다중화를 통한 무인기 안전성 보장 소프트웨어 프레임워크
(UAV SW Framework for Dependable Redundancy Provision)

무인기 안전성에 대한 주요 연구 현황

사이버-물리 시스템 소프트웨어 프레임워크 연구 동향
IMA (Integrated Modular Avionics): 항공기 시스템의 안전성을 위하여 소프트웨어의 위험도 별로 별도의 가상기계에 할당하여 결함 전파를 억제한다.
AUTOSAR (AUTomotive Open System Architecture): 개방형 자동차 표준 소프트웨어 구조로 주요 자동차 시스템 함수를 표준화하고 인터페이스를 추상화하여 시스템 복잡도를 통제한다.
TTA (Time Triggered Architecture): 등도 사이버-물리 시스템 소프트웨어 프레임워크라 할 수 있다.
PALS (Physically-Asynchronous Logically-Synchronous) 구조: 제어 시스템에 실시간 동기식 협업구조를 접합하여 시스템의 검증 복잡도를 저감시킨다.
DDS (Data Distribution Service): 사이버 시스템과 물리 시스템간의 데이터 교환을 출판/구독 구조로 객체화함으로써 네트워크 프로그래밍을 단순화하는 미들웨어이다. DDS에서는 구독자가 데이터의 스펙트럼을 정의하여 구독 데이터를 필터링할 수 있도록 함으로써, 물리시스템의 제어 특성을 일부 반영하고 있다.
물리 시스템의 제어특성을 소프트웨어 프레임워크에 적극적으로 반영함으로써 시스템의 안전성을 향상시키는 연구 역시 다각도로 이루어지고 있다.
Simplex 구조: Simplex 구조는 하나의 제어 시스템에 대한 안전 구간(Safety Envelope)과 시스템의 안전 구간에 대한 내재를 보장하는 회복 영역을 Lyapunov 함수에 의하여 구한 후, 시스템이 회복 영역을 이탈할 가능성이 있을 경우, 소프트웨어의 모드를 변경하여 안전성이 보장된 단순 제어 시스템을 구동시키도록 하는 물리 시스템을 적극적으로 반영한 안전우선 소프트웨어 프레임워크이다.
최근 사이버-물리 시스템에 관심이 높아지면서 물리 시스템을 소프트웨어에 시스템적으로 반영하는 연구가 늘어났는데, 예를 들면, 하이브리드 제어 시스템을 추상화하여 소프트웨어에 반영하여 자동차 전복 방지 시스템에 적용하는 연구, 환자의 상태 및 의료 장비의 상태를 추상화하여 의료 사고를 예방하도록 하는 의료장비 시스템 프레임워크 연구 등이 활발히 이루어지고 있다.

사이버-물리 시스템 다중화 연구 동향
안전이 우선되는 사이버-물리 시스템은 초기 시스템부터 거의 대부분이 신뢰성 향상을 위하여 다중화 시스템을 운영하고 있다. 이는 단순히 소프트웨어 내부의 결함을 보완하기 위한 것을 떠나 우주입자에 의한 회로적 오류 문제를 다루기 위해서는 다중화가 필수적이기 때문이다.
사이버-물리 시스템의 다중화는 아직까지 대부분 응용 프로그램 수준에서 다루어지고 있으며 소프트웨어 다중화를 프레임워크 수준에서 지원하려는 연구는 최근에 진행되고 있다.
TTA의 프로토콜 버전인 TTP는 Active-Shadow 모드에 기반한 다중화 지원기능을 탑재하고 있으나 소프트웨어 모듈의 모드를 관리해 주는 수준으로 물리적 제어시스템 특성은 고려되어 있지 않다.
미국의 한 주요 항공전자장비 전문업체에서는 2010년 ~ 2011년 DARPA의 지원을 받아 PALS 구조에 기반한 소프트웨어 다중화 프레임워크 연구를 수행하였으며 보고서에서 이러한 프레임워크가 어떻게 시스템의 복잡도를 저감시키는지를 보였다. 이 연구 역시 소프트웨어의 다중화 만을 다루고 있으며 물리적 제어 시스템의 특성이 고려되어 있지는 않다.
제어 시스템 연구분야에서는 센서 등과 같은 물리적 시스템의 다중화가 신뢰성에 어떠한 영향을 미치는지에 대한 연구가 진행되고는 있으나, 이를 어떻게 프레임워크를 통한 시스템적 접근을 해나갈 것인가에 대한 연구는 미미하다.

멀티콥터용 소프트웨어 동향
현재 상용화되어 있거나 연구용으로 공개되어 있는 멀티콥터 소프트웨어 들은 제한 중량 및 비용의 제한으로 인하여 단일 펌웨어 형태로 개발되고 있으며, 실시간 운영체제를 기반으로 한 접근마저 찾아보기 힘들다.
이러한 접근에서는 시스템을 구성하는 모든 모듈이 상호간에 격리되지 않기 때문에 하나의 모듈에 결함이 발생하면 시스템 전체로 결함이 전파되는 문제를 갖게 된다.
대표적인 공개용 멀티콥터 소프트웨어로는 Paparazzi, Aeroquad, NG-UAVP 등이 있으며, NG-UAVP만이 그나마 기초적인 실시가 운영체제의 구성을 약간은 가지고 있는 형편이다.

국내 무인기 및 사이버-물리 시스템 소프트웨어 플랫폼 연구 역량
우리나라는 무인기에 사용되는 소프트웨어 플랫폼 역량이 도약해 나가는 단계에 있다. 국내 업체나 연구소 등에서 실시간 운영체제를 상용화한 바 있으며, 최근에는 미국 항공 소프트웨어 규약인 DO-178B 인증을 획득한 바 있다.
국내의 한 연구소에서 개발한 DDS 미들웨어 역시 OMG (Object Management Group)에서 수행한 상호연동성 검증에 성공하여 상용화를 추진 중에 있다.
이렇듯 무인기를 포함한 사이버-물리 시스템 소프트웨어 플랫폼 기술은 도약하는 단계에 있다고 할 수 있다.
사이버-물리 소프트웨어 플랫폼에 대한 선진국 추적형 기술 수준을 선도형 수준으로 전환하기 위해서는 본 과제와 같이 차별화된 플랫폼 연구가 필요하다.

무인기 안전성 소프트웨어 연구의 의의

무인기는 시장이 아직 정착되지 않은 상태에서 새로운 시장을 형성하는 단계로서 우리나라에 새로운 성장동력으로 작용할 만한 잠재성을 가지고 있다.
멀티콥터의 형태는 아니지만, 발전된 형태라고 볼 수 있는 틸트로터 무인기의 경우 우리나라가 세계에서 두 번째로 개발기술을 보유하는 등, 무인기 분야는 우리나라가 시장을 선도할 수 있는 잠재력을 가진 분야이다.
그러나 국내외 연구 현황에서 살펴본 바와 같이 소프트웨어 자체에 대한 다중화 지원 프레임워크나 제어 시스템의 다중화 효과 각각에 대한 연구들은 존재하지만, 사이버-물리 시스템을 융합한 프레임워크는 융합연구의 형태를 가지게 되기 때문에 연구 수준이 미비하다.
하지만, 앞서 본 사이버-물리 시스템의 사고 사례들에서 보듯이 많은 소프트웨어가 결부된 안전사고들이 물리 시스템에 대한 부적절한 소프트웨어 구현에 의한 것이었으며, 특히 말레이시아 항공 보잉 777-200 기종의 안전사고는 다중화된 센서 실패를 소프트웨어가 부적절하게 관리했기 때문에 발생한 사고였다.
사이버-물리 시스템이 최근에 주목을 받는 이유도 바로 이러한 융합 설계가 적절히 수행되어야 안전 우선 시스템의 신뢰성을 높일 수 있음을 인지했기 때문이며, 따라서 사이버-물리 시스템의 안전성을 보장하기 위해서는 물리적 제어 시스템과 소프트웨어의 융합 연구가 필수적이다. 이에 따라 본인의 연구는 안전우선 소프트웨어의 연구를 제안한바 있다.

안전우선 소프트웨어란?

안전 우선 소프트웨어란 항공기, 자동차, 의료기기, 발전소와 같은 안전 우선 시스템에 탑재되는 소프트웨어를 말한다. 이러한 소프트웨어에 결함이 있을 경우, 이는 인명의 손실을 동반한 재앙적인 사고로 이어질 수 있다. 그럼에도 불구하고 소프트웨어가 주는 편의성, 유연성, 지능성으로 인하여 안전 우선 시스템에서 소프트웨어의 비중은 가파르게 증가하고 있다. 소프트웨어는 과거, 안전 우선 시스템 내부의 기계 및 전자장치의 구동을 돕는 보조적 기능을 수행하는 역할에서 벗어나, 최근에는 전체 시스템을 통합 및 조율하고, 시스템의 안전성을 실시간 점검하고 보장하는 두뇌의 역할을 수행하고 있다. 이에 따라, 각 소프트웨어 개개 컴포넌트의 설계 및 안전성을 검증하는 고전적인 검증에서 나아가 전체 소프트웨어 시스템의 안전한 통합 설계 및 검증의 필요성이 매우 높아지고 있다.
이에 제시한 연구과제는 분산형 안전 우선 소프트웨어에 동기식 연산 모델 (synchronous model of computation)을 실현하는 분산 소프트웨어의 동기식 협업 구조를 시스템 전체 규모로 도입하여 경주 조건 (race condition)을 제거하고, 이렇게 하여 낮아진 검증 복잡도를 기반으로 분산 시스템을 소스코드 수준에서 엄밀히 통합 검증할 수 있는 프레임워크를 연구하는 것을 목적으로 한다. 기존의 안전 우선 분산 소프트웨어 시스템은 협업 구조에 시스템 규모의 엄밀한 동기화가 수행되지 않았기 때문에 높은 병렬성과 경주 조건으로 인하여 상태 폭발 (state space explosion)이 일어나고 이에 따라 통합 검증이 사실상 불가능 하였다. 검증의 효율성을 위하여 시스템 전체의 협업 구조를 통일시키는 본 연구의 창의적 접근방법은, 자동차, 항공기, 의료기기 같은 시스템의 안전성을 획기적으로 높이고, 안전 우선 소프트웨어 검증 분야를 우리나라가 선도할 수 있도록 하는 기반을 마련해 줄 것으로 기대한다.

안전사고 사례로 보는 안전 우선 소프트웨어의 중요성
안전 우선 시스템에 들어가는 소프트웨어는 그 결함이 가져오는 재앙적 결과로 인하여 그 중요성이 더욱 강조되고 있다. 안전 우선 소프트웨어의 결함은 사소한 결함이 갑작스럽게 나타나 시스템 전체에 심각한 문제를 불러온다는 점에서 점진적이고 국부적인 결함 양상을 가지는 경우가 많은 기계, 전자적 장치와 대비된다. 소프트웨어적 결함은 사전에 이를 탐지할 만한 징후를 보이지 않는 경우가 많기 때문에 개발단계에서 철저히 예방하고 검증하는 프로세스를 갖는 것이 필수적이다. 안전 우선 소프트웨어에 의한 결함 사례에서 문제의 중요성을 살펴보고, 안전 우선 소프트웨어의 빠른 성장 속도를 가늠하여 그 긴급성을 알아본다.

▲ [그림1-가] Therac-25 방사능 치료기기 사고

1) 1980년대 Therac-25 방사능 치료기기 사고 : 1983년 ~ 85년에 걸쳐 발생한 의료사고인 Therac-25 방사능 치료기기 사고는 안전 우선 소프트웨어에 의하여 인명이 손실된 초기 사고들 중 하나로 3명이 사망하고 3명이 방사능 후유 장애를 입도록 한 사고였다 (그림 1-가). 해당 사고는 높은 방사능 출력에 대한 안전장치를 담당하는 소프트웨어의 결함에 의하여 발생하였다. 문제는 이러한 결함이 내부 프로세스간의 경주 조건 (race condition)에 의해 발생했기 때문에, 대부분의 상황에서는 정상 동작을 했다는 사실이다. 이에 제조사의 장비 테스트에서는 불행히도 해당 문제가 인지되지 못하였다. 이 사고의 예에서 보듯이 경주 조건은 문제의 발생이 간헐적으로만 발생하도록 함으로써, 테스트 결과를 완전히 신뢰하지 못하도록 만든다. 이러한 문제를 피하기 위해서는 정형 기법에 기반한 엄밀한 통합 검증이 필요하다.

▲ [그림1-나] ESA Ariane-5 폭발 사고

2) 1996년 Ariane 5 폭발 사고 : 1996년 6월 유럽항공국 (ESA)에서 발사한 Ariane 5 로켓이 발사한 지 60분 만에 공중에서 폭발하는 사고가 발생하였다(사진 1-나). 원인은 Ariane 4에서 그대로 가져다 쓴 관성 기준장치 소프트웨어였다. Ariane 5는 Ariane 4보다 더 큰 출력을 가지도록 설계되었으나 관성 기준장치에는 이러한 차이가 반영되지 않았다. 해당 시스템에서는 수평 가속도 값이 16-bit 정수형으로 표현되었는데, Ariane 4에서는 수평가속도의 한계치가 16-bit 정수형의 안쪽에서 형성되었으나 Ariane 5에서는 이를 벗어나 정수형 overflow를 발생시켰으며, 해당 오류는 로켓의 자동 폭발을 유도하였다. 본 사고는 아무리 이전에 수행했던 단위 검증에서 잘 동작하던 모듈이라 할지라도, 시스템의 일부가 바뀌게 되면, 시스템 전체적으로 통합 재검증이 필요하다는 사실을 일깨워주었다.

▲ [그림1-다] 북미 동북부 정전 사고 구역

3) 2003년 북미 동북부 정전사고 : 2003년 미국과 캐나다 동북부지역에서 발생한 정전사태는 소프트웨어 버그로 인한 여파가 얼마나 광범위한 영역에 피해를 끼칠 수 있는지를 보여주는 대표적인 사례라 할 수 있다. 당시 발전소 내에서 사용하던 에너지관리시스템의 소프트웨어 내에서 발생한 경주 조건(race condition)이 경보시스템을 마비시키면서 발생하였으며, 결과적으로 사진 1-나.에서 보여지는 바와 같이 뉴욕을 포함한 미국 동부 및 중서부 7개 주와 캐나다 1개 주에 걸친 광범위한 구역에 정전을 발생시켰다.

▲ [그림1-라] F-22 하와이 회항 사건

4) F-22 전투기의 소프트웨어 관련 사고들 : F-22는 현존하는 전투기 중 최고의 성능과 가격을 자랑하는 최첨단 전투기이다. 미국의 항공기에 탑재되는 소프트웨어는 소프트웨어 개발 및 검증절차로는 가장 까다롭다고 할 수 있는 DO-178B를 준수하도록 되어 있어, 개발 당시 기술로는 가장 엄격한 기준에 의하여 검증된 소프트웨어만이 탑재되어 있다고 볼 수 있다. 그럼에도 불구하고 F-22는 소프트웨어 결함에 의한 두 번의 사건 기록을 가지고 있다. 그 첫 번째는 1992년 4월 에드워드 공군기지에서 착륙 도중 추락한 사고로 비행제어 소프트웨어의 결함이 그 원인으로 밝혀졌다. 2007년 2월에는 F-22 전투기 6대가 처음으로 태평양을 건너 일본으로 이동하는 작전을 수행하고 있었는데, 날짜 변경선을 지나는 동안 운항장치와 통신장치를 포함한 다수의 컴퓨터와 통신 장치들이 동작을 멈추는 사고가 발생하였다. 다행히, 운항 당시 맑은 낮이었고, 공중급유기와 함께 운항 중이었기 때문에 급유기의 유도에 의하여 하와이로 회항할 수 있다(사진 1-라). 미 공군 보안상 정확한 문제의 근원은 밝혀지지 않았으나 두 사고 모두 소프트웨어상의 문제가 원인인 것으로 확인되었다 [5]. 이러한 사고들은 DO-178B와 같은 높은 비용의 절차도 항공기 소프트웨어에 내재하는 소프트웨어 결함의 위험도를 제거하는 데에 충분하지 않음을 시사한다.

5) 2005년 토요타 프리우스 리콜 사태 : 2005년 토요타는 16만대의 프리우스 하이브리드 자동차를 자발적으로 리콜하였다. 발표에 따르면, 소프트웨어 결함에 의하여 자동차가 갑자기 제어 불능에 빠지거나 동작을 정지하는 문제가 리콜의 원인이었다. 그 이후 여러 자동차 제조사들의 소프트웨어에 의한 자동차 리콜이 이어졌는데, 2008년 5월 크라이슬러는 약 24,000대의 지프 코맨더 모델을 자동변속기 소프트웨어 결함으로 리콜하였으며, 폭스바겐은 에어컨을 켤 경우 엔진 RPM이 갑자기 높아지는 문제로 자사의 승용차와 SUV를 리콜하였다. GM역시 에어백 관련 소프트웨어 결함으로 12,000대의 캐딜락 승용차를 리콜한 바 있다. 자동차용 소프트웨어의 경우 DO-178B와 같은 엄격한 소프트웨어 인증절차를 거치지 않기 때문에 항공기에 비하여 소프트웨어 결함에 더욱 취약한 상태에 놓여 있으며, 이에 따라 수많은 운전자들이 급발진의 원인으로 차량제어 소프트웨어를 의심하고 있다.

안전 우선 소프트웨어의 양적 증가
안전 우선 소프트웨어에 의한 사고나 문제가 계속되는 가운데, 안전 우선 시스템에서 소프트웨어의 비중은 빠르게 늘어가는 추세에 있다. 사용자가 시스템에 원하는 편의성과 자동화의 수준이 점차로 높아지면서 소프트웨어가 유일한 대안으로 자리매김 하고 있기 때문이다. 문제는 내장된 안전 우선 소프트웨어의 복잡도가 증가하면서 소프트웨어 결함 가능성도 함께 높아진다는 점이다. 요컨대, 안전 우선 소프트웨어의 양적 증가는 소프트웨어 통합 검증 연구의 필요성을 강조해 주는 또 하나의 측면이다.
항공 소프트웨어 분야: 디지털 Fly-by-wire 시스템이 1972년 F-8C 크루세이더 테스트베드에서 처음 실현된 이래, 소프트웨어는 항공기 제어에서 기계적/전기적 제어 장치를 빠르게 대치하였다. 소프트웨어는 항공기 제어에 여러 가지 복잡한 수학적 해법을 적용함으로써 세밀하고 안정적인 제어를 가능하게 하였으며, 이는 비일상적인 형상을 가진 최초의 스텔스 전투기인 F-117의 조종을 가능하게 하는 원동력이었다. 이후, 소프트웨어는 기계/전기적으로 운용되던 다른 여러 기능들을 빠르게 대치해 나갔다. 2013년 현재 개발의 막바지단계에 있는 F-35 전투기의 소프트웨어는 2천4백만 줄 정도의 크기를 갖는 것으로 추산되고 있는데, 1997년 양산이 시작된 상위 기종인 F-22의 3배 정도의 크기를 갖는 것으로 알려져 있다.
자동차용 소프트웨어: 자동차의 경우도 항공기의 경우와 같이 소프트웨어가 기계/전자적 장치들을 빠른 속도로 대치해 나가고 있다. 소프트웨어를 자동차 제어에 처음 사용한 것은 GM으로 1977년 올즈모빌의 토로나도 모델의 스파크 제어를 위하여 마이크로컨트롤러 기반의 ECU를 채용한 것이 그 시초이다. 1981년 GM은 엔진 제어를 위한 50,000 줄의 소프트웨어 코드를 모든 양산 모델들에 적용하게 된다. 이후 차량 내부에서 사용되는 소프트웨어의 비중이 빠르게 늘어났다. 2009년 자료에 따르면, 최고급 자동차의 경우 약 1억 줄의 소프트웨어가 70~100개 정도의 전자제어장치(ECU)를 제어하는 것으로 추산된다. 항공기 업계에 비하여 상대적으로 덜 보수적인 자동차 업계가 훨씬 빠른 속도로 소프트웨어 비중을 늘려가고 있음을 알 수 있다.
의료기기 통합을 위한 소프트웨어 : 의료분야에서 소프트웨어는 주로 의료기록의 관리에서 사용되어 왔다. 하지만 최근 들어 잦은 의료사고가 사회문제로 대두되면서, 이를 자동화된 관리시스템으로 사전 예방하는 시스템에 대한 의료계의 요청이 있어 왔다. 이에 따라, 의료분야에서는 최근 환자에게 연결되는 의료기기들을 하나의 네트워크로 통합 관리하여, 의료인의 실수에 의하여 발생하는 의료사고를 미연에 방지할 수 있도록 하는 시스템을 도입 중에 있다.
발전소 시스템에의 스마트 그리드 도입 : 이산화탄소에 의한 지구온난화 문제 및 화석연료의 고갈로 인한 에너지 가격의 상승으로 인하여 스마트그리드라고 하는 지능형 전기에너지 분산관리시스템이 미국과 유럽 등지에 속속 도입되고 있다. 스마트그리드에서 가장 중요한 이슈 중 하나는 바로 신뢰성으로, 문제가 발견되었을 때 이를 인지하고(fault detection), 스스로 치료하며(self healing), 문제가 대단위 지역으로 퍼지지 않도록 하는(fault isolation) 것이다. 요컨대, 스마트그리드 기술의 상당 부분은 안전 우선 소프트웨어의 영역이라 할 수 있다.

안전 우선 소프트웨어의 통합화와 고도화로 인한 위기
문제는 안전 우선 소프트웨어는 단순히 크기가 커진 것이 아니라는 사실이다. 최초의 안전 우선 소프트웨어는 기계/전자적으로 구현되어 있던 제어 논리를 대치하는 용도였다면, 근래에는 전체 시스템을 고도로 지능화하고 통합 관리하는 형태로 진화되었다. 이에 따라, 과거에는 개개의 제어 프로그램을 검증하는 것으로 소프트웨어의 검증이 충분했으나, 최근에는 분산 소프트웨어의 통합 기능의 안전성을 검증해야 하는 것으로 검증의 패러다임이 바뀌고 있다. 자동차와 항공기에 탑재되는 소프트웨어의 통합화와 고도화가 안전성에 미치는 영향의 사례를 살펴보면 다음과 같다.
자동차 소프트웨어의 통합화 및 고도화로 인한 위기 : 초기 자동차에 탑재되는 소프트웨어는 엔진의 정밀제어를 위한 것이었다. 이러한 제어 소프트웨어는 변속기나 브레이크 등 다른 모듈에도 차례로 적용되어 나갔다. 차량내의 ECU들은 점차로 CAN(Car Area Network)과 같은 차량용 통신시스템에 의하여 연결되기 시작했으며, 이러한 상호연결과 통합화는 점차로 고도화되고 있다. 예를 들면, 최신형 메르세데츠 벤츠의 승용차는 앞차와 거리를 인식하여 자동으로 속도를 조절하고 사고 이전에 정지하는 기능을 탑재하고 있는데, 이는 자동차 제어시스템 전체를 통합화, 고도화하지 않고는 불가능한 기능이다. 최근 5년간 갑작스럽게 발생하고 있는 자동차 소프트웨어 결함으로 인한 리콜 사태들은 이러한 통합화, 고도화가 소프트웨어의 안정성에 어떻게 영향을 주고 있는지를 간접적으로 보여준다.
항공기 소프트웨어의 통합화 및 고도화로 인한 위기 : F-35의 개발 상황을 분석, 미국 의회에 제출된 2012년 문서를 보면 F-35의 개발을 지연시키고 있는 가장 큰 원인 중 하나로 항공기 내 소프트웨어의 통합 및 검증의 어려움을 명확히 지목하고 있다. 과거 소프트웨어가 수행하던 역할이 항공기를 최적의 제어 표면에 위치시키는 것이었다면, 최근에는 무기 제어, 편대비행제어, 통신, 헬멧영상 (Head Up Display) 장치까지 항공기와 주변 상황 전체를 통제하고 있다. 앞서 예시한 F-22의 2003년 날짜변경선 상에서의 사고를 다시 살펴보자. 최첨단 군용항공기 사고의 특성상, 문제의 세부 사항은 알려지지 않고 있으나, 편대비행을 하던 6대의 F-22 비행기들이 날짜 변경선을 지나면서 통신, 내비게이션 등을 담당하는 다수의 컴퓨터가 완전히 통제불능에 빠졌다는 사실은 공개되어 있다. 일반적인 상황을 가정할 때, 여러 컴퓨터에 있는 프로그램이 동시에 날짜 변경선과 관련된 결함을 가지기는 어렵다. 따라서 날짜 변경선과 관련된 하나의 소프트웨어 결함이 도미노 현상을 일으키면서 여러 컴퓨터를 통제불능에 빠지게 했을 확률이 높다. 이는 항공기 소프트웨어의 통합화 및 고도화가 시스템의 안전성에 가져오는 문제의 일면을 보여준다.
문제는 현재의 소프트웨어 검증 기술이 수십~수백 개의 컴퓨터에 분산된 소프트웨어의 상호 운용성에 대한 엄밀한 통합 검증을 수행 할 수 있는 수준에 미치지 못한다는 사실이다. 특히 앞서 나열한 사고들의 많은 수를 돌아보았을 때, 분산 소프트웨어의 많은 결함들이 경주 조건에 숨어 있다는 사실은 문제에 심각성을 더한다. 왜냐하면, 현재 안전 우선 소프트웨어 인증 절차는 대부분 커버리지 테스트에 의존하고 있는 것이 현실이며, 경주 조건에 숨어 있는 결함은 테스팅으로 밝혀내기 어렵기 때문이다.

국내 연구개발의 필요성
앞서 언급한 바와 같이, 우리나라의 중심 산업 중 하나인 자동차 산업에서 소프트웨어의 비중은 나날이 높아지고 있다. 자동차 전문가의 예측에 따르면 자동차산업 혁신의 80% 이상이 소프트웨어에서 나오고 있으며, 향후 10년 내에 소프트웨어를 포함한 자동차 내의 전자적 장치가 자동차가격의 50% 이상이 될 것으로 전망하고 있다. 이미 최고급 승용차의 경우 35%~40% 정도의 가격이 소프트웨어 등 전자적 장치의 가격이 차지하고 있다.
BMW의 경우 전체 R&D 인력 중 소프트웨어 인력의 비중이 절반을 차지하는 가운데, 현대자동차 R&D의 심장인 남양연구소의 소프트웨어 개발 인력은 5%에 불과하다.
한국항공우주산업주식회사(KAI)에서 개발한 T-50 훈련기를 필두로 우리나라에서도 항공기 소프트웨어 개발 사례가 늘고 있다. LG CNS에서도 KC-100이라는 4인승 소형항공기의 통합항공전자 시스템 개발을 진행하고 있다.
뿐만 아니라, 국내 연구소와 기업에서도 DO-178B 인증 수준의 실시간 운영체제를 개발한 바 있으며, 안전 우선 시스템에서 사용하는 미들웨어인 DSS을 개발하여 표준 인증에도 성공한 바 있다.
안전 우선 소프트웨어의 산업 비중이 높아지고, 국내 개발 사례가 늘어나면서 이러한 시스템에 대한 통합 검증 프레임워크는 이러한 국내 연구 개발 움직임에 훌륭한 시너지를 줄 수 있으리라 기대한다.
또한, 본 연구 과제 수행에서 배출된 인력은 인력 부족에 허덕이는 안전 우선 소프트웨어 산업의 역군으로 자리매김할 수 있을 것이다.▒

* 본 기사는 '월간로봇' 12월호에서도 볼 수 있습니다. 모든 표기는 '월간로봇'의 규정에 따랐습니다.