⚡ 전기공학

A Provenance-Aware Operational Audit Contract for Low-Altitude Unmanned Aircraft Evidence

본 논문은 의도된 상태, 관측된 상태, 그리고 주장된 상태를 버전 관리되는 9개 구성 요소의 기록을 통해 구분함으로써 조직 간 증거 해석 가능성을 보장하는 저고도 무인 항공기를 위한 출처 인식 운영 감사 계약을 제안하고 검증하며, 이는 19회의 실행과 475개의 감사 쿼리에 걸쳐 성공적으로 검증되었다.

원저자: Huu Thu Kieu, Vu Xuan Truong, Nguyen Tai Hung, Le Minh Duong, Ninh-Thuan Truong

게시일 2026-10-05

📖 5 분 읽기🧠 심층 분석

CC BY 4.0

원저자: Huu Thu Kieu, Vu Xuan Truong, Nguyen Tai Hung, Le Minh Duong, Ninh-Thuan Truong

원본 논문은 CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

하늘이 소형 무인 항공기들로 가득 차, 물품을 배달하거나 전선을 점검하고 교통 상황을 모니터링하기 위해 마치 벌떼처럼 윙윙거리는 모습을 상상해 보십시오. 이러한 기계들이 더 흔해짐에 따라, 이들은 안전하고 조직적인 운행을 위해 서로, 그리고 지상 스테이션 및 항공 관제사와 대화해야 할 것입니다. 하지만 새로운 문제가 발생합니다. 무언가 잘못되거나 규제 기관이 비행를 확인해야 할 때, 실제로 무슨 일이 일어났는지 어떻게 확신할 수 있을까요? 기록은 서로 다른 컴퓨터에 흩어져 있고, 서로 다른 기업들이 보유하고 있으며, 종종 서로 다른 기술적 언어를 사용합니다. 조종사가 보낸 비행 계획은 드론의 컴퓨터에 기록된 위치 데이터와 다르게 보일 수 있고, 이는 다시 근처 관찰자에게 방송된 신호와는 또 다르게 보일 수 있습니다. 이 조각들을 하나로 연결할 방법이 없다면, 비행의 이야기는 파편화되어, 누가 책임을 지고 있었는지, 무엇이 의도되었는지, 그리고 실제로 무엇이 목격되었는지를 파해내는 것을 불가능하게 만듭니다.

이것이 바로 VNU 베트남 국립대학교 공학기술대학과 Antaja Company Limited의 연구진이 해결하고자 했던 과제입니다. 그들은 새로운 드론이나 새로운 통신 네트워크를 만들려고 시도한 것이 아닙니다. 대신, 그들은 비행 기록이 어떻게 작성되고 보관되어야 하는지에 대한 엄격한 규칙 세트를 설계했습니다. 이것을 하늘을 위한 보편적인 장부, 즉 모든 증거가 자신의 이력을 스스로 지니도록 강제하는 시스템이라고 생각하십시오. 그들의 목표는 데이터가 누락되거나, 지연되거나, 혹은 상충하는 출처에서 오더라도 비행의 전체 이야기를 재구성할 수 있는 방법을 만드는 것이었습니다. 그들은 디지털 기록의 집합을 보고 조종사가 계획한 것, 드론의 센서가 보고한 것, 그리고 드론이 세상에 실제로 방송한 것을 명확하게 구분하는 것이 가능한지 알고 싶었습니다.

연구진은 그들이 '운용 감사 계약(operational audit contract)'이라고 부르는 것을 개발했습니다. 간단히 말해, 이것은 세 가지 서로 다른 유형의 정보를 별개의 독립된 것으로 취급하는 비행 데이터 기록 템플릿입니다. 첫째, '의도된(intended)' 상태입니다. 즉, 조종사나 컴퓨터가 설정한 계획, 명령 또는 목표입니다. 둘째, '관측된(observed)' 상태입니다. 즉, 드론 자체의 센서에 의해 기록된 드론의 실제 위치, 속도, 방향 등의 측정값입니다. 셋째, '주장된(claimed)' 상태입니다. 즉, 드론이 자신의 식별 번호나 보고된 위치와 같이 타인에게 방송하기로 선택한 정보입니다. 연구진은 이 세 가지가 완벽하게 일치하지 않는 경우가 많으며, 그것은 괜찮다는 것을 발견했습니다. 문제는 이들이 뒤섞이거나 데이터의 출처가 유실될 때 발생합니다. 그들의 새로운 시스템은 모든 기록이 이 세 가지 관점을 분리하여 유지하도록 보장하며, 동시에 누가 생성했는지, 언제 생성되었는지, 그리고 데이터가 어디에서 왔는지를 태그로 지정합니다.

이를 구현하기 위해 연구진은 매 비행 순간마다 9가지 부분으로 구성된 기록을 만들었습니다. 이 기록에는 숫자뿐만 아니라 맥락도 포함됩니다. 즉, 누가 데이터를 소유하는지, 어떤 임무가 수행 중인지, 그리고 특정 시점에 항공기를 제어할 권한이 누구에게 있었는지에 대한 정보입니다. 결정적으로, 이 시스템은 공백을 처리하도록 설계되었습니다. 만약 데이터의 일부가 누락되었다면, 기록은 그것이 있는 척하지 않습니다. 대신, 정보가 누락되었거나, 이용 불가능하거나, 혹은 이전 기록과의 연결을 찾을 수 없음을 명시적으로 밝힙니다. 이것이 실패처럼 들릴 수도 있지만, 증거의 세계에서는 추측하는 것보다 무엇을 모르는지 인정하는 것이 훨씬 더 가치 있습니다. 이러한 공백과 데이터 보유자의 이력을 명확히 유지함으로써, 시스템은 가정을 통해 빈칸을 채우지 않고도 감사관들이 비행 이야기를 재구성할 수 있게 해줍니다.

연구진은 실제 비행 환경을 모사한 컴퓨터 시뮬레이션을 사용하여 이 시스템을 테스트했습니다. 그들은 통신 링크가 실패하거나, 조종사가 자동화 시스템으로 제어권을 넘기거나, 데이터가 늦게 도착하는 상황을 포함하여 19가지의 서로 다른 시나리오를 실행했습니다. 모든 경우에 시스템은 예상된 이야기를 성공적으로 재구성했습니다. 연구진이 링크를 제거하거나 타임스탬프를 숨겨 의도적으로 데이터를 손상시켰을 때도, 시스템은 가짜 연결을 만들어내는 대신 이야기가 불완전하다고 정확하게 보고했습니다. 그들은 데이터가 누락되거나 오래된 상태에서도 시스템이 계획된 행동과 관측된 현실 사이의 차이를 구별할 수 있음을 발견했습니다. 예를 들어, 한 테스트에서 시스템은 드론이 지상 스테이션과의 연결을 잃었다는 것을 정확히 식별했으며, 드론이 다음에 어디로 갔을지 추측하지 않고도 연결이 끊어진 시점과 마지막 알려진 위치를 정확히 기록했습니다.

또한 연구진은 드론, 지상 스테이션, 관찰자와 같은 여러 개의 분리된 시스템을 시뮬레이션하는 단일 컴퓨터 기반 소프트웨어를 사용하여 더 현실적인 환경에서 아이디어를 테스트했습니다. 그들은 대학교 캠퍼스의 디지털 트윈을 구축하여 가상의 경로를 비행했습니다. 서로 다른 시스템들이 별도로 작동하는 이 복잡한 설정에서도, 9가지 부분으로 된 기록은 이력을 명확하게 유지했습니다. 시스템은 드론의 내부 센서와 외부 관찰자의 기록이 공통된 기원을 공유하고 있음을 보여줄 수 있었는데, 이는 두 기록이 독립적인 진실의 원천이 아니라 동일한 사건에 대한 두 가지 관점임을 입증했습니다. 이러한 구별은 안전에 있어 매우 중요합니다. 만약 두 기록이 똑같이 보이더라도 고장 난 하나의 센서에서 나온 것이라면, 서로를 검증하는 용도로 사용할 수 없기 때문입니다. 시스템은 이러한 공유된 기원을 표시하여 잘못된 안전 불감증을 방지했습니다.

이 연구의 결과가 모든 드론을 안전하게 만들거나 모든 비행이 완벽할 것임을 보장하는 마법 같은 해결책은 아닙니다. 연구진은 자신들의 시스템이 비행의 물리적 진실을 증명하는 것이 아니라, 기록이 일관되며 의도된 대로 이야기가 재구성될 수 있음을 증명하는 것이라고 신중하게 밝혔습니다. 그들은 충돌을 방지하거나 해커가 거짓 신호를 보내는 것을 막는 방법을 찾은 것이 아닙니다. 대신, 그들은 비행의 증거를 투명하게 만드는 방법을 찾아냈습니다. 드론이 추락하거나 비행 규칙을 위반할 경우, 조사관들은 기록을 살펴봄으로써 무엇이 계획되었고, 무엇이 관측되었으며, 무엇이 주장되었는지와 함께 책임자가 누구였는지, 그리고 어떤 데이터가 누락되었는지에 대한 명확한 지도를 볼 수 있을 것입니다.

이러한 접근 방식은 우리가 하늘에서의 책임에 대해 생각하는 방식을 바꿉니다. 모든 데이터가 완벽하게 일치하기를 기대하는 대신, 이 시스템은 데이터가 무질서하고, 불완전하며, 때로는 모순적일 수 있음을 받아들입니다. 이러한 불완전함을 깨뜨리지 않고 담아낼 수 있는 구조를 구축함으로써, 연구진은 서로 다른 조직들이 하늘을 안전하게 공유할 수 있는 토대를 마련했습니다. 이 시스템은 비행의 일부가 누락되더라도 이야기를 정직하게 유지함으로써 작동합니다. 이는 우리가 비행을 되돌아볼 때, 미화된 버전의 사건이 아니라 실제로 일어난 진실을 보게 해줍니다. 이러한 명확성은 저고도 항공이 복잡한 다중 사용자 네트워크로 성장하면서도 공중에서 일어나는 일을 이해하는 능력을 잃지 않게 하는 첫걸음입니다.

기술 요약: 저고도 무인 항공기 증거를 위한 출처 인식 운영 감사 계약

1. 문제 정의

저고도 무인 항공기 시스템(UAS) 운영이 다수의 기체, 인프라 노드, 교통 관리 서비스(UTM)를 포함하도록 확장됨에 따라, 조직적 경계를 가로질러 운영 이력을 재구성하는 능력이 매우 중요해지고 있다. 기존의 연구 및 표준(예: FAA Conops, ICAO 프레임워크, Remote ID)은 식별, 통신 보안, 항법 무결성과 같은 특정 측면을 다루고 있다. 그러나 이들은 세 가지로 구별되는 운영 상태 사이의 관계를 재구성하기 위한 통합된 메커니즘을 정의하지 못하고 있다:

의도된 상태 ( $X_{intent}$ ): 권한 컨텍스트를 가진 계획, 명령 또는 설정값.
관측된 상태 ( $X_{observed}$ ): 센싱/추정 프로세스로부터 도출된 속성이 부여된 측정값 또는 추정치(지면 진실(ground truth)이 아님).
주장된 상태 ( $X_{claimed}$ ): Remote ID 방송이나 텔레메트리와 같이 통신된 상태.

핵 핵심 연구 질문은 변화하는 운영 조건 하에서 정체성, 미션 컨텍스트, 제어 권한 및 소스 의존성과 함께 이러한 상태들 간의 관계를 어떻게 보존할 것인가 하는 것이다. 현재의 접근 방식들은 누락된 데이터, 해결되지 않은 의존성, 또는 권한 이양을 명시적으로 처리하지 못하는 경우가 많아, 사후 운영 감사 시 모호함을 초래한다.

2. 방법론

저著자들은 **출처 인식 증거 모델(provenance-aware evidence model)**을 통해 구현된 도메인 특화 저고도 운영 감사 계약을 제안한다. 이 접근 방식은 일반적인 프로비넌스 형식(예: PROV-DM)이 되는 것을 목표로 하는 것이 아니라, UAS 운영 감사를 위한 제약된 프로파일을 제안하는 것이다.

주요 방법론적 구성 요소:

9개 구성 요소의 버전 관리된 레코드 ( $E_k$ ): 핵심 데이터 구조는 논리적 증거 레코드인 $E_k = \langle I_k, C_k, X_k, U_k, M_k, A_k, T_k, P_k, Q_k \rangle$ $E_{k} = ⟨ I_{k}, C_{k}, X_{k}, U_{k}, M_{k}, A_{k}, T_{k}, P_{k}, Q_{k} ⟩$ 로 정의된다.
- $I_k$ : 신원/자격 증명(Identity/Credentials).
- $C_k$ : 주장된 Remote ID/텔레메트리(Claimed Remote ID/telemetry).
- $X_k$ : 생산자 속성 시공간 운동 상태(Producer-attributed spatiotemporal kinematic state).
- $U_k$ : 미션 계획/명령 (의도된 상태).
- $M_k$ : 미션/권한 컨텍스트(Mission/Authorization context).
- $A_k$ : 제어 권한 및 이양 이벤트(Control authority and handover events).
- $T_k$ : 시간 메타데이터 (관측, 발행, 수신, 사용 시간).
- $P_k$ : 출처/계보 (기원, 의존성, 변환).
- $Q_k$ : 필드별 가용성 및 상태 (누락, 사용 불가능, 해결되지 않은 참조, 해당 없음 등을 명시적으로 처리).
상태-역할 분리: 모델은 의도된 상태, 관측된 상태, 주장된 상태를 엄격히 구분한다. 이러한 값들 사이의 수치적 등가는 증거적 동등성을 의미하지 않으며, 바인딩(bindings)은 각기 다른 역할, 생산자 및 의존성을 보존한다.
소스 계보 및 의존성 그래프: 모델은 직접, 파생, 공유, 외부 및 해결되지 않은 소스를 구분한다. 이는 (Remote ID와 텔레메트리가 GNSS/IMU 소스를 공유하는 경우처럼) 공유된 조상을 추적하되, 통계적 독립성을 잘못 추론하지 않도록 한다.
시공간 검증(STV) 인터페이스: 세 가지 평면(기체, 외부 목격자, 감독자)으로부터 증거를 집계하는 범위 제한적 교차 검증 인터페이스이다. 이는 퓨전 규칙이나 결정 로직을 규정하지 않고 상태(VALID, DEGRADED, UNKNOWN, INVALID)를 보고한다.
실행 가능한 적합성 검증: 저자들은 이 계약을 테스트하기 위해 MATLAB(R2026a)을 사용한 고정된 프로토콜을 개발하였다. 여기에는 다음이 포함된다:
- 19회의 합성 실행: 8가지 사전 정의된 시나리오(예: 통신 손실, 오래된 주장, 권한 이양)와 결함이 주입된 변형들을 포함한다.
- 부정 대조군 및 절제 실험(Ablations): 링크 제거, 타임스탬프 손상 등의 변이(mutations)를 통해 재구성 실패 모드를 테스트한다. 또한 특정 의미론적 구성 요소를 제거하여 재구성 실패를 테스트한다.
- Software-in-the-Loop (SITL): 단일 macOS 호스트 상에서 PX4/Gazebo를 사용하여 별도의 프로세스(기체, 목격자, 감독자) 간에 계약을 인스턴스화하고, 1.4km 지리적으로 고정된 경로를 시뮬레이션하여 캡처하였다.

3. 주요 기여

운영 감사 계약: 운영 역할, 다중 시간 가용성, 명시적 누락 데이터, 해결되지 않은 의존성 및 권한 이양을 재구성하기 위한 구체적인 의무 사항을 정의한다.
명시적 상태 처리: 누락됨(missing), 사용 불가능(unavailable), 해결되지 않은 참조(unresolved) 데이터를 명시적으로 포함함으로써, 데이터의 완결성을 암묵적으로 가정하는 흔한 오류를 방지한다.
재구성 성공 지표 (ARS): 재구성된 증거 상태 요약과 저장된 예상 요약 사이의 일치도를 측정하는 지표이다. 결정적으로, 증거가 불완전하더라도 불완전함 자체가 올바르게 재구성되고 보고된다면 ARS 1.0을 달랄 수 있다.
구현 테스트된 거버넌스: 이 논문은 이론적 형식이 아니라, 저고도 UAS 도메인에 특화된 의무 프로파일을 제공함으로써 테스트된 증거 거버넌스의 기초를 제공한다.

4. 결과

평가는 19회의 실행과 475회의 적용 가능한 베이스라인 감사 쿼리를 통해 수행되었다.

베이스라인 재구성: 475개의 모든 적용 가능한 쿼리가 예상 증거 상태와 일치하였다 (ARS = 1.0000). 여기에는 의도적인 데이터 누락, 오래된 주장, 해결되지 않은 의존성이 포함된 시나리오가 포함된다.
시나리오 성능:
- V2 (통신 손실): 증거 완결성(EC)과 신선도(EF)는 감소했으나, 누락된 상태가 올바르게 식별되었기에 ARS는 1.0을 유지했다.
- V5 (해결되지 않은 의존성): 의존성 출처 완결성(DPC)이 0.9091(11개 중 10개 링크 해결)로 떨어졌으나, 해결되지 않은 링크가 명시적으로 보고되었기에 ARS는 1.0을 유지했다.
- V6 (권한 이양): 두 번의 권한 전이를 성공적으로 재구성하였다 (ATT = 1.0). 확인(acknowledgment)이 누락된 변형의 경우, 불완전한 이벤트를 올바르게 보고하였다 (ATT = 0.5).
부정 대조군 및 절제 실험:
- 6가지 의미론적 변이(예: 의존성 링크 제거, 타임스탬프 손상)는 의도된 쿼리에 대해 FAIL 결과를 초래하여, 시스템이 손상을 감지함을 확인하였다.
- 4가지 절제 실험(계보, 권한, 역할 분리, 또는 별도의 시간 제거)은 특정 감사 작업에 대해 PARTIAL 또는 FAIL 결과를 초래하였으며, 이는 이러한 의미론적 요소들을 제거하면 재구성 능력이 저하됨을 입증한다.
SITL 인스턴스화: 단일 호스트 캡처는 역할, 시간적 가용성, 명시적 누락성을 성공적으로 유지하였다. 그러나 내부 추정기 트레이스(ULogs)의 부재로 인해 4개의 의존성 엣지 중 3개가 해결되지 않아 DPC가 낮게 나타났다 (0.2500).

5. 의의 및 주장

본 논문은 자신의 기여를 물리적 진실이나 안전 인증을 위한 포괄적인 솔루션이라기보다, 구현 테스트된 증거 거버넌스 기초로 겸허히 규정한다.

범위 제한: 저자들은 본 계약이 물리적 진실을 증명하거나, 항법 무결성을 확립하거나, 공격을 탐지하거나, 안전을 보장하지 않는다고 명시한다. 이는 결정 로직(decision logic)이 아닌 표현 및 재구성을 다룬다.
우월성 주장 없음: 본 계약은 일반적인 프로비넌스 모델(예: PROV-DM)보다 우월하다고 주장하지 않으며, 저고도 UAS를 위한 특정 프로파일을 제약하는 것이다.
검증 상태: 결과는 합성 데이터와 단일 호스트 SITL 캡처를 기반으로 한다. 이는 물리적 하드웨어, 실제 배치된 네트워크 또는 실제 UTM 시스템을 통한 독립적인 경험적 검증을 의미하지 않는다.
미래 활용도: 본 계약은 정체성, 미션 및 권한 컨텍스트가 변하는 환경에서 운영 관계의 책임 있는 재구성을 가능하게 함으로써, 향후 다중 행위자 UAS 물류 및 UTM/U-space 연구를 위한 토대로 제안된다.

요약하자면, 본 논문은 구조화된 출처 인식 계약이—데이터의 누락 여부를 단순히 추론하는 대신 상태를 명시적으로 추적하고 보고할 수 있다면—이질적인 기록들 사이에서 운영 내러티브(그 공백과 불확실성까지도 포함하여)를 성공적으로 재구성할 수 있음을 보여준다.