Uber ATG의 AZ Tempe 충돌 사고에 대한 NTSB 보고서

https://dms.ntsb.gov/pubdms/search/hitlist.cfm?docketID=62978&CurrentPage=3&EndRow=43&StartRow=31&order=1&sort=0&TXTSEARCHT=

Accident ID HWY18MH010 Mode Highway occurred on March 18, 2018 in Tempe, AZ United States Last Modified on November 05, 2019 09:

 

이번 글은 지난 2018년 3월 미국 애리조나주의 Tempe에서 발생한 비극적인 사고에 대한 NTSB 조사 결과의 일부를 공유합니다. 당시 Uber ATG 자율주행 평가 차량이 무단횡단 중인 보행자와 충돌하는 사고가 발생했고, 이는 안타깝게도 자율주행 평가 이래 최초의 보행자 사망 사고로 기록되었습니다.

NTSB는 지난 5일 당국 홈페이지를 통해 조사 결과 중간 보고서를 공개하였으며, 제 글은 총 43개의 보고서 중 Preliminary Report와 Vehicle Automation Report만 요약한 것입니다. 이미 언론을 통해서 알려진 주요 내용에 대해서는 번역을 하지 않고 생략하였으니 이 점 참고 하시기 바랍니다.

 

1. Preliminary Report

우버 자율주행 차량에는 전/측방 카메라, 레이다, 라이다, 네비게이션 센서, 전산/데이터 저장 유닛이 장착되어 있었고
애프터마켓 카메라도 장착하여 총 10개의 카메라가 작동하고 있었다.

또한, 베이스 차량인 볼보 XC90에는 City Safe라고 알려진 AEB와 운전자 감시 및 도로 표지판 정보 감지 기능을 포함한 몇가지 ADAS가 기본 장착되어 있었다. 하지만 이러한 모든 볼보 ADAS는 computer control 모드에서는 해제되었고 manual control 모드에서만 작동하도록 되어 있었다.

자율주행 시스템 데이터를 확인한 결과, 레이다와 라이다가 보행자를 충돌 6초전에 감지했고 당시 속도는 43mph였다.
차량과 보행자가 가까워 지면서 시스템은 보행자를 미확인 물체로 분류했고, 이후 차량 -> 자전거 순으로 분류했다.

충돌 1.3초 전, 자율주행 시스템은 '긴급 제동 전략' 필요성을 인지했다. 하지만 우버는 erratic vehicle behavior를 방지하기 위해 computer control 상황에서는 AEB를 해제한다고 밝혔다. 우버의 '긴급 제동 전략'이란 6.5 m/s^2 보다 크게 감속하는 것을 말한다.

자율주행 시스템 데이터에 의하면 운전자는 충돌이 채 1초도 남지 않았을 때 개입을 하여 스티어링휠을 잡았고 당시 속도는 39mph였다. 충돌 당시 모든 자율주행 시스템은 정상 작동하고 있었으며 시스템 에러와 같은 메세지 또한 표출되지 않았다.

자전거는 전/후방에 램프가 장착되어 있었고 측면에는 없었다. 차량과 자전거의 진행 경로가 서로 직각이었기 때문에 불빛이 차량에 직접적으로 비춰지진 않았다. 실내 카메라 분석 결과 오퍼레이터는 수시로 아래쪽을 내려다보고 있었으며 자율주행 시스템 인터페이스를 모니터링한 것이었다. 오퍼레이터는 차량에 그녀의 개인 휴대전화, 업무용 휴대전화가 모두 있었지만 충돌 후 911에 전화하기 전까지 사용하지 않았다고 주장했다. NTSB는 계속해서 우버 자율주행 시스템과 인터페이스, 오퍼레이터의 휴대전화를 계속 분석할 것이다. 경찰 당국에 의하면 오퍼레이터가 충돌 당시 임페어먼트(음주, 주의분산, 마약 등)의 정황은 없었다고 밝혔다.

NTSB는 오퍼레이터의 행동에 대해 증언하고 정보를 제공해 줄 수 있는 증인을 찾고 있다.
혈액 검사 결과, 메스암페타민(각성제의 일종과 마리화나 복용은 해당되지 않는 것으로 나타났다.

 

2. Vehicle Automation Report

(A~C 섹션은 해당 사고에 대한 기본 정보로 구성되어 있어 번역 생략)

D. Details of the report

Vehicle Automation Report는 우버의 자율주행 기술이 탑재된 2017 Volvo XC90 차량의 자율주행 모드에 초점을 맞추고 있다. 특히, 이 보고서는 ATG(우버의 Advanced Technology Group)의 자율주행 시스템 평가에 대해 논의하고 시스템의 기능, 한계, 제한 및 충돌 후 우버의 변화에 대해 설명할 것이다.

당시 차량은 FCW, AEB가 기본 장착된 상태였으나, 볼보의 이러한 충돌 방지 ADAS는 사고 발생 당시 작동 해제되어 있었다.

1. ADS의 개발

1.1 개요

우버의 ADS는 사전 맵핑된 영역에서 완전 자율주행 모드가 실행되나, 탑승한 오퍼레이터는 상시 주변을 살필 의무가 있었다. 특별한 언급이 없다면, 이 보고서에서 언급하는 ADS는 오직 사고 차량에 장착되었던 Krypton platform, S/W버젼 2018.071.3p1만 지칭하는 것이다. 이 사고 이후 ATG는 많은 업데이트를 하였다.

1.2 Structural Components

1.2.1 개요

1.2.2 Lidar 시스템(시스템에 대한 개요로 번역 생략)

1.2.3 Radar 시스템(시스템에 대한 개요로 번역 생략)

1.2.4 카메라 시스템

다음과 같이 총 11개의 카메라가 장착되어 있었다.

- 전방 narrow view의 long range stereo 이미지를 만들어 내기 위한 카메라 2개

- 전방 wide view의 medium range stereo 이미지를 만들어 내기 위한 카메라 1개

- 측면 wide view의 이미지를 만들어 내기 위한 카메라 2개

- 후방 wide view의 이미지를 만들어 내기 위한 카메라 2개

- 가까운 거리의 surrounding view의 이미지를 만들어 내기 위한 카메라 4개

물체를 인지할 수 있는 거리는 그 사이즈와 시인성에 달려있다. 모든 카메라로 부터 얻어진 광학 데이터는 ADS에 의해 프로세싱된다. 전방 카메라의 주요 목적은 자동차, 보행자를 감지하고 교통 신호를 읽는 것이다. 추가적으로, 카메라 시스템은 근거리에 있는 사람들과 차로 변경/주차/승객 탑승 시 반경 5m 이내에 있는 물체를 감지할 수 있다.(이 시스템은 충돌 당시 해제되어 있었음)

1.2.5 Additional systems

- GPS, LTE

- 차량의 가속과 angular rate를 측정할 수 있는 IMU(Inertia Measurement Unit)

- 5m 반경 물체를 감지할 수 있는 12개의 Ultrasonic sensor가 있으나 충돌 당시 해제되어 있었음

1.3 Sensor Maintenance and Calibration

6개월 단위로 캘리브레이션되었고, 그 기간에 해당 되지 않더라도 센서 교체가 있으면 캘리브레이션 하였다. 사고 차량을 마지막으로 캘리브레이션한 날짜는 2018년 3월 13일이다(사고 날짜 : 같은 해 3월 18일)

 

1.4 Route Mapping, Path Guidance Verification

사전에 맵핑된 루트에서는 ADS가 스스로 주행할 것이지만, 오퍼레이터는 안좋은 날씨 같은 다른 ODD요소를 신경써야 한다. 차량이 루트를 따라 가면서, 다양한 센서 시스템이 계속해서 주위와 차량의 움직임을 스캔하고 이 데이터들을 분석하여 차량의 현재 위치를 확인한다. 이렇게 얻어진 주위 환경 특징들과 도로 상황의 데이터들을 사전 맵핑된 구간을 주행하며 계속 매칭시킨다. 차량의 위치를 확인하기 위한 이러한 지속적이고 redundant한 시스템은 차량이 사전 맵핑된 경로를 벗어날 가능성을 줄여주기 위한 목적으로 만들어졌다.

 

1.5 Operational Restrictions and ADS Disengagement

1.5.1 ADS Engagement and Operational Restrictions

ADS 활성화는 사전 맵핑된 구간 주행 중에 한해 2단계로 이뤄진다. (1) 변속 레버 오른쪽의 센터 콘솔에 있는 빨간색 노브를 당김 (2) 노브 안에 있는 은색 버트을 누름

Tempe에서의 평가는 다음과 같은 특정 조건에서만 가능했다 (1) 차량 최고 속도 45mph, (2) 고속도로를 제외한 시내 도로 (3) 모든 빛 조건(밤,낮,새벽) (4) 폭설 및 폭우를 제외한 대부분의 날씨 (5)눈이 쌓인 곳을 제외한 대부분의 도로 환경

 

1.5.2 ADS Disengagement and Operator Takeover

ADS가 해제되는데는 크게 두 가지 원인이 있다. (1) 오퍼레이터의 의지에 의해 (2) 시스템 스스로 해제. 오퍼레이터가 브레이크를 밟거나 조향, 가속을 하거나, 해제 버튼을 누르면 된다. 시스템에 의해 해제될 때는 오퍼레이터에게 알림을 주는 경우도 있고 갑자기 스스로 해제시키는 경우도 있고 예고(anticipated)된 해제도 있다. 갑작스런 해제의 경우는 센서 시스템의 작동 에러나 시스템 오류, 데이터 레코딩 관련 오류 등이 발생했을 때이다. 예고된 해제는 차량이 경로상 사전 맵핑된 구역을 벗어날 예정일 때 오퍼레이터에게 알림을 주고 해제 상황이 되면 스스로 해제되는 것을 말한다.(예. 설정한 목적지까지 가는 과정에서 last mile은 ODD가 아닐 때, last mile 진입 직전 알림을 주고 진입 시점에서 시스템 스스로 해제)

 

1.6 Object Detection and Hazard Avoidance

1.6.1 Object Detection and Classification, and Path Prediction

* 번역자 주 : 이번 섹션부터 '고유 목적'이라고 번역한 부분의 원문 표현은 'goal'입니다. 예를 들어, 길거리에 버려진 상자의 goal은 그냥 그 자리에 있는 것이며, 보행자의 goal은 보행자 도로를 따라 움직이는 것이며, 차량의 goal은 차로 위에서 움직이는 것이라고 이해하시면 됩니다. 이 점 감안하여 읽어 주시기 바랍니다.

카메라, 라이다, 레이더 등이 각자의 목적에 맞게 물체를 감지한다. 물체가 감지되면 추종을 하며 그 물체가 이동하는 방향과 속도를 계산한 뒤 인지 시스템에 분류를 시킨다. 차량으로 분류되든지, 보행자나 자전거, 또는 정확히 무엇인지 알 수 없음을 의미하는 '기타'로 분류된다.  인지 시스템이 감지된 물체를 구분하면, 시스템은 그 물체들이 갖는 고유 '목적(goal)'을 예측한다; 차로에서 감지되었고 차량으로 분류된 것은 보통 그 차로에서 계속 같은 방향으로 이동할 가능성이 높다. 하지만, 시스템은 또한 감지된 물체의 이전 히스토리 역시 고려해야 한다. 이로인해 시스템은 다수의 가능한 시나리오(이동 경로 예측)를 만들어 낸다. 물체들이 갖고 있는 고유 목적은 가장 최근의 감지 위치를 가지고 지속적으로 업데이트 된다.

하지만, 만약 인지 시스템이 감지한 물체의 분류 카테고리를 바꾼다면, 그 물체가 갖는 고유 목적을 예측할 때 그 물체의 과거 히스토리는 더 이상 고려사항이 되지 않는다. 새롭게 카테고리가 바뀐 물체에 대해서는, 목적은 해당 분류 카테고리에 의존적이다. '기타'와 같은 카테고리 분류는 고유 목적을 아예 예측 하지 않는다. 마지막으로 감지된 그 위치가 정적인 위치로 판단된다. 그 위치가 차량 경로상에 있지만 않는다면, 잠재적인 장애물로 분류되지 않는다. 게다가, 횡단보도 근처에 있지 않은 보행자들 또한 고유 목적 예측을 하지 않는다. 하지만, 계속해서 보행자로 분류가 되고 있다면 그들의 이동 속도를 바탕으로 해서 이동 경로를 예측할 수 있다. 만약 감지된 물체의 예상 이동 경로가 자율주행차량과 간섭될 것으로 보인다면, 시스템은 motion plan을 바꾸거나 hazard avoidance를 수행한다.

 

1.6.2 Hazard Avoidance and Emergency Braking

ADS가 물체를 감지하고 추종하며 차량을 자동 제어하지만, 선행 차량의 급정지 같은 특정한 상황에 있어서는 gradual change만 주어서는 충돌 회피를 할 수가 없다. ATG ADS는 마찬가지로 긴급 상황에서 자율주행의 제한적인 능력을 가지고 개발되었는데, ATG는 충돌을 피하기 위해 7m/s^2 이상의 제동 또는 +/- 5m/s^3 이상의 rate of deceleration(jerk)이 필요한 상황을 긴급 상황으로 정의했다. 시스템이 긴급 상황이라 판단했을 때, 'action suppression'을 가동한다. 이것은 ADS가 (1) 감지된 위험 요소를 파악하고 대체 경로를 계산하며 (2) 오퍼레이터가 차량의 제어권을 가져감과 동시에 시스템이 계획된 제동을 실행하는 1초 간의 시간을 의미한다. ATG는 위험요소가 될만한 것인 아닌데 위험 상황이라 판단하여 차량이 극단적인 제어를 하게 만드는 false alarm을 막기 위해서 개발중인 ADS에 이 action suppression 프로세스를 탑재했다고 밝혔다.

긴급 상황에서 만약 오퍼레이터가 제어권을 가져가지 않으면, 이 1초간의 action suppression 이후에도 상황이 긴급 상황으로 유지된다면, 자동 대응 방식은 최대 7m/s^2 이상 또는 +/- 5m/s^3의 rate of deceleration(jerk)롤 충돌을 피할 수 있는지 아닌지에 따라 달라진다. 자동 대응 방식 옵션은 아래와 같은 상황을 포함한다.

- 만약 위의 최대 제동 및 jerk 수치로 충돌을 피할 수 있다면, 최대한으로 제동을 시작함

- 만약 피할 수 없다면, 시스템은 오퍼레이터에게 음성 경고를 주는 동시에 gradual slow down을 함. 이런 상황에서, ADS는 단지 충돌을 완화하겠다는 목적으로 최대치 제동을 하지는 않음.

충돌 사건 이후로, ATG는 충돌을 피하지 못하는 상황에서 충돌 완화 목적을 위해서라도 AEB를 작동 시키는 방향으로 로직을 수정했다.(섹션 1.11)

 

1.7 Data Recording System

ATG는 NTSB 조사관에게 사고와 관련해서 관련된 모든 이벤트에 대한 데이터 요약 자료와 보행자 경로 추정, 차량의 동력학적 거동 등에 관련된 것까지 제출했다. ADS는 주행 중에 센서나 시스템의 오류가 있었던 것은 아닌 것으로 기록되었다. 추가적으로, NTSB 조사관의 요청으로, ATG는 충돌하는 과정에서의 센서와 차량 동역학 정보의 재생정보를 요청하였다. 조사관들은 센서 시스템의 아웃풋 값을 가지고 아래와 같은 타임라인을 재구성하였다.

ADS가 보행자를 처음으로 감지하였을 때(충돌 5.6초전), 보행자는 대략 두 개의 좌회전 차로의 중간 쯤을 지나가고 있었다(fig3). ADS가 보행자를 충돌 대략 6초 전에 확인 하였지만, 시스템은 대상을 보행자로 분류하지 않았고, 따라서 보행자의 고유 목적을 무단횡단이라고 예측하지 못했고, 심지어 사이클리스트로 분류하지도 못했다.  시스템은 무단횡단을 하는 보행자에 대한 판단 로직을 가지고 있지 않았다. 실제로 시스템은 보행자를 '기타'로 분류하여 위에서 설명한대로 '고유 목적을 지니지 않음'으로 판단하게 했다. 시간이 지나면서 시스템이 대상의 분류를 여러번 바꾸면서(기타->차량->자전거), 이에 대한 적절한 예상 경로를 예측하는데 실패한 것이다.

ADS가 물체의 위치가 ATG 차량의 이동 경로 상에 있다는 것을 감지했을 때(충돌 1.2초 전), 시스템은 비로소 '충돌 임박'이라는 긴급 상황이라 인식했다. 당시, 충돌을 막기 위해서는 설계 스펙을 넘어서는 extreme braking이나 조향을 했어야 했기 때문에, ADS는 motion plan대로의 감속을 할 수 밖에 없었다. 1초 뒤, 차량은 여전히 충돌할 수 밖에 없는 경로 위에 있었고 여전히 extreme avoidance maneuver 밖에는 대안이 없었다. 그런데 당시 ATG 설계대로라면, 시스템은 긴급 제동 장치를 활성화 시키지 않았고(자율주행모드에서는 해제 되도록 함 vehicle slow down을 알리는 음성 경고만 오퍼레이터에게 발송하였다.

 

1.8 Human Machine Interface(HMI)

ATG는 오퍼레이터가 모니터링해야 하는 태블릿을 볼보의 엔터테인먼트 스크린이 위치한 센터 콘솔에 장착하였다.  차량이 주행하는 동안에 태블릿은 그 경로를 보여주게 된다. 오퍼레이터는 (1) 관심있는 외부 이벤트 (2) ADS의 비정상적인 행동 (3) 차량 내부 장착된 장치에 대한 이슈에 대해서 태그를 붙일 수 있다. 이 세가지는 한 두번의 터치로 태그를 완성시킬 수 있다.

태블릿의 데이터에 의하면, 충돌 발생 19분 25초 전, 시스템은 오퍼레이터에게 ADS가 해제된다고 경고했고, 3초 안에 제어권을 가져가도록 알렸다. 당시, 오퍼레이터는 태블릿에 ADS 해제에 대해 태그를 했다. 10초 뒤, 충돌 발생 19분 12초 전, 오퍼레이터는 ADS를 다시 활성화 시켰다. 충돌 발생까지 남은 주행 과정에서 오퍼레이터는 태블릿을 건드리지 않았고, HMI 역시 오퍼레이터의 인풋을 요구하는 어떠한 정보도 표시하지 않았다.

 

1.9 Interaction between Volvo ADAS and ATG ADS

볼보의 XC90이 수동 모드로 작동될 때(오퍼레이터가 주행), 모든 볼보의 ADAS는 활성화되고 설계 의도대로 동작한다. 그런데 자율주행 모드일 때는, 모든 볼보의 ADAS가 자동적으로 해제된다. 안전벨트 프리텐셔너 같은 능동 안전 기술과 에어백은 그대로 작동한다.

1.10 Crash History of the ATG Fleet of ADS-Equipped Vehicles

2016년에서 2018년까지 37건의 충돌 사고가 있었고 대부분 자율주행 모드 중에 발생하였다. 이 중 33건은 다른 차량이 ATG 평가 차량을 들이 받는 사고였고 이중 25건은 rear-end 충돌, 나머지 8건은 측면 충돌이었다. 전체 중에 오직 2건만이 ATG 차량이 가해 차량인 사고였다.

 

1.11 Postcrash Changes

충돌 사고 직후 ATG는 미국 모든 지역에서 실도로 평가를 중단했고, 8일 후인 3월 26일 애리조나 주지사는 애리조나 주에서 ATG의 ADS 실도로 평가 권한을 잠정 박탈했다. 같은 해 12월 20일, ATG는 실도로 평가를 재개할 수 있었으나 그 지역은 우버 ATG의 본사가 있는 펜실베니아 주 피츠버그 시의 1mile-loop로 제한되었다.

사내 안전 문화와 잠재적인 안적 측면 결함을 조사하는 과정의 일부로, 우버는 내부 감사와 외부 컨설팅을 진행했다. 더욱이, ATG 임원들이 참석한  조사 위원회에서, NTSB 조사관들은 조사 과정에서 다뤄지지 않았던 추가적인 안전 관련 이슈들에 대해서 지적하였고, 마침내 충돌 사고 전과 대비하여 기술적인 부분과 운행 관련 부분에 있어 많은 변화들이 반영되었다. 그들 중 주요 내용은 아래와 같다.

 - Volvo ADAS : 볼보의 ADAS 중 일부는 자율주행 모드에서도 활성화 된다. 특히, AEB와 FCW와 같은 보행자 감지 능력과 관련된 것들은 수동주행이든 자율주행이든 항상 활성화 시켰다. ATG는 ATG가 장착한 레이더가 ADS를 지원하는 주기에 변화를 주었다. 이 레이더들은 볼보 ADAS 기능에 간섭을 하지 않게 되었다. 또한, 볼보와 의논하여 볼보의 ADAS와 ATG의 ADS가 모두 제동 명령을 내리는 상황에서 우선 순위를 정했다. 어떤 명령을 따를 것인지에 대한 우선 순위는 당시 특정 상황 조건에 따라 달라진다.

 - Handling of Emergency Situation : ATG는  더 이상 1.6.2에 언급된 action suppression을 적용하지 않기로 했다. 긴급 상황이 오면, 시스템은 충돌을 막지 못할지라도 설계 의도를 넘어선 최대 제동을 수행한다. ATG는 jerk rate를 20m/s^3까지 상향하였다. NTSB 조사관들에 질문에 대해, ATG는 현재 25mph 규정 평가 속도하에서는 action suppression을 제거함으로 인해 발생한 의도되지 않은 결과(false alarm)는 없었다고 밝혔다.

 - Path Prediction : ATG는 ADS가 감지한 물체의 이동 경로를 예측해내는 방식을 변경했다(섹션 1.6.1). 추종했던 물체의 이전 위치는 그 물체의 분류 카테고리가 바뀔 지라도 계속 경로 예측 과정에서 고려되게 된다. 경로 예측은 (1) 해당 물체의 분류 카테고리와 그에 따른 가능한 모든 고유 목적(goal) (2) 이전 모든 위치 이 모든 것을 바탕으로 진행한다.

 - Impact of the Changes : NTSB 조사관들은 이러한 ADS의 변화가 불러올 영향에 대해 설명하도록 요구했다. ATG는 2018년 사고 당시 센서들이 얻은 값을 가지고 위와 같은 업데이트 된 로직에 대입하여 시뮬레이션을 실시하였다. 그 결과 새로운 s/w는 88m 전방, 충돌 예상 4.5초 전에 그 대상을 보행자로 인지하였으며 차량과 충돌할 수 있는 경로로 움직이고 있다고 판단했다. 그래서 충돌 예상 4초 전에 제동을 실시할 수 있었다.