[논문 리뷰] Candidate Software Process Flaws for the Boeing 737 Max MCAS Algorithm and Risks for a Proposed Upgrade

J.A. Bergstra, Mark Burgess|arXiv (Cornell University)|2020. 01. 16.

Software Reliability and Analysis Research참고 문헌 17인용 수 11

한 줄 요약

이 논문은 보잉 737 맥스 추락 사고에서 MCAS 시스템의 실패에 기여했을 만한 소프트웨어 프로세스 결함—의심스러운 안전성 분류, 최첨단 기술에 대한 암묵적 인식, 간섭 과도 현상 등—을 규명한다. B-Max-New로 불리는 보잉의 제안된 업그레이드가 이러한 결함을 해결하겠다는 약속으로 평가되며, 기술적 설계 외에도 소프트웨어 공학의 철저함이 인증 및 안전 확보의 핵심이 되어야 한다고 주장한다.

ABSTRACT

By reasoning about the claims and speculations promised as part of the public discourse, we analyze the hypothesis that flaws in software engineering played a critical role in the Boeing 737 MCAS incidents. We use promise-based reasoning to discuss how, from an outsider's perspective, one may assemble clues about what went wrong. Rather than looking for a Rational Alternative Design (RAD), as suggested by Wendel, we look for candidate flaws in the software process. We describe four such potential flaws. Recently, Boeing has circulated information on its envisaged MCAS algorithm upgrade. We cast this as a promise to resolve the flaws, i.e. to provide a RAD for the B737 Max. We offer an assessment of B-Max-New based on the public discourse.

연구 동기 및 목표

• 소프트웨어 프로세스 결함—기술적 결함 외에도—이 MCAS 관련 737 맥스 추락 사고에 결정적인 역할을 했는지 조사하는 것.
• 보잉의 제안된 MCAS 업그레이드(B-Max-New)를 체계적 소프트웨어 공학적 한계를 해결하겠다는 공식적 약속으로 평가하는 것.
• 약속 이론과 외부 분석을 활용해 고신뢰성 시스템에서 소프트웨어 공학의 신뢰성 평가 틀을 제공하는 것.
• 소프트웨어 개발 관행에서 검증 가능한 결함를 규명하여 소송, 인증, 향후 소프트웨어 프로세스 개선을 지원하는 것.
• 안전 중심 시스템에서 책임감, 투명성, 기존 공학 원칙 준수를 강조함으로써 책임감 있는 소프트웨어 공학을 옹호하는 것.

제안 방법

• 공개 논의를 분석하고 보잉 및 규제 당국의 주장을 근거로 약속 이론을 활용해 소프트웨어 프로세스 결함을 유추하는 데 사용한다.
• 네 가지 후보 소프트웨어 프로세스 결함을 규명한다: 의심스러운 안전성 수준 분류, 최첨단 기술에 대한 암묵적 인식, 요구사항에 대한 낯설음, 간섭 과도 현상.
• 보잉의 업그레이드 제안을 이전 결함을 해결하겠다는 공식적 약속으로 간주하고, 그 실행 가능성과 안전 기준과의 일치성을 평가한다.
• 소프트웨어와 문서화에서 독립된 추상적 지적 창조물로 알고리즘을 정의하고, 이를 소프트웨어와 구분한다.
• 기존 인증 기준(예: FAA 유형 등급) 하에서 MCASu의 타당성을 평가하며, 새로운 방법론 없이도 MCASu를 인증할 수 있는지 고려한다.
• 통신 및 멀티스레딩 분야의 논리적 추론과 비유를 활용해 기능 간 상호작용 위험과 시스템 수준의 실패를 모델링한다.

실험 결과

연구 질문

• RQ1 MCAS에 대한 공개적 주장에서 기술적 오류가 아닌 체계적 소프트웨어 공학 프로세스 결함이 어느 정도 드러나는가?
• RQ2 제안된 B-Max-New 업그레이드가 규명된 소프트웨어 프로세스 결함을 해결하겠다는 약속으로 합리적으로 해석될 수 있으며, 기술적·절차적으로 신뢰할 수 있는가?
• RQ3 간섭 과도 현상이나 최첨단 기술에 대한 인식 부족과 같은 소프트웨어 프로세스 결함이 항공전자 장치에서 안전 중심 실패에 어떻게 기여하는가?
• RQ4 내부 시스템 정보가 확보되지 않은 상황에서 약속 이론과 외부 분석은 소송, 인증, 소프트웨어 프로세스 개선에 어떻게 기여할 수 있는가?
• RQ5 기존 B737 NG 유형 등급 기준 하에서 업데이트된 MCASu를 인증하는 것은 가능한가, 아니면 근본적으로 새로운 인증 방법론이 필요한가?

주요 결과

• 의심스러운 안전성 분류, 최첨단 기술에 대한 암묵적 인식, 요구사항에 대한 낯설음, 간섭 과도 현상 등 네 가지 후보 소프트웨어 프로세스 결함이 MCAS 사고에 기여할 가능성이 높다고 규명된다.
• 제안된 B-Max-New 업그레이드는 이러한 결함를 해결하겠다는 약속으로 해석되지만, 내부 시스템 정보 부족으로 인해 그 기술적·절차적 신뢰성은 여전히 불확실하다.
• MCAS와 수동 조종사 입력 간의 기능 상호작용은 소프트웨어 공학 분야에서 알려진 위험으로, 이를 적절히 대응하지 못한 것은 소결책의 결여를 반영한다.
• 논문은 소프트웨어 공학 실패가 단순히 기술적 문제를 넘어서 프로세스와 책임 문제를 포함하며, 비책임 기반 사후 분석이 이러한 문제를 가리킬 수 있음을 주장한다.
• 기존 기준 하에서 MCASu의 인증은 원칙적으로 가능하지만, 타당한 업데이트가 존재하지 않음을 공식적으로 증명하지 못한 점으로 인해 여전히 해결되지 않은 결함의 위험이 존재한다.
• 알고리즘(추상적 지적 창조물)과 소프트웨어(구현체)의 구분은 핵심적이다. 코드가 정확하더라도 알고리즘에 결함이 있으면 안전성은 훼손될 수 있다.