제7부 자율성·군집

7.3 자율성 I: 자율성 수준 프레임워크와 아키텍처

7.3.1 이 장에서 배우는 것 / 선수 지식 / 특히 중요한 독자

"자율 비행"이라는 말은 기체가 무엇을 스스로 결정하는지, 사람은 언제 끼어들 수 있는지를 말해 주지 않는다. 이 장은 그 두 질문에 답하는 틀을 세운다. 자율성의 수준을 재는 여러 프레임워크를 비교하고, 수준 숫자 하나가 왜 기체를 설명하지 못하는지 보인다. 이어서 자율 소프트웨어를 짜는 아키텍처와, 자율 기능이 믿을 수 있는 조건의 경계인 운용 설계 영역(ODD)을 다룬다.

배우는 것:

• 자동화와 자율성의 구분 — 정해진 일을 대신하는 것과 상황에 따라 할 일을 고르는 것의 차이, 0.2.6의 세 층(원격조종·자동·자율)과의 대응.
• 자율성 수준 프레임워크 — Sheridan의 자동화 수준, NIST ALFUS, 자동차 SAE J3016, EASA AI 수준(Level 1A~3B), 사람이 루프 안·위·밖에 있다는 구분. 각각 무엇을 재고 무엇을 놓치는가.
• 수준 표기의 함정 — 기능·비행 단계·조건마다 수준이 다르다는 사실과 기능별 수준 행렬.
• 아키텍처 — 감지-계획-행동, 행동 기반, 3층 구조, 하이브리드와 무인기 소프트웨어 스택의 대응.
• ODD의 정의와 경계 감시 — ODD 경계까지의 여유가 개입 빈도를 어떻게 정하는지 확률 모형으로 계산한다.
• 사람의 역할 재배치 — 조종에서 감독·관리로 옮겨 갈 때 생기는 일과 세 축의 단계적 자율화.

선수 지식: 자율성의 어휘(0.2.6), 비행 소프트웨어의 계층과 비행 모드(2.10.3·2.10.8), 비행 컴퓨터와 임무 컴퓨터의 이원 구조(2.9.3.3), 비상 대응의 사다리(2.6.2), 자율의 사다리와 책임 이동(1.16.3). 수식은 정규분포와 지수함수 수준이다.

특히 중요한 독자: 엔지니어는 7.3.5(아키텍처)·7.3.7(ODD 여유 계산)·7.3.10(워크스루)을 본다. 인증 담당자는 7.3.3.4(EASA 수준)와 7.3.6(ODD)을 본다. 정책·법무 담당자는 7.3.3.5(루프의 구분)와 7.3.4(수준 표기의 함정), 7.3.14를 본다. 사업 담당자는 7.3.10의 운영 센터 부하 계산과 7.3.11을 본다.

기준 시점과 경계. 이 장은 2026년 10월을 기준으로, 지식은 2026년 중반까지 반영했다. 프레임워크의 판과 상태는 공개 문서로 확인한 것만 단정하고 나머지는 (확인 필요)로 두었다. 계산은 일반적 모형, 교육용 가정이며 특정 제품의 성능이 아니다. 파이썬 표준 라이브러리(math·random, 고정 시드)로 계산했다(mil-uam/fig-src/7.3-calc.py). 이 장은 비행·항법·회피·비상·임무 관리의 자율성을 다룬다. 무기 운용의 자율화는 작성하지 않는다. 자율무기 논쟁과 의미 있는 인간 통제(MHC)는 19.3, 군사 AI 거버넌스는 19.5, 윤리는 19.12이 맡는다. 머신러닝의 보증은 7.4, 런타임 보증은 7.8이 다룬다.

7.3.2 개념·직관 — 자동화는 일을 대신하고, 자율성은 할 일을 고른다

자동화(automation)는 사람이 하던 일을 기계가 정해진 방식으로 대신하는 것이다. 웨이포인트를 따라가는 비행, 배터리가 정한 값 아래로 떨어지면 귀환하는 기능이 그렇다. 같은 입력에는 같은 행동이 나온다. 자율성(autonomy)은 주어진 목표 안에서 상황에 따라 무엇을 할지 스스로 고르는 능력이다. 길이 막히면 새 경로를 찾고, 착륙지가 사람으로 차 있으면 다른 곳을 고른다.

NIST ALFUS는 자율성을 "사람 운용자가 준 목표를 이루기 위해 감지·인지·분석·통신·계획·결정·실행을 통합하는 무인 체계 자신의 능력"으로 정의하고, 이를 사람에게서 독립한 정도로 나눈다(NIST SP 1011-I-2.0). 이 정의에는 두 축이 숨어 있다. 하나는 판단의 폭(얼마나 다양한 상황을 스스로 처리하는가)이고, 다른 하나는 사람 의존도(얼마나 자주, 얼마나 빨리 사람이 필요한가)다. 둘은 따로 움직인다. 단순한 자동 귀환도 링크가 끊긴 뒤에는 사람이 개입할 수 없다. 복잡한 재계획 기능도 사람의 승인을 받아야 실행되게 만들 수 있다.

0.2.6은 원격조종·자동·자율의 세 층을 세웠다. 이 장은 그 셋을 잇는 연속된 척도와, 그 척도를 기능마다 따로 매기는 방법을 다룬다. 두 가지 오해를 먼저 걷어 둔다. 첫째, 자율은 학습 기반과 같은 말이 아니다. 규칙과 탐색으로 만든 계획기도 자율 기능이다. 머신러닝은 자율 기능을 만드는 한 가지 수단이다(7.4). 둘째, 자율이 높을수록 좋은 것이 아니다. 자율성은 사람의 개입이 늦거나 불가능한 곳, 사람의 수가 비용을 정하는 곳에서 값을 한다.

자율성이 설계를 지배하는 이유는 안전의 근거가 옮겨 가기 때문이다. 원격조종에서는 조종사의 판단이 마지막 방어선이다. 자율에서는 그 판단을 설계가 미리 넣어 두어야 하고, 그 설계가 맞다는 증거를 내야 한다(1.16.3의 책임 이동). 세 축의 요구는 이렇게 다르다.

7.3.3 자율성 수준 프레임워크

7.3.3.1 Sheridan의 자동화 수준과 네 단계 모형

가장 오래 사용된 척도는 Sheridan과 Verplank(1978)의 열 단계 자동화 수준이다. 원래는 수중 원격 조작 로봇의 사람-컴퓨터 분담을 위해 만들어졌다. 아래 표는 Parasuraman·Sheridan·Wickens(2000)가 옮긴 형태를 요약했다.

Parasuraman 등(2000)은 여기에 중요한 한 가지를 더했다. 자동화는 네 단계 — 정보 획득, 정보 분석, 결정·행동 선택, 행동 실행 — 마다 따로 수준을 가진다. 탐지 회피(DAA)를 예로 들면, 탐지(정보 획득)는 거의 완전 자동이고, 위협 판단(분석)도 자동이지만, 회피 기동의 선택은 사람에게 권고만 하고(수준 4), 실행은 사람이 할 수 있다. 이 생각이 7.3.4의 기능별 행렬로 이어진다.

7.3.3.2 NIST ALFUS — 세 축으로 본 자율 능력

미국 연방 기관의 작업반이 만든 ALFUS(Autonomy Levels for Unmanned Systems)는 2004년 1.1판을 거쳐 2008년 NIST SP 1011-I-2.0(제1권 용어, 2.0판)으로 정리됐다. 핵심은 상황적 자율 능력(CAC, contextual autonomous capability) 모형이다. 무인 체계의 자율 능력을 세 축으로 함께 본다.

• 임무 복잡도(MC) — 어떤 임무를 수행할 수 있는가.
• 환경 복잡도(EC) — 어떤 환경에서 수행하는가.
• 사람 독립성(HI) — 사람의 개입 없이 얼마나 해내는가. 자율 수준(LOA)은 이 축의 지표다.

세 축의 의미는 단순하다. "사람 없이 한다"는 말은 어떤 임무를 어떤 환경에서 하는지와 함께여야 뜻이 있다. 빈 들판의 측량 비행과 도심 협곡의 배송은 같은 "사람 독립성"이어도 다른 능력이다. ALFUS는 운용 방식의 용어로 원격 조종(remote control)·원격 조작(teleoperation)·반자율(semi-autonomous)·완전 자율(fully autonomous)도 정의한다. 다만 축마다 지표를 매기는 구체 방법은 시스템별로 정하게 남겨 두었고, 널리 표준화되지는 않았다 (채택 현황 확인 필요).

7.3.3.3 SAE J3016 — 자동차의 여섯 단계와 그대로 옮길 수 없는 이유

자동차의 SAE J3016은 운전 자동화를 0~5의 여섯 단계로 나눈다. 현재 판은 SAE와 ISO가 함께 낸 2021년 4월 판(J3016_202104)이다 (이후 개정 여부 확인 필요). 이 표준이 남긴 개념은 넷이다. 동적 운전 과업(DDT, 실시간 조향·가감속·주변 감시), DDT 대비(fallback, 시스템이 한계에 닿았을 때 누가 받는가), 운용 설계 영역(ODD), 최소 위험 조건(MRC, 더 갈 수 없을 때 위험을 줄인 정지 상태)이다. 단계 3은 ODD 안에서 시스템이 운전하되 개입 요청을 받으면 사람이 받아야 하고, 단계 4는 ODD 안에서 대비까지 시스템이 스스로 한다. 단계 5는 ODD에 제한이 없다.

항공에 그대로 옮기기 어려운 이유는 셋이다.

1. 공중에는 멈출 길가가 없다. 자동차의 MRC는 갓길 정지다. 항공기의 MRC는 호버·선회 대기·비상 착륙·낙하산처럼 그 자체가 위험과 에너지를 소모하는 기동이다(2.6.2).
2. "인계 요청 후 몇 초 안에 받는다"가 원격에서는 어렵다. 원격 운용자는 기체의 상황을 몸으로 느끼지 못하고, 여러 대를 보면 상황 인식을 다시 세우는 데 시간이 더 든다(7.3.9·7.11).
3. 공역에는 다른 사람이 있다. 관제·교통 분리·통신 절차가 자율 기능의 일부가 되어야 한다(2.14·17.13).

그래도 ODD와 MRC라는 두 개념은 항공에서도 그대로 쓸모가 있다. 이 장의 7.3.6이 그 적용이다.

7.3.3.4 EASA AI 수준 — 사람의 권한으로 나눈다

유럽항공안전청(EASA)은 AI 로드맵 2.0(2023년 5월)에서 AI 응용을 사람 최종 사용자와의 관계로 나눴다. 수준 0(결정에 관여하지 않는 정보 자동화), 수준 1(AI의 보강·보조), 수준 2(사람-AI 협력·협업), 수준 3(고급 자동화)이다. AI 개념서 2판(Issue 02, 2024년 3월)은 이를 다시 여섯 칸으로 나눴다.

개념서는 수준 1·2에서는 최종 사용자가 책임을 계속 지므로 책임 구조가 지금과 같다고 보고, 수준 3에서는 시스템에 권한이 넘어가므로 책임 구조를 따로 다뤄야 한다고 적는다. 판정이 애매하면 높은 쪽 수준으로 가정하라고 요구한다. 2026년 6월 3일에는 수준 3과 강화학습·기호 AI를 다루는 개념서 3판 제안본(Proposed Issue 03)이 의견 수렴(8월 12일 마감)에 들어갔다. 이 체계는 기체 전체가 아니라 AI 기반 시스템 하나와 그 최종 사용자(조종사·관제사·원격 운용자)의 관계를 분류한다는 점을 기억해야 한다. 학습 보증과 인증 쪽의 상세는 7.4·20.10이 다룬다.

7.3.3.5 사람은 루프 안에, 위에, 밖에

공론과 군 문헌에서 널리 사용되는 구분은 사람의 위치다. 공식 정의 하나로 정해진 말은 아니며, 이 책은 다음 뜻으로 사용한다.

• 루프 안(in the loop) — 사람이 결정하거나 승인해야 행동이 실행된다. 원격조종이 여기다.
• 루프 위(on the loop) — 기계가 결정하고 실행하며, 사람은 감시하다가 개입하거나 멈출 수 있다. 이것이 감독 제어(supervisory control, Sheridan)의 자리다. 0.2.6의 "자동" 층이 대개 여기다.
• 루프 밖(out of the loop) — 실행 중에 사람이 개입할 수 없다. 개입 수단이 없거나, 링크가 끊겼거나, 사건이 사람의 반응보다 빠르다.

마지막 이유가 중요하다. 사람의 위치는 시간 척도로도 정해진다. 원격조종 드론에서도 자세 안정 루프는 밀리초 단위라 사람은 그 루프 밖에 있다. 반대로 고도로 자율적인 배송 드론도 비행 전 경로 승인에서는 사람이 루프 안에 있다. 그래서 "루프 위"라는 말은 어떤 결정을, 어떤 시간 안에 사람이 바꿀 수 있는지와 함께 사용해야 한다.

무기 체계에서 이 구분은 표적 선택과 교전에 사람이 어떻게 관여하는가의 규범 문제가 된다. 미 국방부 지침 DoDD 3000.09의 정의와 국제 논의의 의미 있는 인간 통제(MHC, meaningful human control)는 19.3·19.5이 다룬다. 이 장은 그 논쟁을 다루지 않는다.

7.3.3.6 프레임워크 비교

7.3.4 수준 표기의 함정 — 기능마다 수준이 다르다

"이 기체는 자율성 수준 4다"라는 말은 대개 틀린 질문에 대한 답이다. 한 기체 안에서도 기능마다 수준이 다르다. 같은 기능도 비행 단계마다(이륙·순항·착륙) 다르고, 조건마다(ODD 안과 밖, 링크가 있을 때와 없을 때) 다르다. 아래 행렬은 세 축의 전형적 기체에서 여섯 기능을 누가 맡는지 보인다.

행렬에서 읽을 것은 셋이다. 첫째, 가장 단순한 기능이 가장 "개입 불가"다. 자세 안정은 판단의 폭이 좁지만 사람이 끼어들 시간이 없다. 둘째, 같은 기능도 축마다 다르다. 민간 배송 드론은 충돌 회피를 기계가 수행하고 사람이 감독하지만, 초기 상용 eVTOL은 조종사에게 경보와 권고를 주고 조종사가 결정한다. 셋째, 조건이 수준을 바꾼다. 링크를 잃은 군용 무인기와 배송 드론의 비상 대응은 자동으로 "개입 불가"가 된다(2.6.6).

군도 같은 문제를 겪었다. 미 공군 연구소의 자율 제어 수준(ACL, Clough 2002 (발표처 확인 필요))은 0~10의 한 줄 척도였다. 미 국방과학위원회(DSB)는 2012년 보고서 The Role of Autonomy in DoD Systems에서 자율 수준을 정의하려는 노력을 멈추고, 자율성이 어떤 능력을 지원하는지, 어떤 인지 기능을 사람과 컴퓨터가 나누는지를 보는 기준 틀로 바꾸라고 권고했다. 수준 평가가 컴퓨터만 보고 사람-기계의 협업을 보지 않는다는 이유였다. 이 장의 결론과 같다.

그래서 수준을 나타낼 때는 자율성 프로파일로 나타낸다. 기능 × 비행 단계 × 조건(ODD 안·밖, 링크 유무)의 표에 각 칸의 수준과 사람의 개입 시간을 적는다. 0.2.6의 견해 — "무엇을 스스로 결정하고, 사람이 언제 개입할 수 있는가"를 함께 적는다 — 를 표로 만든 것이다. 제품 홍보의 "자율 비행"은 대부분 이 표의 "경로 비행" 칸 하나다(0.2).

7.3.5 아키텍처 — 자율 소프트웨어를 어떻게 짜는가

7.3.5.1 감지-계획-행동

가장 직관적인 구조는 감지-계획-행동(sense-plan-act)의 순차 사슬이다. 센서로 세계 모형을 만들고, 모형 위에서 계획을 세우고, 계획을 실행한다. 1960~70년대 SRI의 이동 로봇 Shakey가 대표 사례다. 장점은 명시적 세계 모형과 그 위의 최적 계획이다. 단점은 사슬이 한 바퀴 도는 시간이 길고, 모형이 틀리면 계획 전체가 틀린다는 것이다. 빠르게 변하는 환경에서는 계획이 끝나기 전에 세계가 바뀐다.

7.3.5.2 행동 기반 — 포섭 구조

Brooks(1986)의 포섭 구조(subsumption)는 반대 방향에서 출발했다. 세계 모형 없이 감지와 행동을 짧게 잇는 행동(장애물 피하기, 배회하기, 목표로 가기)을 층으로 쌓고, 위층 행동이 필요할 때 아래층의 출력을 누른다(포섭한다). 반응이 빠르고 센서 잡음에 강하다. 대신 긴 목표를 주거나 행동들이 함께 만드는 창발 행동을 검증하기 어렵다. 무인기에서는 지오펜스가 다른 명령을 누르는 억제 행동, 근접 장애물 앞의 정지 반사가 이 생각을 닮았다.

7.3.5.3 3층 구조 — 숙고·순서·반응

두 전통을 합친 것이 3층 구조다(Gat 1998, 3T 구조의 Bonasso 등 1997). 층마다 시간 척도와 책임이 다르다.

3층 구조의 값은 실패의 위치를 나눈다는 데 있다. 숙고층이 늦거나 틀려도 순서층은 안전한 모드(대기·귀환)를 유지하고, 순서층이 멈춰도 반응층은 기체를 안정시킨다. 아래층일수록 단순하고 검증하기 쉽게 만든다. 이 원칙이 런타임 보증(RTA)의 바탕이다. 복잡한 기능 옆에 단순한 안전 기능을 두고, 감시기가 안전 경계를 넘을 때 바꾸는 Simplex 구조다(2.10.8.2·7.8).

7.3.5.4 하이브리드와 무인기 소프트웨어 스택

실제 무인기는 3층 구조에 행동 기반 반사와 독립 감시를 덧붙인 하이브리드다. 구현은 대개 2.9.3.3의 두 컴퓨터로 나뉜다. 비행 컴퓨터(오토파일럿)는 반응층과 순서층의 핵심(모드·페일세이프)을 맡고, 임무 컴퓨터는 인지·계획 같은 숙고층을 맡는다. 둘은 좁은 메시지 인터페이스(9.5)나 미들웨어(9.6)로 이어진다.

인터페이스에서 준수할 약속이 있다. ① 위층의 명령은 유효 범위(시간·공간의 한계)를 달고 내려간다. 위층이 멈추면 명령이 스스로 만료된다. ② 아래층의 상태는 불확실성을 달고 올라간다(7.1). ③ 비상 모드로의 전환 권한은 아래층에 둔다. 위층이 응답하지 않아도 안전 전환은 일어나야 한다(2.10.8.1의 "안전 전환이 임무 전환보다 우선"). 학습 기반 정책이 반응층을 대신하는 구조(종단간 학습)는 7.7이 다룬다.

7.3.6 운용 설계 영역(ODD) — 자율 기능이 약속하는 범위

7.3.6.1 정의

운용 설계 영역(ODD, operational design domain)은 자율 기능이 제대로 작동하도록 설계된 운용 조건의 범위다. SAE J3016이 자동차에서 개념을 세웠고, ISO 34503:2023이 자동 운전 시스템의 ODD를 기술하는 분류 체계를 정했다. EASA AI 개념서 2판은 두 층으로 나눈다. 시스템 수준의 운용 영역(OD)과, 그것을 학습 자료의 조건까지 세분한 AI·ML 구성 요소 수준의 ODD다. 구성 요소 ODD는 학습 자료의 선택·수집·준비와 운용 중 자료 감시의 틀이 된다(7.5).

항공에는 비슷한 생각이 이미 있다. 비행 교범의 운용 한계(풍속·기온·고도), 특정 범주 운용의 운용 개념(ConOps)과 운용 구역(17.17)이 그렇다. ODD는 이것을 자율 기능 하나하나에 대해 형식적으로 적으라는 요구다. ODD에는 바깥 조건만 넣는다. 기체 내부의 건전성(배터리·고장)은 ODD가 아니라 FDIR(2.5)과 건전성 관리(2.12)가 맡는다.

7.3.6.2 무인기 ODD의 변수

7.3.6.3 경계 감시 — ODD 감시기

ODD는 정의만으로 끝나지 않는다. 운용 중에 지금 ODD 안에 있는가, 경계까지 얼마나 남았는가를 재는 ODD 감시기가 있어야 한다. 감시기는 측정(바람 추정, 링크 지표)과 예보(기상 정보)를 묶어 경계까지의 여유를 계산하고, 여유가 문턱 아래로 떨어지면 대응을 시작한다. 대응은 두 갈래다. 시간이 있으면 사람에게 인계하고, 없으면 기체가 스스로 최소 위험 조건으로 간다. 공중의 MRC는 2.6.2의 사다리 — 경고·귀환·현위치 착륙·비행 종료 — 에서 고른다.

두 가지를 함께 기억해야 한다. ODD 안이라고 안전하다는 보장은 없다. ODD는 "여기서 작동하도록 설계했다"는 약속일 뿐이고, 그 안의 성능은 따로 입증해야 한다(7.4). 그리고 ODD 이탈 기록은 버릴 자료가 아니다. 이탈이 어디서 얼마나 자주 났는지가 ODD를 넓히거나 좁히는 근거가 된다.

7.3.7 원리 — ODD 경계까지의 여유와 개입 빈도

결론부터: ODD 변수가 경계를 넘는 횟수는 여유의 제곱에 지수적으로 줄고, 변수가 빨리 변할수록 비례해 는다. 그리고 빨리 변하는 변수는 넘기 직전의 예고 시간이 짧아서 사람에게 넘길 수 없다. 이 세 가지가 "어느 기능을 사람이 받고 어느 기능을 기체가 스스로 처리할지"를 정한다.

ODD 변수 $x(t)$(풍속·GNSS 보호 수준·링크 품질 등)를 평균 $\mu$, 표준편차 $\sigma$의 정상 가우스 과정으로 둔다. 경계 $x_{\max}$까지의 여유를 $\sigma$ 단위로 $m=(x_{\max}-\mu)/\sigma$라 하자. 매끄러운 가우스 과정이 어떤 수준을 위로 넘는 평균 횟수는 Rice 공식이 준다. 상관 시간 $\tau$의 2차 저역 통과 잡음이면 스펙트럼 모멘트의 비가 $\sqrt{\lambda_2/\lambda_0}=1/\tau$이다.

$$\nu(m)=\frac{1}{2\pi}\sqrt{\frac{\lambda_2}{\lambda_0}}\;e^{-m^{2}/2}=\frac{1}{2\pi\tau}\,e^{-m^{2}/2}$$

감시기는 경계보다 $g\sigma$ 앞에서 대응을 시작한다($g$는 보호 띠). 그러면 대응 횟수는 $\nu(m-g)$로 는다. 문턱을 넘는 순간의 기울기 $\dot x$는 레일리 분포(척도 $\sigma/\tau$)를 따르므로, 선형 외삽으로 경계까지 남은 예고 시간과 그것이 필요한 대응 시간 $t_h$보다 짧을 확률은 다음과 같다.

$$t_{\text{예고}}\approx\frac{g\,\sigma}{\dot x},\qquad P\left(t_{\text{예고}}<t_h\right)=\exp\!\left[-\frac{1}{2}\left(\frac{g\,\tau}{t_h}\right)^{2}\right]$$

늦을 확률을 5 %로 묶으려면 $g=2.45\,t_h/\tau$가 필요하다.

$\tau$ 10분 과정을 고정 시드로 4,000시간 모의한 값은 $m$ 2에서 12.9, 2.5에서 4.20, 3에서 1.03으로 공식과 4 % 안에서 맞았다. 보호 띠의 교환은 다음과 같다($\tau$ 10분, $t_h$ 2분, $m$ 2.5).

읽을 것이 넷이다. ① 여유는 지수적으로 듣는다. 2σ에서 3σ로 늘리면 이탈이 12분의 1로 준다. ODD 한계를 보수적으로 잡는 것이 개입을 줄이는 가장 값싼 방법이다. ② 변하는 빠르기가 곧 빈도다. 같은 여유에서 $\tau$가 2분인 변수는 60분인 변수보다 30배 자주 넘는다. ③ 변수가 늘면 더해진다. 여유 2.5σ·$\tau$ 30분 변수 하나는 100시간당 1.40회, 열 개면 14.0회다. 감시 항목이 늘면 오경보가 곱절로 느는 것(2.12.4.3)과 같은 구조다. ④ 보호 띠는 늦음과 잦음을 맞바꾼다. 이것은 오경보와 미탐의 교환(2.5.5.3)의 ODD판이다.

이 모형은 단순화다. 실제 변수는 정상 과정이 아니고(일교차·계절), 서로 상관되며(비와 시정), 꼬리가 정규분포보다 두껍다. 선형 외삽의 예고 시간도 어림이다. 숫자 자체보다 여유·변동 속도·대응 시간의 관계를 읽는 도구로 사용한다.

7.3.8 자율 기능의 분해 — 항법·회피·비상·임무

자율 기체를 하나의 덩어리로 보면 보증도 운용 승인도 막힌다. 기능으로 나누면 각 기능의 결정·입력·시간 척도·안전 상태가 달라 보증 방법을 따로 고를 수 있다.

분해에는 대가가 있다. 기능은 서로 결합된다. 회피 기동이 지오펜스를 넘거나, 비상 귀환 경로에 장애물이 있다. 그래서 기능 사이의 중재 규칙이 필요하다. 한 순간에 명령 권한은 하나이고, 안전 전환이 임무 전환보다 우선한다(2.10.8.1). 중재 규칙 자체가 순서층의 핵심 설계이고 검증 대상이다. 분해의 또 다른 이점은 부분 자율화다. 기체 전체를 한 번에 올리지 않고, 비상 착륙지 선택처럼 효과가 큰 기능부터 수준을 올린다(2.6.10의 견해).

7.3.9 사람의 역할 재배치

자율성이 높아지면 사람이 사라지는 것이 아니라 자리가 옮겨 간다. 조종사(루프 안)에서 감독자(루프 위)로, 다시 여러 대의 목표와 정책을 정하는 관리자로 간다. 마지막에는 판단의 상당 부분이 설계자와 자료로 옮겨 간다. 사고가 나면 묻는 질문이 "조종사가 무엇을 했나"에서 "설계가 이 상황을 예상했나"로 바뀐다(1.16.3).

이 이동에는 오래 알려진 역설이 따른다. Bainbridge(1983)는 자동화의 아이러니를 이렇게 정리했다. 자동화가 쉬운 일을 가져가면 사람에게는 자동화가 처리하지 못하는 가장 어려운 일이 남는다. 그런데 그 일을 할 사람은 평소에 손을 놓고 있어 기술과 상황 인식이 약해져 있다. Endsley와 Kiris(1995)는 감독 역할의 사람이 직접 조작하는 사람보다 고장 뒤 상황 파악이 늦는 현상을 루프 밖 성능 문제로 보였다. 모드 혼동(지금 어느 모드인지 잘못 아는 것)도 같은 뿌리다(8.18).

설계로 줄이는 방법은 셋이다. ① 인계에 시간을 준다. 7.3.7의 보호 띠가 그 시간이다. 시간을 줄 수 없는 기능은 사람에게 넘기지 말고 기체가 스스로 안전 상태로 간다. ② 사람이 볼 이유를 남긴다. 자동화가 무엇을 왜 하려는지 보여 주고(EASA가 말하는 운용 설명 가능성), 주기적 수동 운용과 훈련으로 기술을 유지한다(20.15). ③ 권한을 명시한다. 어떤 결정을 누가 내리는지를 운용 절차와 지휘 체계에 적는다(16.9). 한 사람이 몇 대까지 볼 수 있는가의 계산은 7.11, 인간요인 일반은 8.18이 맡는다.

7.3.10 수치 예시·워크스루 — 배송 드론의 ODD 감시 설계

과제. 도시 외곽에서 BVLOS 배송 드론 20대를 운영 센터에서 감독한다. 한 대가 하루 6시간 난다(기단 하루 120 비행시간). ODD 변수 넷의 감시 문턱을 정하고, 어느 변수의 이탈을 사람에게 넘길지 정한다. 모든 값은 교육용 가정이다.

1. 대응 주체를 나눈다. 풍속과 시정은 수십 분에 걸쳐 바뀐다. 사람이 2분 안에 상황을 보고 귀환이나 경로 변경을 결정할 수 있다. GNSS와 링크는 1~2분 척도로 바뀌므로 기체가 5초 안에 자동 대응(대체 항법 전환, 링크 상실 절차)한다.
2. 보호 띠를 정한다. 늦을 확률 5 %에서 $g=2.45\,t_h/\tau$다. 풍속은 0.163σ(0.33 m/s, 문턱 9.67 m/s), 시정은 0.082σ, GNSS는 0.102σ, 링크는 0.204σ다. 대응 횟수는 풍속 2.08, 시정 0.225, GNSS 7.17, 링크 68.4회/100h가 된다.
3. 사람의 부하를 잰다. 사람에게 가는 개입은 2.30회/100h다. 기단 하루 120시간이면 하루 2.76회, 개입당 3분이면 하루 8.3분이다. 운영 센터 한 사람이 충분히 감당한다.
4. 잘못 나누면 붕괴한다. GNSS 이탈을 사람이 2분 안에 받게 하면 보호 띠가 2.45σ로 커져 문턱이 평균에서 0.55σ밖에 떨어지지 않는다. 대응이 410회/100h, 하루 492회로 폭증한다. 빠른 변수를 사람에게 넘기는 설계는 경보 피로를 만들 뿐이다.
5. 자동 대응도 잦으면 문제다. 기체 자동 대응은 75.6회/100h, 하루 약 91회다. 대부분은 링크 품질이다. 대응이 가벼운 단(속도 감소, 재접속 대기)이면 견딜 수 있지만, 매번 귀환이면 임무가 성립하지 않는다. 답은 문턱이 아니라 여유를 늘리는 것이다. 링크 여유를 2.5σ에서 3.5σ로 늘리면(중계·이중 링크, 3.11) 이탈이 42.0에서 2.09회/100h로 준다.

결론: ODD 감시의 설계는 문턱 하나를 고르는 일이 아니다. 변수마다 변하는 빠르기와 대응 시간을 비교해 대응 주체를 나누고, 사람의 몫은 감당할 양으로, 기체의 몫은 가벼운 단으로 두는 일이다. 그리고 가장 효과가 큰 수단은 여유 자체를 키우는 것이다.

7.3.11 설계 트레이드오프

ODD와 수준의 교환. ① ODD를 좁히고 수준을 높인다. 정해진 회랑, 정해진 기상 한계 안에서 거의 사람 없이 난다. 입증이 쉽고 운용 승인이 빠르다. 대가는 운용 가능 시간의 손실이다. ② ODD를 넓히고 사람 개입에 기댄다. 운용 가능 시간이 늘지만 개입이 잦아지고 1:N 비율이 낮아진다. ③ 단계적 확장. 좁은 ODD로 시작해 이탈·개입 기록을 모아 ODD를 넓힌다. 시간이 들지만 증거가 쌓인다.

아키텍처의 교환. ① 단일 통합 소프트웨어는 성능을 끝까지 짜낼 수 있지만 검증 단위가 크다. ② 계층·기능 분해와 독립 감시(RTA)는 성능 일부를 내주고 보증을 나눈다. ③ 종단간 학습 정책은 복잡한 환경에서 성능이 좋을 수 있지만 보증 방법이 아직 없다(7.4·7.7).

견해: 민간 UAS와 AAM의 자율화는 ①의 ODD를 ③으로 넓혀 가고, 구조는 ②로 짜는 것이 지금으로서는 합리적이라고 본다. 근거는 셋이다. 첫째, 7.3.7의 계산처럼 여유를 키우는 것이 개입을 줄이는 가장 값싼 수단이고, 좁은 ODD는 그 여유를 준다. 둘째, 높은 확률 목표를 시험만으로 입증할 수 없으므로(1.16.7) 구조로 안전을 나눠야 한다. 셋째, 운용 기록이 ODD 확장의 근거가 되면 규제 당국과의 대화가 "믿어 달라"에서 "자료를 보라"로 바뀐다. 반대 견해도 있다. 좁은 ODD는 사업성을 떨어뜨리고, 학습 기반 기능은 넓은 ODD에서만 진가를 보인다는 주장이다. 판단은 임무의 위험과 운용 기록이 쌓이는 속도에 달려 있다.

7.3.12 세 축 비교

AAM의 단계적 자율화는 공개 문서에 틀만 있고 날짜는 없다. NASA의 UAM 성숙 수준(UML)은 시험 운항(UML-1)에서 체계 전반의 자동화가 보편화된 상태(UML-6)까지의 단계를 제시했다(Goodrich·Theodore 2021). 처음부터 자율 비행을 목표로 하는 기업(예: Wisk)의 일정은 (공개 주장치)이며 23.42가 다룬다.

7.3.13 관련 규격·프로토콜

유료 규격은 공개 요약의 범위에서만 다뤘다.

7.3.14 관련 규제·인증 요구와의 연결

7.3.15 함정과 한계

이 장의 한계도 밝혀 둔다.

• ODD 여유 모형은 교육용이다. 정상 가우스 과정, 변수 사이의 독립, 선형 외삽의 예고 시간을 가정했다. 실제 기상·링크 자료로 상관 시간과 꼬리를 재야 한다.
• 기능별 행렬은 전형적 배치다. 특정 기종의 사양이 아니며, 같은 범주 안에서도 제품마다 다르다.
• 프레임워크의 판은 움직인다. EASA 개념서 3판과 ED-324·ARP6983은 2026년 하반기 현재 확정 전이다 (확인 필요).
• 미해결 문제: 기능별 자율성 프로파일을 인증·운용 승인에서 공통으로 사용하는 형식은 아직 없다. ODD를 넓히는 데 필요한 운용 증거의 양도 정해져 있지 않다.

7.3.16 체크포인트·연구 질문

체크포인트

1. 자동화와 자율성을 "판단의 폭"과 "사람 의존도"의 두 축으로 구분하고, 각 축에서 높고 낮은 예를 하나씩 들어라.
2. Parasuraman 등의 네 정보 처리 단계를 적고, DAA 기능에서 단계마다 수준이 어떻게 다를 수 있는지 말하라.
3. EASA AI 수준 2B와 3A의 차이를 최종 사용자의 권한으로 설명하라.
4. 상관 시간 10분인 ODD 변수의 여유를 2σ에서 3σ로 늘리면 이탈 빈도가 몇 분의 1이 되는가?
5. $\tau$ 2분, $t_h$ 5 s에서 늦을 확률 5 %를 위한 보호 띠를 구하라.
6. 3층 구조에서 비상 모드로의 전환 권한을 아래층에 두는 이유를 말하라.

연구 질문 — 이 장에서 파생되는 열린 주제(25.7에 모은다)

1. 자율성 프로파일의 표준 형식 — 기능 × 비행 단계 × 조건의 수준과 개입 시간을 인증과 운용 승인에서 함께 사용할 수 있는 기계 판독 형식은 무엇이어야 하는가(20.10·20.14)?
2. 실측 자료로 본 ODD 이탈 통계 — 기상·GNSS·링크 기록에서 상관 시간과 꼬리를 재어, 운영 센터의 개입 빈도를 미리 예측할 수 있는가(14.28)?
3. 원격 인계에 필요한 시간 — 여러 대를 감독하는 운용자가 상황 인식을 회복하는 시간을 어떻게 재고 설계 기준으로 사용할 것인가(7.11·8.18)?
4. ODD 확장의 증거 기준 — 운용 기록이 얼마나 쌓이면 ODD를 넓혀도 된다고 말할 수 있는가(7.4·8.7)?

1차 출처(이 장)

• Sheridan, T. B.; Verplank, W. L., Human and Computer Control of Undersea Teleoperators, MIT Man-Machine Systems Laboratory, 1978.
• Parasuraman, R.; Sheridan, T. B.; Wickens, C. D., "A model for types and levels of human interaction with automation," IEEE Transactions on Systems, Man, and Cybernetics — Part A 30(3), 2000.
• Huang, H.-M. (ed.), Autonomy Levels for Unmanned Systems (ALFUS) Framework, Volume I: Terminology, Version 2.0, NIST SP 1011-I-2.0, 2008.
• SAE International, J3016_202104, Taxonomy and Definitions for Terms Related to Driving Automation Systems for On-Road Motor Vehicles, 2021.
• ISO 34503:2023, Road vehicles — Test scenarios for automated driving systems — Specification for operational design domain.
• EASA, Artificial Intelligence Roadmap 2.0, 2023; EASA Concept Paper: Guidance for Level 1 & 2 machine learning applications, Issue 02, 2024; Proposed Issue 03, 2026.
• Brooks, R. A., "A robust layered control system for a mobile robot," IEEE Journal of Robotics and Automation 2(1), 1986.
• Gat, E., "On three-layer architectures," in Kortenkamp, D. et al. (eds.), Artificial Intelligence and Mobile Robots, AAAI Press, 1998.
• Bonasso, R. P. et al., "Experiences with an architecture for intelligent, reactive agents," Journal of Experimental and Theoretical Artificial Intelligence 9(2-3), 1997.
• Bainbridge, L., "Ironies of automation," Automatica 19(6), 1983.
• Endsley, M. R.; Kiris, E. O., "The out-of-the-loop performance problem and level of control in automation," Human Factors 37(2), 1995.
• Rice, S. O., "Mathematical analysis of random noise," Bell System Technical Journal 23·24, 1944~1945.
• Defense Science Board, Task Force Report: The Role of Autonomy in DoD Systems, 2012.
• Goodrich, K. H.; Theodore, C. R., "Description of the NASA Urban Air Mobility Maturity Level (UML) Scale," AIAA SciTech Forum, 2021.

출처를 찾고 판을 추적하는 방법은 0.9에서 다룬다.

다음 장: 7.4에서 자율 기능의 한 수단인 머신러닝을 무인기에 사용할 때의 보증 문제를 다룬다. 이 장이 "무엇을 스스로 결정하게 할 것인가"의 틀을 세웠다면, 그 장은 학습으로 만든 판단을 얼마나 믿을 수 있으며 그것을 어떻게 입증하는가를 묻는다. 몇 번을 시험해야 얼마를 말할 수 있는지, 분포가 바뀌면 무엇이 붕괴하는지를 계산한다.