한국항공우주연구원 마스터제목스타일편집 2015. 12. 1
마스터목차제목스타일편집 2
마스터제목스타일편집 3
항공전자마스터제목장비스타일 ( 소프트웨어편집탑재 ) 개발동향 Aronca Model 7 Champion Introduced November 1945 Produced 1946-1950 Number built more than 10,000 4
항공전자마스터제목장비스타일 ( 소프트웨어편집탑재 ) 개발동향 Spaceshipone 지상 24Km => 지상 112km [ Spaceshipone ] 5
항공전자마스터제목장비스타일 ( 소프트웨어편집탑재 ) 개발동향 New Piper- Meridian 6
항공전자마스터제목장비스타일 ( 소프트웨어편집탑재 ) 개발동향 A-380 개발비 : 120 억유로 소프트웨어개발 ( 인증포함 ) : 40 억유로 항공탑재소프트웨어유형 - 비행또는임무중요소프트웨어 : fly-by-wire, engine control, radar, ADIRU, AP 등 - Health 및안전관련 : 환경조정계통 ( 압력, 온도, 습도, 조명, 생명유지장치등 ) - 업무부하감소 : 정교한디스플레이를사용하는 Secondary System - 항공기안전과종속되지않는소프트웨어 : 항공기내설치된오락장치, 승객컴뮤니케이션용 7
항공전자마스터제목장비스타일 ( 소프트웨어편집탑재 ) 개발동향 Avionics Architecture Trend 시스템통합성 부품모듈화 고속디지털화 인터페이스단순화 확장성확보 고신뢰성 고정비성 저비용 저중량 저전력 8
항공전자마스터제목장비스타일 ( 소프트웨어편집탑재 ) 개발동향 항공분야 S/W 발전 국방 / 항공기술발달과더불어항공탑재용 S/W 수요증가 - 항공기탑재용 S/W 코드복잡화 ( 코딩라인수증가 ) - 전체항공기가격대비 S/W 비율증가 임베디드 S/W 시스템가격비중 < 자료 : Boeing 사 > 년도 9
항공용마스터소프트웨어제목스타일사용량편집증가추세 항공분야 S/W LOC 증가추세 10
마스터제목스타일편집 11
마스터 S/W 오류제목인한스타일사고편집사례 항공관련 ( 민간 / 군사 ) 항공교통컨트롤시스템 (2004년 9월 14일 ) - 원인 : 카운트다운타이머오류 ( 카운트다운타이머가 4 billion milliseconds를초과 ) - 결과 : 항공기위치추적신호통신마비 - 시스템작동중단을막기위해수동방법으로재부팅 (30일마다 ) 패트리어트미사일 (1991년 1월 21일 ) - 원인 : 계산미사일위치오차 ( 약 600m) - 결과 : 사망자발생 ( 군인 28명 ) F-22 (1992년, 2007년 ) - 원인 : 동시다발적인다중컴퓨터충돌 (F-22 crash landing 동영상 ) 12
마스터 S/W 오류제목인한스타일사고편집사례 우주발사체 아리안 5호로켓 (1995년 6월 4일 ) - 원인 : 숫자단위변환에러 (64 비트의부동소수점 -> 16 비트정수변환과정 ) - 결과 : 발사후에 37초후로켓폭발 - 소요비용 : $ 7.5 billion NASA 화성기후궤도탐사선 (1999년 11월 23일 ) - 원인 : 개발팀간단위 Unit 혼동미터법이아닌야드파운드법로적용, 자세제어용추력기에서발생하는힘을실제보다약 4.45배적은것으로예측 - 결과 : 화성궤도진입후 40m 상공에서폭발 - 소요비용 : $ 125 million NASA 화성탐사선 (2006년 11월 2일 ) - 원인 : 하드웨어구속조건을초과한입력에의한배터리손실 - 결과 : 전력저하로임무조기중단 13
항공기마스터운항제목스타일중준사고사례편집 _ 소프트웨어안전성 항공기준사고사례 https://www.atsb.gov.au/media/24550/aair200503722_001.pdf 대상항공기 : 말레이시아항공 Boeing 777-200ER - 2005년호주 Perth에서쿠알라룸푸르운항 준사고개요 - AIDRU 고장에따라잘못된데이터가입력되어항공기가과도하게기동하는심각한준사고 - Low Airspeed, PFD의 Slip/Skid 편향지시속도감속 (270 Knots=> 158 Knots), 실속경보 - 회복후회항중, 항공기노즈다운, 우측뱅크발생 - 자동조종장치사용포기하고수동비행으로안전하게회항 호주사고조사위원회 (ATSB) 결론 - ADIRU 운용프로그램소프트웨어 (OPS) 가표준에따라시험하고인증을받았으나, 시험이구성품의표준요건에한정하여시험되어 OPS에확인되지않은 Anomaly 존재 ADIRU(Air Data inertial Reference System) : 항공기의주비행조종계통 (PFC), 자동조종장치 (AP) 의비행지시장치 (FD), 비행관리시스템 (FMS) 등에대기정보 ( 속도, 고도, 받음각 ) 와항행정보제공 14
항공기마스터운항제목스타일중준사고사례편집 _ 소프트웨어안전성 항공기준사고사례 ( 계속 ) 호주사고조사위원회 (ATSB) 결론 ( 계속 ) - 구성품소프트웨어에존재하는 Anomaly( 비정상적인작동 ) 가 ADIRU 내의고장난가속도계로부터의입력허용 - ADIRU 에잘못입력된데이터가주비행컴퓨터, 자동조종장치등의항공기시스템에서사용됨. 그결과항공기이상기동현상발생 - 또한, 비행교범에조종사가항공기의이상자세에서의회복절차를제공하지않음 시정조치 - 미국 FAA( 항공기제작국가 ): AD 2005-18-51( 감항개선지시서 ) 를통해 B777항공기에 ADIRU 신규 OPS 설치및비행교범의 Limitation 변경조치 - AIDRU 제작사 : 항공기제작사와함께 AIDRU OPS Hierarchy 검토및 S/W 민감도결정 - 항공기제작사 : ADIRU 신규운용프로그램설치, 운용매뉴얼개정 ( 이상자세회복절차등 ) - 항공기운항사 : AD 2005-18-51적용및개정운용매뉴얼적용 15
마스터제목스타일편집 16
마스터항공전자시스템제목스타일개발편집 >>>> How 항공용장비요건 : KAS/FAR 25.1309 (a) 비행기의감항기준에의거소요기능이요구되는장비및시스템그리고장비의장착요건은예상되는모든운용조건하에서요구되는기능을제대로발휘할수있도록설계하여야한다. (b) 비행기의시스템및관련되는구성품은다른시스템과개별적으로그리고연관하여고려할때다음사항에적합하도록설계하여야한다. (1) 비행기의안전한비행과착륙을방해하는임의의고장상태의발생이아주없어야한다 (Extremely improbable) (2) 비행기의성능또는조종사가불리한운항상태를극복하는능력을감퇴시키는임의의고장상태의발생이없어야한다 (improbable). 17
마스터항공전자시스템제목스타일개발편집 >>>> How 시스템개발프로세스 SCD : System Concept Document 18
마스터항공전자시스템제목스타일개발편집 >>>> How 개발단계 운용단계 Safety Assessment Process Guidelines & Methods (SAE ARP 4761) Safety Assessment of Aircraft In Commercial Service (SAE ARP 5150/5151) Intended Aircraft Function Function, Failure & Safety Information System Design Aircraft & System Development Processes (SAE ARP 4754A) Functional System Operation Guidelines for Integrated Modular Avionics (RTCA-DO-297) 시스템분야담당자 Electronic Hardware Development Life-Cycle (RTCA-DO-254) Software Development Life-Cycle (RTCA-DO-178) SW/HW 분야담당자 - SAE ARP 4754 Guidelines for Development of Civil aircraft and System: 항공기시스템에대한인증을도움을주기위한국제적지침 - FAA AC 25.1309-1A System Design and Analysis 은인증방법론설명 19
마스터항공전자시스템제목스타일개발편집 >>>> How 안전성프로세스 (ARP 4754A) AIRCRAFT REQUIREMENTS IDENTIFICATION SYSTEM REQUIREMENTS IDENTIFICATION ITEM REQUIREMENTS IDENTIFICATION ITEM DESIGN ITEM VERIFICATION SYSTEM VERIFICATION AIRCRAFT VERIFICATION Aircraft FHA PASA Aircraft CCA Aircraft Verification ASA Aircraft CCA Validation of Requirements at the next highest level System FHA Systems Verification System SSA PSSA System CCA Top Down Safety Requirements Development & Validation System CCA Validation of Requirements at the next highest level System FTA System CMA Item Verification System FTA System CMA System FMEA/FMES System FMEA/FMES Bottom Up Safety Requirements Verification Validation of Requirements at the next highest level SW Design HW Design ARP4754A Process FHA : Functional Hazard Assessment PASA : Preliminary Aircraft Safety Assessment PSSA : Preliminary System Safety Assessment SSA : System Safety Assess0ment DO-178C/DO-254 Process FTA : Fault Tree Analysis CMA : Common Mode Analysis FMEA : Failure Mode Effects Analysis ASA : Aircraft Safety Assessment FMES : Failure Mode Effects Summary CCA : Common Cause Analysis 20
마스터항공전자시스템제목스타일개발편집 >>>> How 시스템안전성평가 항공기설계에대한평가를통해현재의안전기준을충족하는지확인하기위한절차 필요하다면고장발생가능성을더낮추거나고장으로인한영향을감소시키기위한조치의필요성을판단 Risk 개념을적용하여발생가능성과이로인한를평가하고, 허용안전수준에따라설계요건및관리기준을적용함. 21
마스터항공전자제목시스템스타일개발편집>>>> How 시스템 소프트웨어 전자하드웨어관계 SAE ARP 4761는보증수준 (Assurance Level) 을정의하고있는개발기준으로안전성평가를다룸 보증수준은기능적인고장조건에상응하는프로세스의엄격한적용수준을설정 SAE ARP 4754A, RTCA DO-178C 및 DO-254는시스템에대해잠재된시스템안전성과상위시스템에서도출된요구조건의시스템요구조건영향성평가필요성강조 이는안전성에영향을미칠수있는개발과정의실수가능성을배제하기에충분한정화된방식으로완성이가능하게함 서로간에모두의존하며 Objectives-based Tables 사용 항공전자 LRU(Line Replaceable Unit) - PLD, ASIC 및 FPGA 구성품형태의전자하드웨어포함 22
마스터제목스타일편집 23
마스터항공용제목소프트웨어스타일개발편집및 DO-178C 소프트웨어안전 소프트웨어가안전한지어떻게아는가? - 모른다 소프트웨어안전성? - 적절한프로세스준수 - 코드에대한내부로부터의검증및점검 점검 점검 소프트웨어오류는개수와유형을평가하는것이실현불가능하며, 만약오류가존재하는경우시스템설계, 개발및시험완료후에도존재할수있음. 인증과정에서시스템수준에서의육안으로확인가능성이탑재시스템에 장착되는소프트웨어를평가하고통제하기위해감항당국의수락가능한 지침및내용을규정하고이에따른평가를통해안전성확보 24
마스터항공용제목소프트웨어스타일개발편집및 DO-178C DO-178C 의인증적용성 FAA AC 20-115C (2013.7) An Applicant for a TSO authorization, TC, or STC for any electronic equipment or system employing digital computer technology may use considerations outlined in RTCA Document RTCA DO-178C as a means, but not the only means, to secure FAA approval of digital computer software. FAA 에서 CAST 를통해, DO-178 적용에대한논의사항을문서로정리 ( 현재는총 33 건 ) 예 : 소프트웨어구획분할 / 보호구조에대한평가지침, 인증에서의미해결문제보고서관리등 https://www.faa.gov/aircraft/air_cert/design_approvals/air_software/cast/cast_papers/ DO-178 History 문서년도주요내용 DO-178 1982 기본적인절차 ( 산출물, 문서, 추적성, 시험 ) DO-178A 1985 DO-178B 1992 프로세스, 시험, 구성품, 안전수준, 검토, Waterfall methodology 도입 통합, 단계전이기준 (Transition Criteria), 다양한개발방법, 데이터, 툴 DO-178C 2011 DO-178B 개념명확화, 최신소프트웨어개발기술도입 25
마스터항공용제목소프트웨어스타일개발편집및 DO-178C DO-178 주요특성 감항요구조건의적합성을만족하는안전성과신뢰수준으로의도한기능을수행하는항공용시스템및장비의소프트웨어지침 : S/W에대해단독지침은아님 소프트웨어안전수준을결정하기위해, 안전성평가가요구됨 프로젝트기반으로개발활동을통한오류제거 라이프사이클활동과관련된목표와그산출물을제시 다른 S/W 표준대비특이사항 : S/W 레벨개념도입, 커버리지분석요구 DO-178은주로프로세스중심의문서 - 지정된프로세스 ( 계획, 개발, 검증등 ) 와이들결과물에서의요구조건집합 항공기의지속적인안전한비행과착륙을저해할수있는모든고장조건의발생가능성이없음을입증 요구조건을충족시키는증거는소프트웨어안전 (Criticality) 수준에따라변함 26
마스터항공용제목소프트웨어스타일개발편집및 DO-178C DO-178B=> DO-178C 개정에따른변경및추가사항 주요변경내용 - 툴검증 (Tool Qualification) [DO-330] - 모델기반설계 (Model-Based Development Supplement) [DO-331] - 객체지향기술 (Object-Oriented Technology) [DO-332] - 정형기법 (Formal Method) [DO-333] DO-178B 보완 & 수정 DO-178C DO-330 - 툴검증 (Tool Qualification) DO-178B S/W 개발툴 S/W 검증툴 DO-178C S/W 개발툴 S/W 검증툴 : 다른개발 / 검증통합 S/W 검증툴 (Only) 추가보충문서 DO-331 모델기반설계 (Model-Based Development Supplement) DO-332 객체지향기술 (Object-Oriented Technology) DO-333 정형기법 (Formal Method) 27
마스터항공용제목소프트웨어스타일개발편집및 DO-178C 소프트웨어안전수준분류 SW 수준 고장상태 고장상태의분류 A 계속적인안전비행과착륙을막는고장상태 Catastrophic B C 아래와같은혹심한운용조건을대처해나가는항공기또는승무원의조종능력을떨어뜨리는고장상태 ⑴ 안전여유또는기능적성능의상당한감쇄 ⑵ 승무원이임무를정상적으로완전하게수행할수없는물리적재난또는과도한조종부하 ⑶ 소수의승객에게심각하거나잠재적치명상해와같은혹심한영향이있는상태 승무원의조종부하의상당한증가, 승무원의능률이저하되는상태또는승객에게부상이발생하는불편함과같은안전여유감소또는항공기의성능저하와같은혹심한운항조건에대처해나가는항공기의성능또는승무원의능력을감쇄시키는상태 Hazardous Major D E 항공기의안전을현저하게감쇄시키는상태로서승무원의능력범위안에서수습가능한상태항공기의운용성능을떨어뜨리지않으며조종부하를증가시키지않는고장상태 Minor No Effect 28
마스터항공용제목소프트웨어스타일개발편집및 DO-178C 소프트웨어 Level 에따른 DO-178C 목표 Failure Condition due to S/W Anomalous behavior Level A Level B Level C Level D Level E Catastrophic Hazardous Major Minor No effect # of objectives 71 69 62 26 - # of objectives with independence 30 18 5 2-29
마스터항공용제목소프트웨어스타일개발편집및 DO-178C DO-178 프로세스 DO-178C 검증프로세스 DO-178의가장중요한 Section - Workload 가중 ( A380의경우, 임베디드코드 1 line 에대해 4 lines 시험 ) 개발과정에발생되는오류를탐지하고식별하기위해사용된모든프로세스에적용 접근방법 - 분석 ( 정량적조사 ) - 검토 ( 정성적검사 ) - 시험 ( 기능및구조커버리지 ) 30
마스터항공용제목소프트웨어스타일개발편집및 DO-178C DO-178C 검증프로세스 A-3.2 Accuracy & Consistency A-3.3 HW compatibility A-3.4 Verifiability A-3.5 Conformance A.3.7 Algorithm Accuracy A-4.8 Architecture Compatibility A-4.9 Consistency A-4.10 HW compatibility A-4.11 Verifiability A-4.12 Conformance A.4.13 Partition Integrity A-5.2 Compliance A-5.3 A-5.4 A-5.6 A-5.7 Complete & Correct System Requirements SW High-Level Requirements (stds., accurate, consistent, verifiable, ) S/W Architecture (A-2:1,2) (A-2:3,4,5) Software Design Low-level Requirement (A-2:6) Source Code (stds., accurate, consistent, verifiable, ) (A-2:7) Executable Object Code A-4.2 A-4.3 A-4.4 A-4.5 A.4.7 A-3.1 A-3.6 A-4.1 A-4.6 A-6.3 Compliance A-6.4 Robustness A-5.1 Compliance 5.5 Traceability A-6.1 Compliance A-6.2 Robustness A-6.5 Compatible with Target 31 (A-7)
마스터항공용제목소프트웨어스타일개발편집및 DO-178C 항공전자장비인증관점 DO-178C 에서인증이해와소통에대한개념을정의 (Certification Liaison) - 인증을받고자하는신청자와감항당국간의소통과이해를효과적으로추진 목적및방법 - 효과적인이해와소통을위해가능한조기에인증계획서 (PSAC) 제출 - 경험및능력을고려하여인증당국이원하는만큼독립적인검토실행하되, 적시에기술적문제를언급, 적합성자료의확인, 계획과절차준수, 위임자감독 SOI #1: 계획서, 표준, 점검표등완료및형상관리를적용한후 ( 계획단계종료시점 ) SOI #2 : 개발단계에서 Source Code 완료시점 ( 복잡한 S/W인경우, 50% 완료후 ) SOI #3: 검증단계완료후 ( 복잡한 S/W인경우, 50% 완료후 ) SOI #4: 개발완료시수행 FAA Order 8110.49 및국토부지침서 ( 항공용소프트웨어승인지침 ) 참고 - 소프트웨어형상색인 (Software Configuration Index) 제출 - 소프트웨어구현요약서 (Software Accomplishment Summary) 제출 32
마스터제목스타일편집 33
마스터국내항공전자제목스타일개발편집사례 항공용소프트웨어개발사례 ( 기술표준품형식승인 ) 대상품 적용 KTSO (S/W Level) 신청자 승인서번호 ( 교부일 ) ADC (Air Data Computer) KTSO-C106 (Level A) 퍼스텍 KTSO 2012001 (2012.5.25) MFD (Multi- Functional Display) KTSO-C113 (Level B) LIG 넥스원 KTSO 2013001 (2013.10.25) 통합항전장비 (Integrated Flight Display System) KTSO-C113a 외 부분 KTSO 21 종 (Level B/C/D) LG CNS KTSO-1201 (2012.8~ 진행중 ) 34
마스터국내항공용제목소프트웨어스타일편집개발사례 ADC(Air Data Computer) 개발자 : 퍼스텍 장비명 : 대기자료컴퓨터 (Air Data Computer, ADC) Air Data Probe로부터전압 (Pt), 정압 (Ps), 온도 (Tt) 등의대기자료를수집하여속도, 고도, 고도상승률등의정보를계산하여항법계통에전송 적용규격 기술표준품표준서 : KTSO-C106 최소성능표준 : SAE AS 8002 (Rev. A) 소프트웨어 : RTCA DO-178B, Level A 전자하드웨어 : RTCA DO-254, Level A 환경규격 : RTCA DO-160 (Rev. E) 35
마스터국내항공용제목소프트웨어스타일편집개발사례 MFD(Multi-Functional Display) 개발자 : LIG 넥스원 장비명 : 다기능시현기 (Multi Function Display, MFD) 조종사의임무에필요한항법, 통신, 식별, 항공기상태정보등을임무환경에맞도록시현하는장치 적용규격 기술표준품표준서 : KTSO-C113 최소성능표준 : SAE AS 8034 (Rev. A) 소프트웨어 : RTCA DO-178B, Level B 환경규격 : RTCA DO-160 (Rev. F) 36
마스터국내항공용제목소프트웨어스타일편집개발사례 통합항전장비디스플레이 (Integrated Flight Display, IFD) 개발자 : LG CNS 대상품 : 12.1 스마트타입 MFD(KTSO-C113a 외 22) 적용규격 기술표준품표준서 : KTSO-C113 외 26 최소성능표준 : SAE AS 8034A 외 26 소프트웨어 : RTCA DO-178B, Level B/C/D 전자하드웨어 : RTCA DO-254, Level B 환경규격 : RTCA DO-160 (Rev. G) Item Failur e S/W level Altitude HAZ B Moving map MAJ C Chart display MIN D... 37
마스터제목스타일편집