Journal Archive

본 연구의 목표가 기능안전성 평가시나리오를 도출하기 위한 방법론 개발이기 때문에 V2V 기반 종방향 도심자율협력주행 시스템의 알고리즘 개발에 있어, 성능의 고도화보다는 안정한 제어 성능 확보에 역점을 두었다.

V2V 기반 종방향 도심자율협력주행 시스템은 레이더 센서와 함께 V2V 통신을 사용하여 매우 좁은 차간 간격의 대열 주행을 가능하게 하는 시스템이다(Fig. 3). 기존의 레이더 센서 기반의 ACC가 최소 1.5초의 Time gap으로 차간 거리를 유지하는데 반해,¹⁰⁾ V2V 기반 종방향 도심자율협력주행 시스템은 0.5초의 Time gap으로 차간 거리를 유지하며 도심과 같이 교통량이 많은 지역에서 안전한 대열 주행을 하는 것을 목표로 한다.

Fig. 3 
Schematic of V2V based longitudinal cooperative autonomous driving system

먼저, V2V 기반 종방향 도심자율협력주행 알고리즘의 구현 및 검증을 위해 본 연구에서 구축한 Simulink와 CarMaker 기반의 시뮬레이션 환경은 Fig. 4와 같이 나타내었다. CarMaker는 차량 모델 및 알고리즘에 필요한 정보와 시뮬레이션 환경을 제공하고, Matlab&Simulink는 V2V 통신 모듈과 알고리즘을 구현하는데 활용되었다.

Fig. 4 
Architecture of simulation environment

V2V 통신 모듈 구현에 사용되는 메시지셋은 V2V 통신에 대한 표준인 SAE J2735-2009¹³⁾의 Basic Safety Message를 토대로 Table 2와 같이 구성하였다.

본 연구에서 개발한 V2V 기반 종방향 도심자율협력주행 시스템은 Fig. 5와 같이 V2V 통신으로 얻은 선행 차량의 위치, 속도, 가속도 값과 자차량의 레이더 센서로부터 얻은 선행 차량과의 상대 거리 값과, 샤시 CAN으로부터 얻은 자차량의 속도 값을 이용하고, 이러한 값에 LQR(Linear Quadratic Regulator) 제어 기법을 활용하여 자차량의 목표 가속도 값을 계산하도록 설계하였다.

Fig. 5 
V2V based longitudinal cooperative autonomous driving system diagram

식 (1)은 LQR 제어기 설계를 위한 시스템 방정식을 나타낸다.

식 (1)에서 첨자 ( )_ego와 ( )_fr는 각각 자차량과 선행 차량을 나타낸다. x는 상태변수로 자차량와 선행 차량 사이의 거리, 속도, 가속도의 오차를 나타내며, u는 제어변수로 자차량의 요구 가속도를 나타낸다. p₁은 설계 파라미터로 이들 값을 사용하여 차량 파워트레인의 역학에 의해 생성되는 가속도의 변화량을 고려할 수 있다.¹⁴⁾ 또한 식에서 x_des는 종방향 요구 상대거리를 나타내는데, x_des는 Time gap을 토대로 다음과 같이 계산되도록 하였다.

식 (2)에서 τ는 Time gap을 나타내며, x_o는 안전 제동 거리를 나타낸다. 본 연구에서는 FSRA 표준인 ISO 221799)의 Automatic Stop Capability Test에서 Time gap 1.6초일 때 선행 차량 간의 거리로 2 m 이상을 요구하고 있는 점과, 대상 시스템의 Time gap 0.5초를 고려하여 적절한 안전 제동 거리 xo를 설정하였다.

본 연구에서는 이와 같이 정의된 상태방정식에 LQR 기법을 적용하여 자차량의 요구 가속도를 계산하였다. 식 (3)는 비용함수를 나타낸다.

Q는 상태변수에 대한 가중치를 나타내는 3×3의 대각 행렬이고, R은 제어변수에 대한 스칼라 가중치 값으로 이들은 설계 파라미터로 사용된다. 식 (3)의 비용함수를 최소화하는 제어 이득 K가 구해지면 아래의 식을 통해 자차량의 요구 가속도를 구할 수 있다.

제어 이득 K는 잘 알려진 것과 같이 행렬형 Riccati 방정식을 풀어 구할 수 있다.

본 장에서 소개한 V2V 기반 종방향 도심자율협력주행 알고리즘은 4장의 기능안전성 평가시나리오 개발 방법론을 통해 도출한 평가시나리오의 유효성을 검증하는데 활용된다.

아이템에 대한 기능 정의가 완료되면 정의된 기능에 대한 오작동을 도출한다. V2V 기반 종방향 도심 자율협력주행 시스템의 오작동은 Table 1에서 정의된 기능에 대한 고장이나 의도되지 않은 행위를 포함해야 한다. 오작동은 ASIL(Automotive Safety Integrity Level) 산출에 영향을 끼치게 되므로, 대상 아이템에서 발생할 수 있는 오작동을 누락하지 않는 것이 중요한데 이를 위해 본 연구에서는 HAZOP 기법을 활용하여 오작동을 도출하였다.

본 연구에서는 V2V 기반의 종방향 자율협력주행 시스템에서 발생할 수 있는 수많은 오작동 가운데, 통신 오작동만을 대상으로 시스템의 안전성 평가에 관한 연구를 수행하였으며, 그러한 배경에 대해서는 2.2절에서 자세히 설명한 바 있다.

HAZOP 기법에서는 먼저 HAZOP 가이드 워드를 선정한다. 기능이 전혀 발생하지 않은 경우의 LOSS, 기능이 과다하게 발생한 경우의 MORE와 과소하게 발생한 경우의 LESS, 기능이 의도와 반대로 발생한 경우의 REVERSE, 기능이 지연된 경우의 LATED, 의도하지 않았음에도 기능이 수행된 경우의 UNINTENDED와 같이 총 6개이다.

Table 3에서 명시한 F001, F002에 대한 오작동은 6개의 HAZOP 가이드 워드를 활용하여 정의하였다. 요구 가속도 및 감속도 미생성(LOSS), 과다 생성(MORE), 과소 생성(LESS), 반대값 생성(REVERSE), 생성 지연(LATED)과 의도치 않은 요구 가속도 및 감속도 생성(UNINTENDED)으로 각각 6개의 오작동을 정의하였다.

위험원은 Table 3에서 정의한 오작동 행위로 인해 차량 수준에서 발생할 수 있는 위험에 대한 잠재적인 원인이다. 이를 위해 본 연구에서는 FEMA(Failure Mode and Effects Analysis) 분석 기법을 통해 위험원을 규명하였으며, 과다 가속, 과소 감속, 감속 불가, 반대방향 감속, 의도치 않은 가속의 위험원을 도출하였고, 오작동 행위로 인해 위험 상황이 발생하지 않을 경우도 고려하여 N/A(해당 사항 없음)을 정의하였다(Table 4).

위험 사건은 대상 아이템에 오작동이 발생했을 때, 안전에 영향을 끼치는 사건을 의미한다. 본 연구에서는 대상 시스템인 V2V 기반의 종방향 도심자율협력주행 시스템에 영향을 줄 수 있는 모든 환경 요인 및 운전 상황을 고려한 주행 상황 분석을 통해 위험 사건을 정의하고 분류하였다.

1) 위험사건 정의

위험사건 정의를 위해서 우선 주행 상황에 대한 분석을 수행하였다. 주행 장소는 도심지역으로 선정하였고 노면 상태와 도로 환경은 포장도로와 교통류의 원활 및 혼잡으로 선정하였다. 주행 모드는 V2V 자율주행 모드로 선정하였고, 속도 조건은 유효충돌속도 Δv를 고려하여 선정하였다.

유효충돌속도는 차량 간의 사고가 발생했을 때, 추돌 차량의 속도 변화를 의미한다. Δv의 범위는 SAE J2980¹⁵⁾을 참고하여 0, 10 kph 이하, 10∼40 kph, 40∼65 kph의 4구간으로 구분하였다. 추돌 차량은 자차량으로 가정하고 식 (7)을 통해 유효충돌속도를 계산하였다.

식 (7)에서 m₁은 추돌 차량 즉 자차량의 질량, m₂는 피추돌 차량의 질량, v1은 자차량의 추돌 시 속도, v₂는 피추돌 차량의 추돌 시 속도를 의미한다.¹⁶⁾ V2V 기반 종방향 도심자율협력주행 시스템에 대한 주행 환경 분석을 통해서 식별된 주행 상황들의 조합을 토대로 총 120개의 위험 사건을 도출하였다.

2) 위험사건 분류

도출된 위험사건에 대한 리스크를 평가하여, 위험 사건을 분류하였다. 위험사건의 심각도(Severity), 노출도(Exposure), 제어 가능성(Controllability)의 등급을 산정하고 이들을 조합하여, 자동차 안전 무결성 등급인 ASIL (Automotive Safety Integrity Level)을 결정하였다. 심각도는 SAE J2980에서 유효충돌속도를 토대로 한 심각도 산정 방법을 활용하였다. 노출도는 SAE J2980과 ISO 26262 part 3 문서¹⁷⁾의 Annex B를 참고하여 발생 빈도를 토대로 등급을 산정하였다. 제어 가능성은 레벨4 자율주행자동차는 운전자가 제어에 관여하지 않기 때문에 C3로 산정하였다.¹⁸⁾

V2V 기반 종방향 자율협력주행 시스템의 HARA 분석 수행 결과, 위험원(Hazard)이 존재하는 위험사건으로 ASIL QM 20개, ASIL A 10개, ASIL B 10개, 총 40개가 도출되었다. Table 5는 이들 위험사건 가운데 상대적으로 가장 위험한 ASIL B의 10가지 경우만을 보여준다.

도출된 ASIL은 V2V 기반의 종방향 도심자율협력주행 시스템 개발 시에 적용해야 하는 ISO 26262 요구사항들의 수준을 결정 짓는 기준이 될 수 있다.¹⁹⁾ 또한 위험 사건에 대한 ASIL 등급을 토대로 안전 목표가 정의된다.

안전 목표(Safety Goal)는 HARA 분석의 최종 산출물로, 도출된 위험 사건의 발생을 방지하기 위한 최상위 안전 요구사항이다. 3.2.2에서 산출된 위험 사건에 대한 ASIL등급은, V2V 기반 종방향 도심자율협력주행 시스템의 기능안전을 확보하기 위해 준수해야 할 엄격함의 수준을 의미한다.

이때, Kuen-Long Leu외 5인²⁰⁾은 Brake-by-wire 시스템에 대한 안전 목표는 “Send correct brake control signal”과 같이 차량 수준에서의 기능적 관점에서 정의되어 있으며, Valerij Schönemann외 6인²¹⁾은 Auto Valet Parking 시스템의 안전 목표에 대해 차량 수준에서 만족시켜야 할 안전 요구사항으로 정의하였다. 본 논문에서는 이를 토대로 Table 6과 같이 안전 목표를 도출하였으며 이때, 안전 목표는 표준에서 제시하는 정의에 따라 기술적인 것이 아닌 기능적으로 얻고자 하는 목표를 표현하였다.

기능안전 평가시나리오 1은 최상위 고장 이벤트 [SG001]과 [SG005]를 위배하는 고장시나리오로서(Table 8), V2V 통신 모듈이 출력하는 선행 차량의 속도 정보가 과다하게 왜곡(Corruption)되는 상황을 나타낸다(Fig. 9). 10 kph로 선행 차량들과 정속 대열 주행 중, 15초 지점에서선행 차량의 속도 정보가 45 kph로 잘못 전달받는 시나리오이다. Fig. 10은 고장 주입 전과 후에 대한 시뮬레이션 결과를 나타낸다.

Fig. 9 
Functional safety evaluation scenario 1

Fig. 10 
Functional safety evaluation scenario 1 results

15초에서 선행 차량의 속도 값을 과다하게 전달 받게 되어, 대상 시스템은 식 (2)의 요구 상대 거리 x_des를 유지하기 위해 45 kph로 가속한다. 이러한 가속으로 인해 4 m로 유지하던 선행 차량과의 상대 거리가 급격히 줄어들고, 16초 지점에서 상대 거리가 0이 되어 선행 차량과 충돌이 발생하는 것을 알 수 있다. 충돌 지점에서 자차량의 속도는 약 35 kph, 유효충돌속도는 약 12 kph임을 볼 수 있다.

이처럼 고장 주입 시뮬레이션을 수행한 결과, 선행 차량과 충돌과 같은 위험 상황이 발생하여 기능안전 평가시나리오 1로 선정하였다.

시나리오 2는 최상위 고장 이벤트 [G002]를 위배하는 고장 시나리오로서(Table 8), V2V 통신 모듈이 출력하는 선행 차량의 속도 정보가 지연(delay)되는 상황을 나타낸다. 45 kph로 정속 대열 주행을 하다가 14초 지점에서 5초 동안 10 kph로 감속하는 상황일 때, V2V 통신 모듈의 고장에 의해 선행 차량의 속도 정보를 6초 지연 후 전달받는 시나리오이다. Fig. 11은 고장 주입 전과 후에 대한 시뮬레이션 결과를 나타낸다.

Fig. 11 
Functional safety evaluation scenario 2 results

선행 차량들은 14초 지점에서 감속을 수행하지만 자차량은 선행 차량의 속도 정보를 6초 지연된 20초에 전달 받게 된다. 14초 지점부터 시작된 고장에도 불구하고 자차량은 식 (2)의 x_des를 유지하기 위해 14초부터 감속하는 것을 볼 수 있다. 하지만 잘못된 통신 정보로 인해 자차량은 선행 차량에 비해 천천히 감속을 하고, 이로 인해 17초 부근에서 충돌이 발생한다. 즉, 선행 차량과 상대 거리 8 m를 유지하며 대열 주행 중이던 자차량은, 선행 차량의 속도 정보 지연으로 인해 선행 차량보다 감속을 늦게 수행하게 되고, 17초 부근에서 상대 거리가 0이 되어 선행 차량과 충돌이 발생하는 것을 확인할 수 있다. 이때, 충돌 지점에서 자차량의 속도는 약 30 kph이며 유효충돌속도는 약 6 kph이다.

시나리오 3는 최상위 고장 이벤트 [G003]를 위배하는 고장 시나리오로서(Table 8), V2V 통신 모듈이 출력하는 상대 차량의 속도 정보가 미출력(Loss)되는 상황을 나타낸다. 45 kph로 정속 대열 주행을 하다가 14초 지점에서 5초 동안 10 kph로 감속하는 상황일 때, V2V 통신 모듈의 고장에 의해 15초 지점에서 선행 차량의 속도 정보가 유실되는 시나리오이다. Fig. 12는 고장 주입 전과 후에 대한 시뮬레이션 결과를 나타낸다.

Fig. 12 
Functional safety evaluation scenario 3 results

대열을 형성한 선행 차량들은 14초 지점에서 감속을 수행하지만, 자차량은 V2V 통신 모듈의 고장으로 인하여 15초 지점에서 선행 차량의 속도 정보를 유실하며 그 때의 선행 차량의 속도 정보가 지속적으로 유지된다. 고장에도 불구하고 자차량은 식 (2)의 요구 상대 거리 x_des를 유지하기 위해 15초부터 감속을 수행한다. 하지만 잘못된 통신 정보로 인해 자차량은 선행 차량에 비해 천천히 감속을 하고, 이로 인해 18초 부근에서 충돌이 발생한다. 즉, 선행 차량과 상대 거리 8 m로 유지하며 대열 주행 중이던 자차량은, 선행 차량의 속도 정보 유실로 인해 선행 차량보다 감속을 늦게 수행하여, 18초 부근에서 상대 거리가 0이 되어 선행 차량과 충돌이 발생하는 것을 확인할 수 있다. 이때, 충돌 지점에서 자차량의 속도는 약 30 kph이며 유효충돌속도는 약 6 kph이다.

시나리오 4는 최상위 고장 이벤트 [G001]과 [G004], [G005]를 위배하는 고장 시나리오(Table 8)로서, V2V 통신 모듈이 선행 차량의 가속도 정보를 과다하게 왜곡(Corruption)하는 상황을 나타낸다. 45 kph로 정속 대열 주행을 하다가 20초 지점에서 선행 차량이 급정지하는 상황일 때 선행 차량의 가속도 값을 15 m/s²로 과도하게 큰 값으로 전달받는 시나리오이다. Fig. 13은 고장 주입 전과 후에 대한 시뮬레이션 결과를 나타낸다.

Fig. 13 
Functional safety evaluation scenario 4 results

대열을 형성한 선행 차량들은 20초 지점에서 급제동을 수행하지만, 이 때 자차량은 선행 차량의 가속도 값을 실제보다 과다하게 전달받는다. 선행 차량의 가속도 정보 왜곡 고장에도 불구하고 자차량은 식 (2)의 x_des를 유지하기 위해 20초부터 급감속을 수행한다. 하지만 잘못된 통신 정보로 인해 자차량은 선행 차량에 비해 충분한 감속을 수행하지 못하여, 이로 인해 30초 부근에서 충돌이 발생한다. 즉, 선행 차량과 상대 거리 8 m를 유지하며 대열 주행 중이던 자차량은, 선행 차량의 왜곡된 가속도 정보로 인해 선행 차량보다 감속을 늦게 수행하여, 27초 부근에서 상대 거리가 0이 되어 충돌이 발생하는 것을 확인할 수 있다. 이때, 유효충돌속도를 살펴보면 왜곡된 선행 차량의 가속도 정보로 인하여 고장 발생 시, 약 5 kph까지 급격하게 증가하지만 자차량의 감속으로 충돌 지점에서는 약 0.3 kph로 줄어드는 것을 볼 수 있다. 따라서 가속도 관련 고장은 속도 관련 고장에 비해 영향이 적은 것을 알 수 있다.