Ⅰ. 서 론

1. 개요

최근 자율주행자동차의 기술개발이 큰 이슈로 떠오르면서 유럽, 미국 등 선진국에서는 자율주행자동차의 기술 개발과 상용화에 대한 많은 연구가 이루어지고 있으며 자율주행자동차의 시험주행 및 법규를 개발하고 있다.(Chae et al,. 2016) 자율주행 기술이 고도화 되면서 자동차는 ICT 기술과 융합하여 자동차의 지능이 향 상되는 방향으로 발전하고 있다(Oh, 2018). 특히 차량이 모든 것(’X’)과 통신하는 개념의 V2X에는 차량과 차 량(V2V), 차량과 인프라(V2I), 차량과 보행자(V2P) 등이 있으며 각 정보를 차량에 부착된 통신모듈을 통해 송수신한다(Ryu et al., 2019). V2X를 활용한 자율주행자동차는 일반 자율주행자동차보다 더욱 많은 정보를 바탕으로 자율주행자동차의 센서 커버리지 밖의 영역에 대해 긴급 상황, 공사구간 및 정체구간 정보, 사고차 량 정보 등을 활용하여 더욱 편리하고 안전한 주행을 수행한다.

V2X에 사용되는 표준 SAE J2735는 무선 액세스를 위한 5.9GHz 단거리 통신(DSRC(Dedicated Short Range Communication)/WAVE(Wireless Access in Vehicular Environments)을 활용하기 위한 Message Set을 소개하고 있으며 Message의 코딩 규칙 및 프레임 워크, 메시지 구성 및 내용을 설명하고 있다(SAE J2735, 2016). V2X Message Set을 활용하여 자율주행을 위한 각종 서비스를 구현한다. DSCR는 차량을 위한 무선 전용 이동 통 신으로 ITS 서비스를 제공하기 위한 통신 수단의 하나이며 WAVE는 WLAN 기술을 기반으로 자동차 환경에 맞도록 수정한 기술로 DSCR 기술 중 하나라고 할 수 있다.

본 논문에서는 자율주행자동차를 위한 V2X 중에서 차량과 인프라의 통신을 활용하는 V2I(Vehicle to Infrastructure)의 주요 Use Case를 소개하고 ISO-26262 Part3 프로세스를 활용한 HARA(Hazard Analysis and Risk Assessment) 방법을 이용한 자율주행자동차를 위한 V2I 오작동에 대한 위험성 분석을 수행하여 도출된 주요 위험원에 대한 시뮬레이션 및 실차 시험을 통해 ASIL 등급을 산정하였다. 2장에서는 자율주행자동차를 위한 V2I use case 기반의 주요 기능 및 오작동, 차량 수준의 위험원을 도출하였고, 3장에서는 주요 위험원에 대한 시뮬레이션 환경과 시뮬레이션 결과를 도출하였으며 마지막 4장에 결론을 작성하였다. 본 논문에서는 자율주행자동차의 센서 및 시스템은 정상적인 상태로 가정하였으며 모든 차량은 자율주행시스템 또는 안전 시스템이 탑재된 자동차로 가정하였으며 V2I에 대한 오작동 상황만을 한정하였다.

Ⅱ. 기능 및 오작동 정의 및 차량 수준 위험원 도출

본 장에서는 ISO-26262 Part3 Concept Phase 프로세스를 활용하여 V2I 통신 기반의 자율주행자동차의 기능 및 오작동을 정의하고 HAZOP을 활용하여 오작동을 도출하였다. HAZOP 기법은 No or Not, Incorrect, More, Less 등과 같은 가이드워드들을 기반으로 시스템의 여러 상태와 결합되어 설계의도에서 벗어날 수 있는 이 상 현상들을 식별하여 위험원의 발생을 찾게 되는 개념이다(Hwang et al., 2010). 기능은 자율주행자동차의 제어기의 기능을 제외한 V2I 제공 서비스의 Use Case에 대한 내용을 중심으로 정의하였다.

1. 자율주행자동차를 위한 V2I의 기능 정의

자율주행자동차를 위한 V2I의 주요 기능은 아래 Table 1과 같이 정의하였으며 주로 전방 도로에 떨어진 장애물 정보, 교차로에서 상충 회피를 위한 신호 정보 및 교차로 진입 차량정보, 횡단보도의 이동체 정보 제 공으로 정의하였다.

2. V2I 제공 서비스 기반 오작동 정의

오작동 정의는 HAZOP 기법을 활용하였으며 <Table 1>에서 도출한 기능 중 주요 위험원을 내포하고 있는 기능에 대한 오작동 도출을 수행하였다. HAZOP의 Guide words 중 미수행을 의미하는 No or Not 과 오수행 및 잘못된 수행을 의미하는 Incorrect를 이용하여 아래 <Table 2>와 같이 주요 오작동을 도출하였다.

3. HARA 분석

<Table 1>과 <Table 2>에서 정의한 기능 및 오작동을 이용하여 아래 <Table 3>과 같이 HARA 분석을 수행하였 다. HARA는 <Fig. 1>과 같이 기능에 대한 정의와 오작동, 차량 수준의 위험원을 도출하고 Situation Analysis를 통 해 어떤 주행환경에서 위험원이 도출되는지 분석하고 최종적으로 자동차 안전 무결성 수준인 ASIL을 결정하는 데.(Han et al., 2017) ASIL은 Severity, Exposure, Controllability의 등급을 조합하여 산정한다. 상해 심각도를 나타내 는 Severity 등급은 S0, S1, S2, S3로 나타내며 S0는 사고 시 상해가 없는 것을 뜻하며 S3는 생명이 위독하거나 사 망에 이르는 치명적인 상해를 나타낸다. 노출 빈도를 나타내는 Exposure 등급은 E1, E2, E3, E4로 구분되며 E1은 매우 낮은 발생 빈도를 나타내고 E4는 매우 높은 발생 빈도를 나타낸다. 마지막으로 Controllability는 Malfunction 이 발생했을 시 제어 가능성을 나타내는 지표로 C0, C1, C2, C3로 구분되며 C0는 누구나 제어가 가능한 상태를 나타내고 C3는 제어가 불가능한 상태를 나타낸다. HARA 수행 시 Severity 등급은 SAE J2980 (SAE, 2015)의 속도 변화(ΔV) 별 Severity 산정법을 참고하여 3장에서 작성한 시뮬레이션 결과를 활용하여 산정하였고 Exposure 등급 은 ISO-26262 Part3 문서(ISO-26262 Part3, 2018)의 Appendix에 포함되어있는 Exposure 예시를 참고하였고 Controllability는 자율주행자동차임을 고려하여 운전자는 제어에 관여를 하지 않으므로 모두 C3로 산정하였다.

Ⅲ. 시뮬레이션 및 실차 시험 환경 및 결과

본 장에서는 2장에서 도출한 Malfunction에 대해 Severity 등급을 산정하기 위한 시뮬레이션 환경 및 시나 리오, 시험 결과를 정리하였다. Severity 산정을 위한 충돌 속도는 아래 식 (1)(Kim et al,. 2016)과 같다. 여기 서 Δv는 추돌 차량의 속도 변화를 나타내고, m1은 추돌 차량의 질량, m2는 피추돌 차량의 질량, v1은 추돌 차량의 추돌 시 속도, v2는 피추돌 차량의 추돌 시 속도를 나타낸다(Ahn et al,. 2018). 충돌 시 반발계수 등의 조건은 고려하지 않았으며 충돌 속도 및 아래 식 (1)의 속도 변화만을 고려하였다.

1. 시뮬레이션 및 실차 시험 환경

시뮬레이션 환경은 dSPACE 사의 ASM(Automotive Simulation Models)에서 기본으로 제공되는 차량 모델과 ControlDesk, ModelDesk, MotionDesk을 활용하여 구성하였으며, 차량에 부착된 센서의 FOV는 120deg(+/- 60deg)로 설정하였고 긴급제동 시스템인 AEB등 안전 시스템이 탑재된 자율주행자동차를 사용하였다. ASM 은 Matlab/Simulink 기반으로 동작하며 <Fig. 2> 중간의 Model Desk와 ControlDesk와 연동하여 모델 설정 및 시뮬레이션 설정을 수행하여 <Fig. 2> 우측의 MotionDesk를 통해 시뮬레이션 결과를 확인할 수 있다.

실차 시험 환경은 아래 <Fig. 3>과 같이 구성되어있으며 DGPS를 활용하여 차량과 더미를 이송하는 장치 를 연동하여 테스트하도록 구성하였다. DGPS를 이용하여 현재 차량의 위치를 계산하고 차량과 더미 이송장 치의 원점, 즉 더미와의 충돌 위치를 계산하여 시험 차량의 속도 및 거리에 따라 자동으로 더미가 이송되도 록 하는 환경을 구성하여 시험을 진행하였다. 여기서 차량과 더미 이송장치는 무선 WIFI 통신을 활용하여 더미 이송에 필요한 정보를 주고받는 구조로 구성하였다.

2. 시뮬레이션 및 실차 시험 시나리오

시뮬레이션 및 실차 시험 시나리오는 도출된 Malfunction 별 Situation Analysis 내용을 반영하여 시나리오 를 도출하였으며 정지차량(장애물)에 대한 경고 미수행 및 오수행, 비신호 비보호 교차로에서 회전/직진 차 량 간 정보 제공 미수행, 교차로에서 신호 정보 지원 미수행 상황 등 <Table 2>에 정의된 Malfunction 별 시 나리오를 도출하여 시뮬레이션 및 실차 시험을 진행하였다.

1) MF1 시나리오

고속도로를 100km/h의 속도로 주행 중 전방에 센서가 인지하지 못하는 비정형 장애물 또는 낙하물이 위 치해 있지만 V2I 오작동으로 장애물 및 낙하물 정보를 받지 못해 충돌하는 시나리오로 아래 <Fig. 4>과 같이 도식화하였다. 비정형 장애물은 차량의 센서에 의해 감지되지 않아 제동 없이 충돌하게 하였고, 충돌 물체의 질량에 따라 충돌 차량의 속도 변화는 달라지지만 고속도로 주행 상황 중 치명적인 경우를 도출하기 위해 비정형 물체의 질량은 충돌 차량의 질량은 같다고 가정하여 Δv = 50km/h로 Severity는 가장 높은 등급인 S3 로 산정하였다.

2) MF2 시나리오 (시뮬레이션)

고속도로 직선로에서 100km/h의 속도로 주행 중 전방에 장애물이 없지만 V2I의 오작동으로 전방에 장애 물이 있다는 정보로 인해 감속하는 시나리오로 아래 <Fig. 5>와 같이 도식화하였다.

3) MF3 시나리오 (시뮬레이션)

MF3 시나리오는 아래 <Fig. 6>와 같이 시내 비신호/비보호 교차로에서 좌회전하는 차량과 반대편 차로에 서 직진하는 차량과의 충돌상황을 모사하는 시나리오로 충돌 오프셋은 직진 차량의 50%로 설정하였고 주행 속도는 좌회전 차량이 저속인 30km/h, 직진 차량이 60km/h의 속도 설정하였다.

4) MF4, MF5 시나리오 (시뮬레이션)

MF4 시나리오는 <Fig. 7>과 같이 신호 교차로에서 신호정보 미제공에 따른 다른 교차로 진입 차량과의 사고를 모사하는 시나리오로 두 차량 모두 60km/h의 속도로 교차로에 진입하고 충돌 오프셋은 50%로 설정 하였다. MF5 시나리오는 잘못된 신호정보로 인한 교차로 진입차량과의 충돌로 신호정보 미제공에 따른 교 차로 진입 차량과의 충돌 상황인 MF4와 같은 Hazard를 갖는다. 따라서 시뮬레이션 결과 또한 동일하다.

5) MF6 시나리오 (실차 시험)

MF6은 비신호 횡단보도에서의 횡단 이동체 정보의 부재로 인한 충돌 상황을 모사하였다. 기본적인 시나 리오는 <Fig. 8>과 같이 센서가 인지하지 못하는 영역에서 횡단하는 보행자를 나타내었다. 보행자의 속도는 5km/h의 속도로 충돌 오프셋은 차량 범퍼의 중심인 50%로 설정하였다. 이는 Euro NCAP의 AEB VRU Test Protocol의 시나리오 중 CPNC-50(Euro NCAP, 2019)과 동일한 시나리오로 설정하였다. Euro NCAP은 세계적 으로 신뢰도 및 객관성이 높은 테스트 프로토콜로 시나리오 제작 시 사고 데이터 및 통계 자료를 기반으로 만들기 때문에 Euro NCAP의 CPNC-50 시나리오가 비신호 횡단보도에서의 횡단 이동체에 대한 충돌 상황을 모사하기에 적절하다고 판단하였다.

6) MF7 시나리오 (시뮬레이션)

MF7 시나리오는 비신호 횡단보도에서 횡단 이동체가 없지만 있는 것으로 잘못 정보를 제공하여 차량이 감속하여 후방 추종 차량의 추돌을 유발하는 상황으로 아래 <Fig. 9>과 같다.

3. 시뮬레이션 및 실차 시험 결과

시뮬레이션 결과는 아래 <Fig. 10>부터 <Fig. 14> 및 <Table 4>와 같이 충돌 속도가 도출되었으며 위의 식 (1)에 의해 Δv가 계산되었고 이에 따른 Severity가 산정되었다. MF2 시뮬레이션 결과인 <Fig. 10>을 보면 V2I 모듈의 오작동으로 전방 차량이 감속하였지만 후방에서 ACC 기능을 통해 추종하는 차량은 전방 차량의 감 속을 감지하여 약 18.46초에 전방 차량과의 거리를 약 2.97m 남기고 정지하여 충돌을 회피하였다.

MF3 시뮬레이션의 결과인 <Fig. 11>의 경우 60km/h의 속도로 교차로 진입중 반대 차로에서 30km/h의 속 도로 좌회전하는 차량을 발견 후 약 3.8초 경 AEB가 작동하여 속도가 약 35km/h로 감속한 상태로 4.7초 경 충돌하였다.

MF4 및 MF5의 시뮬레이션의 결과인 <Fig. 12>의 경우 교차로의 다른 방향에서 진입하는 차량을 종/횡방 향으로 약 20m 지점에서 감지하여 약 2.1초 경 AEB를 통해 약 18km/h까지 감속하여 교차로에 진입한 차량 과3.44m의 거리를 남기고 충돌을 회피한 것으로 나타났다.

실차시험을 진행한 MF6 시나리오의 경우 아래 <Fig. 13>과 같이 약 60km/h의 속도로 주행 중 약 종방향 8.7m 지점에서 횡단하는 보행자를 감지하고 약 0.13초 후 AEB를 동작시켰지만 AEB 동작 0.5초 후 약 32km/h의 속도로 보행자와 충돌한 것으로 나타났다.

마지막 시나리오인 MF7인 경우 MF2의 시나리오와 마찬가지로 전방 차량의 감속을 감지하여 약 11.47초 경 전방 차량과의 거리 약 2.90m를 남기고 정지하여 충돌을 회피하였다.

<Table 4>의 시뮬레이션 결과를 정리하면, MF1의 경우 센서가 인식하지 못하는 비정형 물체와의 충돌로 속도의 감속 없이 충돌하여 ΔV가 50km/.h로 Severity는 S3로 도출하였다. MF2의 경우에는 V2I 모듈의 오작 동이 일어났지만 자율주행시스템 및 센서는 정상 작동하므로 전방 차량의 감속에 반응하여 감속을 수행하고 충돌을 회피하였다. 따라서 충돌은 일어나지 않으며 Severity는 S0로 도출하였다. MF3의 경우 교차로에 진입 하는 차량을 발견하였지만 AEB 시스템만으로 충돌을 회피하기가 어려웠으며 60km/h로 주행 중 약 35km/h 의 속도로 충돌하여 ΔV는 17.5km/h로 Severity는 S1으로 도출하였다. MF4/MF5의 경우 다른 교차로에서 진입 하는 차량을 센서가 감지하여 AEB를 통해 차량이 감속하여 충돌을 회피한 경우로 Severity는 S0로 도출하였 다. MF6의 경우 센서의 인식범위 밖에서 횡단하는 보행자와의 충돌이 발생했으며 AEB를 통해 60km/h의 속 도에서 32km/h의 속도로 감속했지만 높은 충돌 속도로 Severity는 S3로 도출되었다. 마지막 MF7의 경우 V2I 모듈의 이동체 정보 제공 오수행으로 전방 차량이 감소하는 경우 후방차량의 자율주행 시스템은 정상적으로 동작하므로 전방 차량의 감속에 반응하여 속도를 감속시켜 충돌을 회피하여 Severity는 S0로 도출하였다.

Ⅳ. 결 론

본 연구에서는 ISO-26262 Part3 프로세스 기반의 위험원 분석과 일부 시뮬레이션을 통해 자율주행자동차를 위한 V2I의 기능 및 오작동 정의를 수행하고 차량 수준의 Hazard를 도출하고, 주요 위험 시나리오에 대한 시 뮬레이션 및 실차 시험을 통해 위험성에 대한 분석을 수행하였다. 자율주행자동차를 위한 V2I의 주 기능은 교 차로 부근 및 교차로에서의 주변 차량에 대한 정보와 교차로 진입차량 정보 제공, 도로 장애물 또는 낙하물에 대한 정보, 비신호/비보호 교차로에서 맞은편 차량의 정보 제공 등이다. V2I의 오작동으로 인해 정보 제공이 잘못된다면 사고로 이어질 수 있으며 위험성이 높은 것으로 분석 되었지만 도출된 오작동에 의한 시뮬레이션 시나리오 중에서 잘못된 신호정보 제공(MF4, MF5)으로 인한 교차로 내의 충돌 상황은 충돌방지 지원시스템 인 AEB(Automatic Emergency Braking)시스템에 의해 사고를 회피할 수 있는 것으로 나타났다. 하지만 AEB와 같은 안전 시스템에도 불구하고 사고를 회피하지 못하는 교차로내의 MF3, MF6 상황에 대해서는 V2I정보가 제대로 들어왔다면 미연에 제동을 통해 사고를 회피할 수 있었을 것이다. 따라서, V2I 모듈뿐만 아니라 차량 에서도 V2I 오작동에 대비한 안전 대책이 확보되어야 한다. 또한 본 연구에서 도출한 시나리오는 수많은 시나 리오 중 일부에 지나지 않고 Worst Case 정도의 내용과 일부 가정을 통해 연구를 진행하였다. 따라서 추후에 더욱 많은 상황에 대한 시나리오 도출과 이에 따른 시뮬레이션이 추가로 필요하다고 판단된다.