[논문]상태 전이 모델 기반 결함 트리 분석

정인상

doi:10.5392/jkca.2011.11.10.049

상태 전이 모델 기반 결함 트리 분석
Fault Tree Analysis based on State-Transition Model 원문보기

한국콘텐츠학회논문지 = The Journal of the Korea Contents Association, v.11 no.10, 2011년, pp.49 - 58

초록
AI-Helper

결함 트리 분석(Fault Tree Analysis)은 결함 트리를 구축하여 시스템의 안전성 분석을 수행한다. 그러나 결함 트리를 구성하는 작업은 대상 시스템의 도메인에 대한 지식과 경험을 필요로 하며 많은 시간과 노력을 소요한다. 이 논문에서는 시스템 설계 산출물인 상태 전이 모델을 기반으로 결함 트리를 체계적으로 구성하는 방법을 제안한다. 이를 위해 시스템 상태 전이 모델의 안정성 확보에 필요한 조건들을 식별하고 결함 트리를 구성할 수 있는 템플리트를 개발한다. 이 논문에서는 제안된 방법을 철도 건널목 제어 시스템에 적용한 결과도 기술한다.

Abstract ▼ AI-Helper

Fault Tree Analysis(FTA) builds fault trees to perform safety analysis of systems. However, building fault trees depends on domain knowledge and expertize on target systems and consumes lots of time and efforts. In this paper, we propose a technique that builds fault trees systematically based on state-transition models which are software design artifacts. For the end, this paper identifies conditions that should be satisfied to guarantee safety of state-transition models and develop templates for fault tree construction. This paper also describes the results of appling the proposed method to railway crossing control system.

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

이 논문에서는 대표적인 시스템 설계 산출물인 상태 전이 모델을 이용하여 체계적으로 결함 트리를 구성하는 방법을 제안한다. 상태 전이 모델은 시스템의 기능이 상태에 의존적일 경우에 시스템이 의도하는 기능을 기술하는 대표적인 수단이다.
이 논문에서는 시스템 상태 전이 모델이 안전성을 확보하기 위해 갖추어야 하는 두 가지 조건 (‘위험 회피 조건’과 ‘도달성 조건’)을 식별하였고 이 조건들이 만족되지 않을 수 있는 요인들의 분석을 통해 결함 트리 템플리트를 개발하였다.
이 논문에서는 시스템의 상태 전이 모델을 기반으로 결함 트리를 구성하는 방법에 대해 기술하였다. 기본적으로 결함 트리를 구성하는 작업은 직관과 경험에 많이 의존되어 왔던 것이 사실이며 매우 많은 시간과 노력을 필요로 한다.
2절에서 기술한 시스템 모델의 안정성 조건을 위배하는 모든 가능한 요인들에 대한 분석을 통해 이루어진다. 이 논문에서는 이러한 분석을 통해 전이에 대한 결함 트리 템플리트(template)를 개발한다. 이렇게 개발된 결함 트리 템플리트는 시스템의 결함 트리를 직관이나 경험에 덜 의존하면서 체계적으로 구성할 수 있게 한다.
최근에 [10]에서 결함 트리를 상태 모델로 변환하는 방법을 제안하였다. 이 방법의 목적은 결함 트리에 나타난 바람직하지 못한 시스템 상태나 이벤트들을 야기할 수 있는 (정상적인) 행위들의 조합을 상태 모델로 나타내는 것이다. 따라서 변환된 상태 모델은 시스템의 안정성을 테스트할 수 있는 테스트 케이스의 생성 기반으로 사용될 수 있다.
이를 위해 Ada 언어 구문 및 의미에 적합한 여러 결함 트리 템플리트를 제안하였다. 이 연구는 소프트웨어에 FTA를 적용하는 시발점이 되었다.

가설 설정

이 논문에서는 대상 시스템이 기본적으로 이벤트 발생 및 공유 메모리를 통해 상호 협력하는 여러 객체들로 구성되어 있다고 가정한다. 각 객체 O_i의 동적 행위는 상태 전이 모델 STM_i로 기술된다.
, sn0).이 논문에서는 상태 공간 SG를 고려할 때 초기 상태 s0로부터 도달 가능한 상태들로 한정한다.
[8]에서 Gorski와 Norwicki는 상태 모델을 기반으로 하는 안정성 분석 모델을 제안하였다. 이 방식에서는 시스템 객체들이 설계 모델에 기술된 대로 행동하지 않는다는 가정을 한다. 이를 반영하여 시스템의 신뢰성을 해칠 수 있는 객체의 행위를 분석하기 위해 시스템 상태 모델의 전이에 변형을 가져오는 여러 변형 (mutation) 규칙 등을 제안하였다.

제안 방법

t가 활성화 될수 있는 요인들을 고장 모드 ‘fail(di(s,t))’에 대한 결함 트리를 구성하여 분석을 진행한다.
2절에서 기술한 상태 전이 모델의 안정성 조건을 기반으로 결함 트리를 구성할 때 사용하는 결함 트리 템플리트를 개발한다. 또한 결함 트리 템플리트를 사용하여 주어진 위험 상태에 대한 시스템의 결함 트리를 구성하는 절차를 기술한다.
전이 t7에 대한 고장 모드 ‘fail(di(open∧approaching, t7)’에 대한 결함 트리를 구성할 때 가드에 대한 고장 모드 ‘fail(guard(open∧approaching, state=closed))’도 고려하여야 한다. 우선 가드의 평가가 잘못되는 경우에 대한 분석을 진행한다. 지금 예에서는 가드 ‘[state=closed]’ 가 거짓이 되어야 하는 상황에서 참으로 평가가 되어야 하는 상황을 고장 모드 ‘fail(chk(open∧approaching, !(state=closed))’를 부모 노드로 한 부결함 트리에 반영 하였다.
이 논문에서는 대상 시스템이 기본적으로 이벤트 발생 및 공유 메모리를 통해 상호 협력하는 여러 객체들로 구성되어 있다시스템의 상태 전이 모델이 안전성을 확보하기 위해서는 시스템이 초기 상태로부터 위험 상태로 도달 가능하지 않거나 위험 상태로 도달 가능하더라도 위험 상태로부터 즉시 빠져 나오는 수단이 제공되어야 한다. 이 절에서는 이를 바탕으로 상태 전이 모델의 안전성에 대해 명확하게 정의한다.
이 점을 고려하여 이 논문에서는 상태 전이 모델이 주어진 위험 상태에 관해 안정성을 확보하기 위해 만족해야하는 두 가지 조건(‘위험 회피 조건’과 ‘도달성 조건’)을 식별한다.
이 방식에서는 시스템 객체들이 설계 모델에 기술된 대로 행동하지 않는다는 가정을 한다. 이를 반영하여 시스템의 신뢰성을 해칠 수 있는 객체의 행위를 분석하기 위해 시스템 상태 모델의 전이에 변형을 가져오는 여러 변형 (mutation) 규칙 등을 제안하였다. 그러나 어떤 객체의 상태 전이 모델에 대해 이러한 변형 규칙을 수행하는지가 명확하지 않다[9].
Leveson 등은 Ada 언어로 작성된 프로그램의 안전성 분석을 위해 FTA를 적용하였다[5]. 이를 위해 Ada 언어 구문 및 의미에 적합한 여러 결함 트리 템플리트를 제안하였다. 이 연구는 소프트웨어에 FTA를 적용하는 시발점이 되었다.
전이가 활성화되지 않기 위한 요인들로 이벤트와 관련된 고장(‘fail(evt(s,e))’)과 가드와 관련된 고장 (‘fail(guard(s,g))’)로 구분하였다.
이 점을 고려하여 이 논문에서는 상태 전이 모델이 주어진 위험 상태에 관해 안정성을 확보하기 위해 만족해야하는 두 가지 조건(‘위험 회피 조건’과 ‘도달성 조건’)을 식별한다. 제안된 방법에서는 이러한 조건들로 부터 안정성에 영향을 미칠 수 있는 요인들을 식별하여 결함 트리 템플리트를 개발하고 이를 이용하여 결함트리를 구성한다.

이론/모형

FTA와 직접적인 관련은 없지만 시스템의 안정성 분석을 위해 여러 형태의 설계 산출물에 HAZOP(Hazard and Operability Studies)[7]을 적용하였다. 이 방법은 상태도나 클래스 다이어그램 등에 기술된 여러 시스템 요소들에 소위 ‘guideword’를 사용하여 시스템의 행위를 분석한다.

성능/효과

이 논문에서는 시스템 상태 전이 모델이 안전성을 확보하기 위해 갖추어야 하는 두 가지 조건 (‘위험 회피 조건’과 ‘도달성 조건’)을 식별하였고 이 조건들이 만족되지 않을 수 있는 요인들의 분석을 통해 결함 트리 템플리트를 개발하였다. 또한, 철도 건널목 제어 시스템에 제안된 결함 트리 구성 방법을 적용한결과 체계적으로 결함 트리를 구성할 수 있음을 확인하였다.

후속연구

이에 대한 방안으로 모형 검사(model checking)[11] 기술을 이용 하는 방법에 대한 연구가 진행 중이다. 또한, 결함 트리를 구성할 때 시스템을 구성하는 상태의 개수가 많을수록 결함 트리가 매우 복잡하고 커질 수 있기 때문에 결함 트리를 보다 단순화 할 수 있는 방안에 대한 연구도 필요하다.
예를 들면 [그림 2]의 이벤트6(‘chk(g)=false’)은 실제 가드를 검사하는 모듈이 구현된 후에 구현 모듈의 해당 부분을 분석하여 확장될 수 있다. 이 때 [5]에서 제안한 것처럼 구현에 사용된 프로그래밍 언어 및 구문에 따른 결함 트리 템플리트를 사용할 수 있을 것이다.
향후 연구에서는 제안된 방법을 가능한 자동화 할 수있는 도구를 개발할 계획이다. 이를 위해 시스템 상태 전이 모델을 정적으로 분석하여 위험 회피 조건과 도달성 조건을 자동으로 식별할 수 있어야 한다.

질의응답

핵심어	질문	논문에서 추출한 답변
	결함 트리 분석은 어떻게 안전성 분석을 수행하는가?	결함 트리 분석(Fault Tree Analysis)은 결함 트리를 구축하여 시스템의 안전성 분석을 수행한다. 그러나 결함 트리를 구성하는 작업은 대상 시스템의 도메인에 대한 지식과 경험을 필요로 하며 많은 시간과 노력을 소요한다.
	FTA에 드는 시간과 비용은 무엇에 따라 달라지는가?	FTA에 드는 시간과 비용은 연루된 시스템의 복잡성에 따라 달라진다. 소규모의 단순한 시스템에 대해서는 1주로도 충분할 수 있지만 크고 복잡한 시스템의 경우에는 몇 주 또는 몇 달이 소요될 수 있다.
	결함 트리 분석은 현재의 응용 분야가 어떻게 되어가는 추세인가?	Watson[1]에 의해 고안되고, Boeing 항공사에 의해 보완되어 항공기 설계에 사용되기 시작되었다. 현재에 이르러서는 자동차, 화학 공정, 철도, 원자력 및 로봇 산업에 이르기까지 응용 분야가 급속하게 넓어지고 있는 추세이다[2][3].

참고문헌 (12)

H. A. Watson, Launch Control Safety Study, Technical report, Bell Telephone Laboratories, Murray Hill, NJ, 1961.
W. Vesely, F. Goldberg, N. Roberts, and D. Haasl, Fault Tree Handbook, Technical Report NUREG-0492, U.S. Nuclear Regulatory Commission, 1981.
M. Stamatelatos and W. Vesely, Fault Tree Handbook with Aerospace Applications, Technical Report of NASA, 2002(8).
J. Xiang, K. Futatsugi, and Y. He. "Fault tree and Formal Methods in System Safety Analysis," In Proc. of The 4th International Conference on Computer and Information Technology, pp.1108-1115, Wuhan, China, 2004(9).
N. G. Leveson, Stephen S. Cha, and Timothy J. Shimeall, "Safety Verification of Ada Programs Using Software Fault Trees," IEEE Software, pp.48-59, 1991(7).

상세보기
M. Towhidnejad, D. Wallace, and A. Gallo. "Fault Tree Analysis for Software Design," In Proc. of 28th Annual IEEE/NASA Software Engineering Workshop, 2003.
K. Lano, D. Clark, and K. Androutsopoulos, "Safety and Security Analysis of Object Oriented Models," Lecture Notes in Computer Science, p.2434, pp.82-93. 2002.

상세보기
J. Gorski and B. Nowicki, "Object Oriented Approach to Safety Analysis," In Proc. of ENCRESS, pp.338-350, 1995.
R. Hawkins, Ian Toyn and Iain Bate, "Critical Systems Development with UML," In Procs. of UML 2003 workshop, San Fransisco 2003.
H. J. Kim, W. E. Wong, D. Vidroha Debroy, and B. Doohwan, "Bridging the Gap between Fault Trees and UML State Machine Diagrams for Safety Analysis," In Proc. of APSEC, pp.196-205, 2010.
P. Godefroid, Partial-Order Methods for the Verification of Concurrent Systems-An Approach to the State-Explosion Problem. University of Liege, Computer Science Department. Ph.D. Thesis.
P. G. Frankl and E. J. Weyuker, "An applicable family of data flow testing criteria," IEEE Transactions on Software Engineering, Vol.14, No.10, pp.1483-1498, 1988.

상세보기

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증