자율주행 자동차가 도로를 주행하는 도중 조향 장치나 제동 장치에 고장이 발생한다면 어떻게 될까요? 일반적인 자동차에서는 운전자가 직접 차량을 제어해 위험을 줄일 수 있지만, 고도화된 자율주행 시스템에서는 차량이 스스로 안전한 상태를 확보해야 합니다. 특히 운전자의 지속적인 개입을 전제로 하지 않는 시스템에서는 핵심 부품 하나의 고장이 전체 차량의 제어 불능으로 이어지지 않도록 설계하는 것이 중요합니다.
이러한 요구를 충족하기 위해 활용되는 개념이 **Fail-Operational(고장 후에도 기능 유지)**과 하드웨어 이중화(Redundancy)입니다. 조향과 제동 시스템에 독립적인 제어 경로와 대체 구성 요소를 마련하면 일부 부품에 문제가 발생하더라도 제한된 기능을 유지하거나 안전한 장소로 이동할 수 있도록 설계할 수 있습니다.
여기서 림프(Limp) 주행은 고장 이후 차량의 기능이나 성능을 제한한 상태로 최소한의 이동을 유지하는 운행 개념을 의미합니다. 다만 모든 Fail-Operational 시스템이 차량을 계속 주행시키는 것은 아니며, 고장 유형과 안전 조건에 따라 감속, 차로 유지, 최소 위험 상태로의 전환 등 서로 다른 대응을 수행할 수 있습니다.
이번 글에서는 자율주행 차량의 조향 및 제동 시스템에서 이중화가 필요한 이유와 하드웨어 아키텍처, 고장 감지 및 전환 방식, 설계 과정에서 고려해야 할 안전성 문제를 살펴보겠습니다.
1. Fail-Operational 시스템이란 무엇인가?
Fail-Operational은 일부 구성 요소에 고장이 발생하더라도 필요한 기능을 일정 수준으로 계속 수행할 수 있도록 설계하는 시스템 개념입니다. 자율주행 차량에서는 조향, 제동, 전원 공급, 통신 및 제어 컴퓨터 등이 주요 대상이 될 수 있습니다.
이와 비교되는 개념으로 Fail-Safe(고장 시 안전 상태 확보)가 있습니다. Fail-Safe 설계는 고장이 발생했을 때 위험한 작동을 중단하거나 시스템을 안전한 상태로 전환하는 데 초점을 맞춥니다. 반면 Fail-Operational 설계는 고장 이후에도 필요한 기능을 유지할 수 있도록 대체 경로를 확보하는 데 중점을 둡니다.
예를 들어 일반적인 전자식 조향 시스템에서 주요 제어 장치가 고장 나면 차량을 안전하게 정지시키는 것이 적절한 대응일 수 있습니다. 그러나 특정 자율주행 운행 조건에서는 즉시 조향 기능을 상실하는 상황 자체가 위험을 초래할 수 있습니다. 이 경우 독립적인 대체 제어 경로를 통해 일정 시간 동안 방향 제어 기능을 유지하도록 설계할 수 있습니다.
다만 Fail-Operational은 고장 이후에도 모든 기능이 정상적으로 작동한다는 뜻은 아닙니다. 일부 기능을 제한하거나 속도를 낮추고, 운행 가능한 범위를 줄이는 방식으로 안전성을 확보할 수도 있습니다.
2. 자율주행 조향 시스템에 이중화가 필요한 이유
조향 시스템은 차량의 진행 방향을 제어하는 핵심 장치입니다. 전통적인 기계식 조향 시스템은 운전자의 조작을 기계적 연결 장치를 통해 바퀴에 전달합니다. 반면 전자식 조향 기술인 Steer-by-Wire는 전기 신호와 액추에이터를 이용해 조향 명령을 전달하는 구조를 사용합니다.
전자식 조향은 제어 유연성이 높다는 장점이 있지만, 전원 공급 장치와 제어 컴퓨터, 센서, 통신 경로 및 구동 액추에이터의 신뢰성이 중요해집니다.
예를 들어 조향 제어기가 고장 나거나 전원 공급이 중단되면 정상적인 방향 제어가 어려워질 수 있습니다. 따라서 안전이 중요한 시스템에서는 주요 부품의 고장을 감지하고 대체 제어 경로로 전환할 수 있는 구조를 검토합니다.
대표적인 설계 요소는 다음과 같습니다.
- 독립적인 조향 제어 채널
- 조향 위치와 회전 상태를 감지하는 센서의 이중화
- 분리된 전원 공급 및 보호 회로
- 고장 상태를 감지하는 진단 기능
- 대체 액추에이터 또는 제어 경로
- 고장 발생 시 제한된 조향 기능을 유지하기 위한 제어 로직
그러나 부품을 두 개 설치하는 것만으로 충분한 안전성이 보장되지는 않습니다. 두 채널이 동일한 전원이나 통신 경로를 공유한다면 하나의 고장으로 동시에 기능을 잃을 수 있습니다. 따라서 이중화 설계에서는 구성 요소의 수뿐 아니라 고장 독립성과 공통 원인 고장 가능성도 분석해야 합니다.
3. 제동 시스템의 Fail-Operational 구조
제동 시스템은 차량의 속도를 줄이거나 정지시키는 기능을 담당합니다. 자율주행 차량에서는 조향과 마찬가지로 전자 제어 장치의 신뢰성과 고장 대응 능력이 중요합니다.
전자식 제동 시스템은 제동 명령을 계산하는 제어기, 압력이나 제동력을 발생시키는 액추에이터, 차량의 움직임을 측정하는 센서 및 전원 공급 장치 등으로 구성될 수 있습니다.
제동 시스템에 고장이 발생하면 제동력이 충분히 생성되지 않거나, 바퀴별 제동 제어가 제한되거나, 제동 명령 전달에 문제가 발생할 수 있습니다. 이러한 상황에 대응하기 위해 일부 시스템은 별도의 제어 채널이나 대체 제동 경로를 활용하도록 설계됩니다.
예를 들어 주 제어 채널에 이상이 감지되면 독립적인 감시 장치가 고장을 확인하고, 설계된 안전 조건에 따라 대체 제어 채널로 전환하는 구조를 생각할 수 있습니다. 이때 대체 경로가 실제로 필요한 제동력을 제공할 수 있는지, 전원과 통신이 유지되는지, 전환 과정에서 제동 명령이 충돌하지 않는지를 검증해야 합니다.
제동 시스템의 이중화는 단순히 제어기만 추가하는 작업이 아닙니다. 제동력 생성 장치와 유압 또는 전기 구동 구조, 센서, 배선, 전원 공급 장치까지 전체 시스템의 고장 영향을 고려해야 합니다.
또한 조향과 제동의 이중화는 서로 별개의 문제이면서도 차량의 전체 안전 제어에서는 밀접하게 연결됩니다. 조향 기능이 제한된 상황에서 제동을 어떻게 수행할지, 제동 성능이 저하된 상황에서 차량의 방향을 어떻게 유지할지 등을 함께 평가해야 합니다.
4. 이중화 하드웨어 아키텍처의 주요 구성
Fail-Operational 시스템은 일반적으로 여러 구성 요소가 협력해 고장을 감지하고 필요한 기능을 유지하도록 설계됩니다.
4-1. 주 제어 채널과 대체 제어 채널
주 제어 채널은 정상적인 주행에서 조향이나 제동 명령을 계산하고 실행합니다. 대체 제어 채널은 주 채널에 문제가 발생했을 때 필요한 기능을 이어받도록 설계할 수 있습니다.
두 채널은 서로의 상태를 감시하고, 이상이 확인되면 미리 정의된 전환 절차를 수행합니다. 다만 대체 채널이 주 채널과 동일한 소프트웨어 오류나 전원 문제에 노출되지 않도록 독립성을 확보하는 것이 중요합니다.
4-2. 전원 공급 이중화
조향 및 제동 액추에이터가 전기 에너지에 의존한다면 전원 공급의 신뢰성이 중요합니다. 일부 설계에서는 분리된 전원 경로나 독립적인 전원 보호 장치를 이용해 특정 전원 계통의 고장이 전체 기능 상실로 이어질 가능성을 줄입니다.
전원 이중화를 설계할 때는 배터리 자체뿐 아니라 전력 변환기, 배선, 커넥터, 접지 및 보호 회로도 고려해야 합니다. 서로 다른 전원 장치를 사용하더라도 공통 배선이나 동일한 보호 장치가 고장 나면 두 경로가 동시에 영향을 받을 수 있기 때문입니다.
4-3. 센서 및 통신 경로의 이중화
조향각 센서와 바퀴 속도 센서 등은 제어 시스템이 차량 상태를 판단하는 데 필요한 정보를 제공합니다. 센서 신호가 잘못되거나 통신이 끊기면 제어기가 잘못된 명령을 생성할 수 있습니다.
이를 방지하기 위해 중복 센서, 신호의 상호 비교, 통신 오류 감지 및 시간 초과 진단 등을 활용할 수 있습니다. 센서 간 측정값이 다를 때는 어느 신호를 신뢰할 수 있는지 판단하는 절차도 필요합니다.
4-4. 고장 감지와 상태 전환
이중화 시스템은 고장이 발생한 뒤에만 반응하는 것이 아니라, 고장 징후를 조기에 감지하고 대응할 수 있어야 합니다. 전류, 온도, 센서 신호의 일관성, 통신 상태와 제어 응답 등을 감시하는 방법이 사용될 수 있습니다.
다만 감지 임계값을 지나치게 민감하게 설정하면 정상적인 변동을 고장으로 판단할 수 있고, 반대로 지나치게 느슨하게 설정하면 실제 고장을 놓칠 수 있습니다. 따라서 고장 감지 알고리즘은 다양한 작동 조건에서 검증해야 합니다.
5. 고장 발생 시 차량은 어떻게 대응할까?
Fail-Operational 시스템의 대응 절차는 고장 유형과 차량의 현재 상태에 따라 달라집니다. 일반적으로 다음과 같은 흐름을 생각할 수 있습니다.
첫째, 시스템이 센서와 제어기의 상태를 감시합니다. 정상 범위를 벗어난 신호나 예상하지 못한 제어 응답이 발견되면 고장 가능성을 평가합니다.
둘째, 고장 여부와 영향을 판단합니다. 문제가 특정 센서에 국한되는지, 제어 채널 전체에 영향을 미치는지, 실제 조향이나 제동 성능이 저하되었는지를 확인합니다.
셋째, 필요한 경우 대체 제어 경로로 전환합니다. 이때 전환 중에 조향 명령이 급격하게 바뀌거나 제동 명령이 중복 적용되지 않도록 설계해야 합니다.
넷째, 차량의 운행 조건을 조정합니다. 잔여 기능으로 안전한 주행을 유지할 수 있다면 속도를 줄이거나 제한된 이동을 수행할 수 있습니다. 안전한 이동이 어렵다면 차량을 정지시키는 최소 위험 조치를 수행해야 합니다.
여기서 중요한 것은 모든 고장에서 계속 주행하는 것이 목표는 아니라는 점입니다. Fail-Operational 기능은 안전하게 대응할 수 있는 조건에서 필요한 기능을 유지하는 것이며, 고장 상태와 잔여 제어 능력에 따라 안전한 정지가 더 적절할 수도 있습니다.
6. 이중화 시스템의 안전성을 검증하는 방법
조향과 제동은 차량의 안전에 직접적인 영향을 미치므로 설계 단계부터 체계적인 검증이 필요합니다.
대표적인 접근법으로는 고장 형태 및 영향 분석(FMEA), 결함 트리 분석(FTA), 하드웨어 고장 주입 시험, 시뮬레이션 및 실차 시험 등이 있습니다.
FMEA는 각 구성 요소에서 발생할 수 있는 고장 유형과 그 영향을 정리하는 방법입니다. 예를 들어 센서 단선, 전원 변환기 고장, 통신 지연, 액추에이터 응답 저하 등이 전체 차량 제어에 어떤 영향을 주는지 분석할 수 있습니다.
FTA는 특정한 위험 결과가 어떤 고장 조합으로 발생할 수 있는지 논리적으로 분석합니다. 이를 통해 단일 부품 고장뿐 아니라 여러 고장이 결합되는 상황과 공통 원인 고장의 가능성을 검토할 수 있습니다.
고장 주입 시험에서는 의도적으로 센서 신호를 차단하거나 통신 오류를 발생시켜 시스템이 설계된 방식으로 대응하는지 확인합니다. 시뮬레이션은 다양한 속도와 도로 조건, 고장 시나리오를 반복적으로 시험하는 데 유용합니다.
다만 시험을 통과했다는 사실만으로 모든 실제 도로 상황에서 안전성이 보장되는 것은 아닙니다. 검증 범위와 가정, 시험 조건, 잔여 위험을 명확하게 관리해야 합니다.
7. Fail-Operational 설계의 한계와 고려 사항
이중화 아키텍처는 고장에 대한 대응 능력을 높일 수 있지만 설계 복잡도와 비용도 증가시킵니다. 제어기와 전원 장치, 센서, 배선을 추가하면 차량의 무게와 패키징 부담이 커질 수 있으며, 부품 간 진단 및 통신 구조도 복잡해집니다.
또한 두 개의 채널을 설치해도 동일한 소프트웨어 결함이나 환경적 요인으로 동시에 문제가 발생할 수 있습니다. 이러한 공통 원인 고장을 줄이려면 물리적 분리, 독립적인 전원 경로, 다양한 진단 수단 및 설계 검토가 필요합니다.
고장 감지와 전환에 걸리는 시간도 중요한 요소입니다. 전환이 지나치게 늦으면 위험 상황에 대응하기 어렵고, 잘못된 전환은 정상적인 제어를 방해할 수 있습니다. 따라서 전환 시간과 제어 연속성은 실제 시스템의 요구 조건에 맞춰 평가해야 합니다.
아울러 차량이 고장 이후 어느 정도의 시간과 거리 동안 기능을 유지해야 하는지도 명확하게 정의해야 합니다. 모든 고장에서 정상 주행을 계속하는 것보다 안전한 차로 유지와 감속, 정차 등 단계별 대응 전략을 마련하는 것이 현실적인 접근일 수 있습니다.
결론
자율주행 차량의 Fail-Operational 조향 및 제동 시스템은 핵심 부품에 고장이 발생하더라도 필요한 제어 기능을 유지하거나 안전한 상태로 전환할 수 있도록 설계하는 기술입니다. 이를 위해 주 제어 채널과 대체 채널, 전원 공급, 센서, 통신 경로 및 고장 진단 기능을 종합적으로 고려해야 합니다.
특히 하드웨어 이중화는 단순히 부품 수를 늘리는 것이 아니라, 고장이 다른 경로로 전파되지 않도록 독립성을 확보하고 실제 고장 상황에서 기능이 유지되는지 검증하는 과정입니다.
또한 Fail-Operational 시스템이라고 해서 모든 고장 상황에서 주행을 지속해야 하는 것은 아닙니다. 잔여 제어 능력과 도로 상황에 따라 제한된 이동이나 안전한 정지가 더 적절할 수 있습니다.
궁극적으로 안전한 자율주행 시스템을 구현하려면 이중화 하드웨어와 소프트웨어 진단, 고장 분석, 시뮬레이션 및 실차 검증을 함께 수행해야 합니다. 이러한 통합적인 접근이 조향과 제동 기능의 신뢰성을 높이고, 예기치 않은 고장 상황에서도 차량이 위험을 줄일 수 있도록 하는 핵심 기반입니다.