기술 요약: ASSURE-BVLOS

1. 문제 정의

무인 항공 시스템(UAS)의 비가시권(BVLOS) 운용은 이질적인 우주-항공-지상 네트워크, 온보드 자율성, 원격 센싱, 그리고 외부 지형 공간 데이터 간의 복잡한 상호 의존성에 점점 더 의존하고 있다. 현재의 안전 보증 접근 방식은 일반적으로 이러한 의존성을 개별적으로 취급한다. 즉, 명령 및 제어(C2) 성능은 통신 문제로 관리되고, 인지 신뢰도는 자율성 문제로, 운영 승인은 비행 전 준수 사항 문제로 다루어진다.

이러한 분리는 결정적인 "보증 격차(assurance gap)"를 발생시킨다. 열화(degradation)는 단일 서브시스템이 기존의 고장 임계값을 넘기 전에 시스템 계층 간에 전파될 수 있다 (예: 통신 링크에서 인지 모듈로의 열화). 결과적으로, 정적인 원격 조종 중심의 베이스라인은 맥락적 잔류 위험을 감지하는 데 실패할 수 있다. 예를 들어, 150ms의 지연이 개활지 검사에는 허용 가능하지만 근접 비행에는 치명적일 수 있는 상황과 같은 경우이다. 본 논문은 이러한 환경에서의 안전한 운용을 위해서는 단순한 서비스 가용성이 아닌, 서비스 품질과 정보 무결성을 추론하는 통합된 런타임 인식 프레임워크가 필요하다고 주장한다.

2. 방법론: ASSURE-BVLOS 프레임워크

본 논문은 통신, 센싱, 데이터 파이프라인, 그리고 자율성을 단일 운영 방법 내에 연결하도록 설계된 보증 인식 아키텍처인 ASSURE-BVLOS를 소개한다. 이 프레임워크는 네 가지 핵심 메커니즘을 통해 작동한다.

A. 5개 영역 위험 온톨로지 (Five-Domain Risk Ontology)

시스템은 임의의 시간 $t$에 대해 정규화된 위험 벡터 $x(t) = [r_{C2}, r_{S}, r_{D}, r_{E}, r_{V}]$를 구성하며, 다음을 포함한다:

1. C2 무결성: 왕복 시간(RTT), 지터, 패킷 손실, 링크 연령(link age), 인증 상태.
2. 센싱 신뢰도: 탐지 신뢰도, 트랙 연속성, 센서 불일치, GNSS 무결성.
3. 데이터 무결성: 정보 연령, 출처(provenance), 교정 상태, 외부 데이터(예: 위성 이미지, 기상)의 처리 지연.
4. 환경 노출: 기상 심각도, 지형 이격 거리, 공역 밀도, 인구 노출도.
5. 기체 상태: 에너지 잔량, 추진 마진, 비행 제어 상태.

B. 위험 집계 및 불확실성 페널티

단순한 가중 합산 대신, 본 방법은 동시 발생하는 중간 수준의 위험들이 과소평가되지 않도록 유계 곱셈 위험 지수(bounded multiplicative risk index, $R_t$)를 사용한다:
$$R_t = 1 - \prod_{i=1}^{n} (1 - r_i(t))^{w_i}$$
낮은 신뢰도의 입력값이 평균화 과정에서 숨겨지는 것을 방지하기 위해, 명시적인 불확실성 페널티가 적용된다:
$$R^*_t = \min [1, R_t + \lambda_s D_s(t) + \lambda_a A_d(t)]$$
여기서 $D_s$는 센서 불일치를, $A_d$는 유계 데이터 연령을 나타낸다.

C. 5단계 운영 권한 정책 (Five-State Operational Authority Policy)

집계된 위험 지수 $R^*_t$를 기반으로, 시스템은 급격한 전환을 방지하기 위한 히스테리시스(hysteresis)를 활용하여 운영 권한을 동적으로 재할당한다:

• S0 (정상, Nominal): $R^* < 0.25$. 인간의 감독 또는 직접 명령.
• S1 (제한, Constrained): $0.25 \le R^* < 0.42$. 속도 감소, 이격 거리 증가, 기동 제한.
• S2 (보호된 자율성, Protected Autonomy): $0.42 \le R^* < 0.60$. 온보드 궤적 유지 또는 검증된 로컬 플래닝; 원격 조종사가 감독.
• S3 (비상 대응, Contingency): $0.60 \le R^* < 0.76$. 경로 변경, 대기 또는 사전 정의된 안전 지점으로의 복귀.
• S4 (종료, Terminate): $R^* \ge 0.76$. 승인된 비행 종료 또는 최소 위험 절차 실행.

D. 디지털 안전 사례 증거 루프 (Digital Safety-Case Evidence Loop)

모든 상태 전환은 클레임(claims), 모니터 출력, 트리거, 응답 및 결과를 연결하는 시간 인덱스 기반의 증거 기록으로 기록된다. 이는 사후 비행 재구성 및 검증을 위한 "살아있는" 디지털 안전 사례를 생성한다.

3. 실험적 평가

본 프레임워크는 세 가지 유형의 100,000개 미션 상태에 대한 재현 가능한 몬테카를로 시뮬레이션을 통해 평가되었다:

1. 재난 대응: 급격히 변화하는 장면과 저하된 지상 통신이 특징임.
2. 선형 인프라 점검: 긴 회랑, 자산과의 근접성, 가변적인 셀룰러 커버리지를 포함함.
3. 해상 감시: 긴 체류 시간, 희소한 지상 커버리지, SATCOM 의존성을 특징으로 함.

시뮬레이션은 ASSURE-BVLOS 정책을 선언된 서브시스템 고장에만 반응하는 정적인 원격 조직 중심의 베이스라인과 비교하였다. 입력 분포(예: 지연에 대한 로그 정규 분포, 패킷 손실에 대한 베타 분포)는 합성된 것이지만, 관찰된 네트워크 왜곡과 유계성을 재현하도록 설계되었다.

4. 주요 결과

• 위험 감소: ASSURE-BVLOS 정책은 시뮬레이션된 위험한 결과 발생률을 베이스라인의 **12.76%**에서 **9.62%**로 낮추었으며, 이는 24.6%의 상대적 위험 감소를 나타낸다.
• 고위험 상황 처리: 베이스라인이 미션을 지속했던 1.67%의 사전 정의된 고-C2-위험 조건 하에서, ASSURE-BVLOS 프레임워크는 **100%**의 시뮬레이션 케이스에서 성공적으로 권한을 보호된 자율성 또는 더 보수적인 상태로 이전하였다.
• 상태 활용도: 시스템은 대부분의 시간을 "제한(Constrained)" 상태(64.50%)에서 보냈으며, "정상(Nominal)" 운용은 28.11%였다. 보호된 자율성과 비상 대응 상태는 각각 7.09%와 0.21%로 적게 활용되었는데, 이는 정책이 과도한 미션 종료 없이 위험을 효과적으로 관리함을 나타낸다.
• 강건성: 민감도 분석 결과, 임계값 변동($\pm 10\%$)에 따라 절대적인 개입율은 달라졌으나 상대적 위험 감소율은 일관되게 유지되었다. 절제 연구(Ablation studies)를 통해 단일 위험 영역(C2, 센싱, 데이터, 환경 또는 기체)을 누락할 경우 시스템의 결정적 상태 식별 능력이 저하됨을 확인하였으며, 이는 다중 도메인 접근 방식의 필요성을 입증한다.

5. 의의 및 주장

본 논문은 ASSURE-BVLOS를 인증된 제어 법칙이나 규제 승인 도구가 아닌, 투명한 시스템 엔지니어링 방법론으로 포지셔닝한다. 주요 기여는 다음과 같다:

1. 도메인 통합: 통신 성능, 정보 무결성(출처/연령), 그리고 런타임 권한 관리를 명시적으로 연결하며, 외부 데이터를 행정적 메타데이터가 아닌 직접적인 안전 요소로 취급한다.
2. 맥락적 위험 관리: 곱셈 지수와 불확실성 페널티를 사용하여, 열화가 이진 고장 알람을 트리거하기 전에 계층 간에 전파되는 "보증 격차" 문제를 해결한다.
3. 추적 가능한 증거: 디지털 안전 사례 루프는 런타임 결정과 감사 가능한 증거를 연결하는 구조화된 메커니즘을 제공하여, 향후 HIL(Hardware-in-the-loop) 및 비행 테스트 검증을 지원한다.
4. 제한된 범위: 저자들은 본 결과가 합성 조건 하에서의 모델 동작에 대한 증거이지, 실제 세계의 사고율에 대한 추정치가 아님을 명시적으로 밝힌다. 가중치와 임계값은 방법론적 시연을 위한 것이며, 프레임워크는 규제 승인 전 분석적, 시뮬레이션, HIL 및 운용 시험을 통한 후속 검증이 필요하다.

이 프레임워크는 정적인 원격 조종 중심의 안전 모델에서 동적이고 위험 적응적인 자율성으로의 전환을 지원하도록 설계되었으며, 런타임 보증 연구와 운영 중심의 위험 평가(예: SORA) 사이의 구조적인 가교 역할을 한다.