전장 도메인의 경우에는 자동차가 급발진과 관련된 문제가 있어 전 세계적으로 1,000만대 이상 리콜 된 사건이 있다. 사건 발생 이후 미국의 도로교통안전국(National Highway Traffic Safety Administration; NHTSA)은 차량 기능이 제대로 작동하지 않아 의도하지 않은 가속을 방지하기 위해 토요타에게 안전성에 관련된 시스템을 요구하였다.

이후 토요타에서는 사람이 제어 하지 않아도 부품의 기능이 우선 동작하는 브레이크 오버 라이드 시스템(Brake Override System)을 도입하였다. 브레이크 오버 라이드 시스템은 브레이크를 작동시키면 엑셀 조작에 대한 전자적 입력 값을 완전히 무시한다[7]. 다시 말해서 브레이크를 밟지 않고 엑셀을 밟아도 브레이크를 우선순위로 두는 시스템이다. <표 1>은 브레이크 오버 라이드 시스템을 설명하기 위해 자동차의 기능들과 작동 여부를 나타냈다[10].

bp는 brake pedal, ap는 accelerator pedal, cc는cruise control, bc는 brake command, tc는 throttle command, bc’는 guarded brake command. tc’는 guarded throttle command을 의미한다. 여기서 throttle은 엔진에 동력을 주는 장치로 엑셀을 밟으면 작동된다. cc는 현재 자율주행자동차에 탑재되어 있는 기능이지만 안전성과는 관련이 없다고 판단하여 제외되었다.

표 안의 숫자들은 각각의 시나리오에 맞추어 작성된 프로세스이다. 아래는 표를 작성하기 이전 작성된 시나리오를 나타낸다.

• 앞에 물체가 있는 상황에서 엑셀과 브레이크 2가지 발판을 모두 밟는 상황

• 급경사인 구간에서 엑셀만 밟아 차에 가속이 붙은 상황

• 주행 중에 엑셀과 브레이크 2가지 기능 모두 작동하지 않는 상황

이와 같은 3가지 시나리오에서 기존의 전장 시스템은 단순히 명령 신호에 맞추어 작동을 한다. 하지만 브레이크 오버라이드 시스템을 도입하면서 bc'는 항상 1로 작동하고 tc'는 0으로 작동이 정지되어 자동차가 멈추게 된다. 여기서 ap와 bp는 입력을 의미하고, bc와 tc는 출력을 나타낸다. 여기에 브레이크 오버라이드 시스템을 도입하여 기존의 출력 신호인 bc와 tc를 bc'와 tc'로 강화하였다.

<그림 2>를 보면 ap를 1 bp를 0으로 입력하여 tc가 1 bc가 0으로 입력될 때 tc'와 bc'가 어떤 원리로 작동되는지 논리 기호를 통해 보여주고 있다.

앞서 설명한 IEC 80601-2-77의 경우에는 국제 표준으로 발표 되었지만 아직 개정 진행 중이고 국내에는 적용되지 않았다. 따라서 본 논문은 기존의 사용하던 국내 수술용 로봇의 평가 방법을 사용한다. <표 2>는 기존의 수술용 로봇의 주요 평가 항목 중 안전 관련 항목만을 가져와 구성되었다[11].

각 평가 항목 중 생체 적합성(Biocompatibility)은 인체와 접촉하는 부분을 구성하는 재료 및 재질이 적합한지 판단 한다[12]. 비상 정지 버튼(Emergency Button)은 수술 도중 위험할 경우 강제로 동작을 멈추게 하는 수동 정지버튼이다. 구동 토크 제한(Drive Torque Limit)은 힘을 전달하는 토크 센서에다가 제한을 두어 일정한 힘 이상으로 전달이 되지 않게 한다. 동력 손실 시 안정성(Stability in Power loss)은 수술용 로봇이 수술 도중 갑작스럽게 멈추는 경우 환자에게 영향이 가지 않은 위치에서 멈추게 하는 항목이다. 위험 식별 장치(Hazard identification Device)는 수술용 로봇의 충돌이나 진동을 감지하는 장치로 의사가 비상 정치 버튼의 사용여부를 결정하는데 도움을 준다. 마지막으로 전원 장애 대처(Power Failure Coping)는 비상상황 시 전원장애에 대처하기 위한 장치를 의미한다.

본 논문에서는 수술용 로봇의 안전 평가 항목 중 에서 비상 정지 버튼(Emergency Button)과 위험 식별 장치(Hazard identification Device)를 사용하여 연구를 진행했다.

FLS는 미국 외과 수술 위원회(American Board of Surgery; AB of S)의 승인을 받은 시험으로 의사들에게 수술용 로봇을 사용하는데 필요한 숙련도를 높임으로써 안전성을 확보한다[13]. FLS는 엔드 이펙터를 기반으로 진행되며 <표 3>과 같이 5가지 Task로 구성된다.

첫 번째 Task는 왼쪽 6개, 오른쪽 6개로 구분된다[14]. 못을 의미하는 Peg를 총 12개 중에서 왼쪽 6개 에다 블록들을 꽂는다. 이후 왼쪽 6개의 꽂혀있는 블록을 오른쪽 6개의 Peg로 옮겼다가 다시 왼쪽으로 다시 옮기는 시험이다. 블록이 시야 밖으로 벗어나거나 수행시간이 300초가 초과할 경우 실격 처리 된다. <그림 3>은 FLS에서 사용되는 페그 태스크(Peg Task) 모델을 나타낸다[15].

두 번째 Task는 가위로 구성된 엔드 이펙터를 4x4(10cmX10cm) 거즈(Gauze)에 그린 원 모양을 자르는 과정을 평가하는 시험이다. 원 경계선 밖을 자르거나 수행시간이 300초를 초과하면 실격 처리된다. 세 번째 Task는 표시된 루프를 자른 다음 실로 매듭짓는 과정을 평가하는 시험으로 제한 시간 180초가 넘어가면 실격 처리 된다. 네 번째와 다섯번째 Task는 고무 튜브인 Penrose Drain에 2개의 표시에 맞추어 봉합하는 과정을 평가하는 시험이다. 2가지 Task는 Penrose Drain의 구조와 매듭 방법이 다르다. 네 번째와 다섯 번째 Task의 경우에는 약 400초의 제한시간을 초과하게 되면 실격 처리 된다.

앞서 설명한 브레이크 오버 라이드 시스템의 경우에는 평가표와 프로세스를 구성하기에 앞서 시나리오를 구성했다. 따라서 본 논문은 브레이크 오버라이드 시스템의 프로세스와 같이 엔드 이펙터의 안전 평가표와 프로세스를 구성하기 위해 시나리오를 작성했다. 서론에서 언급했듯이 현재 엔드 이펙터의 안전성과 관련된 연구는 원활히 진행되고 있음에도 불구하고 담당 의사의 미숙한 숙련도로 인해 안전사고가 발생한다. 따라서 엔드 이펙터를 기반으로 한 연구 중에서 의사의 숙련도와 가장 연관이 깊은 FLS의 5가지 Task를 기반으로 시나리오를 구성했다.

먼저 FLS의 5가지 Task를 분석했고 결과는 아래와 같이 3가지 항목으로 구분될 수 있다.

• Task 1 -> 엔드 이펙터로 물체를 집어 신속하고 정확하게 해당 위치로 옮길 수 있는가

• Task 2 -> 엔드 이펙터로 신속하고 정확하게 해당 위치를 절단할 수 있는가

• Task 3, 4, 5 -> 엔드 이펙터로 찢어진 부위를 신속하고 정확하게 매듭을 지을 수 있는가

3가지 항목의 Task 1, 2, 3은 엔드 이펙터의 각각 다른 기능을 다룰 수 있는지 평가한다. 이후 Task 3, 4, 5의 경우에는 평가하는 방법이 다를 뿐 공통적으로 찢어진 부위를 매듭을 지을 수 있는지의 여부를 파악한다. 따라서 위와 같이 5가지 시나리오를 3가지 항목으로 구분하였다. 시나리오는 위 3가지 항목 중에서 각각 1가지 항목을 기반으로 1개씩 작성했다. 작성한 시나리오는 총 3가지이며 <표 4>와 같다.

Task 1에서 블록을 옮기는 과정을 분석해보면 총 12번의 작업을 한다. 12번의 작업은 FLS의 기준으로는 300초 이내에 수행하고 최근 들어 사용되고 있는 수술용 로봇의 엔드 이펙터는 48초 이내에 작업을 마친다. 12번의 작업을 1번으로 변환시켜 계산해보면 작업 당 약 4 ~ 25초의 시간이 걸린다. 본 논문은 FLS의 제한시간은 안전성을 확보할 수 있는 시간이 아닌 최소의 성능을 맞춘 시간으로 판단했다. 따라서 FLS의 기준보다 높은 기준인 작업 당 14초의 시간으로 맞추어서 시나리오 a 항목을 구성하였다.

다음으로 Task 2를 분석한 결과는 4 x 4(10cm X 10cm) 거즈 안에 그려진 원의 지름은 5cm의 길이를 가진다. 원의 둘레를 계산해보면 5Π로 약 15cm의 길이를 가진다. Task 2의 제한시간은 300초이고 최근에 사용되는 엔드 이펙터의 경우에는 90초 이내에 작업을 마친다. 원의 둘레를 15cm로 보고 앞의 시간을 1cm 기준으로 계산하면 1cm의부위를 자르는데 약 6 ~ 20초의 시간이 걸린다. b 항목도 시나리오 a 항목을 구성한 것처럼 FLS와 최근 많이 사용되는 엔드 이펙터 성능 사이의 기준으로 판단했다. 따라서 시나리오 b 항목은 엔드 이펙터가 장기를 자르는데 1cm당 13초를 초과할 수 없도록 구성했다.

마지막으로 Task 3, 4, 5의 경우에는 벌어지거나 찢어진 부위를 실로 매듭 지어 봉합하는데 제한시간이 400초가 걸리고 최근에 사용되는 엔드 이펙터는 평균적으로 100초 이내에 Task 3을 수행한다. 따라서 시나리오 c 항목의 경우에는 엔드 이펙터를 통하여 벌어진 부위를 매듭짓는 시간이 100 ~400초이기 때문에 그 중간인 250초를 넘기지 않도록 했다.

이후 안전 평가 프로세스의 기반이 되는 안전 평가표를 구성했다. 안전 평가표는 앞서 설명한 시나리오와 수술 평가 항목 중 HI(Hazard IdentIfIcation Device)와 EB(Emergency Button)를 기반으로 구성했다. 안전 평가표를 구성하기에 앞서 설명한 브레이크 오버 라이드 시스템에서는 프로세스가 어떤 방식으로 구성 되었는지 분석했다. 브레이크 오버 라이드 시스템은 자동차가 시나리오와 같은 상황에 부합되면 항상 Guarded Brake Command 기능이 작동하도록 구성하여 사람의 제어 없이 자동적으로 브레이크가 동작한다.

본 논문의 안전 평가표는 앞서 설명한 브레이크 오버 라이드 시스템의 Guarded Brake Command 기능을 수술용 로봇의 안전 평가 항목으로 적용했다. 우선 안전 평가표에 적용하기에 앞서 기존의 수술용 로봇 안전 평가 항목을 분석했다. 수술용 로봇의 안전 평가 항목은 HI와 EB 외에 나머지 5가지 항목의 경우에는 안전사고 대처를 사전에 예방하기 위해 구성된 항목이다. 반면에 HI와 EB는 사후에 일어나는 사고를 예방하는 항목으로 예기치 못한 안전사고를 즉각 예방하기에 가장 적합한 항목이다. 따라서 본 논문은 안전 평가표의 HI와 EB가 브레이크 오버 라이드 시스템의 Guarded Brake Command 역할을 하도록 구성했다.

이후 FLS의 5가지 Task의 경우에는 평가 방법을 단순히 순서대로 구성했기 때문에 제안하는 안전 평가표의 각각의 시나리오도 우선순위를 두지 않았다. 따라서 수술용 로봇의 안전 평가표는 특별한 가중치 값을 두지 않고 작성한 시나리오가 부합하는 개수에 따라 HI와 EB의 작동여부를 결정한다. <표 5>는 본 논문에서 제안하는 수술용 로봇의 안전 평가표를 나타낸다.

a, b, c는 엔드 이펙터의 시나리오 3가지를 의미하고 0일 경우에는 시나리오에 부합되지 않는 상황으로 엔드 이펙터에 문제가 없음을 의미한다. 이와 반대로 1일 경우에는 시나리오에 부합되는 상황으로 엔드 이펙터에 문제가 있음을 의미한다. 앞서 설명했듯이 HI는 위험 식별 장치(Hazard identification Device) EB는 비상 정지 버튼(Emergency Button)으로 0일 경우에는 작동하지 않고 1일 경우에는 작동한다.

엔드 이펙터의 안전 평가표에서 HI와 EB를 독립적으로 사용하지 않고 연동하는 이유는 두 가지가 있다. 첫 번째로는 현재 EB를 사용하려면 수술용 로봇에서 수동으로 버튼을 눌러야 작동 가능하기 때문에 EB를 자동화하기 위해서는 HI와 연동하여 사용해야 한다. 두 번째로 EB는 엔드 이펙터의 작동을 멈추는 기능이기 때문에 위험을 식별하여 의사에게 알려주는 HI보다 신중하게 작동해야 한다. 따라서 EB의 경우에는 HI와는 달리 독립적으로 작동할 수 없다.

<표 5>를 보면 a, b, c 중에서 한 가지 항목도 시나리오 기준에 부합되지 않으면 HI와 EB는 작동되지 않는다. 하지만 항목 중 하나라도 기준에 부합하게 되면 HI가 작동하여 담당의에게 경고 상황임을 알려준다. 하지만 EB는 작동하지 않아 수술용 로봇이 멈추지 않는다. 만약, 2가지 이상 항목이 시나리오 기준에 부합하게 되면 HI가 작동하여 의사에게 로봇이 곧 멈출 것임을 알려준다. 이후 자동으로 EB가 작동하여 수술용 로봇의 엔드 이펙터는 정지한다.

이후 구성한 엔드 이펙터의 안전 평가표를 기반으로 논리 기호를 사용하여 안전 평가 프로세스를 구성하였다. 엔드 이펙터의 안전 평가 프로세스를 구성한 이유는 브레이크 오버 라이드 시스템과 같이 각각의 시나리오에 대한 프로세스를 통하여 안전 평가표가 논리적으로 구성되었는지 확인하기 위함이다.

안전 평가 프로세스는 총 3가지로 구분되며 구성하는 과정에서 안전 평가표를 각각 시나리오에 부합되는 경우로 정렬하였다. 다음은 정렬한 항목을 나타낸다.

• a = 1 : (1, 0, 0) (1, 1, 0) (1, 0, 1) (1, 1, 1)

• b = 1 : (0, 1, 0) (1, 1, 0) (0, 1, 1) (1, 1, 1)

• c = 1 : (0, 0 ,1) (1, 0 ,1) (0, 1, 1) (1, 1, 1)

이후 프로세스를 구성하였는데 <그림 4>의 프로세스 ①는 시나리오 a = 1 인 경우를 기반으로 구성하였다. 나머지 ②, ③ 시나리오는 차례대로 b = 1, c = 1 경우를 기반으로 구성하였다. 안전 평가 프로세스는 <그림 4>와 같다.

3가지 프로세스는 각각 시나리오별로 입력되면 HI = 1, EB = 0 일 때와 HI = 1, EB = 1 일 때 총 2가지로 동일하게 출력하는 형태로 구성했다. 프로세스에서 출력된 결과를 보면 HI가 독립적으로 실행되는 경우와 EB와 연동되어 실행하는 경우 모두 논리기호에 맞추어 구성되는 것을 확인했다.

본 논문에서 제안하는 엔드 이펙터의 안전 평가 표와 프로세스는 시나리오에 부합하는 상황일 때 HI와 EB를 통해 수술용 로봇의 엔드 이펙터를 정지하여 안전사고를 방지할 수 있다.