저작자표시 2.0 대한민국 이용자는아래의조건을따르는경우에한하여자유롭게 이저작물을복제, 배포, 전송, 전시, 공연및방송할수있습니다. 이차적저작물을작성할수있습니다. 이저작물을영리목적으로이용할수있습니다. 다음과같은조건을따라야합니다 : 저작자표시. 귀하는원저작자를표시하여야합니

Size: px

Start display at page:

Download "저작자표시 2.0 대한민국 이용자는아래의조건을따르는경우에한하여자유롭게 이저작물을복제, 배포, 전송, 전시, 공연및방송할수있습니다. 이차적저작물을작성할수있습니다. 이저작물을영리목적으로이용할수있습니다. 다음과같은조건을따라야합니다 : 저작자표시. 귀하는원저작자를표시하여야합니"

일웅 홍
4 years ago
Views:

귀하는, 이저작물의재이용이나배포의경우, 이저작물에적용된이용허락조건을명확하게나타내어야합니다.

1 저작자표시 2.0 대한민국 이용자는아래의조건을따르는경우에한하여자유롭게 이저작물을복제, 배포, 전송, 전시, 공연및방송할수있습니다. 이차적저작물을작성할수있습니다. 이저작물을영리목적으로이용할수있습니다. 다음과같은조건을따라야합니다 : 저작자표시. 귀하는원저작자를표시하여야합니다. 귀하는, 이저작물의재이용이나배포의경우, 이저작물에적용된이용허락조건을명확하게나타내어야합니다. 저작권자로부터별도의허가를받으면이러한조건들은적용되지않습니다. 저작권법에따른이용자의권리는위의내용에의하여영향을받지않습니다. 이것은이용허락규약 (Legal Code) 을이해하기쉽게요약한것입니다. Disclaimer

2 요 약 본연구는항공용소프트웨어인증에관한절차를현재가장널리사용되고있는 DO-178B 문서를통하여알아보았으며, 아직초기단계에있는국내의인증수준의향상을위한관련교육교재개발에관련된내용을제시하였다. 먼저항공기감항인증에대하여알아보고그로부터소프트웨어인증으로의관련성을도출하였으며, 본연구에서다룰내용의대상이되는 DO-178B 문서가항공용소프트웨어인증에서속하는분류, 역사등에대하여서술한뒤구체적인인증절차에관한내용이되는소프트웨어계획단계, 소프트웨어개발단계, 소프트웨어통합단계에서이루어지는인증활동과목적제시, 그리고최종출력물에해당하는결과문서의종류에관하여알아보았다. 이로써소프트웨어인증이이루어지는전반적인절차에대한정리가이루어졌으며, 다음으로이러한인증절차의국내항공용소프트웨어실무에의적용을위한교육교재개발에관한내용을제시하였는데, 그구체적인방법으로는먼저해외교육과정및교재에대한특징과구성을분석하여각각의장점을통합하여국내교재개발에있어적용중점을소개하였다. 개발된교육교재를활용한소프트웨어인증관련최초의교육과정의시범교육을통하여향후국내관련업계종사자에대한인증관련지식및수준향상을기대할수있을것으로판단된다. 주요어 : 항공용소프트웨어, 인증, DO-178B, 감항성, 인증교육 학번 :

3 목차 1. 서론 항공기감항인증 감항인증 감항증명제도운영인증기관 감항인증관련규정및문서 3 2. 항공용소프트웨어인증 항공용소프트웨어인증규격의종류 DO-178B 문서 DO-178B 문서의의의및개요 DO-178B 문서의역사 DO-178B 문서의구성 소프트웨어개발관련시스템양상 소프트웨어수명주기 계획단계 개발단계 통합단계 - 검증, 형상관리, 품질보증, 인증지원 ANNEX A 국내항공용소프트웨어인증교육과정개발 해외인증교육과정조사결과및반영점 해외인증교육과정소개 국내인증교육과정에의해외인증교육과정의반영 국내인증교육과정의구성 결론 참고문헌 35 - i -

4 표목차 표 1-1 대한민국과미국의민 군용감항증명체계분류 1) 4 표 1-2 목적에따른민 군용감항증명표준분류 5) 5 표 2-1 [Table A-1] Software planning process 13 표 2-2 [Table A-2] Software development process 15 표 2-3 [Table A-3] Verification of outputs of software requirements process 17 표 2-4 [Table A-4] Verification of outputs of software design process 18 표 2-5 [Table A-5] Verification of outputs of software coding & integration process 19 표 2-6 [Table A-6] Testing of outputs of integration process 19 표 2-7 [Table A-7] Verification of verification process results 20 표 2-8 [Table A-8] Software configuration management process 21 표 2-9 [Table A-9] Software quality assurance process 22 표 2-10 [Table A-10] Certification liaison process 23 표 2-11 DO-178B 문서의부록 - 각과정별소프트웨어치명도수준에따른목표및결과물 24 - ii -

5 그림목차 그림 1-1 국산기술로제작된 T-50 과수리온 1 그림 1-2 군사시스템과민간시스템목표의차이 3 그림 2-1 IOC/IEC 그림 2-2 시스템과소프트웨어수명주기과정간시스템안전성관련정보의흐름 9 그림 2-3 DO-178B 소프트웨어수명주기단계 10 그림 2-4 Vance Hilderman 의교육과정구성 26 그림 2-5 Leanna K. Rierson 의교육과정구성 27 그림 2-6 Maartin Uijt de Haag 의교육과정구성 28 그림 2-7 FAA Academy 의교육과정구성 29 그림 2-8 1부구성내용 31 그림 2-9 2부시스템공학 32 그림 부소프트웨어공학 32 그림 부 DO-178B 33 - iii -

1. 서론 1.1 항공기감항인증 1.1.1 감항인증 감항성이란항공기가안전하게비행할수있는성능 ( 항공법제 15조 1항 ) 이라하며, 감항성증명은곧국가가항행의안전을확보하기위해설계, 생산및운용의전과정에서안전성을확보하기위한요구사항을판단하여행정적으로승인, 허가, 제한또는금지등의법적처분을하는행위이다.

6 1. 서론 1.1 항공기감항인증 감항인증 감항성이란항공기가안전하게비행할수있는성능 ( 항공법제 15조 1항 ) 이라하며, 감항성증명은곧국가가항행의안전을확보하기위해설계, 생산및운용의전과정에서안전성을확보하기위한요구사항을판단하여행정적으로승인, 허가, 제한또는금지등의법적처분을하는행위이다. 1) 이것은항공기의사고방지를위해운행에적합한자체안정성과신뢰성을갖고있는지에대한증명이라할수있다. 그림 1-1 국산기술로제작된 T-50 과수리온 앞서정의되어야할점이감항성에대한증명이항공기인증관련사항중어떻게분류되는지에대한것이다. 항공기인증의종류에는형식증명, 생산증명, 감항증명의세가지가있다. 1) 형식증명을위해서는항공기설계단계에서각종규정및표준에따른감항성요건의충족을증명해야하며, 표준서및관련서류, 전문기술자료의존재를입증하여야한다. 여기서설계의대상이되는항공기, 엔진, 프로펠러, 부품및장비품에대한형식증명을포함한형식 - 1 -

7 증명승인 (TCV), 부가형식증명등이이루어져결과로서기술표준품 (TSO) 으로승인이이루어진다. 다음으로생산증명을위해서는설계에따라실제항공기의제작및생산프로세스, 기술검토능력을구비하여야한다. 마지막으로운용단계에서감항증명이이루어지는데, 이는감항기준에대한적합성을계속적으로유지하고있다는것을확인하는것이며, 각종시험계획및기술을확보하였는지에대한검토가개별항공기에대하여이루어진다 감항증명제도운영인증기관 항공선진국마다각자의감항기준이운영되고있으며크게세가지기관을예로들수있다. 먼저국제민간항공기구 (ICAO) 의경우 Annex 6을통해항공기운영과 Annex 8을통해항공기의감항성을규정한다. 구체적인내용으로는 ICAO 회원국이지켜야할행정규정, 비행안전, 구조강도, 설계및구조, 동력장치, 시스템소프트웨어등에대한규정이있다. 다음으로미국연방항공청 (FAA) 에서는 FAR Part 21~35에이르기까지각종부품의법적인증절차및항공기, 엔진, 프로펠러등에대한감항기술기준을규정하고있으며이는세계각국의감항기술기준에서인용되고있다. 유럽에서는유럽항공안전기구 (EASA) 에서항공인증에관한 EC No.1592/2002에의한기술기준을적용하고있다. 이세기관이대표적인항공감항성에대한증명기준을제시하며, 기타국가에서는해당기술기준을기본으로하여군용및민간용감항성기준제도를운영하고있다. 예를들면, 한국에서는 FAR 구성체계에바탕을둔 KAS 를, 영국에서는군용항공기에대해유럽항공요구조건 (JAR/CS), 유럽기술표준품표준서 (JTSO/ETSO) 등을참조하여제정된 Defence Standard 을운영하고있다. 2) - 2 -

8 1.1.3 감항인증관련규정및문서 감항인증체계는크게민간항공기인증과군용항공기인증체계로나누어진다. 국내에서는민항기에대한인증체계수립을위하여 4인승소형항공기 KC-100을 2011년개발하였으며, 군용으로는 T-50등의사업을통하여인증을획득한사례가있다. 3) 그림 1-2 군사시스템과민간시스템목표의차이 민항기의우선적목표는인명의손실또는시스템수명의손실을방지하는것이다. 반면에군용기의목표는전투기능의상실을방지하는것이최우선이며, 이외에단일사건으로부터의부상, 재산피해, 기체에의충격을입는것을방지하는것을목표로삼고있다. 4) 다음두표에서는각각미국과한국에서사용하는감항인증관련체계와일반적인감항증명의용도에따른분류를나타내고있다

9 민간항공기 군용항공기 비고 미국한국미국한국 항공법규 (Aviation Act or Regulation) FAA FAR 항공법제 15조 FAR, AFPD ( 미공군정책지시서 ) 일부계약조건 감항기관 (Airworthiness Authority) FAA or FAA 지명기관 국토해양부항우연 DCMA ( 계약관리국 ) - 감항기준 (Airworthiness Standards) FAR 한국감항표준 MIL-HDBK- 516B Functional - Functional Configuration Configuration Type Certification 형식증명 Audit(FCA), System Audit(FCA), System Verification Verification 감항프로세스 (Airworthiness Certification Process) Production Certification 제작증명 Review(SVR) Production Readiness Review(PRR), Physical Review(SVR) Production Readiness Review(PRR), Physical T/A50 항공기개발작용 Configuration Configuration Airworthiness Certification 감항증명 Audit(PCA) Product Acceptance Instect(PAI) Audit(PCA) Product Acceptance Instect(PAI) 적용근거미연방항공법항공법제 15 조계약조건계약조건 표 1-1 대한민국과미국의민 군용감항증명체계분류 1) - 4 -

10 민간표준목적관련군사표준 FAR/CS AMC Equipment, Systems & Installation System Design and Analysis JSP 553 DS Part 1 DS Part 1 DS Part 2 ARP 4754 Complex Avionics System ARP 4761 System Assessment Methods ARP 4761 DO-254 Complex Hardware DO-254 DO-178B Software DO-178B 표 1-2 목적에따른민 군용감항증명표준분류 5) 2. 항공용소프트웨어인증 2.1 항공용소프트웨어인증규격의종류 항공용소프트웨어인증규격은평가규격, 개발규격, 보증규격으로분류가가능하다. 평가규격은소프트웨어개발자의능력과성숙도에대한평가가이루어지는규격이며 CMM, ISO 이여기에속한다. 개발규격은소프트웨어개발과정의반복가능성을위한규격으로군용규격인 MIL-STD-2167 / 2167A / 2168 / 498, DEF-STD 055 / 056 과민간 - 5 -

용규격인 ISO/IEC 12207 이있다. 보증규격은소프트웨어개발과정에서 특정속성을달성하기위해안전관련법규를만족시킬수있는수단을제공하 며 DO-178B, DO-278, IEC 61508 등이존재한다. 3) 그림 2-1 IOC/IEC 12207 2.2 DO-178B 문서 2.2.1 DO-178B 문서의의의및개요 DO-178B는항공시스템에서사용되는소프트웨어의안전성을다루는문서이다.

11 용규격인 ISO/IEC 이있다. 보증규격은소프트웨어개발과정에서 특정속성을달성하기위해안전관련법규를만족시킬수있는수단을제공하 며 DO-178B, DO-278, IEC 등이존재한다. 3) 그림 2-1 IOC/IEC DO-178B 문서 DO-178B 문서의의의및개요 DO-178B는항공시스템에서사용되는소프트웨어의안전성을다루는문서이다. 미국연방항공청 (FAA) 은 DO-178B를소프트웨어가비행시신뢰성을가지고작동할지여부를판별하는것을참조하기위한문서로서업무에적용한다. 또한이것은인증이필요한경우이를수행하기위하여기술표준규칙 (Technical Standard Order) 에의해지정된문서이기도하다. DO-178B 문서는미국항공통신기술위원회 (RTCA) 에서발행하였다. 또한개발과정에서유럽민간항공장비기구 (EUROCAE) 와공동작업이이루어졌으며유럽민간항공장비기구는이것을 ED-12B 문서로발행하였다

12 2.2.2 DO-178B 문서의역사 1980 년대초반, 항공기와항공기엔진에서사용되는소프트웨어의수요증 가는관련산업에서감항성요구사항을만족시키는표준을필요로하게되었 다. 6) (1) DO-178 DO-178은신청자와인증기관사이의의사소통의기반을제공하기위해서개발되었다. 이러한항공용시스템에적용되는소프트웨어개발의표준확립에대한초기단계노력중실제경험중최상의결과들을모아놓은집합이었다. 그러나 DO-178은신청자에대해그것의의도된사항을만족시키는것을요구하였는데여기서발생한문제점은구체적인내용이나기준없이문서의의도한바를충족시킬것을요구한것이다. 그럼에도불구하고소프트웨어치명도를 3단계로이루어진시스템으로설명하는방안을제시하였다. 이것은치명성, 필수성, 비필수성으로구성되어있으며인증수준이곧치명도수준을반영하도록한다. 추가적으로이것은미국연방항공청이나기술표준규칙과같은소프트웨어인증과미국연방항공청문서간의연결고리를제시하였다. 7) (2) DO-178A DO-178을이용한초기인증경험이축적된후이에대한검토가필요하다는의견이도출되었다. RTCA의 SC-152는 DO-178A 문서를 1985년에제시하였으며 DO-178로부터상당히다르다는점을특징으로삼을수있다. 해당문서에서는소프트웨어과정, 소프트웨어개발, 그리고소프트웨어과정의문서화에대한엄격한요구조건을제시하였다. ( 이러한요구조건은 Waterfall Method 에기반한다 ) 그러나제시된인증요소들을신청자들이나인증기관이잘못해석하는경우가종종발생하였으며이것은전체개발과정을실패하게하는원인이되었다. 결과적으로 DO-178A를통하여인증요구조건의존재이유및그목적을명확하게정의하거나알리는것에는성공적이지못하였다. 7) - 7 -

13 (3) DO-178B DO-178A 문서가실제적용되던시기에항공산업은더욱소프트웨어지향적으로변화하였다. 그러나관련기업들이 DO-178A 요구사항을만족시키기에는아직경험도부족하였고또한문서화및기반에대한이해도제대로이루어지지않았다. 이러한점들을개선한새로운기준에대한요구가대두되었으며그결과로 1992년 DO-178B 가유럽민간항공장비기구와미국연방항공청에의해공동으로개발되었다. DO-178B 가 DO-178A 에비해달라진점은일단소프트웨어치명도수준 A~E 의분류개념이기존의 3단계시스템 ( 치명성, 필수성, 비필수성 ) 을대체한것을들수있으며, 이외에도기존의 white-box 테스팅에대조되는요구조건에기반된테스팅이크게강조되었다. 7) DO-178B 문서의구성 소프트웨어개발관련시스템양상 DO-178B 문서의첫부분은소프트웨어개발에서수명주기과정과관련된시스템양상에관한내용이며, 여기에는시스템과소프트웨어수명주기과정간자료의교환, 불작동조건, 소프트웨어치명도수준의정의및결정, 시스템구조적고려사항, 사용자가수정가능한소프트웨어의고려사항, 현장에서로딩가능한소프트웨어의설계조건, 소프트웨어인증에대한요구조건등에대한내용을포함하고있다. 이중에서시스템과소프트웨어수명주기과정간정보의흐름을그림 2-2에나타내었다. 시스템안전보증과정과시스템설계과정간상호의존성으로인하여그사이에발생하는정보의흐름은반복적인특성을갖는다. 시스템안전성평가과정은시스템의불작동조건을결정짓고또그것을분류한다. 시스템안전성평가과정에서는시스템설계에대한분석을수행하여, 그로부터안전성관련요구사항을정의하여불작동조건에대하여요구되는견고함의정도와불작동에대하여요구되는시스템의응답사항등을구체적 - 8 -

으로제시한다. 안전성관련요구조건은곧소프트웨어수명주기과정에대한입력자료이다. 여기에는시스템에대한설명과하드웨어의정의, 미국연방항공규정 (FAR) 이나유럽항공안전국규정 (JAR) 등을포함한인증요구조건, 소프트웨어에할당된시스템요구사항, 소프트웨어치명도수준, 안전성관련전략및설계제약조건이있다.

14 으로제시한다. 안전성관련요구조건은곧소프트웨어수명주기과정에대한입력자료이다. 여기에는시스템에대한설명과하드웨어의정의, 미국연방항공규정 (FAR) 이나유럽항공안전국규정 (JAR) 등을포함한인증요구조건, 소프트웨어에할당된시스템요구사항, 소프트웨어치명도수준, 안전성관련전략및설계제약조건이있다. 결과적으로시스템수명주기과정은소프트웨어수명주기과정을위한요구조건을구체화시켜시스템검증활동을보조한다. 시스템안전성평가과정은소프트웨어설계및적용이시스템안전성에대하여미치는영향의정도를결정하는데여기에사용되는정보는소프트웨어수명주기과정에서제공된다. 여기서제공되는정보에는오류를포함하는경계, 소프트웨어요구조건, 소프트웨어구조, 그리고오류의원인등이있다. 그림 2-2 시스템과소프트웨어수명주기과정간 시스템안전성관련정보의흐름 - 9 -

2.2.3.2 소프트웨어수명주기 일반적인프로젝트에서소프트웨어수명주기는한개이상정의되며, 이것은각과정별로이루어지는활동을선택하거나각활동들에대한순서를정하거나각활동별책임작업을지정하는행위에의해이루어진다. 소프트웨어수명주기는계획단계, 개발단계, 통합단계로구성된다.

15 소프트웨어수명주기 일반적인프로젝트에서소프트웨어수명주기는한개이상정의되며, 이것은각과정별로이루어지는활동을선택하거나각활동들에대한순서를정하거나각활동별책임작업을지정하는행위에의해이루어진다. 소프트웨어수명주기는계획단계, 개발단계, 통합단계로구성된다. 소프트웨어계획단계에서는소프트웨어개발및통합단계에서이루어지는활동을정의하며, 개발단계에서는실제제품의생산이이루어지는데이것은요구사항과정, 설계과정, 코딩과정, 통합과정으로분류된다. 다음으로소프트웨어통합단계는소프트웨어수명주기과정과그출력물에대한정확성, 제어성및신뢰성을보증하는역할을한다. 이것은검증, 형상관리, 품질보증, 인증지원단계로분류된다. 한가지유의할점은통합단계가개발단계다음에수행되는것이아닌소프트웨어개발단계와더불어전체수명주기에걸쳐수행된다는것이다. 그림 2-3 DO-178B 소프트웨어수명주기단계

16 계획단계 소프트웨어계획단계에서는개발및통합단계의방향설정을위한소프트 웨어계획및표준을개발한다. 소프트웨어계획단계에서의목표는소프트웨어개발방법을정의하여그로 하여금시스템요구사항을만족시키고신뢰도수준을제공하여감항성요구사 항에합치되게하는것이다. 구체적인목표를살펴보면다음과같다. - 시스템요구조건과소프트웨어수준을정의하는것을다루는소프트웨어개발단계와통합단계의활동 - 과정간의상호관계를포함한소프트웨어수명주기와그순서를나열하는것, 피드백작용, 전이조건등의결정 - 소프트웨어수명주기과정활동에사용되는방법과도구를포함하는소프트웨어수명주기환경의선정 - 필요한경우추가적인고려사항을다루는것 - 소프트웨어개발을위한시스템안전목표와일관되는소프트웨어개발표준의정의 - DO-178B 4.3장과 11장과합치되는소프트웨어계획의개발 - 소프트웨어계획개발및평가의조직화 DO-178B 문서의여러사항을충족시키며소프트웨어개발이이루어지는 데결정적인요소는바로효율적인계획활동이다. 이에대한권고사항은다 음과같다. - 소프트웨어계획들은수명주기중소프트웨어개발및통합과정에참여하는인력에대한시기적절한지침을제공하는시점에개발되어야한다. - 프로젝트에서사용될소프트웨어개발표준이정의되어야한다. - 소프트웨어개발과정에서나타나는오류를방지하기위한방법과도구

17 가선정되어야한다. - 소프트웨어계획과정에서는소프트웨어개발과통합과정간의협력이이루어질수있도록해야한다. - 소프트웨어계획과정은프로젝트성과로서의소프트웨어계획을평가하는수단을포함해야한다. - 한시스템에여러버전의상이한소프트웨어가사용되는경우, 소프트웨어계획단계는방법과도구를신중히선택해서오류를예방하거나발견할수있게끔하고그로인해시스템안전성의목적을달성하여야한다. - 소프트웨어계획과정이완성되려면, 소프트웨어계획과소프트웨어개발표준이제어가능해야하며그에대한점검이완료되어야한다. - 만약비활성화된코드가계획되었다면소프트웨어계획단계에서는그러한코드가정의, 점검, 작동되는방식을설명하여시스템안전성의목적을달성하여야한다. - 사용자가수정가능한코드가계획되었다면본문서의 부분을입증하는과정, 도구, 환경, 데이터아이템이소프트웨어계획과표준에서명세화되어야한다. 다른소프트웨어수명주기과정은소프트웨어계획단계의완성전에사전진행이가능하지만이를위해서는계획및절차가준비되어있어야한다. 이외에소프트웨어계획, 소프트웨어수명주기환경계획, 소프트웨어개발환경, 언어및컴파일러고려, 소프트웨어시험환경계획, 소프트웨어개발표준등이개발되거나이루어져야한다. 소프트웨어계획은소프트웨어인증양상계획 (Plan for Software Aspects of Certification), 소프트웨어개발계획 (Software Development Plan), 소프트웨어검증계획 (Software Verification Plan), 소프트웨어형상관리계획 (Software Configuration Management Plan), 소프트웨어품질보증계획 (Software Quality Assurance Plan) 으로이루어져있다. 이 5가지의계획서에대하여간략히알아보면다음과같다

18 - 소프트웨어인증양상계획은인증기관과제시개발방법에관련하여의사소통을하는우선수단으로의역할을맡으며, 또한 DO-178B 문서와의합치되기위한수단을정의하기도한다. - 소프트웨어개발계획은소프트웨어수명주기와소프트웨어개발환경을정의한다. - 소프트웨어검증계획은소프트웨어검증과정사항을만족시킬수단을정의한다. - 소프트웨어형상관리계획은소프트웨어형상관리단계의사항을만족시킬수단을정의한다. - 소프트웨어품질보증계획은소프트웨어품질보증단계의사항을만족시킬수단을정의한다. 다. 계획단계의제시목표와결과물은 [Table A-1] 를요약한표 2-1 과같 개발단계 소프트웨어개발단계는크게요구과정, 설계과정, 코딩과정, 통합과정으로분류된다. 개발단계에서는소프트웨어요구사항을여러수준 (level) 로나누어생산한다. 고수준요구조건은시스템요구사항과시스템구조에대한분석을통해직접적으로생산되며통상적으로소프트웨어설계과정을통하여심도있는개발이진행되고, 이로써저수준요구사항이개발된다. 저수준요구사항은소스코드에직접적으로적용될수있는소프트웨어요구조건이다. 소프트웨어설계과정에서는고수준요구조건이반복을통해서정리되며, 이를통해소프트웨어구조와저수준요구사항을마련한다. 이렇게마련된저수준요구사항은시스템안전성평가과정에제공되게된다. 소프트웨어설계과정의입력물에는소프트웨어요구조건데이터, 소프트웨어개발계획,

19 Objective Software development and integral processes activities are defined Transition criteria, interrelationships and sequencing among processes are defined. Software life cycle environment is defined. Additional considerations are addressed. Output - Plan for Software Aspects of Certification - Software Development Plan - Software Verification Plan - Software Configuration Management Plan - Software Quality Assurance Plan 5 Software development standards are defined. - SW Requirements Standards - SW Design Standards - SW Code Standards Software plans comply with this 6 document. 7 Software plans are coordinated. - SQA Records - Software Verification Results 표 2-1 [Table A-1] Software planning process 그리고소프트웨어설계표준서가있다. 전환조건이충족될시고수준요구조건을설계과정에사용하여소프트웨어구조와저수준요구사항을발생시키게되는데, 이것은한개이상의저수준요구조건을포함할수있다. 설계과정의핵심적인출력물은설계설명서이다. 설계설명서는소프트웨어구조와저수준요구조건을포함한다. 소프트웨어코딩과정에서는소스코드가전단계에서결정된소프트웨어구조와저수준요구조건을기반으로해서구현된다. 소프트웨어코딩과정에서개발되는소스코드는추적가능성, 검증가능성, 일관성, 저수준요구

20 조건의올바른구현성을필요로한다. 따라서코딩과정의입력물로는소프트웨어구조와저수준요구조건이포함되며, 이외에소프트웨어개발계획, 소프트웨어코드표준서가요구된다. 소프트웨어통합과정에서는코딩과정에서개발된소스코드와목적코드, 그리고대상컴퓨터가데이터연결과적재작업에사용되어통합항공시스템또는장비를개발하게된다. 통합과정의목표는하드웨어 / 소프트웨어통합을위하여, 실행가능한코드를적용대상이되는하드웨어에로딩시키는것이다 Objective High-level requirements are developed. Derived high-level requirements are defined. Software architecture is developed. Low-level requirements are developed. Derived low-level requirements are defined. Output - Software Requirements Data - Software Requirements Data - Design Description - Design Description - Design Description 6 Source Code is developed. - Source Code 7 Executable Object Code is produced and integrated in the target computer. - Executable Object Code 표 2-2 [Table A-2] Software development process 다. 개발단계의제시목표와결과물은 [Table A-2] 를요약한표 2-2 과같

21 통합단계 - 검증, 형상관리, 품질보증, 인증지원 통합단계는검증단계, 형상관리단계, 품질보증단계, 인증지원단계의 네가지하위단계로구성된다. 검증이란소프트웨어개발단계와검증단계의결과들에대한기술적확인절차이다. 이는소프트웨어계획단계와검증계획단계를따라적용된다. 검증단계는단순한테스트가아니다. 왜냐하면테스트는일반적으로오류가없다는것을증명할수없으며, 이러한이유로 DO-178B에서는소프트웨어검증과정목표에대하여언급할시 테스트 대신 검증 이라는용어를사용하여이두가지를구분하고있다. 소프트웨어검증단계에서는개발과정에서인지가능하였던오류에관한탐지와그보고를주목표로한다. 구체적인목표사항을살펴보면다음과같다. a. 소프트웨어에할당된시스템요구조건이고수준요구조건으로개발. b. 고수준요구조건이소프트웨어구조및저수준요구조건으로개발. c. 소프트웨어구조와저수준요구조건이소프트웨어코드로개발. d. 실행가능한목적코드가소프트웨어요구조건을만족시키는것. e. 위목표들을충족시키기위한수단이해당되는소프트웨어치명도수준에기술적으로합당하며온전할것. 이러한목표의달성을위하여각종검토, 분석, 테스트상황과절차의개발, 그리고테스트절차의점차적수행이이루어진다. 여기서검토와분석을통하여소프트웨어요구조건 / 구조 / 소스코드에대한정확성, 완전성, 검증가능성에대한평가를제공하며, 테스트상황과절차의개발을통해요구조건에대한내부적인일관성과완전성의추가적평가를제공할수있다. 그리고테스트절차수행을통하여요구사항간의합치성을입증할수있다. 전반적으로검증단계에서는소프트웨어요구조건의적용과해당요구조건의검증작업사이에추적성을제공한다

22 검증단계의제시목표와결과물은 [Table A-3] 에서 [Table A-7] 까지요약한표 2-3에서표 2-7과같다. 이것은앞선소프트웨어요구조건의정의와계획단계, 그리고개발단계의코딩및통합과정, 그리고검증과정각각에대한검증을그내용으로하고있다. Objective Output 1 Software high-level requirements comply with system requirements. 2 High-level requirements are accurate and consistent High-level requirements are compatible with target computer. High-level requirements are verifiable. High-level requirements conform to standards. - Software Verification Results 6 High-level requirements are traceable to system requirements. 7 Algorithms are accurate. 표 2-3 [Table A-3] Verification of outputs of software requirements process

23 Objective Output Low-level requirements comply with high-level requirements. Low-level requirements are accurate and consistent. Low-level requirements are compatible with target computer. Low-level requirements are verifiable. Low-level requirements conform to standards. Low-level requirements are traceable to high-level requirements. 7 Algorithms are accurate. - Software Verification Results Software architecture is compatible with high-level requirements. Software architecture is consistent. Software architecture is compatible with target computer. Software architecture is verifiable. Software architecture conforms to standards. Software partitioning integrity is confirmed. 표 2-4 [Table A-4] Verification of outputs of software design process

24 1 2 Objective Source Code complies with low-level requirements. Source Code complies with software architecture. 3 Source Code is verifiable Source Code conforms to standards. Source Code is traceable to low-level requirements. Source Code is accurate and consistent. Output of software integration process is complete and correct. Output Software Verification Results 표 2-5 [Table A-5] Verification of outputs of software coding & integration process Objective Executable Object Code complies with high-level requirements. Executable Object Code is robust with high-level requirements. Executable Object Code complies with low-level requirements. Executable Object Code is robust with low-level requirements. Executable Object Code is compatible with target computer. Output Software Verification Cases and Procedures Software Verification Results 표 2-6 [Table A-6] Testing of outputs of integration process

25 Objective 1 Test procedures are correct Test results are correct and discrepancies explained. Test coverage of high-level requirements is achieved. Test coverage of low-level requirements is achieved. Test coverage of software structure (modified condition / decision) is achieved. Test coverage of software structure (decision coverage) is achieved. Test coverage of software structure (statement coverage) is achieved. Test coverage of software structure (data coupling and control coupling) is achieved. Output Software Verification Cases and Procedures Software Verification Results 표 2-7 [Table A-7] Verification of verification process results 형상관리단계는소프트웨어계획단계와형상관리계획과정에서정의된바에의하여진행된다. 먼저계획에따라서각각의산출물들에대해정해진규칙에따라고유한번호를부여한뒤, 관리등급에따라승인및수정사항들을관리하게되고, 승인되지않은사용자로부터보호한다. 8) 형상관리단계에서는소프트웨어에있어서제대로정의되고제어가능한형상을제공하여그것이소프트웨어수명주기전반에걸쳐사용될수있게하고, 소프트웨어생산또는재생산이필요한경우를위해실행가능한목적코드를모사할수있는능력을제공하고, 소프트웨어수명주기가진행되는도중생기는모든입력및출력에대한제어를제공하여모든단계활동에대

26 한일관성과반복성을보증하는것을목표로삼는다. 이렇게설정된목표를통하여형상식별, 제어변경, 기준선확립, 소프트웨어제품보관등의활동을개시한다. 형상관리단계는인증당국에의해소프트웨어제품이인정받은이후에도소프트웨어가항공시스템에서사용되는동안지속된다. 형상관리단계의제시목표와결과물은 [Table A-8] 를요약한표 2-8 과같다. Objective Output 1 Configuration items are identified. SCM Records Baselines and traceability are extablished. Problem reporting, change control, change review, and configuration status accounting are extablished. Archive, retrieval, and release are established. Software load control is established. Software life cycle environment control is established. Software Configuration Index SCM Records Problem Reports SCM Records SCM Records SCM Records Software Life Cycle Environment Configuration Index SCM Records 표 2-8 [Table A-8] Software configuration management process 품질보증단계에서는소프트웨어수명주기과정과그결과물에대한확인절차를수행하여모든목적이만족요건과결점들이발견및보강되었다는점, 그리고소프트웨어제품과수명주기자료가인증요구사항에합치한다는점을확인하게된다. 이러한합치성에대한판단은품질보증단계가기존에승인된소프트웨어계획및표준에일치한다는것을확인함으로서이루어진다

27 품질보증단계의제시목표와결과물은 [Table A-9] 를요약한표 2-9 과같다. Objective Output 1 Assurance is obtained that software development and integral processes comply with approved software plans and standards. Software Quality Assurance (SQA) Records 2 Assurance is obtained that transition criteria for the software life cycle processes are satisfied. SQA Records 3 Software conformity review is conducted. 표 2-9 [Table A-9] Software quality assurance process 인증지원단계의목적은신청자와인증당국사이의원할한의사소통과상호간의이해를돕는것으로서소프트웨어수명주기전반에걸쳐인증과정을지원하기위한것이며품질보증단계의제시목표와결과물은 [Table A-10] 를요약한표 2-10과같다

28 Objective Output 1 Communication and understanding between the applicant and the certification authority is established. 2 The means of compliance is proposed and agreement with the Plan for Software Aspects of Certification is obtained. Plan for Software Aspects of Certification 3 Compliance substantiation is provided. Software Accomplishment Summary Software Configuration Index 표 2-10 [Table A-10] Certification liaison process ANNEX A DO-178B 문서의마지막부분에서각소프트웨어수명주기별목표및결과물에대한안내를제공하며부록 A 에서 10개의표로구성되어있다. 또한각목표및결과물별로해당사항이적용되는안전성레벨을제시하고있다

29 표번호 표제목 A-1 Software planning process A-2 Software development process A-3 Verification of outputs of software requirements process A-4 Verification of outputs of software design process A-5 Verification of outputs of software coding &integration processes A-6 Testing of outputs of integration process A-7 Verification of verification process results A-8 Software configuration management process A-9 Software quality assurance process A-10 Certification liaison process 표 2-11 DO-178B 문서의부록 - 각과정별소프트웨어치명도수준에 따른목표및결과물

30 2.3 국내항공용소프트웨어인증교육과정개발 지금까지 DO-178B 에의한항공용소프트웨어인증과정에대하여알아보았으며, 이러한과정을실제로국내인증업무에적용하기위해서는인증분야에지식및경험이있는인력을필요로한다. 하지만현재국내항공용소프트웨어인증수준은아직시작단계이므로, 관련업무종사자에대한교육과정및교재의필요성이대두되었으며이를위해먼저해외인증교육과정에대한조사가이루어진뒤, 조사결과를기반으로하여국내인증교육과정을개발하였다 해외인증교육과정조사결과및반영점 해외인증교육과정소개 본연구에서는해외인증교육과정중조사가이루어진네가지교육과정에대한정리및분석이이루어졌다. 교육과정특성상강사의시각이일정부분반영되며그에따라강조되는부분및구성도차이를보이는것을알수있다. 먼저 Vance Hilderman 의교육과정에대하여알아보면, 그구성은먼저인증에대한소개에해당하는입문내용, DO-178B의구체적인내용을설명하는중간구성, 그리고마지막개별내용으로구성되어있다. 입문내용에서는역사, 전반적인 DO-178B 문서의구성, 주요수명주기, 치명도, 가격비에대한내용, 중간구성에서는안전성, PSAC, 개발단계및검증단계, 요구조건, 코딩, 테스팅, 추적성에관한내용, 그리고개별단계에서는요구조건과설계에의반영, 테스팅관련상세조건, 회계감사, SEI CMM, 도구검증에관한내용을다루고있다. 그림과같이전체적인흐름이일반적이고범용적인내용에서특수하고세부적인내용으로연결되므로전체적인인증과정을파악하기에타과정보다용이하다는장점이있다

31 그림 2-4 Vance Hilderman 의교육과정구성 Leanna K. Rierson 의교육과정은 DO-178B의구성을순차적으로충실히따라가는방식을채택하고있다. 이러한구성은특히인증과정에어느정도지식이있는피교육자에게일정한학습효과를가져올수있는것으로판단된다. 구체적으로인증소개, 소프트웨어안전, DO-178B 구성, 소프트웨어계획 / 개발 / 검증단계, SQA / SCM / 인증지원활동, 특별주제, DO-178B 관련문제, FAA 정책, DO-178C 소개로구성되어있다

32 그림 2-5 Leanna K. Rierson 의교육과정구성 Maartin Uijt de Haag 의교육과정은세가지부분으로구성되어있다. 먼저비행표준, 소프트웨어설계 / 인증, 시스템공학및수명주기과정의이론적배경을기반으로한과정, 전체적인소프트웨어인증과정양상, 그리고마지막으로안전성평가과정을그구성내용으로한다. 해당교육과정은대학교육과정이므로어느정도이론적요소를포함하고있으며, 이는관련분야에대한기본적지식의배경을강화시킬수있는교육과정으로판단된다

33 그림 2-6 Maartin Uijt de Haag 의교육과정구성 마지막으로 FAA에서주관하는 FAA Academy 교육과정은 DO-178B 기초, 품질보증및형상관리, 고급주제, Job Aid, Case Study 로구성되어있다. 이교육과정의특징은 Exercise 의비중이높아실제업무에의연관성이타교육과정에비해강조됨을알수있다

34 그림 2-7 FAA Academy 의교육과정구성

35 국내인증교육과정에의해외인증교육과정의반영 국내인증과정에서는위에서조사한해외교육과정의구성상및내용상장점을취합및반영하였다. 교재의구성을시스템및소프트웨어공학에관련된부분, 그리고실제 DO-178B 의구성과관련된부분으로나누어이론적내용과실무적내용에대한비중을균형있게다루었다. 또한 DO-178B 구성부분에서는이것이실제로업무에연관될수있도록 Exercise 와 Case Study를같이포함시켰으며각단계별로 Annex A 의표를삽입하여인증과정에서어떻게연결이되는지에대한내용을피교육자가쉽게이해할수있도록구성하였다 국내인증교육과정의구성 국내인증교육과정은소개, 시스템및소프트웨어공학, DO-178B ( 구 성, Exercise, Case Study) 으로구성되었다. 1 부인소개는본교육과정에 관한세부적인목차, 진행일정, 피교육자간의소개로이루어진다

그림 2-8 1 부구성내용 2부인시스템및소프트웨어공학은인증과관련된이론적인내용으로서, 시스템공학에서는그역사와분류, 시스템프로세스모델, 그리고수명주기에관한내용을설명하며소프트웨어수명주기에관한개념을확립할수있도록한다.

36 그림 부구성내용 2부인시스템및소프트웨어공학은인증과관련된이론적인내용으로서, 시스템공학에서는그역사와분류, 시스템프로세스모델, 그리고수명주기에관한내용을설명하며소프트웨어수명주기에관한개념을확립할수있도록한다. 소프트웨어공학에서는그정의와개념, 특징에관해간략한소개가이루어진뒤, 소프트웨어프로세스중형식체계, 재사용지향방법, 반복방법, 설계에서검증까지의과정, 시험, 컴퓨터보조소프트웨어공학 (CASE, Computer-aided Software Engineering) 에대한교육내용이제공되며, 각종소프트웨어요구사항과그에따른문서에대한언급이이루어진다

37 그림 부시스템공학 그림 부소프트웨어공학

38 3부에서는주요구성방식이 DO-178B 의전체적인목차를따라가도록하며매장마다 Exercise를추가하였다. 구체적으로 1장에서는안전성과그평가과정에관한내용, 2장에서는 DO-178B의수명주기와개별단계, 즉계획단계, 개발단계, 검증단계, 형상관리단계, 품질보증단계, 인증지원단계에관한내용, 3장에서는소프트웨어품질보증과형상관리에대한구체적인내용, 4장에서는기술적주제가되는보호및분할과테스트에관한내용, 5장에서는실제소프트웨어검토수행 (SOI, State of Involvement) 에관한내용으로구성되었다. 그림 부 DO-178B

39 3. 결론 지금까지항공기인증방식과감항인증, 항공용소프트웨어인증의분류와 DO-178B의위치에관하여알아보고 DO-178B의구성과정에관하여살펴본뒤국내교육용교재개발을위한해외교육과정의조사결과, 그리고국내교재구성등의개발과정에관한내용을소개하였다. 지금까지내용을정리하면, 항공기인증방식에는설계단계의형식증명, 제작단계의생산증명, 그리고운용단계의감항증명이있다. 항공인증관련기관에는대표적으로국제민간항공기구, 미국연방항공청, 유럽항공안전기구가있으며관련규정및문서는크게군용과민간용으로나뉜다. 군용도를위한감항인증에서는전투기능의유지를, 민간용도에서는인명의보호를최우선목표로삼고있다. 항공기인증중에서감항증명에는항공기의종류와항공기의부위별부품에따른기준이존재하며, 소프트웨어에관한감항성권고사항은 DO-178B 에서제시하며이는현재가장널리사용되고있는소프트웨어기준이다. DO-178B 문서는항공용소프트웨어인증을위한기준을크게세단계로나눠서제시하는데, 이는계획단계, 개발단계, 통합단계이며통합단계는다시검증단계, 형상관리단계, 품질보증단계, 인증지원단계로나누어진다. 아직항공용소프트웨어인증기반이초보단계인우리나라에서는관련인력양성을위한교육과정을개발하였으며, 여기에사용되는교재제작을위해해외교육과정을조사한뒤각과정의특징을참조하여교재를개발하였다. 국내교육용교재의특징은전반부가시스템및소프트웨어공학을포함한이론적과정으로, 후반부는 DO-178B 구성내용및 Case Study 를통한실습을포함한실무적과정으로이루어졌다. 해당과정은교육대상및목적에따라총예정소요일수를달리하였으며시범적으로 3일과정교육이운영되엇다. 이에대한결과가성공적으로평가되었으며향후우리나라의항공용소프트웨어인증기반마련및관련인력양성에상당한역할을할것으로판단된다

40 4. 참고문헌 [1] 황호원, 홍승택, 항공기감항증명제도에관한고찰, 항공우주법학회지제26권 1호, June 2011, pp [2] 한국항공우주연구원, 민군공용항공기감항기술제정 (IV), 민ㆍ군규격통일화사업, 2008, pp [3] 박무혁, 항공용 S/W 개발및인증기술동향, 항공우주산업기술동향제5권 1호, July 2007, pp [4] Des Barker, "System Safety", Aerospace Testing International, March 2012, pp 11. [5] 김창진, 최진영, 정형기법을적용한 DO-178B 안전성검증및인증기준개선, 2006년도한국정보과학회가을학술발표논문집제33권 2호, Oct. 2006, pp [6] DO-178B, "Software Considerations in Airborne Systems and Equipment Certification", RTCA, [7] Michael R. Elliott and Peter Heller, "Object-oriented Software Considerations in Airborne Systems and Equipment Certification", SPLASH '10, Oct. 2010, pp [8] 이현규, 박훈, 양재원, 임베디드소프트웨어인증에있어서소프트웨어계획프로세스수행시고려사항연구, 한국항공우주학회 2010년도춘계학술발표회논문집, Apr

41 Abstract Seungbok Lee Aerospace Engineering MAE The Graduate School Seoul National University This study is about research on the procedures of airborne software certification through DO-178B which a document most widely used in this area for certification, and also about developing a teaching material and education course expected for enhancing domestic software certification ability. We have investigated about the general airworthiness certification and its correlation with software certification. Classification and history of DO-178B document in the software certification area is presented, followed by the activities and objectives of detailed certification procedures and their output documents. Afterwards, the development of teaching material for utilization in the airborne software business is suggested. As a primary step, we took a research on the education materials abroad. We focused on their characteristics and formation, analyzed their advantages, and finally applied them on developing our own teaching material. Runnng the first domestic education course on software certification using the developed education material, it is expected to improve the knowledge of practician in the field of software certification

42 Keyword : Airborne Software, Certification, DO-178B, Airworthiness, Certification Education Program Student Number : i -

법학박사학위논문 실손의료보험연구 2018 년 8 월 서울대학교대학원 법과대학보험법전공 박성민

법학박사학위논문 실손의료보험연구 2018 년 8 월 서울대학교대학원 법과대학보험법전공 박성민 저작자표시 2.0 대한민국 이용자는아래의조건을따르는경우에한하여자유롭게 이저작물을복제, 배포, 전송, 전시, 공연및방송할수있습니다. 이차적저작물을작성할수있습니다. 이저작물을영리목적으로이용할수있습니다. 다음과같은조건을따라야합니다 : 저작자표시. 귀하는원저작자를표시하여야합니다. 귀하는, 이저작물의재이용이나배포의경우, 이저작물에적용된이용허락조건을명확하게나타내어야합니다.