Home

1단계에서는 분석 시스템의 범위를 결정하고 분석 시스템과 관련된 사고와 위험을 정의한다. STPA를 통해 어떤 사고(인명 피해, 임무 실패, 재산 손실 등)를 분석 및 예방할지 결정하여 시스템의 분석 범위를 결정한다. 그 후 시스템에 발생할 수 있는 사고를 정의하고 시스템 수준 위험(Hazard)을 도출한다.

2단계에서는 컨트롤 스트럭처를 모델링한다. 컨트롤 스트럭처는 컨트롤러(Controller), 제어되는 프로세스(Controlled Process)와 각 컴포넌트간의 CA, 피드백(Feedback)으로 구성된다.

처음 모델링을 할 시에는 시스템을 추상화하여 모델링을 수행하고, 점차 시스템을 상세하게 모델링하여 컨트롤러나 제어되는 프로세스를 구체한다.

3단계는 시스템의 위험을 유발할 수 있는 UCA을 식별한다. 2단계에서 도출한 CA을 바탕으로 분석하며 ‘제공하지 않음’, ‘제공함’, ‘너무 늦게 혹은 빨리 제공’, ‘너무 이르게 혹은 너무 길게 제공’의 총 4가지 타입으로 분류된다.

4단계는 3단계에서 식별한 UCA가 발생하는 원인 및 손실 시나리오를 분석한다. 이때 손실 시나리오는 그림 1과 같이 크게 두 가지로 나뉘어진다.

Fig. 1. 
Type of loss scenarios

첫번째는 UCA로 인한 손실 시나리오이다. 컨트롤러에서 왜 UCA가 전송하였는지를 분석한 시나리오를 말한다. 두 번째는 적절한 CA이 제공되었지만 수행되지 않거나 부적절하게 수행된 시나리오이다. 액츄에이터의 오작동으로 인해 잘못 수행되지 못한 것이나 액츄에이터에서 CA를 전송하였지만 제어되는 프로세스로 잘못 전달된 것 대한 시나리오이다. 본 논문에서는 두 가지 손실 시나리오 중 액츄에이터의 오작동으로 CA가 잘못 수행된 경우에 대해 다룬다.

시스템을 모델링하기 위해서 요구사항을 바탕으로 각 컴포넌트의 상태 공간과 제어 명령, 제약사항을 정의한다.

먼저, 각 컴포넌트의 상태 공간을 정의하기 위해 시스템의 요구사항을 바탕으로 컴포넌트가 수행할 수 있는 행동 혹은 명령을 파악한다. 여기서 행동은 전구의 ON, OFF와 같은 기능 동작을 말한다. 파악된 행동을 통해 컴포넌트가 수행하기 전 혹은 후의 상태를 도출하고, 이를 상태 공간 L으로 정의한다.

• • L = {행동을 수행하기 전 상태} ∪ {행동을 수행한 후 상태}

두 번째로 각 상태와 전환에 대한 시간 제약 사항을 결정한다. 요구사항을 바탕으로 컴포넌트의 위치가 변경되기까지 걸리는 시간을 식별한다.

• • L X = {위치 전환에 걸리는 시간}

마지막으로 각 컴포넌트의 상태 전환를 식별하기 위해서 컨트롤 스트럭처를 바탕으로 각 컴포넌트의 연결과 주고받는 CA과 피드백들을 통해 액션들을 식별한다. 또한, 상태 공간과 CA들을 연결하여 컴포넌트의 상태 전환을 구체화한다.

• • Σ_n = {타 컴포넌트로부터 수신받은 피드백}∪{타 컴포넌트에게 송신한 CA}
• • E⊆L×L X×Σ×2X×L

2단계에서는 1단계에서 정의한 모델을 수정하는 작업을 진행한다. 1단계의 모델에는 컴포넌트가 사고 및 오작동 상태에 도달하는 경우가 포함되어 있지 않다. 따라서 STPA 분석을 통해 얻은 사고와 위험원, UCA를 바탕으로 사고 상태 L_a, 오작동 상태 L_e와 오작동 액션 Σ_e를 정의한다. L_a는 STPA 분석 결과로 얻은 사고를 만족하는 상태로 정의된다. L_e는 UCA를 수행하고 나서 도달하는 컴포넌트의 오류 상태인 stop_error 상태와 시스템의 위험원을 만족하는 상태 hazard로 구성된다. Σ_e는 시스템의 UCA와 컴포넌트들의 오작동 error로 구성된다.

• • L_a = {사고(loss)를 만족하는 상태}
• • L_e = {stop_errorvert (L, UCA) → stop_error}∪{hazard|(L, error) → hazard)}
• • Σ_e = {UCA}∪{error }

3단계에서는 오작동 확률을 계산하여 일반 상태에서 L_e로의 전환 및 확률을 정의한다. 오작동 확률은 구현하는 시스템의 사고 데이터를 바탕으로 적절한 수치를 결정한다. 상태간 확률 전환은 일반적으로 그림 3과 같이 구현한다.

Fig. 3. 
General probability state transitions

L_e로의 전환은 제어 명령이 송신 혹은 수신과 동시에 확률에 따라 결정된다. 이로인해 그림 3과 같이 제어 명령 실행 후 확률에 따라 여러 분기점으로 나눠지게 구현해야 한다. 하지만 UPPAAL의 모든 제어 명령들은 항상 결정적(Deterministic)이게 수행되어야 한다. 따라서 이러한 점을 해결하기 위해 본 논문에서는 그림 4와 같이 제어 명령을 수행 후에 Committed 상태를 이용해 구현한다.

Fig. 4. 
Probability transition using committed state

Committed 상태에 도달하면 해당 상태의 전환부터 반드시 수행되어야 한다. 따라서 Committed 상태 후 확률 전환을 연결하면 제어 명령이 결정적으로 수행되게 하면서 확률 전환도 수행할 수 있기 때문에 그림 4와 같이 구현한다.

1단계에서는 STPA 분석 결과를 통해 생성된 손실 시나리오 중 2가지에 해당된 시나리오를 다룬다.

a) 액츄에이터의 오작동과 UCA 수행된 경우

a번에 속한 손실 시나리오는 액츄에이터의 오작동과 UCA가 동시에 수행된 경우를 말한다. 이 시나리오들은 UCA가 사고에 직접적으로 영향을 끼치는 것들이지만, 액츄에이터의 오작동도 간접적으로 영향을 미치는 시나리오이다. 따라서 컴포넌트들의 상호작용뿐만아니라 액츄에이터의 오작동을 포함한 위험 평가 수행을 위해 a번의 시나리오를 다룬다.

b) 액츄에이터의 오작동과 CA가 수행된 경우

b번에 속하는 손실 시나리오는 UCA가 아닌 CA가 생성되었지만 CA를 수신한 액츄에이터의 오작동이 발생해 사고가 발생하는 경우이다. 액츄에이터가 사고에 직접적으로 영향을 끼치는 시나리오이다. 따라서 액츄에이터의 오작동의 위험성을 파악하기 위해 b번의 시나리오를 다룬다.

2단계에서는 식 (1)를 바탕으로 손실 시나리오를 변환한다. 손실 시나리오는 컴포넌트의 UCA나 고장으로 인해 사고가 발생하는 경우를 기술한다. 따라서 여러 UCA가 수행되어 사고로 이어지는 경우를 쿼리로 표현해야 한다. 본 논문에서는 손실 시나리오를 쿼리로 변환하기 위해 오작동 상태 L_e와 사고 상태 L_a를 이용한다. L_e는 컴포넌트가 UCA 혹은 오작동을 수행 후 도달하는 상태로 구성된다. 따라서 L_e에 포함된 상태에 도달하면 UCA나 오작동이 수행되었다는 것을 알 수 있다. 따라서 손실 시나리오에 명시된 특정 UCA를 수행한 상태에 해당하는 L_e와 L_a를 모두 만족하면 동시에 손실 시나리오를 만족한다. 따라서 다음과 같이 상황을 가정한 경우 손실 시나리오를 식 (2)와 같이 변환한다.

• [가정]
• • L_a = accident
• • (L, error1) →stop_error1 ∈ L_e
• • (L, UCA1) →stop_error2 ∈ L_e
• • 컴포넌트 T₁, T₂, T₃
• • T₁의 오작동으로 인해 T₂의 UCA가 발생해 T₃가 사고에 도달한 경우

시스템의 상태공간, 동작을 식별하기 위해 요구사항을 바탕으로 시스템의 구조와 동작을 분석한다. 본 논문에서는 기존 시스템과 달리 기관사를 제외한 시스템을 다루기 때문에 요구사항을 재정의하였다. 재정의한 시스템의 요구사항은 표 1과 같다.

표 1의 요구사항을 통해 시스템의 상태 공간은 대부분 컴포넌트들의 차단기 열림, 닫힘 혹은 감지기 탐지, 미탐지 등 ON, OFF의 상태를 가지는 것을 알 수 있다. 다만, 기차의 위치에 따라 각 컴포넌트들이 동작하게 되므로 기차는 현재 자신의 위치를 상태로 가지게 된다.

시스템의 제어 명령과 피드백은 그림 6의 컨트롤 스트럭처를 바탕으로 아래와 같이 정의된다.

• • 컨트롤러 → 감지기, 탐지기: ON, OFF
• • 기차(센서) → 컨트롤러: COME, PASS
• • 차량 → 감지기: IN, OUT
• • 감지기 → 경고등: ON, OFF
• • 경고등 → 기차: Brake

Fig. 6. 
Control structure of railroad crossing system

시스템의 시간 제약 사항은 요구사항 #5에 따라 기차가 브레이크 후 정지하는 데까지 걸리는 시간이 존재한다. 또한, 요구사항에 명시되지 않았지만 기차가 다음 상태 혹은 위치로 이동하는데까지 걸리는 시간이 존재한다.

철도 건널목 시스템에 STPA를 분석하여 얻은 결과를 통해 L_e, Σ_e를 정의하였다. STPA로 분석한 결과 시스템의 사고는 기차가 사람 혹은 차량과 충돌하는 경우, 위험원은 경고등이 켜지지 않는 경우이다. 따라서 시스템의 L_e는 기차가 충돌한 상태와 경고등이 켜지지 않은 경우, 그 외 UCA를 수행한 후의 상태로 정의하였다. Σ_e는 시스템의 UCA와 감지기, 차단기, 경고등의 고장 액션으로 구성된다.

본 논문에서는 철도 시스템의 오작동 확률을 계산하기 위해서 미국의 FRA 철도 사고 보고서를 이용하였다[19]. 컴포넌트 별 전체 오작동 확률 P_e을 식 (3)를 이용해 계산하였다. 감지기의 오작동 확률의 경우, 감지기 정보는 사고 보고서에 따로 존재하지 않아 별도로 다른 확률을 적용하였다.

식 (3)의 #acc_c는 컴포넌트가 원인인 사고 횟수를 나타낸다. #acc은 전체 사고 수다. 또한, 식 (4)를 통해 컴포넌트의 각 오작동 확률을 계산하였다. 각 컴포넌트의 오작동 종류를 정의하고, P_e를 오작동 종류 수로 나눠 각 오작동에 균등한 확률을 부여했다.

식 (3)을 통해 차단기의 P_e는 26%, 경고등은 12%로 계산되었다. 감지기는 FRA에 있는 여러 고장 확률 중 “전원 고장 확률” 2%로 지정하였다. 또한, 차단기의 오작동 종류 2개, 경고등의 오작동 종류 1개, 감지기의 오작동 종류 3개로 정의하여 식 (4)를 통해 각각 13%, 12%, 0.3%의 확률을 계산하였다. 계산된 확률들은 실제 사고 보고서를 바탕으로 했지만, 보고서에 사고 상황에 대한 구체적인 정보가 존재하지 않아 실제 확률과 다를 수 있다.

1, 2, 3단계를 종합하여 그림 7과 같이 철도 건널목 시스템을 UPPAAL로 모델링하였다. 그림 7의 (a)는 감지기를 UPPAAL로 모델링한 모습이다. 감지기의 오작동인 고장과 두 가지 감지 오류에 0.3%의 확률을 부여해 구현하였다. 그림 7의 (b)는 차단기를 모델링한 결과이다. 컨트롤러가 Down 명령을 내렸지만 Down 명령이 수행되지 않은 경우와 Up 명령을 내리지 않았는데 Up 명령을 수행한 경우의 오작동을 구현하였고, 각각 13%의 오작동 확률을 부여하였다.

Fig. 7. 
Models of railroad crossing system (a) Detection device (b) Barrier

(HS2-N-2) 차단기가 내려가지 않았을 때 감지기의 인식 알고리즘 오류로 차량/사람이 감지되지 않아 경고등에 ON 지시를 내리지 않음:

(HS2-N-2) 쿼리는 차량/사람이 건널목에 있지만 감지기가 인식하지 못한 경우를 나타낸다.

쿼리의 dd와 cp는 UPPAAL의 템플릿 이름으로 각각 감지기와 차량/사람을 의미한다. dd.stop_error 상태는 건널목 안에 차량/사람이 있지만 감지기가 처음부터 감지를 못하는 오작동이 발생한 상태를 말한다. cp.accident는 차량/사람이 기차와 부딪혀 사고가 발생한 상태를 의미한다. 따라서 손실 시나리오와 같이 처음부터 감지기의 인식 불량으로 경고등이 켜지지 않아 사고가 발생하는 경우를 나타낸다.

(HS3-P-1) 차단기가 내려가지 않았을 때 감지기의 인식 알고리즘 오류로 감지 중간에 차량/사람을 인식하짐 못해 경고등에 OFF 지시를 내림:

(HS3-P-1) 쿼리는 감지기가 차량/사람을 감지하여 경고등에 ON 신호를 보낸 후에 인식 오류로 차량/사람을 감지하지 못해 OFF 신호를 보낸 경우의 확률을 구하는 쿼리이다. dd.stop_error3 상태는 감지기가 경고등으로 처음 ON 신호를 보낸 후 올바르지 않은 OFF 신호를 보내고 난 후에 도달하는 상태이다. 따라서 위의 쿼리와 같이 두 상태가 동시에 만족하는 경우는 손실 시나리오를 만족한다.

(HS2-N-1) 차단기가 내려가지 않았을 때 컨트롤러가 ON 지시를 내렸지만 감지기의 고장으로 작동하지 않고 차량/사람을 감지할 수 없어 경고등의 ON 지시를 내리지 않음:

(HS2-N-1) 쿼리는 감지기의 고장이 발생한 후 사고가 발생할 확률을 의미한다. 사고가 일어날 때까지 dd.off 상태라는 것은 컨트롤러가 감지기를 작동시켰지만 고장이 나 켜지지 않았다는 것을 의미한다. 따라서 손실 시나리오와 같이 감지기의 고장으로 사고가 발생한 경우를 나타낸다.

(HS4-N-1) 차단기가 내려가지 않았을 때 경고등의 고장으로 정지 신호가 켜지지 않음:

(HS4-N-1) 쿼리는 감지기가 ON 신호를 보낸 후 경고등의 고장으로 인해 정지 신호가 켜지지 않는 경우를 나타낸다. 위 쿼리의 wl은 경고등을 말하는 것으로 wl.stop_error 상태는 감지기가 ON 신호를 보냈을 때 고장으로 인해 정지 신호를 키지 않을 때 도달하는 상태이다. 따라서 위의 쿼리와 같이 두 상태 만족되면 손실 시나리오 또한 만족된다.

위의 4가지 쿼리를 실행시켜 손실 시나리오의 발생 가능성을 계산하였다. 각 손실 시나리오의 발생 가능성 결과는 표 2와 같다. 액츄에이터의 오작동을 포함하여 계산된 각 시나리오의 발생 가능성은 표 3의 Probable와 Occasional에 해당하는 수치들이다. 이 수치들은 위험도가 2~4를 가질 수 있어 모든 시나리오가 높은 위험도를 가질 가능성이 존재한다. 따라서 이 손실 시나리오들은 높은 위험도를 가질 수 있기 때문에 액츄에이터의 오작동까지 고려한 위험도 계산이 필요하다.