원자력 소프트웨어 무결성 등급이란
SC, ITS, ITA, GP. 원자력 분야 소프트웨어 문서에서 자주 등장하는 이 약어들은 소프트웨어가 안전에 미치는 영향의 크기를 나타냅니다. 등급이 결정되면 그에 따라 검증 활동의 범위와 강도가 정해집니다.
왜 등급을 나누는가
원자력 발전소에는 수많은 소프트웨어가 사용됩니다. 원자로를 정지시키는 안전계통의 제어 로직도 소프트웨어이고, 사무실의 문서 관리 프로그램도 소프트웨어입니다. 이 둘에 동일한 수준의 검증을 요구하는 것은 합리적이지 않습니다.
무결성 등급 분류는 검증 자원을 위험도에 비례해 배분하기 위한 체계입니다. 안전에 결정적인 소프트웨어에는 자원을 집중하고, 영향이 적은 소프트웨어에는 상응하는 수준의 관리를 적용합니다.
등급별 정의
SC (Safety Critical)
고장이 안전기능의 상실로 직결되는 소프트웨어입니다. 원자로 보호계통처럼 오작동 또는 부작동이 즉각적인 안전 위협이 되는 영역이 해당합니다.
가장 엄격한 검증이 요구됩니다. 완전히 독립된 조직에 의한 V&V, 생명주기 전 단계에 대한 검증, 상세한 시험 커버리지 입증이 필요합니다.
ITS (Important To Safety)
안전에 중요한 영향을 미치지만, 고장이 곧바로 안전기능 상실로 이어지지는 않는 소프트웨어입니다. 안전 관련 정보를 감시하거나 운전원 판단을 보조하는 기능 등이 포함됩니다.
SC에 준하는 검증이 적용되되, 일부 활동의 범위가 조정될 수 있습니다.
ITA (Important To Availability)
안전기능과는 직접 관련이 없으나 발전소의 가용성에 영향을 주는 소프트웨어입니다. 고장 시 발전 정지나 출력 감소를 유발할 수 있는 제어 소프트웨어가 해당합니다.
안전보다는 신뢰성 확보에 초점을 둔 검증이 수행됩니다.
GP (General Purpose)
안전기능 및 발전소 가용성과 직접 관련이 없는 범용 소프트웨어입니다. 일반적인 소프트웨어 품질보증 절차를 적용합니다.
등급은 어떻게 결정되는가
등급 결정은 임의 판단이 아니라 시스템 안전성 분석 결과에 근거해야 합니다. 일반적으로 다음 순서로 진행됩니다.
- 대상 소프트웨어가 속한 시스템의 안전등급 확인
- 소프트웨어가 수행하는 기능의 식별
- 각 기능이 고장 시 발생하는 결과 분석
- 결과의 심각도에 따른 등급 부여
- 판단 근거의 문서화
가장 흔한 실수: 등급을 과도하게 높이는 것
"안전하게 가자"는 취지로 실제보다 높은 등급을 부여하는 경우가 있습니다. 그러나 이는 불필요한 검증 활동과 문서 작업을 발생시켜 비용과 일정에 부담이 됩니다. 반대로 등급을 낮게 잡으면 인허가 심사 단계에서 재작업이 요구됩니다. 정확한 등급 산정이 프로젝트 효율의 출발점입니다.
등급이 실무에 미치는 영향
| 항목 | 등급에 따라 달라지는 내용 |
|---|---|
| V&V 독립성 | 등급이 높을수록 개발 조직과의 분리 수준이 강화됩니다. |
| 검증 범위 | 생명주기 전 단계 검증이 요구되는지, 일부 단계로 한정되는지가 결정됩니다. |
| 문서 종류 | 작성해야 할 계획서·보고서의 종류와 상세 수준이 달라집니다. |
| 시험 커버리지 | 요구되는 코드 커버리지 수준과 시험 항목의 밀도가 달라집니다. |
| 형상관리 | 변경 통제의 엄격성과 승인 절차의 단계가 달라집니다. |
따라서 무결성 등급은 프로젝트 초기에 결정되어야 하며, 이후의 계획 수립, 인력 배치, 일정 산정의 기준이 됩니다.