차량 소프트웨어 품질, 무엇으로 증명할 수 있을까요?

새 차를 받은 고객이 말합니다. “주행은 만족스러운데 가속이 좀 느린 것 같아요.” 개발팀은 답합니다. “시험은 모두 통과했습니다.”

두 이야기는 서로 모순되지 않습니다. 시험에서 확인한 범위와 고객이 매일 겪는 상황이 다를 수 있기 때문입니다. 소프트웨어가 차량 기능의 중심으로 옮겨올수록, 무엇을 어디까지 확인했는지 설명하는 일이 품질을 좌우합니다.

이 글에서는 미국의 자율주행 정책 방향과 국제 안전규정 논의를 통해 차량 소프트웨어의 품질을 무엇으로 증명하고 출고 이후에는 어떻게 관리해야 하는지 살펴봅니다.

자율주행 시스템이 안전하다는 것을 무엇으로 보일 수 있을까요? 주행 거리일까요, 무사고 기록일까요, 아니면 정해진 상황에서 기대한 행동을 했다는 증거일까요?

미국 교통부가 9월 3일 2026~2030 회계연도 자율주행 국가전략을 공개했습니다. 이 전략에 따르면 도로교통안전국은 자동운전시스템의 주행 역량에 대한 객관적인 최소 성능기준을 마련하기 위해 규칙 제정 사전공고를 준비하고 있습니다. 함께 개정될 예정인 비의무적 지침에는 원격 운용과 원격 지원, 소프트웨어 업데이트, 긴급대응 인력과의 상호작용, 안전관리체계가 포함될 것으로 제시됐습니다.

주의해서 읽을 부분이 있습니다. 이 문서는 규칙 제정 자체가 아니며 새로운 의무를 곧바로 만들지 않습니다. 앞으로 어떤 기준과 지침을 만들어 가겠다는 방향을 밝힌 전략 문서입니다. 따라서 “안전기준 시행”이 아니라 “안전기준 마련 추진”으로 읽는 편이 정확합니다.

그럼에도 방향은 읽어 둘 만합니다. 객관적인 성능기준을 마련하려면 자동운전시스템의 역량을 어떤 조건에서 어떤 지표로 평가할지 정의해야 합니다. 구체적인 성능지표와 평가 방식이 어떤 모습이 될지는 향후 규칙 제정 과정에서 논의될 사안이며, 지금 단정할 수 있는 단계가 아닙니다. 다만 개발 현장의 관점에서 보면 이는 요구사항과 시험 조건을 측정 가능한 형태로 표현하는 문제와 맞닿아 있습니다. 예를 들어 위험을 어떤 조건에서 인지하고 어떻게 대응해야 하는지를 요구사항으로 표현할 수 있어야, 이를 시험 조건과 판정 기준으로 옮길 수 있습니다.

원격 운용과 소프트웨어 업데이트가 지침 대상에 함께 들어간 점도 눈여겨볼 대목입니다. 안전을 출고 시점의 검증만으로 설명하기보다 운영 중의 변경까지 포함해 관리하는 관점이 이번 전략에서도 확인되기 때문입니다. 업데이트를 한 번 배포할 때마다 무엇이 바뀌었고, 그 변경이 어디까지 영향을 주며, 무엇을 다시 시험해야 하는지를 판단할 근거가 필요합니다. 차량별로 어떤 버전이 올라가 있는지도 남아 있어야 합니다.

이는 새로운 주제가 아닙니다. 소프트웨어 업데이트 관리는 이미 유엔 규정 제156호(UN R156)가 관리체계로 요구해 왔고, ISO 24089는 차량 생애주기 전반에 걸친 소프트웨어 업데이트 엔지니어링을 다룹니다. 미국의 이번 전략은 그 흐름이 자율주행 영역에서도 이어진다는 점을 확인해 줍니다. 규제가 확정되기를 기다리기보다, 변경 영향 분석과 회귀 시험 범위 판단, 형상과 이력 관리를 지금의 개발 절차 안에서 어떻게 남기고 있는지 점검해 볼 시점입니다.

“이 기능은 시험을 통과했습니다.”

고객이 이어서 묻습니다. “비가 와도 되나요? 야간에도 되나요? 운행 조건이나 시스템 버전이 달라져도 같은 결과를 적용할 수 있나요?”

시험 성적서에 합격 표시가 있어도 이 질문에 바로 답하기는 어렵습니다. 어떤 조건에서 어떤 버전을 시험했는지, 결과가 어디까지 유효한지를 알아야 하기 때문입니다.

9월 14-18일 UNECE 제26차 GRVA 회의에는 자율주행 시스템 관련 UN 규정과 국제기술규정의 적용을 위한 지침, 해석 문서 제안이 작업 문서로 올라와 있습니다. 규정의 요구를 어떻게 해석하고 적용할지가 논의 대상입니다. 지침의 최종 채택 여부와 내용은 회의 결과를 확인해야 합니다.

이 논의를 개발 현장에 대입하면 익숙한 문제가 보입니다. “안전하게 정지해야 한다”는 요구를 두고 개발팀은 정상적인 노면을, 검증팀은 빗길을, 고객은 센서 고장까지 포함한 상황을 떠올릴 수 있습니다. 문장은 같아도 기대하는 안전의 범위가 서로 다른 것입니다.

적용 조건과 기대 행동, 시험 방법이 연결돼 있으면 이런 차이가 드러납니다. 확인한 조건과 아직 확인하지 못한 조건도 구분할 수 있습니다. 시스템이 변경됐을 때에는 기존 결과 중 무엇을 계속 사용할 수 있고 무엇을 다시 시험해야 하는지 판단할 근거가 됩니다.

안전을 설명하는 힘은 합격한 시험의 수만으로 생기지 않습니다. 각 결과가 어떤 요구를 뒷받침하며, 어떤 조건까지 유효한지 설명할 수 있어야 합니다. 규정의 적용과 해석에 관한 논의는 검증 실무에서도 ‘시험을 했다는 기록’과 ‘안전을 뒷받침하는 증거’ 사이의 연결을 돌아보게 합니다.

두 흐름은 결국 같은 질문을 향합니다. 안전과 품질을 무엇으로 설명할 것인가입니다. 성능기준이 만들어진다면 그것은 역량을 측정 가능한 형태로 표현하라는 요구가 되고, 규정의 적용과 해석에 관한 논의는 시험 결과가 어떤 조건까지 유효한지를 밝히라는 요구가 됩니다.

규제가 확정되기를 기다릴 필요는 없습니다. 지금 쓰고 있는 요구사항이 시험 조건과 판정 기준으로 옮겨질 수 있는 형태인지, 각 시험 결과가 어떤 요구와 어떤 조건에 연결돼 있는지, 업데이트 이후 무엇을 다시 확인했고 차량별로 어떤 버전이 올라가 있는지가 기록으로 남아 있는지는 오늘 점검할 수 있는 항목입니다.

참고문헌

[1] U.S. Department of Transportation, “America Leads: DOT’s National Strategy for Automated Vehicles” (FY2026-2030), 링크

[2] AASHTO Journal, “USDOT Unveils Revamped Automated Vehicles Strategy”, 링크

[3] UNECE, Working Party on Automated/Autonomous and Connected Vehicles (GRVA), 26th session, 2026.9.14-18, 링크 (참조 문서 ECE/TRANS/WP.29/GRVA/2026/24)

[4] UN Regulation No. 156, Uniform provisions concerning the approval of vehicles with regards to software update and software update management system

[5] ISO 24089:2023, Road vehicles – Software update engineering