(30 × 30 × 30 cm, 무게는 10 kg으로 6U급 큐브위성과 유사)의 EM(engineering model) 통합 테스트 과정에서 얻어진 실험 결과도 Fig. 3과 유사하다. 테스트 누적 시간이 약 680 시간에 도달하면서 고장이나 오류 횟수가 더 이상 증가하지 않았고, 이 시점부터는 Fig. 3에서 제시한 바와 같이 시스템의 오작동이나 고장의 한계 시점을 초과하여 임무 실패율이 낮은 상태로 유지될 가능성이 증가한다. 따라서, 큐브위성 경연대회를 통해 제작되는 위성에 대해서도 서브시스템의 이중화 구조로 인해 야기될 수 있는 복잡성을 낮추면서도 신뢰성을 확보할 수 있는 반복 통합 테스트 과정에 대한 검토가 필요하다.

Fig. 4. Integrated test time and number of failures/errors for HORYU-IV satellite EM [6]. EM, engineering model.

Download Original Figure

위성이 성공적으로 사출되어 비콘 신호를 지상국으로 송출하고 지상국에서 성공적으로 디코딩에 성공했다는 것은 초기 운영에 있어서 큰 의미를 지닌다. 목표 궤도로 사출된 큐브위성의 킬 스위치가 정상적으로 분리되어 EPS(electrical power subsystem)가 적어도 OBC(on-board computer)와 통신 보드, 안테나로 전력 공급에 성공한 뒤 OBC의 부트 로더에서 RTOS(real-time operating system) 커널이 성공적으로 로드되어 비행 소프트웨어가 정상적으로 시작되었다는 것을 의미한다. 통상 비행 소프트웨어가 작동하기 시작한 뒤 약 10분 이내 안테나 전개 명령이 수행되고 비콘 신호를 송신하는데 여기까지의 과정이 운영 초기 비콘 신호 수신 성공 여부를 판가름하게 된다. 따라서, 위성의 상세설계 이후 서브시스템 단위별로 상기 과정에 관여하는 전장품의 기능 점검(서브시스템)과 통합 작업 이후 임무 시나리오에 따라 비행 소프트웨어와 결합하여 반복 테스트를 수행해 보는 것이 매우 중요하다.

앞서 기술한 바와 같이 위성 사출 이후 가장 먼저 수행되는 작업은 킬 스위치의 분리와 EPS의 전원인가이다. 일반적으로 킬 스위치는 Fig. 5에 제시된 바와 같이 기계적으로 작동하는 일종의 접점 스위치로 평상시에는 open 상태를 유지하고 있지만 사출 후 close 상태로 전이되고 배터리로부터 EPS와 OBC는 물론 다른 서브시스템에도 전원을 공급하게 된다. 위성 사출 시 기계적 방식으로 작동하는 킬 스위치의 오작동이나 작동 불량은 바로 전원 미인가로 인한 임무 실패와 직결되므로 시스템 통합 이후 발사관의 삽입 직전까지 작동 여부를 수시로 확인해야 한다. 킬 스위치의 분리와 닫힘은 위성의 운반, 테스트 중 이동 과정에서도 쉽게 발생되므로 우발적 전원인가나 전원 차단을 방지하기 위해 시스템 통합 이후에는 EPS에 토글 스위치나 점퍼 스위치를 직접 연결하여 비활성화 시키는 경우가 대부분이다. 따라서 FM(flight model)의 통합 작업 이후에는 킬 스위치의 기계적 결함이나 정상 작동 여부를 반드시 확인하고 임무 시나리오 진행 절차에 따라 비행 소프트웨어 상에 정상적으로 작동하는지 반복 테스트를 통해 확인하여야 한다.

Fig. 5. Interface between kill switch and EPS [9]. EPS, electrical power subsystem.

Download Original Figure

일반적인 임무 시나리오 상에서는 EPS에 전원이 인가된 후 OBC에 OS(operating system)가 로드되고, 비행 소프트웨어가 시작된 직후 안테나 전개 명령을 전달하게 된다. 안테나 전개 여부는 임무의 성공적 수행을 위해 담보되어야 하는 매우 중요한 과정임에도 불구하고 실제로 전개를 테스트해 볼 수 있는 기회가 매우 제한적이다. 큐브위성 시스템 대부분이 안테나 전개 방식으로 안테나를 구속하고 있는 와이어를 가열하여 끊는 방법을 사용하고 있기 때문에 반복적인 테스트가 매우 제약적이다. 특히 안테나 EM 모델이 없이 FM 모델로만 위성을 조립해야 하는 경우 안테나 와이어의 구속을 해제하기 위해 사용되는 발열 저항의 수명 저하로 인해 반복 테스트가 자체가 제한적이기 때문에 2–3회 정도 수행하는 것이 일반적이다. 따라서 한정적인 테스트만으로 성능을 검증해야 하므로 비행 소프트웨어에 안테나 전개 애플리케이션을 추가할 때 신중하게 코딩을 진행해야 한다. 특히 COTS(commercial off-the-shelf) 제품의 종류에 따라 2–4개의 안테나를 완전히 전개하기 위해서 해당 안테나 수만큼 명령을 보내야 하는 경우도 있으므로, 비행 소프트웨어 상에서 명령의 수행이 정상적으로 구현되는지 확인하고, 처리 결과를 비콘으로 송신할 수 있도록 통신계와 연동할 수 있으면 위성의 초기 운영에 도움이 될 수 있다.

궤도 운영 초기에 안테나의 부분적인 전개는 비콘은 물론 TM(telemetry)/TC(telecommand)의 송·수신 성공률과 밀접한 관련이 있는 것으로 알려져 있다. 따라서 궤도 초기 운영 기간에 비콘 송신 내용에 안테나 전개 여부를 포함하는 것도 운영 초 통신 장애 원인을 파악하는 데 도움을 줄 수 있다. 물론 위성의 커미셔닝 기간을 지나 위성이 정상 모드에 진입하면 지상의 명령에 의해서 운용에 필요한 정보를 송출할 수 있도록 비콘 내용을 업데이트하는 것도 한 방법이다. Fig. 6은 4회 경연대회 참가팀이 제작한 KMSL 큐브위성의 비콘 디코더의 캡처화면이다. 그림에서 볼 수 있는 것과 같이 초기 궤도 운영 시에 위성 사출 후 안테나 전개 유무를 판단하기 위해 비콘 송신 내용에 배터리 전압 값 등은 물론 안테나 전개 유무를 포함하고 있는 것을 확인할 수 있다. 특히 위성의 사출 직후 초기 운영단계에서 문제가 발생한 경우 수신된 비콘에 안테나(태양 전지판)의 전개 여부, 배터리 전압 값, OBC 리셋 로그, 자세 제어기 구동 여부 등의 정보가 포함되어 있으면 위성의 상태를 파악하기 유리하다. 그리고 앞서 언급한 바와 같이 오픈 소스 기반의 비행 소프트웨어를 사용하는 경우라면 테이블 기능 등을 이용하여 비콘 송신 내용을 지상 명령이나 위성 스스로 주기적으로 업데이트할 수 있도록 하는 것도 위성 운용에 큰 도움이 될 수 있다.

Fig. 6. KMSL CubeSat satellite beacon decoder.

Download Original Figure

Table 1에 정리되어 있는 운용 초기 커미셔닝 단계에서 비콘 수신이나 TM/TC 송수신 이후 정상 모드에 진입하지 못하고 연락이 두절되어 임무에 실패한 경우에 대해 좀 더 자세히 살펴보자. 통상 비콘 신호를 수신하고 위성의 상태 정보를 파악하고 나면 지상국의 명령으로 위성의 자세 제어를 시도하는 경우도 있지만, 위성의 각속도 등을 실시간으로 모니터링해서 자동으로 자세 제어 애플리케이션을 실행시키거나, standalone 방식의 자세 제어기를 탑재된 경우 해당 조건에 진입하면 자동으로 위성의 자세 제어를 시도한다. 여기서 궤도 운영 초기 위성의 자세 제어는 전력 생산과 통신에 영향을 미칠 수 있으므로 이와 연관지어 운용 과정을 생각해 볼 필요가 있다.

Fig. 7은 큐브위성의 크기와 발사관에 장착된 스프링의 스트로크에 따라 달라지는 위성의 초기 사출 각속도를 예측해 본 결과이다. 그림에서와 같이 크기가 작은 1U급 큐브위성일수록 발사관 스프링의 스트로크가 길수록 초기 사출 각속도가 큰 것을 확인할 수 있다. 초기 사출 각속도가 디텀블링 목표 제어 각속도보다 크지만 자세 제어기의 개입이 없거나, 개입이 있더라도 각종 측정이나 계산 오류(선 센서 입력 오류, 자세 제어 계산 오류 등)로 인해 궤도 운용 초기 위성의 각속도 제어에 실패한 경우 Fig. 8과 같이 실제 궤도에서 위성의 회전 각속도가 엄청나게 증가하는 경우가 종종 보고되고 있다. 실제 5회 경연대회 참가팀 일부 위성들은 사출 시 큰 각속도와 운영 초기 증가하는 위성의 회전 각속도로 인해 위성의 초기 운영 및 지상 대응이 힘들었던 것으로 보고되고 있다.

Fig. 7. Tip off rate vs cube satellite size (left, 10) and tip-off rate vs kick spring stroke (right, 10).

Download Original Figure

Fig. 8. Changes in rotational angular velocity of MOVE-II cube satellite [11].

Download Original Figure

위성의 사출 초기 각속도가 매우 큰 경우 자세 제어기의 자기장 토커와 반작용 휠이 구동되는데, 이때 위성이 무한 반복 리부팅 루프에 빠져 임무의 실패로 이어질 개연성이 존재한다. 특히 위성의 회전각 각속도가 빠른 상태에서 지상의 명령이나 자세 제어 애플리케이션에 의해 자세 제어기가 구동되는 경우 빠른 각속도에 대응하기 위해 순간적으로 높은 전류를 인입할 수 있다. 특히 자세 제어계가 작동하지 않는 휠을 갑자기 구동하게 되면 Fig. 9와 같이 순간적으로 콘덴서를 충전하기 하기 위해 정상 작동 전류보다 훨씬 큰 전류를 짧은 시간에 급격하게 인입시키면서 돌입 전류(inrush current)가 발생하게 된다. 이러한 이상 전류는 EPS의 과전류 보호 회로에서 허용하는 값보다 크기 때문에 EPS의 전원을 차단하여 전체 시스템을 순간적은 과전류로부터 보호하게 된다. 이때 전원 공급 차단으로 인해 OBC가 리부팅되면 비행 소프트웨어도 다시 기동을 시작하고 위성의 자세 제어가 자세 제어 애플리케이션에 의해 자동으로 실행되는 경우라면 제어기 구동 시 발생하는 돌입 전류에 의해 시스템 전체는 다시 리부팅되고 위성의 회전 각속도 제어 목표치에 도달하지 않는 한 무한 반복 루프에 빠질 수 있다.

Fig. 9. Inrush current and duration [12].

Download Original Figure

이에 반해 지상 명령에 의해 자세 제어기가 구동되는 경우 리부팅 이후 자세 제어 개시 명령이 재수신되기 전까지 시스템은 정상적으로 작동될 수 있다. 하지만, 문제점을 인식한 뒤 지상 명령을 통해 자세 제어 애플리케이션을 업데이트할 시 돌입 전류의 억제 방법이 매우 제한적일 뿐만 아니라, 위성의 자세 제어 시기가 늦어지면 심각한 배터리 충전 문제를 야기할 수 있다. 가령, 자세 제어 구동기의 작동이 늦어져 위성의 회전 각속도가 이미 급격히 증가하고 있는 경우, EPS의 MPPT(maximum power point tracking) 효율이 감소하고 이로 인해 배터리 충전율이 차츰 낮아져 임무 시나리오 상 안전(safe) 모드나 비상(emergency) 모드에 진입할 수 있으며, 심한 경우 임무의 실패로 이어질 수 있다. 통상 비상 모드에서는 배터리의 충전 상태를 빠르게 회복하기 위해서 비콘 송신 주기도 늘리고 위성 최소한의 기능만 활성화시켜 배터리의 충전 속도를 극대화는 것이 일반적이다. 이때 비상 모드를 벗어나 정상 모드나 대기 모드로 진입하는 조건으로 배터리의 충전 지표인 SoC(state of charge)를 주로 사용하게 되는데, 비상 모드의 탈출 조건으로 이 값을 낮게 설정해 두면 전력 소모량이 상대적으로 큰 통신계(비콘 신호 송신, GPS 작동 등)와 자세 제어계(자기장 토커, 반작용 휠 등)가 활성화되면서 다시 비상 모드로 진입할 수 있기 때문에 임무 특성에 맞게 비상 모드 탈출 SoC 조건 및 서브시스템 활성화 항목을 신중히 결정해야 한다. 아울러 시스템 통합이 완료된 뒤에는 EPS를 통해 배터리 충전 및 방전을 반복하면서 비상 모드 진입과 탈출이 비행 소프트웨어를 상에서 다른 서브시스템과 연동에 문제없이 잘 구현이 되는지를 확인하여야 한다. 위성 버스 시스템의 통합 이후 각 서브시스템과 비행 소프트웨어의 연동을 통해 임무 시나리오를 검증할 때 엄빌리컬 케이블을 사용해서 OBC와 통신하게 되는 데 케이블에 배터리를 충전할 수 있도록 별도의 충전 케이블을 구비해 두면 편리하게 사용할 수 있다.

앞서 살펴본 바와 같이 시스템 통합 이후 임무 시나리오에 따라 자세 제어기 구동까지의 과정을 집중적으로 반복 테스트하고 오류를 찾아내어 시스템의 오작동이나 고장의 가능성을 줄이는 것이 매우 중요하다. 안테나 전개(필요시 태양 전지판 전개)-비콘 송신-TM/TC(필요 시)-자세 제어기의 구동-비상모드 진입 및 탈출까지의 반복 과정이 장기간 비행 소프트웨어 상에서 원활히 구현되면 궤도 상에서 위성의 커미셔닝 단계에 도달한 것으로 간주해 볼 수 있다. 따라서 위성 버스의 각 서브시스템 오작동이나 갑작스러운 멈춤에 대처할 수 있도록 충분히 긴 시간 동안 통합 테스트를 반복 수행해서 임무 시나리오상 정상모드를 넘어 임무 모드로 진입할 수 있는 발판을 마련해야 한다.

궤도 임무 수행 중 위성 버스의 각 서브시스템 오작동이나 갑작스러운 멈춤 현상의 중요 원인으로는 우주 방사선 환경이 손꼽히고 있다. 우주 환경에서의 방사선은 Fig. 10에 도시된 바와 같이 심우주로부터의 고에너지 우주 입자(galactic cosmic ray), 태양으로부터의 고에너지 우주입자(solar cosmic ray), 지구 자계에 포획된 고에너지 입자 띠(Van Allen radiation belts, 밴 앨런 벨트) 등으로 분류되며, 약 85% 양성자들이 주를 이루고 있다. 또한, 이러한 우주방사선이 지구 초기 대기권에 충돌해 2차 우주방사선을 만들며 또다시 다른 대기권 기체와 충돌을 일으켜 중성자, 알파, 베타, 감마 등 연쇄적으로 2차 방사선을 발생시킨다.

Fig. 10. The cosmic radiation environment around Earth [13].

Download Original Figure

우주 방사능 환경에 위성이 노출되면 전장품에 설치되어 있는 메모리와 같은 반도체 소자들이 주로 영향을 받게 된다. 지구 주변의 밴 앨런 벨트와 태양 및 심우주에서 오는 양성자, 중성자, 중이온 및 알파 입자와 같은 우주방사선은 메모리의 민감한 영역에 고장 또는 단일 이상 현상(single event effect, SEE)을 유발하여 시스템 오동작 등의 영향이 있다. Table 2에는 대표적인 우주 방사능에 의해 발생될 수 있는 SEE에 대해 정리하였다.

표에 정리되어 있는 이상 현상 중 SEU(single event upset)과 같이 메모리 에러를 유발하여 저장된 정보가 바뀌는 경우가 아니라면 우주 방사능은 전장품의 반도체에 물리적인 손상을 야기할 수 있다. 실제로 궤도 운영 중 SEU 이외에 다른 SEE 현상이 발생하게 되면 위성의 정상 작동 여부를 담보할 수 없다. 따라서 중·대형 위성의 전장품들은 이런 환경에서 작동하더라도 물리적 손상을 최소화할 수 있도록 우주용 EEE(electrical, electronic, and electromechanical) 소자를 적극 사용하고 내 방사선성(radiation harden)이 검증된 제품으로 위성 버스를 구성한다. 한편 SEU는 고에너지 입자에 의해 메모리에 저장되어 있는 정보가 “1”→“0” 또는 “0”→“1”로 변경되어 발생하는 에러로 대다수의 중·대형 위성은 궤도 운용 중 발생할 수 있는 적은 비트의 에러에 대해서는 자체적으로 대응을 할 수 있도록 설계되어 있다.

다행히도 큐브위성이 주로 운용되는 저궤도에서는 하드웨어의 물리적 손상을 유발하는 SEE의 유발 가능성은 중·대형 위성이 운용되는 중궤도나 정기궤도에 비해 좀 더 낮아지는 것으로 알려져 있다. 다만, 저궤도에서도 양성자 방사선 벨트가 지구 자기장의 영향에 의해 남 대서양 지역에 낮게 분포하고 있는 저궤도 근처를 위성이 지날 때 잦은 고장을 일으키는 것으로 보고되고 있으며, 이 특정 지역을 남 대서양 이상 지역(South Atlantic anomaly, SAA)라고 한다. Fig. 11은 궤도 운영 중에 있는 위성의 SEU 발생 빈도를 보여주는 결과로 다른 지역에 비해 SAA 지역을 통과할 때 SEU 발생이 집중되어 있는 것을 확인할 수 있다.

Fig. 11. SEU incidence in SAA region [14]. SEU, single event upser; SAA, South Atlantic anomaly.

Download Original Figure

중·대형 위성에 비해 투입되는 예산이나 개발 기간 등에 있어 제약 사항이 큰 큐브위성의 개발 특성을 고려해 보면, 현실적인 큐브위성의 SEE 대책은 가용할 수 있는 예산 범위 이내에서 가급적이면 비행 이력이 있는 서브시스템 전장품을 선정하거나 TID(total ionizing dose) 테스트 결과 제공하는 전장품을 선택하는 것이다. 아울러 운용 중 서브시스템의 리셋을 통한 메모리 오류의 초기화를 대안으로 생각해 볼 수 있다. 다만, 이를 위해서는 비행 소프트웨어 상에서 주기적으로 시스템을 리셋시킬 수 있도록 구현되어 있거나 지상 명령에 의해서 실행될 수 있도록 로직을 마련하여야 한다. 위성의 운용 과정에서 서브시스템의 오류가 발생된 것으로 판단된 경우 지상 명령에 의해서 해당 서브시스템을 담당하는 전장품만을 리셋시켜 정상 작동 여부를 판단해 볼 수 있다. 실제로 4회 경연대회를 통해 발사된 KMSL 큐브위성도 통신계의 리셋을 통해 통신 장애를 해결한 바 있다. 2021년 4월 23일 지상국과 정상 교신 이후부터 비콘을 포함한 위성 통신 장애가 발생하였고 당일 진행 행적에서 SAA 지역 상공을 통과한 것을 확인되었다. 마지막 교신 당일 지상국으로 전달된 위성의 SoC는 80% 이상으로 양호하였고, 다른 특이점이 발견되지 않은 상태에서 통신이 두절되었기 때문에 우선 통신계의 비정상 작동을 의심하였다. KMSL의 통신계 이상 발견 시 복구를 위한 지상 운용 절차는 문제가 발생한 서브시스템의 리셋에도 복구가 되지 않으면 OBC를 포함한 비행 소프트웨어의 재시작을 수행하고 최종적으로 EPS를 초기화하여 전체 위성 버스 시스템을 초기화하게 된다. 다행히도 KMSL 큐브위성의 4월 23일 오작동은 통신계의 초기화만으로 정상화되었다.

전력계 EPS의 초기화는 SEU에 의한 위성의 비정상 작동을 포함해서 여타 다른 이유로 인해 발생한 시스템의 비정상 작동을 복구할 수 있는 가장 강력한 수단이다. 통상 EPS의 리셋을 통한 전체 위성 시스템의 초기화는 일정한 주기로 비행 소프트웨어 상에서 자동 실행되거나, 지상국의 명령 등에 의해서 실행될 수 있다. 어떤 방식으로 EPS의 리셋이 수행되더라도 주의해야 할 점은 EPS 워치독의 리셋 타이머 설정이다. Fig. 12에 제시되어 있는 바와 같이 워치독 타이머가 지정한 주기 이상이 지나면 리셋 펄스가 발생하여 리셋이 시작되고, TOUT 동안 리셋을 유지한다. 이때 EPS의 워치독 타이머가 지정한 주기 시간 설정값을 주의 깊게 살펴볼 필요성이 있다. 예를 들어 OBC(master)에 전원이 인가되어 부트로더, OS 커널 로드가 완료된 뒤 RTOS의 부팅과 비행 소프트웨어가 실행되기 전까지는 EPS(slave) 호출이 이루어지지 않기 때문에 Master-Slave간 무응답 상태가 유지되고, 간혹 이 시간이 EPS의 워치독 타이머가 지정한 주기 시간보다 긴 경우 비행 소프트웨어가 시작되기 이전에 EPS 리셋이 반복될 수 있다. 즉, 특정 이유로 부트로더- OS 커널 로드 - RTOS의 부팅- 비행 소프트웨어의 실행 시간이 길어지는 경우 문제가 발생할 수 있다.

Fig. 12. Watchdog timer run time [15].

Download Original Figure

아울러, EPS의 초기화는 위성 버스를 구성하고 있는 탑재체는 물론 모든 서브시스템의 초기화, 비행 소프트웨어의 재시작을 의미한다. 따라서 비행 소프트웨어의 로직은 EPS의 초기화 실행으로 발생될 수 있는 상황들에 대처할 수 있도록 설계되어야 한다. 예를 들어 EPS가 초기화되어 비행 소프트웨어가 재시작되면 비행 소프트웨어 상의 시작 날짜와 시간이 초기화되기 때문에 특히 GPS가 없어 시간 동기화가 되지 않는 위성의 경우 이로 인해 다른 서브시스템들이 영향을 받는지 살펴보아야 하고, 안테나와 태양 전지판과 같이 이미 전개가 이루어져 있는 경우 상태 값을 확인하고 다음 단계로 진행할 수 있도록 설계되어야 한다. 일반적으로 EPS의 초기화에 의해 크게 영향을 받을 수 있는 부분은 파일 쓰기인데 초기화 전에 생성된 하우스 키핑(house keeping, HK) 데이터의 파일에 덮어쓰는 경우가 있는지 확인해야 한다.

위성 시스템의 데이터 버스 인터페이스에서 발생하는 오류는 서브시스템간 테이터 통신을 방해하여 위성 버스 시스템의 오작동을 야기할 수 있다. Fig. 13은 큐브위성에 자주 사용되는 테이터 버스 인터페이스의 종류와 사용 비중을 요약한 결과이다. 그림에서 살펴볼 수 있는 바와 같이 I2C 직렬 통신 방식이 압도적으로 큐브위성에 많이 사용되고 있다.

Fig. 13. Data bus interface frequently used in cube satellite [16].

Download Original Figure

실제로 COTS를 이용하여 큐브위성을 제작하는 경우 I2C 직렬 통신 방식의 인터페이스를 배제하고 시스템을 구성하기 힘든 경우도 종종 찾아볼 수 있다. 사용의 용이성으로 인해 큐브위성의 대표적인 데이터 버스 인터페이스로 손꼽히는 I2C지만, 그림 Fig. 14에 제시된 바와 같이 다른 직렬 방식의 데이터 버스 인터페이스에 비해 궤도 운용상에서 작동 신뢰성이 취약한 것으로 알려져 있다. 따라서 특히 I2C 락업 현상과 와치독 관련 오류가 임무 수행에 영향을 줄 수 있는 것으로 잘 알려져 있다. 하지만, 앞서 언급한 대로 I2C 직렬 통신 방식의 인터페이스 사용하지 않고 위성 버스 시스템을 구성하기에는 상당한 제약 사항이 동반되기 때문에 장기간 통합 테스트를 통해 발생할 수 있는 I2C 통신 관련 오류를 미리 찾아내고 해결 대책을 미리 수립해 놓은 것이 바람직하다. 특히 주기적인 EPS의 초기화 명령을 비행 소프트웨어 상에 구현한 경우 I2C 통신 문제나 락업 문제가 발생하더라도 복구가 가능하다.

Fig. 14. Comparison of reliability of cube satellite serial communication method [16].

Download Original Figure