관문으로서의 시뮬레이션: 물리적 세계 이전의 검증

성숙한 자율 시스템 공학은 모두 같은 원칙으로 수렴합니다. 물리적 세계는 어떤 역량이 작동하지 않는다는 사실을 발견하기에 최악의 장소라는 것입니다. 비싸고, 느리고, 위험하며, 비행하거나 항해하거나 인프라에 작용하는 시스템의 경우 현장에서 발견된 오류는 되돌릴 수 없는 결과를 낳을 수 있습니다. 항공우주와 국방 산업은 수십 년에 걸쳐 이것을 배웠고, Zendrix는 같은 규율 — 하드웨어 인 더 루프, 고충실도 시뮬레이션 검증, 숫자에 의한 승인 — 을 자율 운영용 지능 인프라 개발에 적용합니다.

이 글은 그 시뮬레이션 관문이 우리의 공학 실무에서 무엇을 의미하는지 방법 수준에서 설명합니다. 실제 시험에 반대하는 선언문이 아닙니다. 실제 시험이 가치를 가지려면 시뮬레이션이 먼저 자기 일을 끝내야 하는 이유에 대한 설명입니다.

고충실도 시뮬레이션은 애니메이션이 아닙니다

흔한 오해가 있습니다. 시뮬레이션은 모든 것이 작동하는 이상화된 세계이므로 증명하는 바가 적다는 것입니다. 유용한 시뮬레이션은 그 반대입니다. 세계를 어렵게 만드는 바로 그것을 모델링합니다.

Zendrix의 시뮬레이션 환경에서 차량 동역학은 관성, 액추에이터 포화, 응답 지연을 포함한 측정된 매개변수로 근사됩니다. 통신은 패킷 손실, 가변 지연, 상태 노화와 함께 모델링됩니다. 에이전트는 현장에서 받았을 것처럼 지연되고 불완전한 정보를 받습니다. 센서는 잡음, 드리프트, 부분 고장이 있는 판독값을 생성합니다. 배터리는 소진됩니다. 링크는 끊깁니다. 바람은 존재합니다.

충실도에는 정확한 인식론적 목적이 있습니다. 어떤 역량이 올바른 어려움을 담은 시뮬레이션 환경에서 살아남는다면, 그 역량이 생성하는 증거는 알려진 여유를 가지고 실제 세계로 이전됩니다. 이상화된 환경에서만 살아남는다면 그 증거는 아무 가치가 없습니다. 그래서 시뮬레이션의 품질은 그래픽의 매끄러움이 아니라 불완전함의 정직함으로 측정됩니다.

결정론: 같은 질문, 같은 답

검증 관문은 재현성을 요구합니다. 오늘 통과하고 내일 원인 없이 실패하는 시험은 아무것도 검증하지 못하며 위로만 줍니다. 그래서 Zendrix의 시뮬레이션 환경은 설계상 결정론적입니다. 같은 난수 시드와 같은 시나리오가 주어지면 시스템의 전체 궤적이 센서 잡음과 패킷 손실을 포함해 비트 단위로 재현됩니다.

결정론은 인위성을 의미하지 않습니다. 무작위성이 통제된다는 의미입니다. 잡음은 존재하지만 재현 가능합니다. 이것은 비결정론적 시험이 불가능하게 만드는 규율을 가능하게 합니다. 의심스러운 행동이 나타나면 재실행하고, 격리하고, 진단할 수 있습니다. 수정이 이루어지면 문제를 드러낸 바로 그 시나리오에 대해 검증할 수 있습니다. 또한 시드를 체계적으로 바꾸어 결과가 단일 시나리오의 운이 아님을 보장할 수 있습니다. 시드에 의존하는 견고성은 견고성이 아닙니다.

측정된 하한: 승인은 형용사가 아니라 숫자입니다

방법의 세 번째 조각은 문화적으로 가장 중요합니다. 측정 이전에 정의되고 이후에 결코 완화되지 않는 정량적 승인 기준입니다.

관문을 통과하는 각 역량은 하한을 지닙니다. 시뮬레이션 환경에서 도달해야 하는 최소 측정 가능 값입니다. 최대 드리프트 이하의 항법 정밀도, 선언된 한계 내의 통신 고장 대응 시간, 부분 격추 상황에서 일정 수준 이상의 조정 역량 유지율. 하한은 시스템이 실제로 도달하는 것에 대한 정직한 측정에서 설정되고, 그런 다음 요구사항으로 동결됩니다. 코드 변경이 하한을 떨어뜨리면 관문은 닫힙니다. 그 변경은 통과하지 못합니다.

이 규율에는 우리가 받아들이는 인기 없는 따름정리가 있습니다. 시스템이 하한에 도달하지 못하면 올바른 대응은 시스템을 개선하는 것이며, 결코 하한을 낮추는 것이 아닙니다. 결과에 맞춰 조정되는 승인 기준은 기준이기를 그치고 장식이 됩니다. 이전 발행물에서 설명한 Zendrix의 증거 문화가 여기에서 가장 구체적인 형태로 적용됩니다. 측정되지 않은 것은 선언되지 않고, 측정되었으나 하한에 도달하지 못한 것은 공표되지 않습니다.

반연극 통제: 시스템은 관문을 속일 수 없습니다

진짜 검증과 연극적 검증을 가르는 미묘함이 있습니다. 관문은 속임수로 통과하는 것이 불가능할 때만 가치가 있습니다. 기계학습 시스템은 특히 정교한 속임수에 취약합니다. 올바른 답을 산출하는 추론을 수행하지 않고 정답과 상관관계를 맺기, 일반화 대신 시나리오 암기, 시험 환경의 정보 누출 악용 등입니다.

그래서 Zendrix의 시뮬레이션 환경에는 설계상 음성 통제가 포함됩니다. 시스템이 정답을 맞히기를 요구하는 모든 시험에 대해, 그럴듯한 사기꾼이 실패할지 검증하는 거울 시험이 존재합니다. 비활성 에이전트가 하한을 통과하는가? 기본 동작만 반복하는 시스템이 지표에 도달하는가? 현장에서만 사용 가능해야 할 정보가 시뮬레이션의 계획기에 새는가? 사기꾼이 관문을 통과한다면 관문이 문제이며, 관문을 고치는 것이 통과를 축하하는 것보다 먼저입니다.

이러한 통제는 학문적 편집증이 아닙니다. 자율 시스템이 검증되었다고 주장하는 것과 검증되었음을 아는 것의 차이입니다. 국방 인프라에서 두 번째 태도만이 허용됩니다.

하드웨어 인 더 루프: 비행 전의 총연습

관문의 마지막 단계는 하드웨어 인 더 루프 시뮬레이션입니다. 실제 운용 소프트웨어 — 언젠가 물리적 하드웨어를 지휘할 바로 그 코드 — 가 차량의 충실한 시뮬레이터에 대해 실행되며, 실제 장비와 주고받을 것과 같은 메시지, 같은 형식, 같은 지연으로 통신합니다. 유일한 차이는 아무것도 이륙하지 않는다는 것입니다.

HIL의 가치는 위험의 한 범주를 통째로 제거한다는 것입니다. 검증 소프트웨어와 운용 소프트웨어가 실험실에서는 일치하지만 현장에서는 갈라지는 서로 다른 시스템이라는 위험입니다. Zendrix의 관문에는 특권적인 “시험 모드”가 존재하지 않습니다. 시뮬레이션을 통과하는 시스템이 현장에 갈 시스템이며, 실제 운용 모드는 명시적이고 기록된 결정에 의해서만 활성화되고, 결코 사고나 기본값으로 활성화되지 않습니다.

관문이 보호하는 것

시뮬레이션 관문은 동시에 세 가지를 보호합니다. 운영을 보호합니다. 미성숙한 것은 아무것도 현장에 도달하지 않습니다. 기관을 보호합니다. 승격 결정이 감사 가능하며, 숫자가 기록되고 기준이 동결됩니다. 그리고 공학의 내부 진실을 보호합니다. 측정된 증거로만 역량을 승격하는 팀은 가장 위험한 부채, 즉 자기 역량에 대한 거짓 믿음을 축적하지 않습니다.

이것이 Zendrix가 무인 시스템을 포함한 미래의 자율 운영을 위한 기술 기반을 구축하는 방식입니다. 물리적 세계를 과정의 끝에 두고, 결코 처음에 두지 않습니다. 시뮬레이션은 현장 검증을 대체하지 않습니다. 시뮬레이션은 현장 검증을 안전하고, 저렴하고, 그 이름에 걸맞을 만큼 정직하게 만드는 것입니다.