위해분석·안전요구·안전사례

1. 시험을 모두 통과한 운반장치가 왜 위험할까

운반장치가 “통로가 비어 있으면 전진한다”는 명세대로 움직인다. 그런데 통로가 비었다는 값이 2초 전 값이고, 지금은 작업자가 들어와 있다면 어떨까? 프로그램은 명세를 지켰어도 사람이 다칠 수 있다. 안전을 위해서는 코드가 맞는지뿐 아니라 명세가 위험한 행동을 허용하지 않는지 물어야 한다.

이번 절의 목표는 위험한 상황을 막연한 경고문으로 남기지 않고, 위험원 → 분석 → 측정 가능한 안전요구 → 설계·시험 증거 → 잔여위험 판단으로 바꾸는 것이다. 같은 가상 장치의 사례를 끝까지 따라가며, 마지막에는 자료가 부족한 출시 요청을 왜 보류해야 하는지 직접 설명한다.

여기 나오는 장치·자료·시간·거리·시험 결과는 모두 자체 교육 가정이다. 실제 장치 제작 지침, 사람과 기계 사이의 법정 안전거리, 제품 인증이나 현장 운전 승인이 아니다.

먼저 되짚기: 위험·통제·증적

자산·위험·통제·증적에서는 자산과 목적에 대한 위험, 이를 바꾸는 통제, 통제의 실제 작동을 뒷받침하는 증적을 구분했다. 이번에는 사람·환경·재산에 대한 위해를 대상으로 그 연결을 구체화한다.

요구와 시험은 같은 질문이 아니었다

기능·품질속성·제약에서는 품질 요구에 조건과 측정값을 붙였고, 검증·확인·운영 피드백에서는 명세 충족과 실제 필요 충족을 나누어 판단했다. 안전에서도 시험 개수보다 위험을 빠뜨리지 않은 요구와 실제 사용조건을 대표하는 증거가 중요하다.

소프트웨어 안전의 담당 경계

소프트웨어 안전은 소프트웨어가 관여하는 시스템의 행동과 상호작용에서 사람·환경·재산에 대한 허용할 수 없는 위해 위험을 식별하고 통제하는 성질이다.

소프트웨어 결함에 의한 오작동뿐 아니라, 잘못된 요구·정보 지연·모드 혼동으로 정상 구성요소들이 함께 위험한 행동을 만드는 경우도 분석한다. 제어 대상과 운영자·센서·구동부를 경계 밖으로 지워 놓고 코드만 검사해서는 충분하지 않다. [SA1]

이 절은 위해분석, 안전제약과 요구 도출, 고장 시 안전상태, 독립성·다양성, 안전사례와 변경 후 재검토를 담당한다. 산업별 안전무결성 등급 산정이나 특정 표준 전체 적합성 판정은 하지 않는다.

신뢰성·보안·안전의 초점은 다르다

정지는 운반 가용성을 낮추지만 위해를 줄이기 위해 필요한 행동일 수 있다. 반대로 수직으로 매단 하중을 지탱하는 장치의 전원을 무조건 차단하면 추락 위험을 만들 수 있으므로 “멈춘다”와 “안전해진다”도 자동으로 같은 뜻은 아니다.

2. 손실, 위험원, 원인을 한 칸에 쓰지 않는다

위험원은 정한 시스템 상태나 조건이 불리한 환경과 결합하여 손실로 이어질 수 있는 위험한 상황이다. 이 절은 STPA의 시스템 상태 관점으로 범위를 정하며, 일반 문헌에서 위험원이라는 말을 위험의 근원까지 넓게 쓰는 경우와 구별한다. 안전제약은 식별한 위험원을 예방하거나 통제하기 위해 시스템 행동에 부과하는 제한이다. [SA1]

“센서 오류”는 가능한 원인이지 피해 그 자체가 아니다. 반대로 “사람이 다친다”만 적으면 무엇을 제어해야 하는지 바로 드러나지 않는다. H1처럼 통제할 상태를 먼저 쓰고 센서·소프트웨어·운영의 원인 후보를 확장한다.

SA-T: 분석할 장치와 모드를 먼저 고정한다

가상 SA-T는 수평 바닥의 제한된 시험 구역에서 짐을 운반한다. 제어기는 통로 감지정보와 속도 피드백을 받아 구동부에 전진 허용 또는 제동을 명령한다. 운영자는 구역 밖에서 시작·정지·수동 리셋을 요청한다. 업무 서버는 운반 목적지만 주며, 안전 정지는 그 서버의 응답을 기다리지 않게 설계한다.

자동운전, 정지, 재기동, 정비, 통신단절, 전원복구를 분석 모드로 정한다. 정비 중에는 운반 기능을 금지하고 별도의 에너지 격리 절차를 적용하는 것으로 경계를 둔다. 경사면·수직 하중·사람의 이동속도·센서의 모든 사각은 아래 산술 모형에 포함되지 않으므로 실제 현장 안전은 이 계산만으로 판단하지 않는다.

분석 기록에는 장치 판본 SA-T/1, 운전 모드, 적재·노면 조건, 사람 접근 경로, 제어·피드백 경계와 제외 범위를 적는다. 조건을 바꾸면 분석도 다시 열어야 한다.

위험에서 증거까지 한 줄로 연결한다

첫 행은 손실에 이르는 원인 관계이고, 둘째·셋째 행은 예방·검증과 판단의 연결이다. 분석표, 요구서와 시험서를 따로 작성하더라도 식별자로 연결해야 누락을 찾을 수 있다.

3. FMEA: 하나가 잘못되면 무엇이 달라질까

고장형태 및 영향분석(FMEA)은 구성요소나 기능의 고장형태에서 출발하여 그 영향이 상위 기능과 시스템으로 어떻게 전파되는지 분석하는 방법이다. 아래에서 위로 올라가는 분석이라는 점이 핵심이다. [SA2]

“고장”이라고만 쓰지 말고 값이 고정됨, 신호가 없음, 동작이 늦음처럼 어떤 모습인지 적는다. 그다음 국부 영향과 H1까지의 시스템 영향을 나누고, 현재 방어·추가 요구·확인 증거를 붙인다. 확률자료 없이 서열 점수의 곱을 실제 사고확률로 해석하지 않는다.

SA-F: 세 행을 실제로 작성한다

첫 행에서 통신 수신시각만 계속 새로 찍으면 센서 값 고정을 알아내지 못한다. 세 번째 행에서는 재부팅이 성공했다는 로그보다 장치가 실제로 전진하지 않았다는 관찰이 요구에 맞는 증거다. 세 행은 분석 예제이지 가능한 모든 고장 목록의 완료가 아니다.

FTA: 이 상위 사건은 어떤 조합에서 가능한가

결함수 분석(FTA)은 원하지 않는 상위 사건을 먼저 정하고 그것을 일으키는 하위 사건과 조합을 논리적으로 분해하는 방법이다. FMEA와 달리 위에서 아래로 원인 조합을 좁힌다. [SA2]

SA-T에서 E를 “사람이 노출될 수 있는 상황”, U를 “위험한 전진 허용”, B를 “필요한 정지를 수행하지 못함”으로 놓는다. 교육용 상위 사건 T를 E AND (U OR B)로 모델링하면, E와 적어도 하나의 U·B가 함께 있어야 T가 참이다. 이는 이 세 사건으로 제한한 논리 예시이며, 충돌의 모든 물리 조건을 표현하거나 사고확률을 산정한 모형은 아니다.

AND는 조건이 함께 필요하다는 뜻이지 통계적으로 독립이라는 뜻이 아니다. 독립성을 확인하지 않은 사건의 확률을 단순히 곱하지 않으며, 소프트웨어 시험 실패율을 곧바로 현장의 위험 고장확률로 바꾸지 않는다.

센서 두 개를 설치하면 독립적인 방어 두 개일까

공통원인은 하나의 원인이나 공유 조건이 여러 방어 경로를 함께 무력화하는 경우다. 안전 경로의 독립성은 한 경로의 고장이나 간섭이 다른 경로의 안전기능까지 동시에 상실시키지 않도록 분리하고 그 근거를 확인하는 성질이다. 안전 설계의 다양성은 서로 다른 원리나 구현을 사용하여 같은 원인에 함께 취약해질 가능성을 줄이려는 설계 전략이다.

예를 들어 센서 두 개가 같은 전원·같은 입력 드라이버·같은 잘못된 시각 정보를 쓴다면, 전원 상실이나 공통 소프트웨어 결함으로 둘 다 실패할 수 있다. 공급업체가 달라도 동일한 사각에 가려지는 원리는 같을 수 있다. 복제 수만 세지 말고 공유 전원·통신·스케줄러·환경·요구 오류를 확인한다.

SA-T에서는 업무 서버와 안전 정지 경로를 분리하는 안을 선택한다. 다만 분리 설계도를 그렸다는 이유만으로 독립성이 입증되지는 않는다. 공통 전원 상실, 업무 통신 폭주와 센서 고정 조건에서도 정지기능을 수행하는지 확인할 시험이 남는다. 이는 자체 설계 논점이며 실제 장치의 독립성 인증이 아니다.

4. STPA: 각 부품이 고장 나지 않아도 위험할 수 있다

시스템 이론 기반 프로세스 분석(STPA)은 손실과 위험원을 기준으로 제어구조, 위험한 제어행동과 그 발생 시나리오를 분석하여 안전제약을 도출하는 방법이다. 손실·분석 목적을 정하고, 제어구조를 모델링하고, 위험한 제어행동을 찾고, 그 행동이나 실행 실패가 생기는 시나리오를 설명한다. [SA1]

SA-T에서는 제어기가 통로가 비었다고 믿고 있어도 현실은 다를 수 있다. 센서가 한 번도 고장 나지 않았더라도 정상 통신이 늦게 도착하면 같은 문제가 생긴다. “개발자가 실수했다”에서 멈추지 않고 어떤 정보가 언제 없어지거나 잘못 해석되어 어떤 명령을 만들었는지 쓴다.

제어 명령과 피드백을 나누어 그린다

명령을 보낸 사실과 장치가 명령대로 움직인 사실은 다르다. 센서·구동부·운영자 사이 필요한 피드백이 빠진 곳을 찾고, 정상·정비·전원복구 모드에서 책임이 바뀌는지도 본다.

SA-U: 행동의 내용뿐 아니라 시점과 지속시간을 묻는다

위험한 제어행동(UCA)은 특정 맥락에서 위험원으로 이어지는 제어행동 또는 필요한 제어행동의 누락이다. 제공하지 않음, 위험한 제공, 잘못된 시점·순서, 부적절한 지속시간을 나누어 검토한다. 지속시간 항목은 지속되는 제어행동에 적용하고 모든 명령에 억지로 네 행을 채우지는 않는다. [SA1]

별도 시나리오 U5는 “정지 후 리셋을 눌렀을 때 과거 시작 요청이 재사용되어 전진함”이다. 이것은 새로운 시작 의사 확인의 순서 문제이므로 R03으로 연결한다. 네 분류를 안다는 것과 모든 위험한 맥락을 찾았다는 것은 다르다.

세 방법을 경쟁 관계로 보기보다 서로 다른 질문에 활용한다

SA-T에서는 FMEA로 주요 고장의 전파를 살피고, FTA로 정한 상위 사건의 조합을 점검하고, STPA로 제어·피드백의 누락을 보완한다. 세 이름을 모두 쓴다고 충분성이 보장되는 것은 아니며, 각 분석에서 나온 조치를 같은 H1·요구·시험 식별자에 모은다.

5. “빠르게 정지한다”를 시험 가능한 요구로 바꾸기

안전요구에는 대상, 발생 조건, 수행할 행동, 시간·범위·판정 기준과 상위 위험원의 연결을 붙인다. 설계자는 왜 그 수준이 필요한지와 가정을 별도로 기록하고, 시험자는 무엇을 관찰해야 통과인지 미리 정한다. 식별자·추적성·명확한 수치 경계의 원칙은 NASA의 요구 작성 지침을 참고한다. [SA3]

“안전 제어기를 설치한다”는 해법의 이름이고 “최대한 빨리 멈춘다”는 모호한 목표다. 먼저 “정한 위험 발생 후 실제 감속이 언제 시작되고, 어디까지 이동할 수 있는가”를 요구로 정한 다음 설계 대안을 고른다. 시험 결과를 본 뒤 느린 결과에 맞춰 한계를 바꾸지 않는다.

SA-D: 반응 지연 동안에도 장치는 움직인다

이번 계산은 고정된 경계선까지의 남은 거리 안에 장치를 세우는 단순 수평 운동 문제다. 사람의 접근속도나 기계 안전거리 표준의 모든 항을 대신하지 않는다. 가정은 다음과 같다.

지연 중에는 속도가 유지되므로 이동거리는 vτ다. 감속이 일정하면 0=v²−2ad에서 감속 거리는 v²/(2a)다. 두 거리를 더하고 여유를 넣는다.

식을 처음 읽을 때 vτ는 v와 τ를 곱한다는 뜻이고, v²는 v×v다. τ는 그리스 문자 타우이며 여기서는 지연시간의 이름일 뿐이다. 감속 1.5 m/s²는 이 가정에서 1초마다 속도가 1.5 m/s씩 줄어든다는 뜻이다. 따라서 1.2 m/s에서 멈추는 데 걸리는 시간은 v/a=1.2/1.5=0.8초다. 일정하게 줄어드는 속도의 평균은 (처음 1.2+끝 0)/2=0.6 m/s이므로 감속 중 이동은 평균속도×시간=0.6×0.8=0.48 m다. 이를 문자로 쓰면 (v/2)×(v/a)=v²/(2a)가 된다. 지연 중 0.18 m는 이 감속 구간이 시작되기 전에 이동한 거리이므로 0.48 m에 별도로 더한다. 속도를 두 배로 하면 같은 감속에서 이 항은 네 배가 되는 이유도 v를 두 번 곱하기 때문이다. 아래 계산 뒤에는 조건 변경 연습에서 속도와 감속을 하나씩 바꾸어 같은 순서로 다시 계산한다.

d_required = vτ + v²/(2a) + m
           = 1.2×0.15 + 1.2²/(2×1.5) + 0.24
           = 0.18 + 0.48 + 0.24 = 0.90 m
남은 여유 = D − d_required = 1.00 − 0.90 = 0.10 m

0.90 m는 명시한 모형 안의 계산값이다. 실제 노면·적재·전압에서 감속 1.5 m/s² 이상과 전체 지연 0.15 s 이하가 입증되지 않으면 이 계산으로 운전을 승인하지 않는다. 지연의 평균이나 95백분위가 0.15 s라는 자료도 모든 허용 운전조건의 상한 근거를 대신하지 않는다.

지연의 시작점과 끝점을 고정한다

SA-T의 교육용 반응시간 예산은 위험 발생·감지정보 노후화 감시 100 ms, 제어 판단·출력 20 ms, 구동부 반응 30 ms로 합계 150 ms다. 구간이 연속되고 빠진 시간이 없다는 조건으로 배분하며, 실제 시스템의 검증된 지연값이라고 표시하지 않는다.

전체 시험에서는 물리적 위험조건이 발생한 시각부터 실제 감속이 시작한 시각까지 같은 검증된 시간기준으로 측정한다. 메시지 수신부터 명령 송신까지 20 ms만 측정해서 전체 반응시간 150 ms를 만족했다고 쓰지 않는다. 시각 동기 오차·측정 불확실성도 한계 판정에 반영하고 이를 확인하지 못하면 결과를 미확인으로 남긴다.

안전상태와 고장 시 행동을 정한다

안전상태는 해당 위험원과 운전 맥락에서 위해 위험을 통제하도록 정한 시스템 상태다. SA-T의 운전 위험에는 전진 금지, 필요한 제동 유지와 재시작 잠금을 조합한다. 안전 정지 요청은 정지 완료를 뜻하지 않으므로 속도·기계 상태 확인 전까지 정지 완료로 표시하지 않는다.

고장 시 안전한 쪽으로 이동시키려는 고장안전 설계도 그 상태가 실제로 안전하다는 근거가 필요하다. 이 수평 장치에서는 전원 상실 시 제동 유지가 가능한 설계를 검토 대상으로 선택하지만, 기계식 제동력·적재 유지와 정비 에너지 격리를 별도로 검증한다. 수직 하중이나 경사면으로 바뀌면 전원 차단만으로 안전하다고 복사하지 않는다.

SA-R: 실제 요구와 판정 기준

정보 나이는 통신 수신시각이 아니라 검증된 시간기준의 실제 측정시각부터 계산한다. 갱신번호가 진행하지 않거나 진단이 유효하지 않으면 새 메시지가 와도 정상 감지정보로 인정하지 않는다. 아래 값은 SA-T/1의 교육용 요구이며 현장 공통 표준값이 아니다.

R01~R04는 설명을 위한 요구 묶음이다. 실제 기준선에서는 R02의 시간·감속·거리 및 R03의 부팅·리셋·새 시작을 각각 추적 가능한 하위 요구로 분리한다. 요구, 선택한 구현, 담당자 업무를 한 문장에 섞지 않는다.

SA-S: 리셋은 시작이 아니다

이해를 위한 상태는 잠금 정지 LOCKED, 기동 준비 READY, 운전 RUN 세 개로 정한다. LOCKED는 전진 허용이 차단된 상태를 뜻하며 물리적으로 이미 정지했다는 뜻이 아니다. 정지 확인은 별도 피드백이다.

상승 에지는 시작 신호가 꺼짐에서 켜짐으로 바뀌는 순간이다. 리셋과 동시에 들어온 시작은 새 시작으로 쓰지 않고, 시작을 계속 누르고 있었어도 다시 놓았다 눌러야 한다. 이전 시작 명령을 큐에 남겨 자동 재사용하는 설계는 채택하지 않는다. 이 상태표는 명령 논리의 교육 모형이며 물리적 제동의 정확성을 증명하지 않는다.

구현 선택에는 기각한 대안도 남긴다

SA-T/1에서는 안전 정지의 판단·출력 경로가 업무 서버·일반 운반 메시지의 처리 성공을 기다리지 않도록 분리한다. 센서 정보의 유효성·갱신을 확인하고, 위험 정지를 잠금으로 유지하며, 실제 정지 피드백 뒤 별도 리셋과 새 시작을 요구한다. 제동 출력과 실제 감속이 다를 수 있으므로 기계적 성능도 검증 항목에 남긴다.

업무 서버가 응답할 때까지 마지막 정상값으로 계속 운반하는 안은 미확인을 정상으로 바꾸므로 기각한다. 같은 센서 드라이버를 복사한 프로세스 두 개만으로 독립성을 주장하는 안도 기각한다. 경고음만 추가하는 안은 사람이 항상 제때 듣고 피한다는 가정에 의존하므로 핵심 정지 요구의 대체안으로 쓰지 않는다.

안전 경로 분리는 비용과 정지 빈도를 늘릴 수 있다. 그러나 생산성 때문에 진단을 끄는 대신 안전 요구를 유지하는 범위에서 오경보 원인을 개선한다. 위 조치는 검토된 설계안이지 모든 공통원인을 제거한 완제품 구조가 아니다.

6. 시험은 요구와 위험에 연결해서 설계한다

R01은 정상값뿐 아니라 통신단절·정보 고정·시각 역전·갱신번호 재사용을 넣는다. R02는 정한 최대 적재와 불리한 허용 노면·전압·온도 등 실제 운영경계에서 시간과 감속을 측정한다. 이 교재는 그런 물리 시험을 수행하지 않았으므로 결과를 만들어 통과로 쓰지 않는다.

R03은 각 상태에서 위험 신호·정지·리셋·새 시작·전원복구의 순서를 바꿔 시험한다. R04는 변경한 판본에 이전 판본의 시험 결과를 그대로 붙였을 때 적합 증거로 받아들이지 않는지 확인한다. 소프트웨어 단위시험, 통합·고장주입, 물리 성능 확인은 서로 다른 증거이며 한 종류의 통과로 나머지를 생략하지 않는다.

필요하면 검토·정적분석·형식적 상태 검증을 함께 사용한다. 단, 형식 모형에서 증명한 것은 명시한 가정과 모형의 성질이며 센서 설치·노면·기계 오차가 자동으로 검증되는 것은 아니다.

SA-E: 성공·실패·미확인을 구별한다

다음은 실제 시험 기록이 아니라 판정 연습을 위한 가상 관찰이다. 측정 불확실성은 이미 판정값에 반영됐다고 가정한다.

통과율이 높아도 R01 실패와 R02 미확인을 가려서는 안 된다. 위 결과라면 해당 결함 수정과 재시험, 물리 검증 전까지 운영 허가를 보류한다. “자료 없음”을 0 ms나 실패 0건으로 채우지 않는다.

안전사례는 시험보고서 파일의 다른 이름이 아니다

안전사례는 특정 적용·운전환경에서 시스템이 충분히 안전하다는 주장을 논증과 증거로 뒷받침하고 가정·한계를 명시하는 구조화된 설명이다. “무엇이 안전하다는 것인가”, “왜 그 증거로 그렇게 말할 수 있는가”, “어떤 적용·환경에 한정되는가”를 함께 읽는다. [SA4]

주장은 판단할 문장이고, 논증은 증거가 그 주장을 지지하는 이유이며, 증거는 실제 분석·시험·검토 결과를 식별해 연결한 것이다. “요구서가 있다”는 사실은 요구대로 장치가 정지한다는 증거가 아니고, 결과 없는 시험계획도 시험 통과 증거가 아니다. [SA4]

SA-C: 주장과 증거를 실제로 연결한다

주장 G0를 “SA-T/1의 명시한 자동운전 조건에서 H1을 통제한다”로 둔다. 이를 G1 위험한 전진의 차단, G2 필요한 거리 내 정지, G3 예기치 않은 재시작 방지로 나눈다. 논증은 각 위험 경로에 대응하는 요구와 독립된 확인 증거를 연결하는 것이다.

증거에는 대상 판본·환경·측정 방법·판정 기준·결과·실패·검토자를 남긴다. 반대되는 관찰을 누락하거나 존재하지 않는 보고서를 연결하면 논증이 성립하지 않는다. 이 자료에서는 G0를 승인하지 않고 결함과 미확인 해소를 먼저 요구한다.

남은 위험을 누가 무엇을 근거로 판단하는가

개발 담당자는 위험원·요구·구현의 추적표를, 시험 담당자는 판본·조건별 성공과 실패·미확인을, 운영 담당자는 실제 설치·정비·우회 가능성과 운전 범위를 제출한다. 안전 검토자는 빠진 위험원·가정·공통원인·반례를 확인하고, 지정된 수용 권한자는 해당 산업의 의무와 조직의 기준을 충족하는 범위에서 결정한다. 자기 시험 결과를 스스로 적었다는 사실만으로 독립 검토가 되지는 않는다.

SA-E처럼 핵심 요구 위반이나 필요한 증거 미확인이 남아 있으면 단순히 “잔여위험 수용” 도장을 찍어 완료하지 않는다. 우선 수정·추가 검증 또는 위험한 운전 범위 제외를 결정한다. 법적·표준상 의무나 승인 권한을 이 교육 사례가 정해 주는 것은 아니다.

출시 뒤에도 진단 우회, 근접사고, 정지거리 변화와 센서 교체를 관찰하고 분석·요구·증거를 갱신한다. 오래 사고가 없었다는 사실만으로 분석이 충분하거나 위험이 0이었다고 결론 내리지 않는다.

공식 SW 안전 범위를 답안으로 연결한다

공식 SW 안전 범위는 이 절에서 위험원·손실과 제어 경계를 식별하고, 위해분석 결과를 안전요구·고장 시 행동·독립성·증거와 잔여위험 판단에 연결하는 학습으로 다룬다. 공식 출제기준 보존 PDF의 필기 2쪽과 면접 6쪽에 있는 “소프트웨어 품질 — SW 안전”을 담당한다.

FMEA·FTA·STPA 표를 채우는 데 그치지 않고 명시한 사례의 안전기능·시간·거리·재시작을 결정하고, 실패와 미확인 때문에 승인할 수 없는 경우를 설명한다. 아래 문제는 이 학습을 위한 자체 문제이며 실제 기출의 공식 기준답안이나 배점표가 아니다.

출처와 적용 경계

[SA1] Nancy G. Leveson, John P. Thomas, STPA Handbook, March 2018, Chapter 1의 비고장 상호작용과 Chapter 2의 분석 절차·위험원·UCA·제약·시나리오, 인쇄/물리 4·14~21·35~45쪽. https://psas.scripts.mit.edu/home/get_file.php?name=STPA_handbook.pdf

[SA2] NASA SSRI Knowledge Base, Mechanical Fault Tree Analysis, Scope and Description 및 Best Practices and Lessons Learned의 상위 사건·하위 조합과 상향식 FMEA 비교. 주제 페이지의 업데이트일을 최초 발행일로 사용하지 않는다. https://s3vi.ndc.nasa.gov/ssri-kb/topics/16/

[SA3] NASA Systems Engineering Handbook, Appendix C, C.2~C.4의 명확한 요구·가정·추적성·측정 가능성. https://www.nasa.gov/reference/appendix-c-how-to-write-a-good-requirement/

[SA4] NASA CertWare, Claim-Argument-Evidence Notation Arguments의 주장·논증·증거 설명. 도구의 현행 지원이나 도입 권장은 평가하지 않았다. https://nasa.github.io/CertWare/cae.html

확인일은 2026-09-18이다. 관찰일을 미확인 발행일이나 효력 발생일로 바꾸지 않는다. 저작물의 그림·표·사례를 복제하지 않고 일반 방법을 독립적으로 설명하며 SA-T 수치·분석표·답안은 자체 작성했다. 원문 보존과 공개 재배포 권리는 다르며 독립 기술·권리 감수, 실제 초보 독자 실험과 제품 인증은 미수행이다.

독립 연습 — 좋은 평균 대신 해당 요구의 증거를 읽는다

다음은 본문 사례의 조건을 적용하거나 바꾼 자체 연습이다. 먼저 판단과 근거를 적고 풀이를 펼친다.

SA-T/1의 기본 가정과 R01~R04를 그대로 사용한다. 위험 발생부터 실제 감속 시작까지의 전체 반응지연은 149 ms로 측정됐지만 최대 적재 시 최소 감속 자료는 없다. 센서 자료가 101 ms 오래됐을 때도 운행을 허용했다. 수동 확인 뒤 리셋만 입력했을 때는 자동으로 출발하지 않았다.

• 각 관찰을 요구의 충족·위반·미확인으로 나누어 판정하라.
• 현재 자료로 G0를 승인할 수 있는지, 추가로 필요한 증거를 쓰라.

7. 자체 10점 문제 — 분석에서 안전 논증까지

소프트웨어 안전의 의미를 설명하고 FMEA·FTA·STPA의 분석 관점을 비교하시오. 분석 결과를 안전요구와 안전사례로 연결하는 방법을 가상 운반장치 사례로 설명하시오.

요구어는 설명·비교·연결이다. 아래 답안은 앞 본문에서 배운 내용을 묶은 자체 교육 예시이며 공식 기준답안·채점표·예상득점이 아니다. 먼저 답안을 가리고 목차와 핵심 결론을 작성한 뒤 근거 본문과 대조한다.

8. 자체 25점 문제 — 주어진 조건의 안전 설계를 완성한다

가상 SA-T/1 수평 운반장치의 위험원 H1을 통제하는 안전 설계를 제시하시오. 초기 속도 상한 1.2 m/s, 전체 반응지연 0.15 s, 일정한 최소 감속 1.5 m/s², 추가 여유 0.24 m, 고정 경계까지 거리 1.00 m를 가정한다. 분석·정지거리·정보 유효성·리셋 후 재기동·독립성·검증 및 안전사례를 포함하고, 101 ms 정보로 전진을 허용한 결과와 최대 적재 감속 자료 미확인에 대한 출시 판단을 제시하시오.

요구어는 설계·계산·판단이다. 아래 답안은 앞 본문에서 배운 내용을 묶은 자체 교육 예시이며 공식 기준답안·채점표·예상득점이 아니다. 먼저 답안을 가리고 목차와 핵심 결론을 작성한 뒤 근거 본문과 대조한다.

9. 내 답안의 오류를 직접 고친다

자기점검 대상은 용어 구분, 원인·요구 연결, 계산의 항·단위, 재시작 조건, 증거·승인 경계의 다섯 영역이다. 각 영역에서 내가 쓴 올바른 문장과 근거 본문을 하나씩 짝지어 본다. 공식 배점이 아니며 합계가 높아도 거리 누락이나 근거 없는 승인 결론부터 고친다.

조건을 바꾼 다음 답안을 가리고 다시 판단한다

연습 1 — 속도만 1.8 m/s로 올리면? 같은 지연·감속·여유에서 1.8×0.15+1.8²/(2×1.5)+0.24=0.27+1.08+0.24=1.59 m다. 허용 거리 1.00 m를 0.59 m 초과하므로 이전 승인을 복사할 수 없다. 새 속도 운전을 보류하고 속도 제한·분리거리·제동 성능의 대안과 실제 증거를 다시 검토한다.

연습 2 — 속도는 1.2 m/s지만 최소 감속이 1.0 m/s²라면? 필요한 거리는 0.18+0.72+0.24=1.14 m로 0.14 m 초과한다. 제어 코드가 그대로여도 기계·노면 조건 변화가 안전요구의 근거를 깨뜨릴 수 있다. 이는 단순 수평 모형의 판단이고 실제 인명 안전거리 판정이 아니다.

연습 3 — 센서 두 개가 같은 전원과 시각기준을 공유한다면? 두 결과가 일치했다는 사실만으로 독립 방어라고 쓰지 않는다. 전원 상실·잘못된 공통 시각에서 동시 상실 또는 오래된 값의 정상 판정이 가능한지 분석하고, 분리·다양성·검증 대안을 다시 정한다.

면접에서는 “시험을 통과했는데 왜 출시를 막는가”에 대해 어느 요구의 어떤 증거가 부족한지 답한다. “안전하게 만든다”는 추상어보다 R01 실패·R02 미확인·판본 불일치 같은 근거를 말하고, 이 가상 설계를 본인의 실제 수행 경력으로 주장하지 않는다.

한 번에 되찾기

안전은 손실·위험원·제어 맥락에서 출발해 분석·요구·설계·증거·잔여위험을 잇는 판단이다. 명령 전송과 실제 정지, 복제와 독립, 계획과 수행 증거, 일부 시험과 전체 안전을 구별한다. 조건·판본이 바뀌거나 핵심 실패·미확인이 남아 있으면 해당 운전 허가를 보류하고 근거를 다시 만든다.

조건을 바꾸어 연습하기: 숫자 하나의 통과를 다른 요구의 통과로 옮기지 않는다.

다음은 SA-T의 교육 요구를 읽는 판정 문제다. 시간·거리 수치는 주어진 단순 모형의 계산이며 실제 장치의 안전성을 측정하거나 승인한 결과가 아니다.

1. SF-I. 현재의 검증된 시각은 1,000 ms다. 모든 메시지의 수신시각은 999 ms이고 “통로 비어 있음”을 보고한다. 직전 갱신번호는 42다. A는 실제 측정시각 901 ms·갱신번호 43·진단 유효, B는 899 ms·43·유효, C는 1,005 ms·43·유효, D는 905 ms·42·유효, E는 950 ms·43·진단 무효다. 그 밖의 조건은 같고 시각 오차는 이 문제에서 없다고 둔다. R01의 전진 허용 조건에 사용할 수 있는 메시지와 기각 이유를 쓰라. 사용할 수 있는 정보라는 판정만으로 전진 명령을 반드시 내리게 되는가?
2. SF-T. 같은 검증된 시간기준으로 위험 발생부터 실제 감속 시작까지 144 ms를 측정했다. 이번 교육 판정은 실제 지연이 측정값보다 최대 8 ms 더 길 수 있으므로 152 ms를 상한으로 사용한다고 정한다. 다른 모형 값은 v=1.2 m/s, 일정한 최소 감속 a=1.5 m/s², m=0.24 m, D=1.00 m다. 상한 지연으로 필요한 거리를 계산하라. 이 계산이 1.00 m 이내이면 R02의 전체 지연 150 ms 이하 조건도 통과인가? 감속 1.5 m/s²가 실제 운전조건에서 입증되지 않았다면 거리 산술의 결과를 어떤 한계와 함께 제시해야 하는가?
3. SF-E. SA-T/2의 H1 통제 주장을 검토한다. 보고서 P는 SA-T/1의 감속·거리 시험, Q는 SA-T/2에서 101 ms 정보를 사용해 전진을 허용한 관찰, R은 SA-T/2의 전체 지연 149 ms 관찰, S는 아직 수행하지 않은 SA-T/2 재기동 시험계획이다. 판본 변경 뒤 P를 새 조건에 적용할 영향 분석·재검증은 없고, SA-T/2 최소 감속 자료도 없다. 다른 정상 시험 999건을 더해 통과율을 높이면 현재 G0를 승인할 수 있는가? G1·G2·G3별 위반·부분 근거·미확인을 구분하고 보완할 일을 쓰라.