개념
임무 치명(mission critical) 시스템의 공통 성질
공공안전 통신, UAM, 자율운항 선박은 서로 다른 산업이지만 검증 관점에서 같은 성질을 공유한다.
1. 평상시에는 거의 쓰이지 않는다
→ 결함이 평상시 운영에서 드러나지 않는다
→ 정작 필요한 순간(재난·비상)에 처음 발견된다
2. 최악의 조건에서 동작해야 한다
→ 기지국이 무너지고, 통신이 두절되고, 전원이 끊긴 상태
→ 즉, '정상 환경 시험'은 검증의 아주 작은 일부다
3. 실패 시 대안이 없다
→ 웹 서비스는 "나중에 다시 시도"가 되지만
→ 구조 요청과 충돌 회피는 다시 시도할 수 없다그래서 이 영역 검증의 중심은 기능이 아니라 축퇴(degradation)와 비상 경로다. "정상일 때 되는가"는 출발점일 뿐이고, "무엇이 망가졌을 때 어디까지 되는가"가 본론이다.
공공안전 — 그룹통신과 고립 운용
맵의 공공안전 항목은 공공안전 그룹통신 기술 표준, MCS 서비스 기술 표준, 통신재난 대응 기술 표준, 디지털 사이니지 경보 서비스 기술 표준,
IoT 기반 실시간 소방관리 시스템 표준, 감염병 확진자 동선 추적 기술 표준 등이다.
MCS(Mission Critical Services)는 3GPP가 표준화한 공공안전용 통신 서비스다. MCPTT(음성), MCVideo(영상), MCData(데이터)로 구성되고, 국내 재난안전통신망이 이 계열 위에 있다.
Ver.2023 표준연계 활용맵의 공공안전 칸에는 3GPP SA1의 TS 22.346(Isolated E-UTRAN operation for public safety, 고립 운용), TR 22.881(상호 연결된 MCX 서비스 시스템 간 관리 설정 정보 공유 연구) 같은 문서가 붙는다.
고립 운용이라는 개념이 이 영역 검증의 성격을 압축한다. 코어망과
끊긴 기지국이 그 자리에서 독립적으로 통신을 유지하는 기능이다. 이런
기능은 정의상 평상시에는 절대 발동하지 않는다.
임무 치명 통신의 검증 항목
| 영역 | 확인할 것 |
|---|---|
| 그룹 통화 | 수백 명 그룹에서 발언권(floor control)이 정확히 한 명에게만 가는가 |
| 우선순위 | 긴급 호출이 일반 호출을 실제로 밀어내는가. 망 혼잡 시에도 그런가 |
| 선점(preemption) | 자원이 부족할 때 낮은 우선순위 세션이 끊기고 높은 것이 살아남는가 |
| 고립 운용 | 코어망 단절 시 로컬 통신이 유지되는가. 복구 시 어떻게 합쳐지는가 |
| 단말 배터리 | 장시간 운용 시 배터리 소모와 절전 동작 |
| 커버리지 경계 | 셀 경계·지하·터널에서의 핸드오버와 끊김 |
| 대량 접속 | 재난 시 동시 접속 폭증에 견디는가 |
우선순위와 선점 시험이 특히 중요하다. 평상시 테스트에서는 자원이 남기 때문에 우선순위가 동작하는지 알 수 없다. 일부러 자원을 고갈시킨 상태에서만 이 기능을 검증할 수 있다.
[선점 시험 설계]
1. 망 자원을 인위적으로 제한한다 (대역폭 제한, 세션 수 상한)
2. 낮은 우선순위 세션으로 자원을 가득 채운다
3. 최고 우선순위 호출을 시도한다
4. 확인: 연결되는가 / 몇 초 만에 / 어떤 세션이 끊겼는가
5. 확인: 끊긴 쪽 사용자에게 이유가 통지되는가5번이 자주 빠진다. 끊긴 사용자가 "왜 끊겼는지 모르는" 것은 운영상 심각한 문제다.
경보 전달 — 끝단까지 확인해야 한다
디지털 사이니지 경보 서비스 기술 표준, 재난 방송 관련 항목들이 여기
해당한다. 경보 시스템의 검증에서 가장 흔한 실수는 발신 확인으로
끝내는 것 이다.
[경보 전달 검증의 끝단]
발령 → 전송 → 수신 → 표출 → 인지
✅ ✅ ✅ ? ?
시스템 로그는 '표출'까지만 안다.
'인지'(사람이 실제로 알아챘는가)는 로그로 확인할 수 없다.QA가 확인할 것:
- 다국어·저시력·청각장애 사용자에게 전달되는가 (음성 + 시각 + 진동)
- 야간·소음 환경에서 인지 가능한가
- 중복 경보가 쏟아질 때 중요한 것이 묻히지 않는가
- 오발령 취소가 원래 경보만큼 빠르게 전파되는가 ← 자주 빠진다
오발령 취소 경로는 실제 사고에서 반복적으로 문제가 된 지점이다. 경보 시스템을 시험한다면 취소 시나리오를 반드시 포함 한다.
위치·동선 데이터의 프라이버시
감염병 확진자 동선 추적 기술 표준 같은 항목은 기술 검증과 함께
프라이버시 검증 을 요구한다. 맵의 스마트시티 영역에도
스마트시티 프라이버시 가이드라인 표준이 따로 있다.
QA가 확인할 항목:
- 수집 항목이 목적에 필요한 최소인가 (목적 외 필드가 함께 수집되는가)
- 보존 기간이 설정돼 있고 실제로 삭제되는가 (삭제 후 백업에는 남는가)
- 비식별 처리가 재식별 가능한 수준은 아닌가 (소수 집단에서 특히)
- 접근 로그가 남고, 누가 언제 조회했는지 추적되는가
- 외부 제공 시 항목이 제한되는가
두 번째와 세 번째가 실무에서 가장 자주 무너진다. "삭제했다"고 하지만 백업·로그·캐시에 남아 있고, "비식별했다"고 하지만 몇 개 필드를 조합하면 개인이 특정된다.
UAM·무인기 — 공역을 공유한다는 문제
맵의 무인기 항목은 밀도가 높다. UAM CNSi 표준(통신·항법·감시·정보),
UAM 교통관리 표준, UAM 운용 탐지 및 회피 표준, UAM 인프라 표준,
UAM 적용 AI 기반 기술 표준, 국가공역 유무인기 혼합운용 탐지 및 회피 표준, ICT 기반 무인기 식별모듈 및 인증 표준, 저고도 소형 무인기 간 통신 표준, 무인기 스펙트럼 이용 고도화 기술 표준, 비면허 대역 무인기 응용 표준, 비행체 안전운용 및 제어용 통신 표준.
국제적으로는 3GPP가 UAS(무인 항공 시스템)의 셀룰러 연결·식별·추적을 다루고(TS 22.125, TS 23.256, TR 23.700-58 등), ISO 21384-3이 UAS 운용 절차를, ITU-T SG16이 영상 기반 무인기 응용과 AI 기반 비행 제어의 프레임워크를 다룬다.
탐지 및 회피(DAA, Detect And Avoid)가 두 항목이나 있다는 점 이
핵심을 알려준다. 유인기와 무인기가 같은 공역을 쓸 때 충돌을 피하는
능력이 이 영역의 중심 검증 대상이다.
DAA 검증을 어떻게 설계하는가
레슨 5의 시나리오 기반 검증이 여기서도 그대로 쓰인다. 차원만 다르다.
[DAA 시나리오 차원]
접근 기하 정면 / 교차 / 추월 / 상하 수직 접근
상대 기체 대형 유인기 / 소형 항공기 / 헬기 / 다른 드론 / 조류
상대 행동 등속 직진 / 회피 기동 / 불규칙
기상 맑음 / 저시정 / 강풍 / 결빙
센서 상태 정상 / 부분 실명 / 오탐 발생
통신 정상 / 지연 / 두절
공역 관제 공역 / 비관제 / 혼잡
판정 기준: 최소 분리 거리를 유지했는가 (통과율이 아니라 최악값으로 본다)안전 판정은 평균이 아니라 최악값으로 본다 는 원칙이 레슨 4의 로봇 안전과 같다. 100번 중 99번 잘 피했다는 것은 1번 충돌했다는 뜻이다.
링크 두절 — 무인기 검증의 필수 항목
무인기에서 반드시 시험해야 할 것이 C2 링크(제어·통신 링크) 두절 시의 동작 이다.
[링크 두절 시험]
1. 정상 비행 중 제어 링크를 차단한다
2. 확인: 사전에 정의된 비상 절차가 발동하는가
(복귀 / 현 위치 호버링 / 비상 착륙 — 어느 것으로 설계됐는가)
3. 확인: 발동까지 몇 초 걸리는가
4. 확인: 링크가 복구되면 조종권이 안전하게 돌아오는가
(복구 순간 급격한 기동이 일어나지 않는가)
5. 확인: 두 조종 소스가 동시에 연결되면 어느 쪽이 이기는가5번은 놓치기 쉽지만 실제 사고 원인이 되는 조건이다.
⚠️ 이 시험들은 실제 비행 중에 하지 않는다. HIL/SIL 환경, 테더 비행(줄로 묶은 상태), 또는 승인된 시험 공역에서 안전 조치를 갖추고 수행한다. 공역 사용은 법적 승인 대상이다.
해상 — 자율운항 선박과 항해 데이터
맵의 해상 항목은 5G 통신 기반 자율운항 선박 제어 및 직접 통신 적용 기술 표준, 선박과 육상 간 신뢰성 있는 데이터 통신 표준,
선박 내 장비 데이터 모델링 표준, 디지털트윈을 위한 선박 3D 모델 교환 포맷 표준, 해사안전 ICT 융합 서비스 기술 표준,
GPS 및 SBAS 신호를 사용하는 선박용 수신기 장비에 대한 표준 등이다.
관련 국제 규격으로 IEC TC80(해상 항법·무선 통신 장비) 계열, ISO 28005-2(전자 항만 정보 교환), IEC 63173 계열(S-100 기반 항해 데이터 교환)이 붙는다.
해상 영역 검증의 특징 두 가지.
첫째, 통신 지연과 단절이 기본 조건이다. 위성 통신은 지연이 크고 간헐적이다. 육상 시스템을 그대로 옮기면 반드시 깨진다. "연결이 항상 있다"를 전제한 모든 로직이 시험 대상 이다.
둘째, 항법 데이터의 무결성이 안전과 직결된다. GNSS 신호는 재밍·
스푸핑에 취약하다. GPS 및 SBAS 신호를 사용하는 선박용 수신기 장비에 대한 표준이 맵에 올라온 배경이다.
[항법 무결성 검증 항목]
- 신호 품질 저하 시 수신기가 그것을 알리는가 (조용히 틀린 값을 주는가)
- 위치가 물리적으로 불가능하게 점프할 때 거부하는가
- 다중 소스(GNSS, 관성항법, 레이더, AIS) 간 교차 검증이 있는가
- 항법 실패 시 축퇴 모드가 정의돼 있는가첫 항목이 가장 중요하다. 틀린 값을 주는 것보다 "모르겠다"고 말하는
쪽이 안전하다. 레슨 5의 없음과 모름 구분이 여기서도 반복된다.
실제 환경에서 시험할 수 없을 때
이 영역의 공통 제약이 시험 자체가 위험하거나 불법이라는 것이다. 재난 통신망에 부하를 걸 수 없고, 공역에서 링크를 임의로 끊을 수 없고, 운항 중 선박의 항법을 교란할 수 없다.
그래서 검증은 대체 수단의 조합으로 간다. 각 수단이 무엇을 증명하고 무엇을 증명하지 못하는지가 중요하다.
| 수단 | 증명되는 것 | 증명되지 않는 것 |
|---|---|---|
| 모델·시뮬레이션 | 로직과 판단 규칙 | 실제 센서 특성·지연 |
| HIL(장비 연결 시험) | 장비와 소프트웨어의 결합 | 환경 요인(전파·기상) |
| 제한 구역 실증 | 실제 환경의 일부 | 최악 조건(혼잡·간섭) |
| 운용 데이터 재생 | 과거에 실제로 있었던 조건 | 아직 없었던 조건 |
| 고장 주입 | 설계된 실패 경로 | 설계되지 않은 실패 |
마지막 두 줄이 이 영역의 한계를 정한다. 과거 데이터로는 처음 일어날 조건을 못 보고, 고장 주입으로는 상상한 고장만 본다. 그래서 보고에 "이 수단으로는 증명되지 않는 것" 을 반드시 적는다 — 모듈 6 레슨 5의 "못 한 것을 적는다" 가 이 영역에서는 안전 논증의 일부가 된다.
그리고 각 규격·규정이 어떤 수단을 인정하는지는 소관 기관의 최신 고시· 지침으로 확인한다. 같은 시험을 해도 인정되는 증빙 형태가 다르면 승인 자료로 쓸 수 없다.
규제 승인은 일정이 아니라 전제다
일반 서비스에서 출시일은 협상 대상이지만, 이 영역에서는 승인 없이 출시가 불가능하다. 그래서 QA 산출물의 성격이 바뀐다.
| 일반 서비스 | 이 영역 |
|---|---|
| 테스트 기록은 내부 자료 | 제출 자료(모듈 8) |
| 못 한 것은 다음 릴리즈로 | 못 한 것은 승인 보류 사유 |
| 일정이 밀리면 범위를 줄인다 | 범위를 줄이면 승인이 안 난다 |
세 번째 줄이 핵심이다. 모듈 8 레슨 4에서 본 네 레버 중 범위 축소가 막히는 영역이고, 그러면 남는 레버는 시간과 인력뿐이다. 그래서 일정 산정에 시험 기관·심사 리드타임이 처음부터 들어가야 한다(모듈 28 레슨 1의 "시험 기관 일정은 리드타임" 과 같은 이야기).
사례 — 축퇴 모드가 정의되지 않아 승인이 보류된 일
무인기 운용 시스템의 승인 심사에서 지적이 하나 나왔다. "통신이 끊긴 상태의 동작이 문서에 정의되어 있지 않다."
개발팀의 답은 "끊기면 복귀합니다" 였고, 실제로 구현도 그렇게 되어 있었다. 그런데 심사자가 되물은 것은 다른 층이었다.
| 심사자의 질문 | 답이 없던 이유 |
|---|---|
| 몇 초 끊기면 복귀를 시작하나 | 코드에는 값이 있는데 문서에 없었다 |
| 복귀 중 다시 연결되면 어떻게 하나 | 정의된 적 없음 |
| 복귀 경로에 장애물이 있으면 | 정의된 적 없음 |
| 복귀도 실패하면 | 정의된 적 없음 |
| 그 동작을 어떻게 시험했나 | 시험 기록 없음 |
다섯 질문 모두 "구현이 틀렸다" 가 아니라 "정의와 증거가 없다" 였다. 승인은 2개월 보류됐고, 그 기간에 한 일은 새 기능 개발이 아니라 이미 있는 동작을 정의하고 시험 기록을 만드는 것이었다.
그 뒤 팀이 만든 것은 축퇴 모드 표 한 장이다.
■ 축퇴(degraded) 동작 정의
조건 임계값 동작 복귀 조건 시험 기록
통신 두절 N초 경과 사전 지정 경로 복귀 링크 재확립 TC-DEG-01
복귀 중 재연결 즉시 조작자 판단 대기 조작자 지시 TC-DEG-02
복귀 경로 차단 감지 즉시 대체 지점 선회 경로 확보 TC-DEG-03
복귀 실패 M초 경과 비상 착륙 절차 - TC-DEG-04
위치 신뢰도 저하 기준 미달 속도 제한 + 경보 신뢰도 회복 TC-DEG-05오른쪽 두 칸이 이 표를 승인 자료로 만든다. 동작만 적으면 설계 문서이고, 복귀 조건과 시험 기록 번호가 붙으면 안전 논증이 된다.
여기서 남는 교훈이 셋이다.
- "구현했다" 와 "정의했다" 와 "증명했다" 는 세 가지 다른 상태다 — 이 영역에서는 셋 다 필요하다
- 코드에만 있는 임계값은 없는 것과 같다. 심사자는 코드를 보지 않는다
- 축퇴 모드는 정상 동작보다 가짓수가 많다 — 끊김·재연결·차단·실패가 조합되므로, 표로 만들지 않으면 반드시 빈다
실무에서 왜 필요한가
이 영역의 과제는 시험 조건 자체가 산출물이다
공공안전·UAM·해상 과제의 검증 계획서에서 평가자가 보는 것은 "몇 개 시험했는가"가 아니라 "최악 조건을 어떻게 만들었는가" 다. 정상 환경 시험 100건보다 고립 운용 시험 1건이 무겁다.
축퇴 설계를 요구할 수 있는 QA가 드물다
"통신이 끊기면 어떻게 되나요?"라는 질문을 설계 단계에서 하는 사람이 팀에 있으면 아키텍처가 달라진다. 이 질문을 구현 완료 후에 하면 대답은 대개 "정의 안 됐습니다"이고, 그때 고치려면 비싸다.
축퇴 동작 정의를 요구사항 단계에서 요구하는 것 이 이 영역 QA의 가장 큰 기여다.
일반 서비스로 옮겨오는 사고방식
우선순위·선점, 고립 운용, 축퇴, 취소 경로 — 전부 일반 서비스에도 있다. 결제 시스템의 우선순위 큐, 오프라인 모드, 잘못 보낸 알림의 정정. "평상시에 발동하지 않는 경로를 어떻게 검증할 것인가" 는 어디서나 같은 문제다.
채용시장에서의 위치
이 영역의 QA 자리는 수가 적고 진입 장벽이 높다. 대신 한번 들어가면 경력이 축적되고, 도메인을 옮겨도 안전·규제 감각은 그대로 쓰인다.
| 질문 | 약한 답 | 강한 답 |
|---|---|---|
| "임무 치명 시스템은 뭐가 다른가요?" | "안정성이 더 중요합니다" | "평상시 발동하지 않는 경로가 핵심 검증 대상입니다. 축퇴 동작은 정상 동작보다 가짓수가 많습니다" |
| "실제 환경에서 시험할 수 없으면?" | "시뮬레이션으로 합니다" | "수단별로 증명되는 것과 안 되는 것을 나눠 적습니다. 과거 데이터로는 처음 일어날 조건을 못 봅니다" |
| "승인 심사를 받아 보셨어요?" | "자료를 제출했습니다" | "구현·정의·증명이 세 가지 다른 상태라는 걸 배웠습니다. 코드에만 있는 임계값은 없는 것과 같습니다" |
| "일정이 밀리면 어떻게 하세요?" | "범위를 줄입니다" | "이 영역은 범위 축소가 막힙니다. 승인이 전제라서 시험·심사 리드타임을 처음부터 일정에 넣습니다" |
| "프라이버시는 어떻게 다루세요?" | "개인정보를 지웁니다" | "위치·동선은 식별성이 높아 보관 기간과 접근 통제를 먼저 정합니다" |
세 번째와 네 번째가 가장 변별력이 크다. 둘 다 심사를 겪어 본 사람의 답이다. 특히 네 번째는 범위가 레버에서 빠진다는 구조적 차이를 아는 답이고, 그걸 모르면 일정 산정이 매번 틀린다.
두 번째도 좋다. 수단의 한계를 말할 수 있는 것이 안전 분야의 기본 태도이고, "시뮬레이션으로 검증했습니다" 로 끝내면 심사에서 되묻힌다.
공고 표현으로는 "재난안전통신", "UAM·드론 검증", "자율운항", "기능안전", "인증·형식승인 대응" 이 이 레슨에 걸린다. 모듈 25(기능안전·사이버보안)와 모듈 63(국방·항공우주)이 같은 계열의 자리다.
⚠️ 이 레슨은 규격과 제도의 성격을 다룬다. 특정 규정의 적용 여부· 해석·승인 요건은 소관 기관의 최신 고시와 자격 있는 전문가를 통해 확인한다. 안전 규제는 개정이 잦고 지역마다 다르다.