감항회보(Airworthiness Circular) NO.3

5.2.1 멀티코어 프로세서의 장점

멀티코어 프로세서를 채택할 경우, 우선 장점 측면에서는 총 3가지 측면에서 단일코어 프로세서 대비 장점을 기대할 수 있다. 본 장절에서 나오는 정량적 지표들은 컴퓨터 시스템 성능지표를 평가하는 벤치마크 표준화 기구인 SPEC(Standard Performance Evaluation Corporation), 국제 전기·전자·컴퓨터 공학기술 전문가협회인 IEEE(Institute of Electrical and Electronics Engineers) 등 공인 기관 및 기구에서 공개한 기술 문서를 기반으로 작성된 건이다.

1) 성능 향상 및 병렬 처리 가능

• 동일전력을 공급한다고 가정했을 때, 듀얼코어 사용 시 단일코어 대비 약 73% 더 높은 성능이 확인되었으며, 코어 수 2배가 증가함에 따라 단일코어 대비 65%에서 최대 100%까지 처리량이 향상됨을 여러 평가 지표를 통해 확인되었다. 또한, 프로세서 평가 지표 중 하나인 멀티스레드 처리량(여러 작업을 동시에 처리하는 정도)의 경우, 듀얼코어 기준 최대 54% 정도의 처리량 증가, 멀티코어 스케일링(코어 수 증가에 따른 성능 향상) 3.7배~7.9배 향상, 메모리 대역폭 최대 10배 증가 등 단일코어 대비 듀얼코어 기반의 멀티코어 프로세서를 채택함으로써 여러 성능지표가 전반적으로 상승함을 확인할 수 있다.

2) 전력 효율성 증가

• 단일코어 환경에서 1개의 클럭을 100% 가동하여 소모전력을 모두 사용하는 것과 듀얼코어 환경에서 각 코어별 클럭을 80%만 가동(단일코어 클럭 100% 가동 대비 코어당 소모전력 절반)하여 2개를 동시에 가동했을 때 비슷한 소모전력으로 1.64배(0.8 × 0.8 = 1.64) 더 높은 성능을 발휘할 수 있다. 즉, 코어 개수가 늘어날수록 더 적은 소모전력으로 더 높은 성능을 기대할 수 있음을 나타낸다. 또한, 프로세서 시스템의 크기·무게·전력·비용을 종합적으로 나타내는 지표인 SWaP-C(Size, Weight, Power and Cost) 기준으로도 코어 개수가 늘어날수록 시스템 전체 비용을 절감하는 효과를 얻을 수 있다.

  

3) 기능 통합 측면

• 기존 단일코어 환경 구축 시 다수의 하드웨어 칩 기반으로 구현되는 기능을 멀티코어 프로세서 기반의 다중 임베디드 컴퓨터 단일 칩으로 통합함으로써 기존 하드웨어 구성 요소 수의 50% 이상을 감소시킬 수 있다. 이는 곧 멀티코어 프로세서 활용 시 SWaP-C에서 나온 시스템의 크기, 무게, 비용을 종합적으로 최소화할 수 있으며 궁극적으로 14%~30%의 시스템 구축 비용 절감을 기대할 수 있다.

5.2.1 멀티코어 프로세서의 단점

멀티코어 프로세서의 채택함에 따른 장점도 많지만 이로 인해 수반되는 단점들 또한, 고려해야 한다. 특히, 후술할 6장에서 자세히 언급하겠지만, 특정 공학 시스템에서는 시스템 자체의 “평균적 성능”보다 “어떤 조건에서도 정해진 시간 내 응답하는 것”이 더 중요한데 그중에서도 항공산업 분야의 경우, 비행 안전성과 직결되는 기능 및 구성품에 멀티코어 프로세서를 적용할 시에는 다음 단점 사항들을 전반적으로 고려하여 시스템을 설계해야 한다.

1) 예측 가능성 및 시간 결정성 부족

• 단일코어 프로세서 환경에서는 특정 작업의 실행시간, 우선순위, 인터럽트 부하 등을 비교적 단순하게 분석할 수 있다. 그러나 멀티코어 프로세서 환경이 구축될 경우, 여러 코어가 하나의 메모리 보드에서 공유 캐시, 메모리, 버스, 인터커넥트 및 I/O 자원을 동시에 사용하므로 한 코어에서 실행 중인 작업의 성능 및 시간이 다른 코어 작업 상황에 따라 달라져 시스템의 실행시간이 일정하게 도출되지 않을 수 있다.
  
  • 실행시간=기본 연산시간 + 캐시 지연 + 메모리 경합 지연 + 버스 지연 + 인터럽트 지연 + 운영체제 지연

즉, 동일한 작업일지라도 다른 코어에서 어떤 작업이 함께 실행되는지에 따라 실행시간이 달라질 수 있으며, 이는 이론상 충분해야 하는 성능 자체가 보장되지 않을 수 있다는 치명적인 단점을 야기할 수 있다. 이러한 단점은 실시간성·시간 결정성(Determinism)이 요구되는 특정 분야에서는 멀티코어 프로세서 도입이 제한되거나 매우 신중히 검토되어야 할 사안 중 하나이다. 특히, 실시간성이 요구되는 특정 분야 시스템에서는 최악의 조건에서도 실시간 요구사항을 만족하는지를 입증하는 지표인 최악실행시간(Worst-Case Execution Time, 이하 WCET)을 만족해야 하나 멀티코어 프로세서 시스템 구조상 입증이 어려운 것이 현 실정이다. 멀티코어 프로세서에서는 WCET 평가 시 단일코어 프로세서 대비 다음 지표를 추가로 고려하여 평가해야 한다.

2) 공유자원 간섭(Interference)

• 간섭은 멀티코어 프로세서 환경에서의 대표적인 문제로 하나의 코어 또는 작업의 실행이 다른 코어 및 작업의 기능, 성능, 실행시간에 영향을 주는 현상으로 특정 기능이 체계 자체의 안전을 담당할 때 해당 기능의 실행시간이 증가하거나 예측 불가능한 동작이 생김에 따라서 재난적 결과를 초래할 수 있는 여지가 발생한다. 멀티코어 프로세서 환경 내 공유자원 간섭으로 발생할 수 있는 현상을 정리하면 다음 그림 및 표와 같다.

4) 공통원인고장(Common Cause Failure) 문제

• 멀티코어 프로세서의 여러 기능을 통합할 경우 중량, 전력, 공간 측면에서는 장점이 있으나 특정 코어 프로세서에서의 오류가 다른 중요 기능에 영향을 줄 수 있다는 단점 또한 발생한다. 예를 들어, 중요 기능을 담당하는 소프트웨어 채널 A와 B를 서로 다른 코어에 배치할 경우, 논리적으로는 분리되어있으나 공유 캐시, 메모리, 인터커넥트, 전원, 클럭 및 실리콘 결함 등이 발생했을 때 두 코어 자체 및 실행시간에 영향을 줄 수 있다.

5) 인증 및 MCP 설계정보 제한

• 항공기와 같이 고신뢰·실시간 시스템에서는 멀티코어 프로세서가 어떻게 동작하고 어떤 상황에서 고장·예외 및 성능 저하가 발생하는지를 이해해야 시스템 또는 기능 안전성 적합에 따른 확인 또는 인증을 획득할 수 있다. 그러나 고성능 멀티코어 프로세서의 경우, 제조사 내부 설계 정보가 제한적이거나 캐시 및 인터커넥트의 상세 동작이 공개되지 않아 명확화가 제한된다. 또한, 멀티코어 내 같은 코어 프로세서라 할지라도 보드의 BIOS, BSP, 드라이버에 따라 동작 특성이 성능 대비 달라질 수 있으며 멀티코어 프로세서 내 코어 간 성능 최적화 기능이 오히려 멀티코어 프로세서의 결정성을 저해하는 등의 불확실성으로 인해 항공 분야와 같이 고신뢰도를 요구하는 산업 분야에서는 단순하고 예측 가능한 단일코어 프로세서 활용을 선호해 왔다.

6.1.1 AA-22-0

AA-22-01은 기존 MIL-HDBK-516C에 제시된 컴퓨터 자원(Computer Resources) 및 항공전자(Avionics) 기준만으로는 MCP의 안전성을 적절히 평가하기 어렵다는 점을 인식한 미 국방부에서 MCP가, 특히 안전 필수 기능(Safety Critical Function, 이하 SCF)를 지원하는 경우 준수해야 할 추가 인증지침 및 검증방법 등을 제공하기 위해 발행된 인증지침서이다. 인증지침 및 검증방법은 MIL-HDBK-516C의 컴퓨터 자원 장절인 15장의 기준을 기반으로 기존 기준 대비 추가되어야 할 표준(Standard)과 그에 따른 추가 입증방법에 대해서 나열식으로 다음 그림과 같이 제시하고 있다.

AA-22-01에서 요구하는 핵심 감항성 기준 및 검증방법 대다수를 차지하는 15.3.1 장절의 추가 인증 지침이 요구하는 바를 간략히 하면 다음과 같다.

• 하드웨어 아키텍처 및 설정 제한(15.3.1)
  • 안전지원 소프트웨어 요소(Safety Support Software Element, 이하 SSSE)를 처리하는 코어의 경우, 각 코어가 독립된 OS를 실행하거나 서로 다른 역할을 수행하는 비대칭 다중 처리(Asymmetric Multiprocessing, 이하 AMP) 또는 하나의 OS가 모든 코어를 관리하면서 특정 어플리케이션 또는 스레드를 지정된 코어에 고정하는 형태의 바운드 다중 처리(Bound Multiprocessing, 이하 BMP) 구조를 완벽히 지원하도록 설계해야 함

15.3.1 기준의 추가 핵심 감항성 기준 및 검증방법(Additional Standard & Method of Compliance) 중 ‘미사용 코어 관리’ 항목을 대표 예시로 기준 항목, 요구 기준, 검증방법 및 테스트 분석 방법은 다음과 같다.

6.1.2 MIL-HDBK-516D

MIL-HDBK-516D는 기존 MIL-HDBK-516C에서 부재하던 MCP 관련 인증기준을 MCP 관련 감항 지침서인 AA-22-01을 기반으로 기준 공백을 메워 정식 규정으로 통합시키는 과정을 거쳤다. MIL-HDBK-516D의 15장 컴퓨터 시스템 및 소프트웨어(COMPUTER SYSTEMS AND SOFTWARE) 장절에서는 AA-22-01를 통해 수립한 MCP 추가 표준 및 적합성 입증방법이 기존 기준들과 정식으로 통합되어 기준화되었으며, 각 검증 항목별로 “In addition, for designs utilizing MCP environments:” 문구 추가를 통해 MCP 관련 필수 인증 요구사항을 명문화하고 있다.

AA-22-01과 마찬가지로, MIL-HDBK-516D 또한, 하드웨어 관련 기준인 15.3.1 항목을 MCP 관련 핵심 기준으로 제시하고 있으며, 특히 MCP 하드웨어 요소와 관련하여 다음 8가지 상세 기준을 요구하고 있다.

• 코어 활성화 및 비활성화 통제
  • 하드웨어적으로 활성화 및 비활성화된 코어 및 리소스를 별도 식별해야 하며, 비활성화된 코어는 시스템 작동 동안 그 상태를 유지해야 함
• 캐시(Cache) 할당
  • 최하위 레벨 캐시는 해당 처리 코어에 전적으로 할당(dedicated)되어야 하며, 상위 레벨 캐시는 물리적 또는 파티셔닝 방식을 통해 개별 코어에 전용으로 할당되어 성능 저하를 막아야 함
• 데이터 일관성(Data coherency)
  • MCP 환경 내 안전 임계 처리와 관련된 데이터의 가치와 타이밍 무결성을 유지하기 위해 데이터 일관성이 구현되어야 함
• 간섭 채널(Interference channels) 및 리소스 경합 방지
  • 간섭 채널 및 리소스 경합 가능성이 있는 영역을 식별하고, SCF 작동 무결성에 악영향을 주지 않도록 완화 조치를 마련해야 함
• 결정론적 성능 저하 기능 비활성화
  • 동적 클럭 속도 수정(Dynamic modification of clockrates) 등 결정론적 처리에 영향을 주거나 간섭을 유발할 수 있는 MCP의 동적 성능 수정 기능은 비활성화하거나 안전하게 완화해야 함
• AMP/BMP 아키텍처 필수
  • SCF를 지원하는 소프트웨어 요소(SESS)를 처리하는 코어에 대해 비대칭 다중 처리(AMP, Asymmetric Multi-Processing) 또는 바운드 다중 처리(BMP) 방식을 완벽하게 지원해야 하며, 프로세스나 가상 머신(VM)을 다른 코어로 동적 할당하는 것을 허용해서는 안 됨
• 인터럽트 및 상호 연결
  • 하드웨어 인터럽트는 다른 코어에 영향을 주지 않고 결정론적으로 처리되어야 하며, SCF 작업을 위해 인터럽트를 공유해서는 안 됨. 또한, 프로세서 간 상호 연결 및 중재(Arbitration) 방식이 수용 불가능한 지연(Latency) 등을 유발하지 않아야 함

이는 멀티코어라는 MCP의 구조적 특성상 하드웨어 요소로써 안정성 및 결정론적(Deterministic) 작동이 보장되는 것이 본 개정사항의 주요 목표임을 확인할 수 있다.

6.1.3 AMACC

AMACC(Army Military Airworthiness Certification Criteria)는 미 육군 항공기 체계의 감항성 평가를 위한 인증기준, 표준 및 적합성 입증방법을 제공하는 문서로 최신 공개본인 AMACC Rev B는 2024년 11월에 발행되었다. 전반적인 문서 구조 형태는 MIL-HDBK-516과 유사하며, MCP 관련된 사항은 14장(System Safety)과 15장(Software Airworthiness) 내에 수록되어 있다. 14장 내 MCP 관련 내용은 MCP의 정의 및 관련 공유 자원(실시간 OS, 인터커넥트, 캐시, 파티셔닝 메커니즘 등)을 선언하고 체계 시스템 안전 전반적인 프로그램을 계획하는 SSPP(System Safety Program Plan) 내 MCP의 위험도(Criticality), 핵심 설정값, MCP에 탑재되는 소프트웨어 등을 식별 및 평가할 수 있도록 명시하는 등, 시스템 안전 프로그램 계획을 수립하는 단계에서부터 MCP의 특성을 고려하여 위험도 평가를 수행할 수 있도록 기준 및 검증 방안을 수립함을 원칙으로 제시하고 있다. 15장에서는 MCP 관련되어 좀 더 구체적인 안전 요구사항을 명시하고 있는데, MIL-HDBK-516D와 마찬가지로 자원 할당 및 간섭, 강건한 파티셔닝(Robust Partioning), WCET 및 최악의 경우 시나리오 등을 고려해야 함을 제시하고 있다. AMACC 본문 내에는 'Table 15.1-2 Software Requirements for MCP'를 통해 15장에서 요구하는 산출물(Deliverable/Artifact) 및 세부 내용(Description)이 다음과 같이 제시되어있다.

MIL-HDBK-516D에서는 MCP를 고려해야 할 핵심 항목들을 별도로 규정했다면, AMACC에서는 MCP 기반 항공기 소프트웨어에 대해 설계·검증·산출물 전 과정을 상세히 규정하고 있으며, 특히 소프트웨어 개발 산출물인 PSAC(Plan for Software Aspects of Certification) 등 소프트웨어 개발단계 간 발생하는 산출물 내 MCP 관련 안전 요구사항 및 검증내용을 명확히 검증하도록 명시하고 있다.

6.2.1 CAST-32A

CAST-32A는 MCP에서 실행되는 항공탑재 소프트웨어의 안전성, 성능 및 무결성에 영향을 줄 수 있는 항목을 식별하기 위해 2016년에 만들어진 개념문서로 민·군에서 규정하는 모든 MCP 관련 안전 지침서의 기반 문서로 활용되고 있다. 단, CAST-32A의 경우, 공식적인 정책 또는 지침이 아닌 MCP 개념 및 논리 이해를 위한 선행 자료로써 이를 실제 인증기준 또는 적합성 검증방법으로 적용 시, 인증당국과 별도로 협의해야 함을 강조하고 있다.

CAST-32A에서는 MCP에서 사용하는 용어의 정의부터 적용·비적용 범위를 장절별로 설명하고 있으며, 안전한 MCP 사용을 보장하기 위해 6가지의 목표(Objectives)를 정의하고 각 목표별 필요 요구사항을 개발보증수준(Development Assurance Level, 이하 DAL)에 따라 차등 적용하는 방안을 다음과 같이 제시하고 있다. 예를 들면, MCP가 적용된 DAL C 소프트웨어는 간섭 채널 식별 및 오류 처리 안전망(safety net)과 관련된 목표 대비 요구사항 적용에 있어서 제외되는 등 MCP가 적용된 소프트웨어 수준에 따라 유연하게 요구사항을 적용하고 있다.

CAST-32A에서 요구하는 핵심 목표(Objectives)를 6가지 카테고리 및 10가지 항목으로 식별·정리하면 다음 표와 같다.

6.2.2 AC 20-193 / AMC 20-193

AC 20-193과 AMC 20-193은 민간 항공 인증당국인 미 FAA와 유럽 EASA에서 MCP 관련 항공기 감항 기준 및 적합성 검증방법을 제시한 가이던스 문서이다. 제시된 문서 내에는 CAST-32A에서 제시한 10가지 핵심 항목(자원 사용, 간섭 채널 분석, 소프트웨어 검증 등)을 기본 틀로 MCP_Software_1 등의 식별자 이름까지 거의 그대로 이관되어 작성됨에 따라 그 내용과 요구하는 바가 CAST-32A와 유사하다.

CAST-32A는 공식 정책이 아닌 교육·정보 전달 목적으로 관계 인증 당국 간 협의한 내용이 작성된 실무 가이드라인 수준의 문서였다면, AC 20-193 및 AMC 20-193의 경우, 항공산업 내 MCP 도입이 본격화됨에 따라 공식적인 MCP 인증지침 및 적합성 입증방법으로써 FAA, EASA에서 공식 발행한 문서이다. 미 FAA에서 발행한 AC 20-193은 미 연방규정집인 14 CFR(Code Federal Regulations)의 감항 기준을 충족하기 위한 인증 요구사항을 담고 있으며, 유럽 EASA에서 발행한 AMC 20-193은 유럽 인증기준인 CS(Certification Specifications)의 감항 기준을 충족하기 위한 방법론을 설명한다. 두 문서 모두 MCP 탑재 항공시스템 또는 소프트웨어의 안전성 입증을 위해 만들어짐에 따라 거의 동일한 구조 및 목표(Objectives)를 공유하도록 조화롭게(Harmonized) 작성되어 있다. 또한, AC 20-193 및 AMC 20-193 모두 법적 구속력이 없는 가이던스 문서로 신청자가 동등한 안전 수준을 보장하는 다른 입증방법을 대안으로 제시할 수 있음을 문서 내 제시하고 있다. 특징으로 두 문서 모두 ARINC 653, DO-178C, DO-254와 같은 최신 민간 인증지침과도 연계할 수 있는 방안을 강구하고 있는데 CAST-32A에서 존재하던 MCP_Resource_Usage_2 목표 내 DAL A 또는 B에서 요구하는 시스템의 경우 AMC 20-152A의 Objective COTS-8에 제시된 입증방법을 참고 가능함을 문서에서 제시하고 있다.