CNS/ATM 분야에서 안전 평가는 시스템을 개발하는데 반드시 필요한 개발 활동이다. 현재까지, 안전 평가와 관련된 많은 참고할 만한 자료들이 있으나 CNS/ATM분야에서 무엇을 어떻게 적용해야 할지 명확하게 명시된 자료는 없다. 또 다른 문제는 DO-278A기반으로 소프트웨어를 개발하기 위해서는 개발하고자 하는 소프트웨어에 대한 소프트웨어 보증 수준이 결정되어 있어야 한다. 하지만 개발 보증 수준을 결정하는 체계도 또한 정의되어 있지 않다. 이와 같은 문제를 해결하기 위해 본 논문에서는 ICAO Doc 9689에 정의된 안전 목표 수준을 기반으로 한 위험 평가를 수행하기 위한 방법을 제시한다. 항행 안전 시스템에서 일반적으로 적용 가능하도록 하기 위해 위험 평가 수행 절차를 수학적으로 표현하였으며 위험 평가를 위해 필요한 위험원의 심각도 분류, 발생 확률, 시스템 안전 목표 수준 등을 정의하고 위험 평가를 수행하기 위해 이벤트 트리 분석 절차를 적용하는 방법을 설명하였다.
CNS/ATM 분야에서 안전 평가는 시스템을 개발하는데 반드시 필요한 개발 활동이다. 현재까지, 안전 평가와 관련된 많은 참고할 만한 자료들이 있으나 CNS/ATM분야에서 무엇을 어떻게 적용해야 할지 명확하게 명시된 자료는 없다. 또 다른 문제는 DO-278A기반으로 소프트웨어를 개발하기 위해서는 개발하고자 하는 소프트웨어에 대한 소프트웨어 보증 수준이 결정되어 있어야 한다. 하지만 개발 보증 수준을 결정하는 체계도 또한 정의되어 있지 않다. 이와 같은 문제를 해결하기 위해 본 논문에서는 ICAO Doc 9689에 정의된 안전 목표 수준을 기반으로 한 위험 평가를 수행하기 위한 방법을 제시한다. 항행 안전 시스템에서 일반적으로 적용 가능하도록 하기 위해 위험 평가 수행 절차를 수학적으로 표현하였으며 위험 평가를 위해 필요한 위험원의 심각도 분류, 발생 확률, 시스템 안전 목표 수준 등을 정의하고 위험 평가를 수행하기 위해 이벤트 트리 분석 절차를 적용하는 방법을 설명하였다.
Safety assessment is an essential activity for developing a system in the CNS/ATM domain. Up to now, there are many reference materials, but there is nothing that definitely specifies what to do and how to apply in the CNS/ATM. Another problem is that software assurance level has to be determined fo...
Safety assessment is an essential activity for developing a system in the CNS/ATM domain. Up to now, there are many reference materials, but there is nothing that definitely specifies what to do and how to apply in the CNS/ATM. Another problem is that software assurance level has to be determined for a software under development. But there is nothing that defines a determination scheme of software assurance level. To solve these problems, this paper proposes a method to conduct a hazard assessment based on target level of safety defined in ICAO Doc 9689. To be applied generally in CNS/ATM domain, it mathematically defines procedures of hazard assessment. And it defines severity classification, probability, and safety objective of a system, which are necessary for hazard assessment, and it describes a method to apply event tree analysis process in order to conduct a hazard assessment.
Safety assessment is an essential activity for developing a system in the CNS/ATM domain. Up to now, there are many reference materials, but there is nothing that definitely specifies what to do and how to apply in the CNS/ATM. Another problem is that software assurance level has to be determined for a software under development. But there is nothing that defines a determination scheme of software assurance level. To solve these problems, this paper proposes a method to conduct a hazard assessment based on target level of safety defined in ICAO Doc 9689. To be applied generally in CNS/ATM domain, it mathematically defines procedures of hazard assessment. And it defines severity classification, probability, and safety objective of a system, which are necessary for hazard assessment, and it describes a method to apply event tree analysis process in order to conduct a hazard assessment.
* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.
문제 정의
네 번째 단계는 발생확률을 예측하고 결과를 모델링한다. 각각의 위험원에 대한 발생 가능성을 예측한다. 다섯 번째 단계는 리스크를 예측하고 평가한다.
하지만, 표 3에서 볼 수 있 듯이 DO-278A의 경우 보증 수준이 6단계로 정의되어 있어서 표 1에 정의된 심각도 분류 등급 및 위험 분류 체계[14]에 정의된 등급과 상이하다. 그래서 본 논문에서는 심각도 3 또는 4인 경우 AL4로 적용할 수 있도록 제안한다.
따라서 본 논문에서는 안전 목표 수준에 근거한 기능 위험 평가 절차의 네 번째 단계 및 다섯 번째 단계를 수행하기 위한 구체적인 방법을 제시하고자 하며, 이를 통해 기능적 안전목표 수준 기반의 위험평가를 수월하게 수행할 수 있을 것으로 기대한다. 또한 이 연구는 기능 위험 평가에 대한 기존 연구[9]를 비항공 시스템에 적용할 수 있도록 기능위험 평가체계를 일반화한 것에 그 의의가 있다.
따라서 본 논문에서는 안전 목표 수준에 근거한 기능 위험 평가 절차의 네 번째 단계 및 다섯 번째 단계를 수행하기 위한 구체적인 방법을 제시하고자 하며, 이를 통해 기능적 안전목표 수준 기반의 위험평가를 수월하게 수행할 수 있을 것으로 기대한다. 또한 이 연구는 기능 위험 평가에 대한 기존 연구[9]를 비항공 시스템에 적용할 수 있도록 기능위험 평가체계를 일반화한 것에 그 의의가 있다.
본 연구에서는 항행 안전시스템의 TLS 기반 위험평가 및 위험 평가 결과에 대해 소프트웨어 보증 수준을 결정하기 위한 방법을 제시하였고 A-SMGCS 개발 과제의 사례를 통해 연구의 접근방법이 일반적인 항행 안전 시스템에 적용 가능함을 보였다. 하지만, 본 연구는 다음과 같은 한계를 지니고 있다.
가설 설정
이 장은 II장에서 제시한 일반적인 방법론이 구체적으로 어떻게 적용될 수 있는지 설명하기 위해 A-SMGCS 기능 위험 평가사례 연구[9]를 참조하였다. A-SMGCS의 위험원을 식별하는 방법은 이 장에서 다루지 않으며 이미 식별되었다고 가정한다.
이 장은 시스템의 위험원을 정량적으로 평가하는 방법에 대해서 기술한다. ICAO Doc 9689[8]의 평가단계 중 세 번째 단계인 시스템 위험원을 식별하는 활동까지는 이미 수행된 것으로 가정하였다. 시스템의 위험원 식별에 대해서는 관련 연구들 [10,11]을참조한다.
도로의 타입은 활주로와 유도로로 분류할 수 있다. 도로의 타입에 대한 노출빈도에서는 이동체가 활주로의 점유하는 시간이 동일하다는 가정을 바탕으로 하고 있다.
대상 데이터
위험원은 A-SMGCS 사례연구[9]에서 29개의 위험원을 식별하였다. 각 위험원에 대한 심각도 평가는 여러 가지 이벤트들의 발생을 조합하여 수행하며 해당 분야의 전문지식을 가지고 있는 사람이 평가해야 한다.
이론/모형
본 논문에서는 위험에 대한 사고발생 확률을 심각도와 연계하여 정량적으로 정의하는 접근법[12]을 채택하였다. 즉, 심각도 등급s에 해당하는 사건이 사고로 이어질 확률p(s)는 다음과 같이 정의한다.
성능/효과
마지막으로 본 논문에서 제시한 접근법을 적용하기 위해서는 안전 목표 수준이 해당 시스템에 할당되어 있어야 하는데, 그 기준이 없는 경우에는 적용하기 쉽지 않다는 문제도 있다.
후속연구
향후 연구로는 CNS/ATM 시스템에 대한 시스템 예비 안전 평가 및 시스템 적합성 평가를 수행하기 위한 방법에 대한 연구를 수행할 예정이다.
질의응답
핵심어
질문
논문에서 추출한 답변
비항공용 시스템의 안전 평가를 ARP표준으로 적용하는데는 어려움이 있는 이유는?
비항공 소프트웨어 표준인 DO-278A 프로세스는 ARP4761 표준을 안전 평가 프로세스에 활용할 경우 적용상의 어려움이 있다. 항공용 시스템은 고장 조건에 대한 공통된 정의가 존재하는 반면 비항공용 CNS/ATM시스템은 고장 조건에 대해 널리 받아들여지는 공통적인 정의가 존재하지 않으며 항공용과 비항공용 시스템은 사용되는 환경이나 시스템의 특성이 차이가 있다. 따라서 비항공용 시스템의 안전 평가를 ARP표준으로 적용하는데는 어려움이 있을 수 있다.
DO-278A 프로세스 표준에서 어떤 방법을 사용할지가 문제가 되는 이유는?
하지만 DO-278A 프로세스 표준에서 직접적으로 참조되는 시스템 개발 및 시스템 안전평가 표준이 존재하지 않기 때문에 어떤 방법을 사용할지가 문제이다. 항공기 탑재용 소프트웨어 개발 표준인 DO-178C[1]에서는 시스템 개발 프로세스 및 시스템의 안전 평가 프로세스로 각각 ARP4754A[6] 및 ARP4761[7]을 참조하며, 소프트웨어의보증수준은 기능위험평가 및 시스템 설계의 결과에 따라 소프트웨어의 보증수준이 결정된다.
DO-278A기반으로 소프트웨어를 개발하기 위해서는 무엇이 결정되어 있어야 하는가?
DO-278A기반으로 소프트웨어를 개발하기 위해서는 대상 소프트웨어의 보증 수준이 결정되어 있어야 한다. 소프트웨어는 하드웨어 신뢰성과 같은 방식으로 정량화된 지표가 존재하지 않는다.
참고문헌 (18)
RTCA, Software considerations in airborne systems and equipment certification, RTCA, Washington, USA, RTCA DO-178C, 2011.
RTCA, Software integrity assurance considerations for communication, navigation, surveillance and air traffic management(CNS/ ATM) systems, RTCA, Washington, USA, RTCA DO-278A, 2011.
ISO, Road vehicles-functional safety, ISO, Switzerland, ISO 26262, 2011.
IEC, Medical device software-Software life cycle processes, IEC, Switzerland, IEC 62304, 2006.
SAE international, Guidelines for development of civil aircraft and systems, SAE international, Warrendale, USA, Aerospace recommended practice(ARP) 4754A, 2010.
SAE international, Guidelines and methods for conducting the safety assessment process on civil airborne systems and equipment, SAE International, Warrendale, USA, Aerospace recommended practice(ARP) 4761, 1996.
ICAO, Manual on airspace planning methodology for the determination of separation minima, ICAO, Montreal, Canada, ICAO Doc 9689, 1998.
H. S. Lee, S. H. Jo and H. S. Choi, "Case study for functional hazard assessment of A-SMGCS," The Journal of Korea Navigation Institute, Vol.2, No.19, pp.148-154, Apr. 2016.
H. H. de Jong, H. A. P. Blom and S. H. Stroeve, " How to identify unimaginable hazards?," in Proceeding of the 25th International System Safety Conference (ISSC2007), Baltimore: MD, pp. 13-17, 2007.
Ericson Clifton A, Hazard analysis techniques for system safety, Hoboken, NJ: John Wiley & Sons, 2005,
P. Adamson, A-SMGCS level 1 and 2 preliminary safety case, Brussels, Belgium, Technical report edition 2.0, 2006.
Eurocontrol, Assessment of the EATM 'air navigation system safety assessment methodology' as a means of complicane with ESARR 4, EUROCONTROL, Belgium: BE, SRC doc 12, 2009.
Eurocontrol, The establishing a risk classification scheme for the design of the ATM functional system, Eurocontrol, Belgium: BE, Technical report edition 0.6, 2008.
ICAO, Advanced surface movement guidance and control system(A-SMGCS) manual, ICAO, Montreal, Canada, ICAO Doc 9830, 2004.
Ubiquitous korea aeronautical information system(UBIKAIS) [Internet]. Available: http://ubikais.fois.go.kr
S. Paul, Functional hazard assessment and very preliminary system safety assessment report, THALES, Braunschweig, Germany, Technical report D139 FHAvPSSA V.1.0, 2006.
S. B. Hong, S. H. Choi and Y. C. Choi, "A Study on the hazard identi ication for the implementation of A-SMGCS," The Journal of Korea Navigation Institute, Vol. 19, No. 1, pp. 41-47, Feb. 2015.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.