기술 요약: 자율주행 시대의 ISO 26262 재구상

문제 정의

ISO 26262 표준은 도로 차량을 위한 기능 안전의 포괄적인 프레임워크를 제공하며, 근본적으로 인간이 운전하는 패러다임에 기반을 두고 있습니다. 이 표준의 위험 평가 모델은 심각도(Severity, S), 노출(Exposure, E), 제어 가능성(Controllability, C)이라는 세 가지 파라미터에 의존합니다. 특히 "제어 가능성" 파라미터는 인간 운전자가 적시에 반응하여 위험한 이벤트를 완화할 수 있는 확률을 구체적으로 추정합니다.

이러한 운전자 중심의 가정은 인간 운영자가 동적 주행 과업(Dynamic Driving Task) 중에 개입할 수 없는 SAE 레벨 4 및 5 자율주행 차량(AV)에서는 유효하지 않습니다. 결과적으로, 전통적인 제어 가능성 지표는 운전자가 없는 시스템에 직접 적용될 수 없습니다. 본 논문은 기존 표준이 운전자가 없는 상황에서의 제어 가능성을 체계적으로 분해하고 정량화하는 방법론이 부족하다는 점을 지적하며, 자율 시스템을 위해 위험 완화 및 상황 제어를 평가하는 방식의 재해석이 필요함을 강조합니다.

방법론

저자들은 ISO 26262의 방법론적 확장을 제안하며, "제어 가능성"이라는 자리 표시자를 두 가지 감사 가능하고 측정 가능한 하위 차원인 **전이 가능성(Transferability)**과 **예측 가능성(Predictability)**으로 분해합니다. 이 차원들은 기존 ISO 26262 프로세스를 대체하기보다는 이를 보완하도록 설계되었으며, ISO/PAS 21448(SOTIF)과 궤를 같이합니다.

1. 전이 가능성 (시스템 수준의 능력)

전이 가능성은 제어 가능성을 인간의 반응에서 시스템의 능력으로 재정의합니다. 이는 공식적으로 자율주행차가 1차 자율주행에서 전용 폴백(Fallback) 메커니즘으로 안전하고 적시에 전환하여, 새로운 위험을 유발하지 않으면서 결함 허용 시간 간격(FTTI) 내에 최소 위험 상태(Minimal-Risk Condition)에 도달하는 능력으로 정의됩니다.

• 공식화: 전이 가능성($T$)은 다음과 같은 운영 컨텍스트의 함수로 모델링됩니다: $T = T(o, f, s, m, \tau_{FTTI})$, 여기서 $o$는 운영 설계 영역(ODD) 슬라이스, $f$는 결함 유형(Fault Family), $s$는 장면 상태(Scene State), $m$은 최소 위험 기동(MRM) 클래스, $\tau_{FTTI}$는 시간 간격입니다.
• 증거 튜플 ($E_T$): 클레임(Claim)은 탐지 지연, 개시 지연, MRM 성공 시간, 정지 구역 준수 여부, 그리고 신뢰 구간을 포함한 요구당 성공 확률을 기록하는 특정 증거 튜플에 의해 뒷받침됩니다.
• 설계 대비 달성 격차 ($\Delta T$): 본 논문은 아키텍처상의 폴백 클레임($T_{designed}$)과 장면 조건부 달성 가능 능력($T_{achievable}$)을 구분하는 지표를 도입합니다. 격차 $\Delta T = T_{achievable} - T_{designed}$는 서수 척도($T_0$~$T_3$)로 계산되어, 환경적 또는 맥락적 제한으로 인해 성능이 설계 기대치 아래로 저하되는 지점을 식별합니다.
• 분류: 전이 가능성은 특정 ODD 슬라이스 및 결함 유형을 조건으로 한 MRM 성공 확률의 하한값을 기준으로 네 가지 단계($T_0$~$T_3$)로 분류됩니다.

2. 예측 가능성 (외부 상호작용 차원)

예측 가능성은 자율주행차와 외부 도로 사용자(보행자, 자전거 운전자, 타 운전자) 간의 상호작용 안전을 다룹니다. 이는 외부 에이전트가 자신의 대응을 결정하기 전, 관찰 가능한 움직임, 신호 및 컨텍스트를 바탕으로 자율주행차의 가까운 미래 행동을 예측할 수 있는 정도를 정량화합니다.

• 공식화: 예측 가능성은 예상 움직임의 참조 모델($p_{ref}$)과 목표 추론을 위한 관찰자 모델($p(g | \xi_{0:t}, c, a)$)을 통해 정의됩니다.
• 벡터 모니터 ($M_P$): 예측 가능성은 다음 네 가지 진단 채널을 통해 평가됩니다:
  1. 컨텍스트 부합성 ($Q_{conf}$): 궤적이 선언된 참조 분포에 얼마나 잘 부합하는지 측정합니다.
  2. 의도 명확성 ($S_{intent}$): 관찰자의 목표 추론에서 발생하는 모호성의 감소 정도를 정량화합니다(샤논 엔트로피 기반).
  3. 신호 일관성 ($S_{signal}$): 방향 지시등, 브레이크등과 실제 움직임 사이의 정렬 상태를 평가합니다.
  4. 운동학적 놀람 ($S_{kin}$): 설명되지 않는 급격한 움직임, 급제동 또는 주춤거림을 감지합니다.
• 집계: 이러한 채널들은 "최악의 채널" 규칙을 사용하여 하나의 서수 클래스($P_0$~$P_3$)로 집계되며, 단 하나의 채널 실패만으로도 전체 클래스가 저하될 수 있습니다.

3. 통합 강화 제어 가능성 ($C_u$)

본 논문은 전이 가능성($T$)과 예측 가능성($P$)을 결합하여 운전자 없는 환경에서의 제어 가능성($C_u$)에 대한 통합 계산법을 제안합니다.

• 구성 규칙: 저자들은 가산 페널티 규칙을 제안합니다: $C_u = \min(3, T + \Delta P)$, 여기서 $\Delta P$는 예측 가능성 클래스에서 유도된 페널티입니다.
• 통합: 이 통합 클래스 $C_u$는 위험 분석 및 리스크 평가(HARA) 시 기존의 심각도 및 노출 파라미터와 함께 보충적 증거로서 보고됩니다. 이는 기존의 ASIL 결정을 대체하는 것이 아니라, 시나리오 조건부의 감사 가능한 데이터를 통해 이를 보완합니다.

주요 기여

본 논문은 세 가지 주요 방법론적 기여를 합니다:

1. 전이 가능성의 공식화: 결함 허용 시간 간격에 대한 최소 위험 기동(MRM) 성능을 평가함으로써 운전자 없는 환경에 대한 제어 가능성 구조를 확장하였으며, 폴백 클레임을 검증 가능하고 추적 가능하게 만들기 위해 "설계 대비 달성 격차"($\Delta T$)를 도입하였습니다.
2. 예측 가능성의 확립: 예측 가능성을 외부 도로 사용자의 안전을 위한 정량적 차원으로 정의하였으며, 예상 움직임 패턴에 대한 부합성과 의도 전달의 명확성을 모두 포착하는 4채널 벡터 모니터를 구축하였습니다.
3. 검증 방법론: 전이 가능성을 위한 결함 주입 테스트와 예측 가능성을 위한 인간 관찰자 연구(또는 보정된 관찰자 모델)를 포함한 구체적인 수용 기준 및 검증 방법을 제안하여, ISO 26262 및 SOTIF 안전 라이프사이클 내에서 이들이 검증 가능한 지표로 채택될 수 있도록 하였습니다.

결과 및 제안된 프레임워크

본 논문은 특정 차량 배포에 대한 경험적 실험 결과를 제시하는 것이 아니라, 이론적이고 절차적인 프레임워크를 구축합니다. "결과"는 제안된 정의, 수학적 공식 및 통합 지점들입니다:

• 분류 테이블: 논문은 전이 가능성($T_0$$T_3$)과 예측 가능성($P_0$$P_3$)에 대한 비규범적 보고 클래스를 정의하며, 이에 대한 질적 수용 기준을 명시합니다 (예: $T_0$는 결함 없이 작동하는 전환을 요구하며, $P_0$는 모든 채널이 보정된 경계 내에 머물 것을 요구함).
• 통합 매핑: 매핑 테이블(Table IV)은 $T$와 $P$ 클래스의 조합이 어떻게 ISO 26262의 서수 스케일링을 유지하면서 통합 제어 가능성 클래스($C_0$~$C_3$)를 형성하는지 보여줍니다.
• ISO 26262 개정: 저자들은 ISO 26262 Part 1~10에 걸친 구체적이고 간결한 개정 사항을 설명합니다. 여기에는 전이 가능성 및 예측 가능성에 대한 정의 추가, $T$ 및 $P$ 등급을 기록하도록 HARA 업데이트, 그리고 훈련 신호와 안전 증거 사이의 순환 의존성을 피하기 위해 플래너 설계를 독립적으로 모니터링할 것을 요구하는 내용이 포함됩니다.

의의 및 주장

본 논문은 제안된 프레임워크가 고도 자동화(L4) 및 완전 자율주행(L5) 시스템의 안전을 인증하기 위한 확장 가능하고 증거 기반의 경로를 제공한다고 주장합니다. 그 의의는 다음과 같습니다:

• 표준 보존: ISO 26262의 구조와 의도를 유지하면서 운전자 없는 시스템으로의 적용성을 확장하여, 완전히 새로운 표준이 필요히 않도록 합니다.
• 학문 간 가교 역할: 내부 시스템 제어(전이 가능성)와 외부 인간의 이해(예측 가능성)를 모두 정량화함으로써 기능 안전(ISO 26262)과 SOTIF(ISO 21448)를 조화시킵니다.
• 검증 가능성: $\Delta T$ 및 벡터 모니터 $M_P$와 같은 측정 가능한 지표를 도입함으로써, 모호하고 집계된 안전 주장에서 벗어나 폴백 및 상호작용 클레임을 특정 ODD 슬라이스에 대해 검증 가능하고 추적 가능하게 만듭니다.
• 독립성: 논문은 플래너 설계와 안전 증거가 독립적으로 유지되어야 함을 강조합니다. 즉, 예측 가능성 지표를 훈련 보상으로 사용하는 것이 안전 사례 증거의 타당성을 훼손해서는 안 됩니다.

저자들은 본 제안이 표준 기구를 위한 연구 권고 사항이며, 규범적 요구 사항을 구성하거나 소속 기관의 컴플라이언스 입장을 반영하는 것이 아님을 명시적으로 밝힙니다. 또한 수치적 목표는 시나리오별로 상이하며 재보정이 필요하다는 점을 언급하며 한계점을 인정하고, 높은 전이 가능성이나 예측 가능성 점수에 기반하여 ASIL 요구 사항을 완화하는 것을 제안하는 것이 아님을 분명히 합니다.