미국연방항공청(FAA)은 2015년 5월 ‘보잉787’ 항공기에서 발전기를 제어하는 소프트웨어(SW)에 중대한 결함이 발견됐다고 경고했다. 발전기를 제어하는 SW가 248일 동안 연속으로 가동될 경우 SW가 자동으로 안전모드에 들어간다는 것이다. 이 경우 교류전원이 차단돼 조종사들이 항공기를 조작할 수 없게 될 수 있다. 비행 중이라면 비행기 추락의 원인이 될 수 있는 심각한 문제다.

다행히 보잉787기는 2011년 첫 운항 이후 수많은 사고를 일으켰음에도 FAA가 지적한 발전기 제어 SW 오류로 인한 사고는 발생하지 않았다. 이 문제는 파워 시스템을 248일이 되기 전에 재시작하는 간단한 방법으로 방지할 수 있는데, 항공사들이 항공기 정기점검을 위해 시스템을 재시작하는 절차를 수행하고 있었기 때문이다.
 

HW·SW 통합으로 어려워진 SW 안전성

항공기의 기능은 기계 부품, 전자 부품, SW를 모두 사용해 구현하는 경우가 많아지면서 항공기 기능에서 SW가 관여하는 비중이 빠르게 증가하고 있다.

전투기의 경우 1960년대 개발된 ‘F-4’에서는 SW와 관련된 기능의 비중이 8%에 불과했던 반면, 2000년대 개발된 ‘F-22’에서는 SW와 관련된 기능의 비중이 80%까지 증가했다. ‘F-35’를 비롯해 최근 개발되는 전투기의 경우 SW 관련 기능의 비중이 90%를 넘어간다고 한다.

항공기에서 SW의 비중이 점차 높아지면서 SW는 항공기 성능을 좌우하는 중요한 요소가 됐다. SW 비중이 높은 F-35의 경우 최근 SW문제로 개발 완료 시점이 점점 늦어질 정도로 SW는 항공기 개발의 핵심 요소로 자리하고 있다.

2014년 미국 국방부는 보고서를 통해 F-35 전투기의 SW 개발 완료 시점이 2017년 9월까지 늦어질 수 있다고 밝혔다. 2015년에도 F-35의 SW에서 치명적인 오류가 발견되는 등 계속된 SW 안정성 이슈로 F-35 개발 완료 시점은 계속 늦어지고 있다. 강화된 스텔스 기능, 다양한 임무에 적합한 성능으로 기대를 모았지만 계속된 SW 문제로 실전배치조차 못하고 있는 것이다.

항공기에서의 SW 비중 증가와 안전성 확보의 어려움은 항공산업의 새로운 개발 패러다임의 영향이 크다. 최근 항공산업에서는 비용절감을 위해 통합 모듈형 항공전자(IMA) SW 설계 방식을 도입하고 있다. 모듈화된 SW에 범용 고집적 하드웨어(HW)를 재구성·재분배해 항공기의 기능을 구현하는 방식이다. 이 방식을 사용하면 HW 통합을 통해 항공기의 무게와 부피를 줄여 연비와 성능을 향상시키고 유지보수 등의 비용을 절감할 수 있다.

문제는 기능을 통합할수록 안전성을 확보하기가 어려워진다는 점이다. 국방·항공용 실시간 운영체제 개발을 담당하고 있는 노태영 MDS테크놀로지 부장은 “기능을 통합할수록 안전성 위험이 커진다”며 “특정 기능이 메모리를 잘못 건드려 다른 시스템에 영향을 주는 등 잘못된 특정 기능이 전체 모듈에 영향을 주지 않도록 하는 요구가 따라온다”고 설명했다.

SW 안전성 분석은 특정 기능에서 발생할 수 있는 오작동 시나리오를 작성하고, 해당 오작동이 얼마나 위험한지를 판단하는 방식으로 이뤄진다. 이때 기능이 통합되어 있으면 특정 오작동 상황이 다른 기능에 주는 상황을 모두 분석해야하는 만큼 통합된 기능의 수에 따라 분석해야하는 시나리오 수가 기하급수적으로 증가한다. 그만큼 기능 통합에 따라 SW 안전성 분석과 확보가 어려워지는 것이다.

항공기 시장은 미국과 유럽이 주도하고 있다. 항공기 SW 안전 기준도 미국과 유럽이 중심이지만 사실상 미국이 주도하고 있다.

국내에서는 MDS테크놀로지, 한국항공우주산업(KAI), 국방과학연구소 등이 초음속 고등훈련기 ‘T-50’, 훈련기 ‘KT-1’, ‘수리온’ 헬기의 임무컴퓨터, 실시간운영체제 등의 국산화에 참여하고 있다. MDS가 제작한 항공용 실시간 운영체제는 항공기 SW안전 기준인 DO-178 인증을 받았다. 또 KAI의 경우 SW 개발 및 품질관리 국제공인인증 CMMI의 최고등급인 레벨5 인증을 받았다.

MDS에서 SW 개발 및 테스팅 솔루션을 담당하는 우경일 팀장은 “인증받은 운영체제를 확보하고 있으면 국내 기업들이 항공SW를 개발할 때 시스템 전체 안전성을 입증하기 좋다”고 설명했다.

특정 SW의 오류를 확인하기 위해서는 많은 경우 운영체제 공급자의 도움이 필요하다. 운영체제는 다른 SW가 동작하는 토대 역할을 하는 만큼, 대체로 SW 오류는 운영체제가 동작을 멈추는 방식으로 나타나기 때문이다. 그만큼 고신뢰성을 요구하는 SW 제작에 자국 운영체제는 신속하고 정확한 개발에 도움이 된다는 말이다.

하지만 국내에서 항공 세이프티 SW를 위한 충분한 지원이 되지 않는 점은 문제로 지적되고 있다. 항공분야도 자동차, 철도 등 다른 분야와 마찬가지로 세이프티 SW를 위해서는 기존 개발방식에 비해 툴, 개발·테스트 방식의 변화, 인력·개발기간 확보, 이를 뒷받침하는 비용 등이 추가로 필요한데, 발주처의 세이프티 SW에 대한 인식이 낮다는 것이다.

심승배 국방연구원 선임연구원은 특히 “세이프티 SW 전문인력이 중요하다”고 강조했다. 항공은 물론 다른 분야에서도 세이프티 SW를 위해서는 안전성 기준과 툴을 적용할 수 있는 사람을 양성해야한다는 것이다.

심 연구원은 최근 주목받는 드론이 계기가 될 수 있다고 지적했다. 드론은 민간과 군용 항공기에 비해 아주 작지만 엄연한 비행체다. 심 연구원은 “드론은 비행 장소에 대한 규정은 있지만 충돌, 추락 등 안전성에 대한 규정은 없다”며 “비행체로 드론이 가져야할 안전성 규정 제정이 필요하다”고 지적했다.

심 연구원은 또 “드론에 대한 세이프티 SW 기술을 확보해 다른 세이프티 SW 분야로 진출하는 것도 세이프티 SW 인력을 양성하는 방법”이라며 “드론에서부터 외산 SW에 의존하지 않는 기술을 개발해야 한다”고 강조했다.

[테크M = 도강호 기자(gangdogi@techm.kr)]

<본 기사는 테크M 제43호(2016년11월) 기사입니다>