페이퍼요약 - MUNI의 기차 통제 시스템 안전성 인증 by Rosen

제목: MUNI의 기차 통제 시스템 안전성 인증(Safety Certification Of MUNI’S Advanced Train Control System: A View From The Trenches)

저자: Daniel J. Rosen 외 1인, S.F. MUNI Railway, 미국

문서유형: Industry 페이퍼(총 9페이지)

 

공공 수송 기관의 철로 서비스 확장에 따른 신규 시스템 구축 프로젝트에서 진행된 안전성 인증 활동을 기술한 자료

---

배경 정보

• 1912년 서비스를 시작한 샌프란시스코 시립 철도(San Francisco Municipal Railway: MUNI)는 샌프란시스코 시와 지방의 7십만명 승객들의 대중 교통을 책임지는 공공 수송 기관
• MUNI는 케이블카(cable cars), 전동차(electric trolley), 디젤버스(diesel bus), 노면전차(streetcars)의 4가지 수송 수단을 운영하고, 또한 노면전차와 지하철 서비스가 혼합된 경전철 서비스(light-rail service)를 도심지에 제공
• 최근 MUNI의 경전철 서비스 확장 프로젝트가 진행 중이며, 미연방법에 의해 외부 기관인 캘리포니아 공공 시설 위원회(the California Public Utilities Commission: CPUC)의 안전 감독(the safety oversight)을 받게 됨
• 안전성 인증(safety certification)을 위해 프로젝트 스텝은 안전 컨설턴트의 지원을 받아 인증에 필요한 기술 문서를 준비하고 모든 운영 부서는 절차 검토 및 교육훈련(procedures review and training) 같은 프로세스에 참여함
• 이 논문은 MUNI가 어떻게 안전성 인증 감사의 요구사항(the safety certification audit requirements)을 정의하고 충족시켰는지에 대해 기술한다.

안전성 인증 대상 프로젝트

• 1980년 MUNI의 Market Street Subway를 개통. 아래 그림처럼 도심에 위치한 5개 역에 서비스를 제공하기 위해 모든 지상 경전철 라인이 Market Street Subway로 모인 후 Embarcadero 역에서 방향을 바꾸어 돌아감(turnback)
• 이러한 운행은 병목 현상의 주요 원인으로 지적되어 개통 초기부터 방향 전환을 위한 시설 확장 계획이 연구됨. 특히 South-of-Market 지역이 재개발되고 MUNI 철도 서비스와 CalTrain 통근 철도의 연결을 희망하게 되면서 Embarcadero 역을 넘어서까지 경전철 서비스를 확장할 필요가 생김
• 아래와 같은 철도 인프라구조의 3가지 주요 업그레이드를 시행하고 1998년 1월 10일부터 서비스를 시작하기로 함
  - MMT(MUNI Metro Turnback): Embarcadero 역으로부터 0.5 마일 확장, 지하 방향 전환 및 정차 트랙(underground turnback and storage tracks) 설치, Ferry Portal 지상역 추가
  - MMX(MUNI Metro Extension): MMT의 Ferry Portal로부터 CalTrain Depot 방향으로 1.5 마일 확장, 4개 지상역 추가
  - ATCS(Advanced Train Control System): 처리량, 안전성, 운행 유연성을 개선하기 위해 기존 100-Hz 궤도회로(track-circuit) 기반 신호 시스템을 CBTC(Communications Based Train Control) 시스템으로 대체
• 이 세 개 유관 프로젝트(MMT, MMX, ATCS)의 안전성 인증을 위해 새롭게 규제된 안전성 인증 프로세스(Safety Certification Process)를 개발하고 실행함

독립적인 안전성 검토(ISC: Independent Safety Review)

• MUNI의 철도 운영이 CPUC의 감독을 받기에 앞서 독립적인 안전 컨설턴트(an Independent Safety Consultant) 역할을 수행할 업체와 계약을 맺고 ATCS의 고안전 요소(safety-critical elements)의 구현을 감독하게 함
• Lea + Elliott(L+E) 사가 MUNI ATCS의 ISC를 수행하는 업체이며, 시스템 공급자인 Alcatel 사의 표준 SELTRAC 제품에 가해지는 하드웨어와 소프트웨어 변경에 대하여 독립적인 안전성 감사(an independent safety audit)를 제공함
• ISC의 요구사항으로 아래와 같은 것들이 포함된다.
  - ATCS의 특성에 맞는 시스템 안전성 프로그램 계획서(System Safety Program Plan: SSPP)를 개발한다. 모든 안전 관련 이슈가 성공적으로 추적되고 적절한 해결책이 식별되고 문서화 될 수 있도록 안전 문제 식별 및 추적 방법을 포함한다.
  - ATCS 조달의 전 과정에 거쳐 발생하는 안전 관련 이슈를 식별하고, 조사하고, 해결하는 안전성 자문 위원회(a Safety Advisory Board: SAB)를 연다.
  - 고안전 요소에 대한 Alcatel의 산출물을 검토한다. ATCS의 안전에 영향을 주는 사람(승객, MUNI 직원)의 역할, 운영 절차, 유지보수, 교육훈련 프로그램을 안전성 측면에서 검토한다.
  - ATCS 공급자(Alcatel)의 소프트웨어를 정성적으로 분석한다.
  - ATCS 설계 검토를 포함해서 조달 프로세스 전반에 거쳐 ATCS 공급자의 안전성 관련 활동과 데이터를 모니터하고 평가한다.
  - Alcatel에서 제출한 안전성 검증, 안전성 분석, 테스트 결과 및 기록 등을 감사하고, 현장에서 직접 테스팅 및 ATCS 시연을 관찰한다.

안전성 자문 위원회(SAB: Safety Advisory Board)

• ISC의 일차적 임무는 ATCS의 안전성 자문 위원회(SAB)를 주최하는 것이다.
• SAB 팀은 MUNI의 다양한 분야를 대표하는 사람들과 ATCS 구현을 돕거나 감독하기 위해 고용된 외부 전문가(컨설턴트)로 구성된다. MUNI의 시스템 안전 담당자, 유지보수 담당자, 운영 담당자, ATCS 프로젝트 스텝, ATCS 엔지니어링 컨설턴트인 Booz-Allen & Hamilton(BAH)의 담당자, ATCS ISC 컨설턴트인 Lea + Elliott의 담당자, 안전성 감독기관인 CPUC의 담당자, 프로젝트 관리 감독(PMO) 팀의 담당자, ATCS 공급자인 Alcatel의 담당자 등이 포함된다.
• SAB는 주기적으로 만나서 안전성 관련 오픈 이슈를 추적하고 이슈 해결에 필요한 작업을 부과하는 권한을 가진다. 주된 활동으로 특정 ATCS 설계 요소 조사, MUNI의 운영 및 유지보수 관행에 있어 개선할 사항을 제안하고 문서화, ATCS의 안전성 요소를 주변 시스템과 통합 등이 있다. 때때로 ATCS나 철도 차량의 필드에서의 안전성을 입증하기 위해 특정 테스트를 수행하도록 MUNI에게 지시하기도 한다.
• ATCS 프로젝트 진행 중 안전 사고가 발생한 경우, 이어지는 사고 조사에서 발견된 내용을 평가하고 제안된 완화책/해결책(mitigations)이 적절한지 판단하는데 SAB가 주도적인 역할을 한다.

안전성 인증 계획(SCP: Safety Certification Plan)

• 감독 기관인 CPUC와의 회의에서 프로젝트의 설계, 엔지니어링, 구축에 있어서는 CPUC의 요구사항을 이미 충족하지만, 3개 프로젝트(MMT, MMX, ATCS)에 대한 교육훈련(training)과 규칙 및 절차(rules and procedures) 그리고 ATCS의 안전성 V&V에 대한 안전성 인증 계획(SCP)이 필요하다는 판단이 내려짐
• ATCS의 엔지니어링 컨설턴트인 BAH가 초안을 작성하고 MUNI가 채택한 SCP의 안전성 인증 프로세스(The safety certification process)가 아래와 같다. 

• 수립된 SCP를 실행하여 MUNI는 모든 인증 요구사항을 충족시키고 예정된 일자에 성공적으로 서비스를 시작할 수 있었다. SCP는 아래와 같은 인증 대상 요소와 산출물로 구체화되는데, 최종 보고서가 이것들로 구성된다.

SCP의 인증 대상 요소(SCP Certifiable Elements)

①     ATCS 엔지니어링 컨설턴트(BAH)에 의해 작성된 ATCS 계약서(ATCS Contract)

②     MUNI와 BAH에 의해 작성된 중앙 통제 운영 매뉴얼(Central Control Operating Manual)

③     MUNI에 의해 작성된 경전철 차량 운영 규칙 및 절차서(Operating Rules and Procedures)

④     시스템 공급자와 MUNI에 의해 작성된 중앙 통제 오퍼레이터 교육훈련 프로그램(Central Control Operator Training Program)

⑤     MUNI에 의해 작성된 차량 오퍼레이터 교육훈련 프로그램(Vehicle Operator Training Program)

⑥     MUNI에 의해 작성된 철로 조사관 교육훈련 프로그램(Rail Inspectors Training Program)

⑦     ATCS ISC 업체(L+E)에 의해 작성된 ISC 검토서(ISC Review)

⑧     시스템 공급자와 MUNI에 의해 작성된 MUNI의 유지보수 계획서(MUNI Maintenance Plan)

⑨     ATCS ISC 업체(L+E)에 의해 작성된 SAB의 오픈 이슈(Safety Advisory Board Open Items)

SCP 산출물(SCP Deliverables)

①     인증 대상 요소 각각의 안전 요구사항 준수를 인증하는 인증서(Certificates of Compliance for each Certifiable Element)

②     절차 검토 체크리스트(Procedure Review Checklists)

③     명세 준수 여부 확인용 체크리스트(Specification Conformance Checklist)

④     운영 및 유지보수 교육훈련 기록(Operations and Maintenance Training Records)

⑤     독립적인 안전 컨설턴트(ISC)의 보고서(Report of the Independent Safety Consultant)

⑥     안전성 인증에 대한 계약자(시스템 공급자)의 진술서(Contractor’s Statement of Safety Certification)

소프트웨어 안전성 검증 및 확인(Software Safety V&V)

MUNI의 사업은 소프트웨어 개발이 아니라 수송 서비스(transit service) 제공에 있으므로 조직 내 소프트웨어 개발 전문가를 보유하는 대신 ISC의 업무 범위에 소프트웨어 안전성 검증 및 확인(software safety verification & validation)을 포함시키는 방식을 취한다. 안전성 V&V 노력의 일환으로 다음과 같은 문서들을 관리한다.

• 안전성 V&V 매트릭스(Safety V&V Matrix): 필수 산출물인 Alcatel(시스템 공급자)의 V&V 프로세스 보고서에 포함된 V&V 매트릭스는 모든 ATCS 안전 요구사항과 각 요구사항의 검증 방법을 나열한다. 검증(Verification)은 분석이나 테스트에 의해 이루어지며, 테스트에는 단위 테스트, 엔지니어링 통합 테스트, 시스템 통합 테스트, 필드 위탁 테스트(field commissioning tests) 등이 포함된다.
• 운영 및 지원 업무의 위험 요인 분석서(Operating & Support Hazard Analysis): 운영, 유지보수, 테스트 활동에 있어 잠재적인 위험 요인을 식별한다. 위험 요인은 ATCS 기술 명세(Technical Specification)로부터 도출되며, 설계 검토, 계획 및 프로그램 검토, 안전성 분석, 테스트 결과에서도 식별된다. 식별된 위험은 심각도, 발생가능성, 요구되는 완화책 등에 따라 분류되고, 검증(Verification)은 설계 검토, 절차 검토, 테스트, 시연(demonstration)을 통해 이루어진다.
• 테스트 모니터링 계획서(Test Monitoring Plan): ATCS 완성에 필요한 모든 테스트를 데이터베이스에 보관하고 관리한다. 안전성 요구사항을 검증한 테스트들 또는 운영/지원 업무의 위험 완화책을 검증한 테스트들의 상호 비교가 이루어지고(cross referenced), 테스트 진행 상태가 지속적으로 업데이트되고 관리된다.
• BAH가 작성한 안전성 인증 명세 준수 확인용 체크리스트(Safety Certification Specification Conformance Checklist): 계약 기술 명세로부터 도출된 안전 요구사항을 체크리스트에 입력하고, 각 요구사항과 해당 요구사항이 충족되는지 확인한 검증(설계 검토, Alcatel 산출물, 테스트)의 증거물을 매핑한다.