SIL은 많은 결함 조합을 빠르게 반복하는 데, HIL은 실제 컨트롤러·I/O·통신과 실시간 지연을 포함하는 데 유리하다. 둘 중 하나를 고르는 대신 같은 요구사항 ID 아래 결함 종류, 주입 위치, 시작·지속 조건, 크기, 관측 신호, 기대 반응과 복구 판정을 명시한다. 아래 카탈로그는 국제표준의 고정 분류가 아니라 공개 fault-injection 도구와 연구에서 확인되는 필드를 로봇 시험에 적용한 실무용 설계 틀이다. 각 센서의 실제 고장 물리와 안전 요구는 제품·현장별 분석으로 다시 정해야 한다.
먼저 어떤 불확실성을 줄일 시험인지 고른다
SIL은 제어·인지 소프트웨어와 시뮬레이션 모델 안에서 결함을 반복하기 좋다. HIL은 실제 컨트롤러나 I/O 장치를 포함해 시간 지연, 샘플링, 버스와 장치 응답을 더 현실적으로 볼 수 있다. 하지만 HIL 장비가 있다고 모든 물리 위험이 포함되는 것은 아니고, SIL이라고 시간 특성을 전혀 다룰 수 없는 것도 아니다. 시험 경계를 문서로 고정한다.
NIST의 HIL 기반 사이버물리시스템 시험 보고서는 물리·가상 구성 요소를 연결해 시험하는 구조와 재현성의 맥락을 제공한다. 여기서 가져올 것은 특정 로봇의 합격 수치가 아니라 모델, 실제 장치, I/O와 관측 지점을 명시하는 방식이다.
안전 요구사항의 증거가 필요한지, 통신 스택의 복구가 필요한지, 제어기의 시간 초과 동작이 필요한지 질문을 나눈다. 실제 로봇의 충돌·화재·기계 고장을 재현해야 하는 문제라면 SIL·HIL 통과만으로 대체할 수 없다. 별도의 위험성 평가와 물리 안전 검증이 필요하다.
두 환경이 같은 고장 문장을 읽게 만든다
공통 카탈로그의 한 행에는 대상 신호, 정상 기준, 결함 종류, 주입 위치, 시작 조건, 지속 또는 종료 조건, 크기·시간 프로파일, 관측 신호, 기대되는 안전 행동과 복구 판정을 넣는다. 이는 이 글이 제안하는 재실행 템플릿이지 NIST 문서가 정한 로봇 표준 필드가 아니다. ‘카메라 장애’처럼 넓게 쓰지 않고 시스템이 실제로 구현·검증할 수 있는 단절, frozen frame, 지연, 드롭, 포화와 bias를 나눈다.
Bosch Research의 ROS 2 rosbag fault-injection 도구는 topic, fault type·value, 시작 지연과 지속시간을 구성으로 남겨 기록 데이터에 재현 가능한 결함을 넣는 직접 사례다. 이는 rosbag 재생 도구이며 실제 장치가 포함된 HIL이나 안전 인증을 증명하지 않는다. SIL·재생 단계의 결함 ID와 시간 프로파일을 명시하는 근거로만 사용한다.
통신 오류도 손실, 중복, 재정렬, 지연과 연결 단절을 나눈다. 같은 패킷 손실률이라는 숫자만 맞추더라도 버스트 손실과 균일한 손실은 제어기에 다른 영향을 줄 수 있다. 숫자는 시스템 요구와 네트워크 증거에서 정하며 이 글에서 범용 임계값을 만들지 않는다.
기존 로봇 SIL과 HIL 시험 차이가 모델 경계와 실시간성을 고르는 기준이라면, 여기서는 동일 결함을 두 환경에서 어떻게 추적할지 다룬다. 요구사항 ID와 고장 ID를 공유하면 SIL에서 발견한 결함이 HIL로 넘어갈 때 이름이 바뀌는 문제를 줄일 수 있다.
같은 센서 고장도 SIL과 HIL에서 보이는 범위가 다르다
비교는 같은 요구사항과 고장 정의를 놓고 한다. 아래 표는 어느 환경이 더 우월한지 정하거나 표준 taxonomy를 선언하는 표가 아니라, 각 환경에서 관측 가능한 차이를 기록하기 위한 시험 설계 틀이다. 실제 주입 가능 여부와 안전 범위는 대상 센서·컨트롤러·설비의 위험 분석에서 확인한다.
| 동일 고장 | SIL에서 주로 확인할 것 | HIL에서 추가로 확인할 것 |
|---|---|---|
| 센서 단절 | 상태 전이·timeout·안전 모드 로직 | 실제 I/O 단절 감지 지연과 장치·드라이버 반응 |
| stuck-at·frozen frame | 새 데이터 판별·추정기 기권·복구 로직 | 타임스탬프·버퍼·드라이버가 만드는 실제 정지 양상 |
| 지연·드롭 | 지연 분포별 제어·인지 성능과 경계 | 버스·OS·I/O가 만드는 지터와 순서 변화 |
| 포화·bias | 추정기 이상치 처리와 안전 행동 | 센서·변환기·샘플링의 실제 제한과 진단 플래그 |
| 통신 손실·재정렬 | 프로토콜 상태·재시도·명령 만료 | 실제 네트워크 인터페이스·큐·장치 watchdog 반응 |
NIST PerMIS 로봇 성능 평가 자료는 robot-in-the-loop 평가의 넓은 문맥을 제공한다. 시험설비가 실제 로봇을 포함하더라도 작업 환경과 위험이 모두 재현되는 것은 아니다. 포함한 장치와 제외한 물리 조건을 결과에 함께 적는다.
자동차 소프트웨어를 대상으로 한 HIL 실시간 fault-injection 1차 연구는 offset, noise, packet loss, stuck-at, drift, hard-over, spike와 delay를 실제 HIL 실험 항목으로 구현했다. 로봇 전체에 동일한 결함 크기나 합격선을 적용할 근거는 아니지만, 결함 종류·대상·시간 프로파일과 관측 결과를 분리해 기록해야 한다는 직접 근거다.
시험 장비보다 모델 불일치와 복구 대기시간이 비용을 만든다
SIL은 빠르지만 모델이 실제 센서·액추에이터와 시간 특성을 충분히 반영하지 못하면 자신감만 키울 수 있다. HIL은 실제 구성 요소를 포함하지만 장비 구성, 인터페이스 유지, 실시간 동기와 고장 주입 장치의 검증 비용이 든다. 시험 케이스 수만 세면 이 숨은 비용이 보이지 않는다.
| 비용 구성 | SIL에서 생기는 부담 | HIL에서 생기는 부담 |
|---|---|---|
| 모델·설비 준비 | 센서·환경·동역학 모델의 정확도와 버전 관리 | 실제 컨트롤러·I/O·부하 모사와 격리 설비 |
| 시간 재현 | 스케줄러·지연·지터 모델의 타당성 | 실시간 실행·시계 동기·인터페이스 지연 측정 |
| 고장 주입기 | 소프트웨어 훅이 실제 경로와 같은지 검증 | 주입 장치가 정상 신호를 왜곡하지 않는지 검증 |
| 복구·초기화 | 상태 스냅샷과 반복 실행의 일관성 | 장치 reset·냉각·재동기화와 시험 간 대기 |
| 증거 보관 | 시드·모델·코드·설정 버전 | 펌웨어·배선·장비 식별자·교정과 캡처 버전 |
총비용에는 실패를 재현하지 못해 원인을 다시 찾는 시간도 들어간다. 고장 주입기 자체의 정확성과 타임스탬프를 검증하고, 정상 대조군을 같은 설비에서 실행한다. HIL의 전기·기계적 주입은 격리된 시험설비와 승인 절차 안에서만 수행하며 운영 장비나 사람 가까이에서 파괴적 결함을 만들지 않는다.
결함 종류에 따라 먼저 갈 환경을 고른다
인지 알고리즘의 이상치 처리, 상태기계와 timeout 조합처럼 경우의 수가 많고 물리 장치가 필요 없는 문제는 SIL에서 폭넓게 탐색하기 좋다. 실제 센서 드라이버, CAN·Ethernet 인터페이스, 제어기 watchdog과 I/O 타이밍이 핵심이면 HIL로 넘어간다. 같은 결함 ID를 유지해 결과를 이어 붙인다.
보안 결함은 기능 안전 결함과 구분한다. Physical AI 레드팀 테스트가 다루는 의도적 공격과 이 글의 센서·통신 고장 주입은 일부 신호가 겹쳐도 위협 모델과 승인 범위가 다르다. 실제 exploit 방법이나 보호 우회 절차를 카탈로그에 공개하지 않고, 승인된 보안 시험환경으로 보낸다.
NIST CSRC의 SWIFT-Healer 고장 주입·복구 연구 기록은 glitch injection과 복구 검증의 최신 사례를 확인할 1차 기록이다. 이 사례를 일반 로봇의 안전 인증으로 확대하지 않는다. 주입 위치와 복구 증거를 명시한다는 연구 원칙만 가져온다.
카탈로그 한 행이 재실행될 때까지 완료로 보지 않는다
좋은 고장 카탈로그는 이름 목록이 아니라 재실행 계약이다. 다른 엔지니어가 같은 빌드와 설비에서 같은 결함을 넣고, 같은 관측 신호로 합격·실패를 판정할 수 있어야 한다. 정상 대조군과 복구 뒤 상태까지 포함해야 한다.
- 요구사항 ID, 고장 ID, 대상 신호와 주입 위치를 고정한다.
- 시작 조건, 지속·종료 조건, 크기와 시간 프로파일을 시스템 근거로 정의한다.
- 단절·stuck-at·지연·드롭·포화·bias와 통신 손실·중복·재정렬 가운데 대상 시스템에 실제로 구현할 결함만 별도 ID로 둔다.
- SIL 모델·코드·시드와 HIL 펌웨어·배선·장비·교정 버전을 보존한다.
- 관측 신호, 기대 안전 행동, 복구 시간과 잔류 상태를 합격 규칙에 넣는다.
- 파괴적·보안 관련 주입은 격리 설비와 별도 승인으로 제한하고 실제 현장 위험성 평가를 대체하지 않는다.
마지막 비교에서는 SIL과 HIL 결과가 다른 이유를 실패로만 처리하지 않는다. 실제 I/O·지터·장치 상태가 추가돼 차이가 났다면 HIL의 목적을 달성한 것이다. 반대로 차이를 설명할 수 없으면 주입기, 시간동기, 모델과 로그부터 확인한다. 원인이 정리된 뒤에만 실제 로봇의 제한된 안전 시험으로 넘어간다.
로봇 SIL·HIL 고장 주입 카탈로그 실무 질문
SIL이 싸고 HIL이 비싸다고만 비교해도 되나요?
아니다. SIL에는 모델 정확도·시간 특성·대규모 재현 관리 비용이 들고, HIL에는 실제 장치·I/O·실시간 동기·격리 설비·reset과 교정 비용이 든다. 결함을 재현하지 못해 원인을 다시 찾는 시간까지 포함해 같은 요구사항의 총비용을 비교해야 한다.
같은 고장 카탈로그를 SIL과 HIL에 그대로 넣으면 결과도 같아야 하나요?
고장 정의와 합격 요구는 같아야 하지만 관측 범위는 다를 수 있다. HIL에서는 실제 드라이버·버스·I/O·지터와 장치 복구가 추가된다. 결과 차이가 어느 추가 계층에서 생겼는지 설명할 수 있어야 하며, 두 환경의 통과가 실제 현장 위험성 평가를 대신하지 않는다.
자료 마지막 확인: 2026년 8월 26일