Synergistic Simplex: Cooperative Runtime Assurance for Safety-Critical Autonomous Systems

기술 요약: 시너지 심플렉스 (Synergistic Simplex, SS)

문제 제기
자율 시스템, 특히 자율 주행 차량 (AV) 은 인식 및 제어와 같은 안전-중요 작업에 머신러닝 (ML) 을 increasingly 의존하고 있습니다. ML 은 높은 성능을 제공하지만 본질적으로 검증 불가능하며, 적대적 교란이나 미검출과 같은 장꼬리 (long-tail) 고장에 취약하여 치명적인 고장으로 이어질 수 있습니다. 런타임 보증 (RTA) 아키텍처인 심플렉스 (Simplex) 및 인식 심플렉스 (Perception Simplex, PS) 설계는 검증되지 않은 고성능 ML 레이어와 검증 가능한 보수적 안전 레이어를 짝지어 이러한 문제를 해결합니다. 그러나 전통적인 RTA 설계는 안전 레이어가 ML 출력을 활용할 수 없는 고립된 상태로 작동한다는 주요 병목 현상을 겪습니다. 이는 ML 출력이 안전하지만 단순히 검증되지 않았을 때조차 안전 레이어가 ML 동작을 과도하게 대체하여 시스템 성능과 효율성을 저하시키는 과도한 보수성으로 이어집니다. 또한, 안전 인증 표준은 일반적으로 안전 레이어가 검증 불가능한 ML 정보를 사용하는 것을 금지하여 최적화를 제한하는 경직된 분리를 초래합니다.

방법론
본 논문은 형식적 안전 보장을 유지하면서 ML 레이어와 안전 레이어 간의 양방향 통신을 가능하게 하는 심플렉스 패러다임의 일반화인 시너지 심플렉스 (SS) 아키텍처를 제안합니다. 이 아키텍처는 두 가지 주요 통신 링크로 구성됩니다:

1. 안전 -ML(S2M) 링크: 안전 레이어가 위험한 ML 동작을 즉시 대체하는 대신, 검증된 제약 조건 (예: 장애물 위치) 을 ML 레이어로 피드백합니다. 그 후 ML 레이어는 이러한 검증된 범위 내에서 동작을 재계산하도록 요청받습니다. 안전한 재계산이 발견되면 이를 실행하고, 그렇지 않으면 안전 레이어가 대체 안전 동작을 적용합니다. 이는 대체 메커니즘을 하드 스위칭에서 협력적 프로세스로 변환합니다.
2. ML-안전 (M2S) 링크: 이 링크는 안전 레이어가 ML 레이어의 특정 선택된 출력을 통합하여 의사 결정을 정교화할 수 있도록 합니다. 핵심적으로, 본 논문은 이것이 안전한 조건을 형식화합니다. 자율성 스택의 방향성 비순환 그래프 (DAG) 에 대한 확률적 고장 전파 모델을 사용하여, 저자는 안전 레이어가 독립적인 함수 (예: 장애물 감시 시 차선 감지) 의 ML 출력을 안전하게 사용할 수 있지만, 상류 함수 (모니터링 모듈을 손상시킬 수 있음) 나 하류 함수 (정적 고장 모델을 위반하는 피드백 루프를 생성함) 의 사용을 엄격히 금지해야 함을 증명합니다.

저자들은 특정 가정 (정합성 있는 검증, 안전한 기동 가능 상태 공간, 사용된 ML 함수의 독립성) 하에서 SS 가 원래 인식 심플렉스의 결정론적 안전 보장을 유지함을 증명하는 형식적 안전 분석을 제공합니다.

주요 기여

• 시너지 심플렉스 아키텍처: 안전을 위반하지 않으면서 성능을 향상시키기 위해 ML 과 안전 레이어 간의 양방향 상호작용을 가능하게 하는 새로운 설계.
• 형식적 안전 분석: 양방향 통신이 PS 의 안전 보장을 유지하는 조건에 대한 엄밀한 유도. 구체적으로, 본 논문은 안전 레이어에서 독립적인 ML 출력 (예: 차선 감지) 을 사용하는 것이 모니터링된 함수 (장애물 감지) 에 대한 안전 보장을 훼손하지 않음을 증명합니다.
• AV 를 위한 참조 설계: LiDAR 기반 기하학적 안전 감지기 및 ML 기반 인식 스택 (TransFuser++) 을 활용한 자율 주행 차량을 위한 SS 의 구체적인 구현.
• 실증 평가: 안전과 성능 간의 트레이드오프를 보여주는 CARLA 및 nuPlan 시뮬레이션 환경에서의 광범위한 평가.

결과
평가는 두 가지 시나리오에 걸쳐 ML 레이어의 장애물 감지 고장에 초점을 맞추었습니다:

1. 차선 내 장애물 (실험 1): 자차 차선에서 장애물이 미검출될 때, PS 와 SS(M2S 변형) 모두 비상 제동을 통해 충돌을 성공적으로 방지합니다 (충돌률 = 0.0). 그러나 CARLA 설정에서는 이로 인해 완전 정지 및 경로 실패 (경로 완료율 = 0.0) 가 발생합니다. 제약 조건 주입을 지원하는 nuPlan 에서의 보조 평가는 S2M 링크가 플래너가 불필요한 정지를 피하고 재계획할 수 있게 하여 안전을 유지하면서 74% 의 경로 완료율을 달성함을 보여주었습니다.
2. 인접 차선 장애물 (실험 2): 인접 차선에서 장애물이 미검출될 때, 표준 PS 아키텍처는 이를 치명적 위협으로 간주하여 보수적인 비상 제동을 유발하고 낮은 경로 완료율 (10%) 을 초래합니다. 반면, SS(M2S) 변형은 ML 에서 파생된 차선 정보를 사용하여 장애물을 비치명적 (Zone 2) 으로 분류합니다. 이는 비상 제동 대신 경감 조치 (스로틀 해제) 를 적용할 수 있게 하여, 충돌을 제로로 유지하면서 경로 완료율을 70% 로 크게 향상시킵니다.

의의 및 주장
본 논문은 시너지 심플렉스가 임무 레이어와 안전 레이어 간의 전통적인 엄격한 분리에 성공적으로 도전한다고 주장합니다. 양방향 통신을 위한 조건을 형식적으로 유도함으로써, SS 는 고성능 ML 구성 요소와 검증 가능한 안전 보장이 경쟁적인 목표가 될 필요가 없음을 보여줍니다. 이 아키텍처는 안전-중요 시스템이 불필요한 보수성을 줄이고 작업 완료를 개선하기 위해 ML 의 성능 이점 (예: 차선 맥락) 을 활용할 수 있게 하며, 동시에 하부 심플렉스 프레임워크의 결정론적 안전 보장을 유지합니다. 본 연구는 안전 레이어가 ML 정보를 사용하더라도 구조적 독립성 조건이 충족된다면 안전 인증 표준을 만족할 수 있음을 시사합니다.