1. 서 론
1970년대 이후 산업구조의 고도화와 정보통신기술의 발전에 따라 도시화가 급격히 진행되었으며, 이에 따라 대형화⋅고층화된 복합 건축물이 전국적으로 확대되었다. 이러한 건축 환경의 변화는 건축물 내 화재 발생 가능성을 높이는 다양한 위험요소를 내포하게 되었고, 화재로 인한 인명 및 재산 피해를 최소화하기 위한 소방안전 확보의 중요성은 지속적으로 증가되었다.
이와 같은 사회적 변화에 대응하기 위하여 건축물에 설치되는 소방시설 역시 관⋅산⋅학의 연구와 기술 개발을 통해 점진적으로 고도화되어 왔으며, 기존 아날로그 중심의 설비는 디지털 기반 시스템으로 전환되어 화재 감지 및 대응 성능의 향상에 기여하고 있다(1-5). 특히 자동화재탐지설비를 중심으로 한 디지털화는 설비 상태의 정확한 인지와 신속한 경보 전달을 가능하게 하여 건축물의 소방안전 수준을 향상시키는 핵심 요소로 기능하고 있다.
그러나 디지털화된 소방설비라 하더라도 전기⋅기계적 장치로 구성되는 특성상 경년화에 따른 기능 저하나 오동작 발생 가능성이 증가되기에, 건축물의 관계인은 이러한 현상이 발생하지 않도록 설비의 정상적인 기능을 유지하기 위하여 ｢소방시설 설치 및 관리에 관한 법률 시행규칙｣에 근거한 소방시설 자체점검 등을 수행하고 있다(6,7). 그럼에도 불구하고 주거환경과 건축물의 노후화로 인한 설치 환경의 급격한 변화는 비화재보(非火災報) 및 이에 따른 기계적 오동작의 발생 가능성을 증가시키는 요인으로 작용한다(8). 이로 인해 관계인이 점검 및 복구를 수행하는 과정에서는 일정 시간 동안 화재 감시에 공백이 발생할 수 있으며, 이러한 공백은 실제 화재 발생 시 초기 대응의 지연으로 이어질 수 있기에 안전관리상의 문제로 인식되고 있다(9).
이러한 문제를 보완하기 위한 기술적 시도로서, 최근 일부 학계 및 산업계 차원에서는 소방시설의 효율적 안전관리를 목적으로 수신기의 외부 연계 또는 운용 방식의 확장을 통해 원격 기반으로 설비 상태를 확인하거나 제한적인 제어를 수행할 수 있는 소방관제시스템(이하 ‘소방관제시스템’이라 한다)을 검토⋅적용하려는 시도가 나타나고 있다(10-12). 이러한 시도는 오동작 발생 시 관계인이 점검 및 복구를 보다 효율적으로 수행하고, 그 과정에서 발생할 수 있는 화재 감시 공백을 최소화하려는 실무적 필요성에 기반한 것으로 이해할 수 있다. 그러나 이와 같은 방식은 ｢수신기의 형식승인 및 제품검사의 기술기준｣과 『수신기의 형식승인 및 제품검사의 기술기준 및 시험세칙』(13,14)에 따라 사전에 승인된 구조와 기능을 전제로 운용되는 형식승인 제도의 체계와 충돌할 소지가 있으며, 형식승인 대상 장비에 대한 구조적⋅기능적 변경을 수반할 경우 현행 소방시설 법령 및 형식승인 제도와의 정합성 문제를 야기할 수 있다(15). 이처럼 소방시설의 원격 기반 운용을 확대하려는 기술적 시도는 사회적⋅기술적 필요성을 배경으로 점차 증가하고 있으나, 원격접근을 포함한 원격제어(이하 ‘원격제어’라 한다)를 수행하는 과정에서 요구되는 접근 주체, 제어 범위, 인증 방식, 세션 관리와 같은 관리⋅통제 요소에 대한 명확한 기준은 아직 체계적으로 마련되어 있지 않다. 이러한 관리⋅통제 기준이 정립되지 않은 상태에서 원격제어 기능이 적용될 경우, 기존 안전관리의 한계를 보완하기보다는 비인가 접근, 오⋅조작, 책임소재 불명확성과 같은 새로운 유형의 위험을 초래할 가능성도 배제하기 어렵다(16).
따라서 소방관제시스템에 대해서는 원격제어의 기술적 구현 가능성만을 근거로 기능 도입 여부를 판단하기보다는, 원격제어가 수행되는 상황을 전제로 해당 기능이 시스템의 안전성과 신뢰성을 저해하지 않도록 하기 위한 성능기준의 체계적인 검토와 정립이 필요하다.
이에 본 연구는 원격제어 수행 과정에서 시스템의 안전성과 신뢰성이 유지될 수 있도록 하기 위하여, 접근 주체, 제어 범위, 인증 방식, 세션 관리와 같은 관리⋅통제 요소에 초점을 두고 소방관제시스템 구성장치가 갖추어야 할 성능기준(안)을 도출하고자 수행되었다. 이를 위하여 국내 소방관계법령과 함께 국외 기술기준인 NFPA 72 및 PD CLC/TS 50136-10을 대상으로 원격접근 및 원격제어와 관련된 요구사항을 비교⋅분석하였으며, 각 기준에서 제시하는 관리⋅통제 요구사항이 어떠한 논리적 구조로 체계화되어 있는지를 검토하였다. 이러한 분석 결과를 바탕으로 국내 형식승인 제도의 구조적 특성을 고려한 소방관제시스템 구성장치의 성능기준(안) 마련 방향을 제시하고자 한다.
2. 소방관제시스템 원격제어 기능에 대한 국내외 기술기준 비교분석
본 장에서는 소방관제시스템의 원격접근 시 요구되는 기술적 안정성과 제도적 정합성을 확보하기 위한 기초 검토로서, 현재 국내에 적용되고 있는 『자동화재탐지설비 및 시각경보장치의 화재안전기술기준(NFTC 203)』, 『화재안전성능기준(NFPC 203)』, 『수신기의 형식승인 및 제품검사의 기술기준 및 시험세칙』을 중심으로 관련 규정을 면밀히 검토하였다(17,18). 아울러 해당 기술이 국제적으로도 정합성을 가질 수 있도록, 국외 기술기준인 NFPA 72와 PD CLC/TS 50136-10을 대상으로 원격접근 및 관리⋅통제 요구사항에 대한 비교⋅분석을 함께 수행하였다.
2.1. 소방관제시스템 원격제어 기능에 대한 국내 기술기준 분석
소방관제시스템의 원격제어 기능은 수신기를 기반으로 한 감지 및 경보 체계의 확장 개념으로, 신속한 화재 대응과 원거리에서의 설비 상태 확인 및 통제가 가능한 체계로 기술적 주목을 받고 있다. 그러나 현재 국내에서는 해당 기능이 실질적으로 운영되고 있지 않으며, 관련 기능을 명시적으로 허용하거나 정의하는 독립적인 성능 기준도 부재한 실정이다. 또한 현재까지 국내에서는 원격제어 기능이 실질적으로 구현된 소방관제 체계가 상용화된 사례는 확인되지 않고 있으며, 관련 기술은 일부 산업체 수준에서 제한적으로 개발 또는 시험 적용 중인 단계에 머물러 있다.
현행 관련 기술 기준으로는 『자동화재탐지설비의 화재안전기술기준(NFTC 203)』, 『자동화재탐지설비의 화재안전성능기준(NFPC 203)』, 『수신기의 형식승인 및 제품 검사의 기술기준(2024-8호)』, 『수신기의 형식승인 및 제품 검사 시험 세칙(2023년 12월 7일)』 등이 있으며, 이들 기준 중 일부는 수신기와 외부 저장 장치 또는 컴퓨터 간의 접속을 허용하거나 데이터 복사 및 출력 기능을 인정하는 조항을 포함하고 있어, 기술적으로는 외부 접속 기반의 정보 접근 및 연동 가능성을 간접적으로 시사하고 있다. 그러나 이러한 조항은 어디까지나 기록 장치 기능에 국한된 사항으로, 외부에서 수신기의 동작을 제어하거나 상태를 변경하는 원격제어 기능 그 자체를 허용하거나 규정한 것은 아니다. 특히 『NFTC 203』과 『NFPC 203』은 원격제어나 통신 기반 제어와 관련된 기능 또는 용어 자체가 명시되어 있지 않다. 이와 같은 각 기술 기준별 원격제어 관련 조항의 구조와 범위는 Table 1과 같다.
Table 1
Analysis of Remote Control Functions According to Domestic Fire Safety Standards
이와 같이 현행 기준은 수신기에 대한 외부 접근을 일부 허용하는 수준에 머무르고 있으며, 제어 기능, 통신 보안, 인증 절차, 명령 처리 방식 등에 대한 성능 요건이나 구현 규정은 부재하다. 또한, 수신기와 같은 형식 승인 대상 장비에 대해 외부 통신 모듈이나 네트워크 기능을 탑재하는 경우, 현행 고시 기준과의 정합성 문제 또는 불인정 가능성이 존재하므로 기술 구현 가능성과 제도적 적용 가능성 간 괴리가 발생할 수 있다.
결론적으로, 현행 제도 하에서는 원격제어 기능이 명확히 허용되거나 구조적으로 뒷받침되는 근거는 없으며, 기술적으로 연동 가능성이 일부 존재하더라도, 이를 제도적으로 수용하거나 표준화할 수 있는 기반은 미흡한 실정이다.
2.2. 소방관제시스템 원격제어 기능에 대한 국외 기술기준 분석
2.2.1 NFPA 72(19)
미국의 NFPA 72는 소방관제시스템을 단일한 기술 기능이나 운영 편의의 관점에서 다루기보다, 화재안전시스템 전반의 신뢰성과 안전성을 유지하기 위한 구조적 관리 체계의 일부로 인식하고 있다.
이에 따라 원격제어와 관련된 요구사항을 물리적 보안과 접근, 시험 및 유지보수, 원격진단, 소프트웨어 업데이트, 보안 및 제어의 영역으로 구분하여 체계화하고 있으며, 이러한 구분은 원격제어 기능 자체를 허용하거나 제한하는 데 목적이 있기보다는, 접근 주체와 목적, 시스템 운영 단계별 위험 요인을 명확히 구분하여 관리하기 위한 논리적 틀로 이해될 수 있다. 즉, NFPA 72는 원격제어를 하나의 독립된 기능으로 규정하기보다는, 시스템의 물리적 환경과 접근 조건을 전제로 하여 운영 단계별로 발생할 수 있는 위험을 단계적으로 통제하고, 시험⋅유지관리 및 소프트웨어 변경 과정에서도 시스템의 무결성과 안전성이 훼손되지 않도록 하기 위한 구조적 기준을 제시하고 있다.
(1) 물리적 보안과 원격접근 및 통제에 대한 요구사항
NFPA 72에서는 물리적 보안과 접근 및 통제에 관한 요구사항을 원격제어의 전제 조건으로 기술하고 있으며, 이에 대하여 하드웨어 및 소프트웨어 측면에서 구분하여 제시하고 있다. 이러한 요구사항은 원격제어 기능의 적용 여부를 직접적으로 규정하기보다는, 원격접근이 이루어지는 시스템 환경이 외부 위협으로부터 적절히 보호되고 있는지를 사전에 확인하기 위한 기준으로 해석할 수 있으며, 관련 내용을 하드웨어 및 소프트웨어 관점으로 정리하면 Table 2와 같이 나타낼 수 있다.
Table 2
Details and Requirements for Physical Security and Access for Remote Control (Based on NFPA 72)
Table 2에서 보는 바와 같이, 하드웨어 측면에서는 화재경보 및 신호 시스템이 외부 네트워크 또는 공유 통신 경로와 연계되는 경우에도 다른 설비나 정보시스템의 데이터 전송으로 인해 경보 기능이나 시스템 성능이 저해되지 않도록 경계 보호(boundary protection) 조치를 적용하도록 요구하고 있으며, 네트워크 연결형 장비에 존재하는 미사용 물리적 데이터 포트에 대해서는 비활성화 또는 물리적 차단을 통해 비인가 접근을 방지하도록 규정함으로써, 원격접근 환경에서 발생할 수 있는 물리적 침입 가능성을 최소화하도록 하고 있음을 확인할 수 있었다.
소프트웨어 측면에서는 통신 인터페이스가 공중 접근이 가능한 네트워크에 연결되는지 여부에 따라 요구되는 보안수준을 산업제어시스템 보안 표준인 IEC 62443 시리즈에서 정의된 보안수준 체계인 Table 3(20)을 참조하여 차등 적용하고 있다. 구체적으로, 공중 접근이 가능한 네트워크에 연결되지 않은 경우에도 보안수준 2 (security level 2, SL2) 이상의 기본적인 보안 기능을 요구하고 있으며, 공중 접근이 가능한 네트워크에 연결되는 경우에는 인증 및 보호 기능을 강화하여 보안수준 3 (security level 3, SL3) 이상의 요구사항을 충족하도록 규정하고 있다. 또한 사이버보안 위험에 대해서는 주기적 또는 시스템 변경 시 위험 평가를 수행하고, 그 결과를 운영 및 유지관리 과정에 반영하도록 요구하고 있다.
Table 3
Security Levels (SL) and Attacker Characteristics (Based on IEC 62443 Series)(20)
이와 같이 NFPA 72에 제시된 하드웨어 및 소프트웨어 보안 요구사항은 원격제어 기능 자체를 허용하거나 제한하기 위한 기준이라기보다는, 원격접근⋅원격진단 및 유지관리 기능이 안전하게 수행되기 위해 충족되어야 할 시스템 환경적 전제 조건을 명확히 설정하는 데 목적이 있음을 보여준다.
(2) 테스트 및 유지보수를 위한 원격접근 시 요구사항
테스트 및 유지보수를 위한 원격접근시 요구되는 사항으로는 원격접근의 종료 방식, 세션 관리, 제어 범위, 접근 권한 방식으로 구분하여 기술하고 있으며, 이를 정리하면 Table 4와 같이 나타낼 수 있다.
Table 4
Details and Requirements for Remote Access for Testing and Maintenance Purposes (Based on NFPA 72)
Table 4에서 보는 바와 같이, 원격접근 연결은 원격 장치에서 수동으로 종료할 수 있는 수단을 제공하도록 기술하고 있으며, 일정 시간 이상 활동이 없는 경우에는 원격접근 세션이 자동으로 종료되도록 요구하고 있다. 또한 원격접근을 통해 수행되는 재설정, 경보 정지 및 비상 제어 기능은 시스템 전체에 대해 무제한적으로 허용되는 것이 아니라, 유지관리 대상이 되는 시스템의 일부로 적용 범위를 제한하도록 규정하고 있으며, 이러한 제어 기능은 권한이 부여된 서비스 인원만이 비밀번호 또는 제한된 접근 수단을 통해 수행할 수 있도록 함으로써, 원격접근의 주체와 인증 방식에 대한 통제를 명확히 하고 있음을 확인할 수 있었다.
이와 같이 테스트 및 유지보수 목적 원격접근 요구사항은 원격접근 기능을 독립적인 제어 수단으로 허용하기보다는, 사전에 확보된 시스템 환경적 전제 조건 하에서 제한적⋅관리적으로 활용되도록 설계된 통제 구조임을 보여 준다.
(3) 원격진단용 원격접근 시 요구사항
원격진단용 원격접근시 요구되는 사항으로는 연결 종료 방식과 세션 관리의 관점으로 구분하여 기술하고 있으며, 이를 정리하면 Table 5와 같이 나타낼 수 있다.
Table 5
Details and Requirements of Remote Access Methods for Software Updates (Based on NFPA 72)
Table 5에서 보는 바와 같이, 원격진단을 위한 원격접근이 이루어지는 경우 원격 장치에서 해당 연결을 수동으로 종료할 수 있는 수단이 제공되도록 기술하고 있으며, 일정 시간 이상 활동이 없는 경우에는 원격접근 세션이 자동으로 종료되도록 요구하고 있다. 이러한 요구사항은 원격접근 세션이 필요 이상으로 장시간 유지되는 상황을 방지하고, 원격접근을 진단 목적의 일시적⋅한정적 기능으로 제한함으로써, 원격접근 환경에서 발생할 수 있는 운영 및 보안상의 위험을 최소화하기 위한 것으로 판단된다.
이와 같이 원격진단용 원격접근시 요구사항은 수동 종료와 자동 종료라는 두 가지 측면에서 원격접근 세션의 관리 방식을 구조화하고 있으며, 원격접근 환경에서 요구되는 최소한의 운영 통제 조건을 명확히 설정하는 데 목적이 있음을 보여준다.
(4) 소프트웨어 업데이트 목적 원격접근 시 허용 및 통제 요건
소프트웨어 업데이트 목적 원격접근의 허용 및 통제 시에 요구되는 사항으로는 접근 종료 통제, 세션 관리, 그리고 현장 승인 관점으로 구분하여 기술하고 있으며, 이를 정리하면 Table 6과 같이 나타낼 수 있다.
Table 6
Details and Requirements of Remote Access Methods for Software Updates (Based on NFPA 72)
Table 6에서 보는 바와 같이, 소프트웨어 업데이트를 위한 원격접근이 이루어지는 경우 원격 장치와 화재경보 또는 신호 시스템 제어기 양쪽 모두에서 원격접근 연결을 수동으로 종료할 수 있는 수단을 제공하도록 기술하고 있으며, 일정 시간 이상 활동이 없는 경우에는 원격접근 세션이 자동으로 종료되도록 요구하고 있다. 또한 자격을 갖춘 인원이 현장에 상주한 상태에서만 소프트웨어 업데이트가 가능하도록 규정함으로써, 완전 무인 원격 업데이트를 구조적으로 제한하고 있다. 이러한 요구사항은 원격접근이 필요 이상으로 장시간 유지되거나 현장 제어권을 대체하는 방식으로 작동하는 것을 방지하기 위한 것으로 판단된다.
이와 같이 소프트웨어 업데이트 목적 원격접근 통제 요건은 접근 종료 통제, 세션 제한, 현장 개입이라는 세 가지 측면에서 원격접근 관리 방식을 구조화하고 있으며, 원격접근을 시스템 운영의 보조적 수단으로 한정함으로써 원격접근 환경에서 발생할 수 있는 운영 및 안전상의 위험을 최소화하는 데 목적이 있음을 보여준다.
2.2.2 PD CLC/TS 50136-10
PD CLC/TS 50136-10:2022는 유럽의 alarm transmission systems (AST)에 적용되는 산업기술 표준으로, 화재경보시스템을 포함하여, 침입 및 비상경보시스템, 출입통제시스템, 영상감시시스템 등 다양한 보안 인프라에 적용 가능한 원격환경에서 시스템을 안전하고 신뢰성 있게 운영하기 위해 요구되는 기술적⋅운영적 요건을 체계적으로 제시하고 있으며, 특히 원격접근 기능의 구현에 있어 필수적인 구성요소 정의와 그에 따른 통제 절차를 중점적으로 다루고 있다.
PD CLC/TS 50136-10:2022가 제시하는 원격접근 시 요구되는 사항으로는 remote access infrastructure (RAI)의 논리적 구조, 원격접속시 경유하는 구성요소에 대한 인증, 원격사용자 세션인증, 제3자 시스템 접근 권한 부여에 대한 사항, 원격 접속 로깅에 대한 감사 추적, 무단 세션 차단 및 재인증으로 구분하여 기술하고 있으며, 이를 정리하면 Table 7(21)과 같이 나타낼 수 있다.
Table 7
Details and Requirements of Remote Access for Alarm Systems (Based on PD CLC/TS 50136-10)(21)
첫째, RAI의 논리적 구조는 remote access endpoint (RAE), remote access server (RAS), remote access client (RAC)의 순차적 흐름으로 구성되어야 하며, RAE와 RAC 간의 직접 연결은 명시적으로 금지하고 있다. 이러한 구조는 인증 절차의 중앙 집중화를 가능하게 하여 원격접근 경로에 대한 통제를 강화하고, 시스템 보안성을 구조적으로 확보하기 위한 기반이 된다.
둘째, 원격접근에 사용되는 모든 구성요소(RAE, RAS, RAC)에 대한 인증은 사전에 정의된 인증 절차를 반드시 거치도록 기술하고있으며, 이때 사용되는 인증 방식과 인증 대상에 대한 관리 체계는 원격접근 인프라 서비스 제공자 remote access infrastructure service provider (RAISP)에 의해 명시적으로 문서화하도록 규정하고 있다.
셋째, 원격사용자 세션인증에 있어서는 원격 사용자의 소유 정보(예: 토큰, 인증 장치 등), 지식 정보(예: 비밀번호, PIN 등), 고유 특성(예: 생체정보) 중 최소 두 가지 이상의 인증 수단을 결합한 방식으로 인증하도록 기술하고 있으며, 이를 통해 고유하게 식별하도록 규정하고 있다. 또한 세션이 비활성 상태로 유지될 경우에는 재인증 절차가 강제로 진행되도록 기술하고 있으며, 이러한 세션 타임아웃 및 재인증 기준은 RAISP에 의해 설정되도록 규정하고 있다.
넷째, 제3자 시스템 접근(이하 ‘외부 유지관리 업체의 원격 진단 플랫폼, 클라우드 기반 서비스 운영 주체, 통합관제센터 등 RAI에 접근 하는 행위’를 말함)권한 부여는 반드시 사전 승인된 접근 권한을 가지도록 기술하고 있으며, open authorization (OAuth) 2.0 기반의 인증 프로토콜이나 보안 API 등 신뢰성 있는 인터페이스를 통해서만 접근이 허용하도록 규정하고 있다. 이는 외부 시스템과의 연계를 통한 유지관리 또는 기능 확장을 고려할 때, 인증 체계의 일관성과 신뢰성을 유지하기 위한 최소한의 요구조건으로 판단된다.
다섯째, 원격 접속 로깅에 대한 감사 추적에 대하여서는 원격접근과 관련된 모든 활동(‘모든 활동’이란 사용자 로그인⋅로그아웃, RAE⋅RAS⋅RAC 간 연결 정보, 자격 증명 변경, 보안 이벤트 등을 말함)을 ±3 s 이내 coordinated universal time (UTC) 기준 시간을 적용하여 RAS에 기록하여 사후 감사의 기초자료로 활용하도록 기술하고 있다. 이러한 사항은 상시적인 보안 모니터링과 이상 징후 탐지에 있어 핵심적 요소로 작용 할 것으로 판단된다.
여섯째, 무단 세션 차단 및 재인증에 대하여서는 접속자가 로그인 시도 횟수 제한 내에 인증 실패 시 세션이 즉시 종료되도록 기술하고 있으며, 일정 시간의 비활성 상태 이후 세션 종료 및 재인증 절차를 반드시 적용하도록 규정하고 있다. 이는 무단 접근 및 장시간 방치에 따른 위협을 방지하고, 시스템의 가용성과 무결성을 유지하기 위한 운영상 필수 조치로 판단된다.
이와 같이 PD CLC/TS 50136-10:2022는 원격접근 기능을 단순한 기술적 부가 요소로 취급하지 않고, 시스템의 보안성과 신뢰성을 유지하기 위한 구조적⋅절차적 통제 체계의 핵심 요소로 명확히 위치시키고 있다. 특히 원격접근의 허용 여부를 넘어서, 그 실행 과정 전반에 대한 통제를 기술기준 차원에서 구체화함으로써. 향후 국내 기술기준 수립이나 형식승인 기준 고도화 논의에 있어 중요한 비교⋅분석의 기준을 제공한다.
3. 국내 실정에 기반한 원격제어 기능의 성능기준(안) 도출
소방관제시스템의 원격제어 시 요구되는 기술적 안정성과 제도적 정합성을 확보하기 위한 기초 검토로서, 국내 기술기준과, 국외 기술기준인 NFPA 72와 PD CLC/TS 50136-10:2022를 비교 분석한 결과 소방관제시스템의 구성장치가 갖춰야 할 성능기준의 방향성이 우선적으로 원격제어 기능의 허용 여부 자체를 직접 규정하기보다는, 원격제어 시 요구되어지는 시스템의 안전성과 신뢰성을 확보하기 위해 요구되어지는 전제조건과 통제구조를 단계적으로 제시하고 있는 국외 규정 도입의 필요성을 확인하였다.
이에 본 장에서는 분석을 통해 도출된 시스템의 안전성과 신뢰성을 확보하기 위해 단계적으로 요구되어지는 전제조건과 통제구조에 대한 사항을 국내 형식승인 제도의 구조와 현장 운용 환경에 맞게 재해석하고, 이를 토대로 국내 실정에 부합하는 소방관제시스템의 구성장치가 갖춰야 할 성능기준(안)의 방향을 소방관제시스템의 주요 기능적 역활을 담당하는 수신기를 중심으로 비개입형 원격접속 구조의 원칙, 사용자 인증 및 권한 관리 체계의 정립, 원격제어 범위의 기능별 권한 설정, 원격제어에 대한 이력 관리, 소프트웨어 업데이트 시 검증체계의 확보, 원격제어를 통한 구조적 확장성 확보로 구분하여 제안하고자 한다.
3.1 비개입형 원격접속 구조의 원칙
수신기는 형식승인 제도에 따라 구조, 회로 구성 및 주요 구성요소가 사전에 승인⋅관리되며, 승인 이후에는 수신기 본체에 대한 물리적 변경이나 기능 확장이 원칙적으로 제한된다. 이러한 제도적 특성으로 인해 수신기 내부에 원격제어 기능을 직접 구현하거나 추가적인 통신 모듈 및 제어용 하드웨어를 탑재하는 방식은 구조적으로 제약을 받을 수밖에 없다. 이와 같은 제도적 제약 조건 하에서 수신기 원격제어 기능을 검토할 경우, 논의의 초점은 기능 도입 여부 자체에 두기보다는 형식승인 제도의 틀을 유지한 상태에서 해당 기능을 어떠한 구조로 구현할 것인가에 맞춰질 필요가 있다.
따라서 국내 실정에 부합하는 성능기준(안)을 도출하기 위해서는, 수신기 본체의 구조 변경을 전제로 한 방식보다 ‘형식승인 체계를 유지하면서 적용 가능한 구성 원칙’을 우선적으로 설정하는 것이 중요하다.
한편 NFPA 72는 원격접근 기능을 허용하는 경우에도 해당 기능이 화재경보 및 제어 시스템의 기본적인 안전성과 신뢰성을 저해하지 않도록 물리적 보안, 접근 통제, 세션 관리 등의 전제 조건을 요구하고 있으며, PD CLC/TS 50136-10:2022는 원격접근 인프라를 경보 시스템과 통합하거나 분리하여 구성할 수 있음을 전제로 하되, 구현 방식과 무관하게 적용되어야 할 보안 및 관리 중심의 요구사항을 제시하고 있다.
이는 원격제어 기능의 허용 여부나 구현 형태 자체를 직접 규정하기보다는, 원격제어가 수행되는 경우를 전제로 안전성과 신뢰성을 확보하기 위한 전제조건과 통제 구조를 먼저 설정하는 접근이 필요함을 시사한다.
이러한 국제 기준의 취지와 국내 형식승인 제도의 구조적 특성을 종합적으로 고려할 때, 수신기 원격제어 기능은 수신기 본체에 대한 직접적인 물리적 개입 없이 구현될 수 있는 방식이 요구된다. 즉, 원격제어 기능은 형식승인 대상 장비인 수신기의 내부 구조를 개조하거나 추가 하드웨어를 탑재하는 방식이 아니라, 수신기 외부에 분리된 원격접속 인프라를 통해 구현되는 것을 기본 원칙으로 설정할 필요가 있다. 이는 PD CLC/TS 50136-10:2022에서 제시하는 원격접근 인프라가 경보 시스템과 논리적으로 분리된 구조로 구성될 수 있음을 전제로 한 접근 방식과 정합되며, 국내 형식승인 제도와의 제도적 충돌 가능성을 최소화하기 위한 합리적인 구성 원칙에 해당한다.
또한 수신기 외부에 분리된 인프라를 전제로 할 경우, 원격접근 과정에서 요구되는 인증, 권한, 세션 관리, 이력 기록 등의 관리⋅통제 요소를 독립적으로 설계⋅적용할 수 있어, 원격제어가 시스템 안전성을 저해하지 않도록 하는 전제조건을 구조적으로 확보하기 용이하다.
따라서 국내 수신기 원격제어 성능기준에서는 형식승인 대상 장비인 수신기 본체에 대한 물리적 개입을 전제로 하지 않고, 원격제어 시 수신기 외부에 분리된 중계 서버(RAS, RAC 등)를 경유하여 수행되는 비개입형 원격접속 구조를 기본 전제로 설정하는 것이 타당하다.
3.2 사용자 인증 및 권한 관리 체계의 정립
수신기 원격접속자에 대한 인증 및 권한 관리 체계의 정립은 시스템의 안전성과 직결되는 핵심 요소로서, 단순한 정보 조회 기능과는 명확히 구분되는 엄격한 인증 및 접근 통제가 요구된다. 특히 원격접속을 통해 경보 정지, 설정 변경, 제어 명령 수행과 같은 기능이 가능해질 경우, 접근 주체의 신원과 권한이 충분히 검증되지 않으면 인명 안전에 중대한 영향을 미칠 수 있다.
이와 관련하여 NFPA 72는 원격접근이 허용되는 경우 접근 주체의 식별과 인증을 전제로 제어 기능의 범위를 제한하도록 규정하고 있으며, PD CLC/TS 50136-10:2022 역시 모든 원격 사용자에 대해 다요소 인증을 적용하고, 각 접속 세션이 개별적으로 식별⋅관리될 수 있도록 요구하고 있다.
이러한 국외 기술기준은 원격제어 기능의 허용 여부보다는, 원격접근이 이루어지는 과정 전반에서 사용자 인증과 권한 관리가 체계적으로 통제되어야 함을 강조하는데 그 취지가 있다.
이러한 기준의 취지를 국내 환경에 적용할 경우, 원격접속자는 관계인, 소방기술자, 제품 제작자 등 역할 기반으로 명확히 구분되어야 하며, 각 역할에 따라 수행가능한 제어 기능의 범위가 사전에 정의되고 제한될 필요가 있다. 특히 인명 안전에 직접적인 영향을 미칠 수 있는 제어 행위는 관리자 권한으로만 허용하고, 필요시 추가적인 승인 절차를 거쳐 수행되도록 함으로써 원격제어에 대한 책임 소재와 통제 구조를 명확히 할 필요가 있다.
아울러 원격제어 시스템은 모든 원격 접속에 대해 최소 2단계 이상의 인증을 기본 요건으로 적용하고, 인증 실패 또는 비인가 접근 시도는 즉시 차단되도록 설계되어야 한다. 이러한 접근 통제 결과는 기록 관리 체계와 연동하여 안전하게 저장⋅관리함으로써, 사후 감사 및 사고 원인 분석에 활용될 수 있도록 하는 것이 바람직하다.
3.3 원격제어 범위의 기능별 권한 설정
수신기 원격제어 범위에 대한 기술적 접근은 시스템 상태 조회 및 이력 확인과 같은 조회 기능과 재설정⋅경보 차단⋅설정 변경과 같은 제어 기능으로 구분하여 관리될 필요가 있다. 각 기능은 시스템 안전성에 미치는 영향도가 상이하므로, 원격제어 범위는 기능의 특성과 위험도를 고려하여 차등적으로 설정되어야 한다.
이와 관련하여 NFPA 72는 원격제어를 통해 수행되는 재설정, 경보 정지 및 비상 제어 기능이 시스템 전체에 대해 무제한적으로 허용되어서는 안 되며, 유지관리 대상이 되는 일부 영역으로 그 범위를 제한하도록 제안하고 있다. 이는 원격제어 기능이 현장 인원의 판단과 대응을 대체하는 수단으로 작동하는 것을 방지하기 위한 통제 원칙을 규정한 것으로 이해될 수 있다.
이러한 통제 원칙을 국내 기준에 부합한 소방관제시스템의 구성장치에 대한 성능기준(안)에 반영하기 위해서는, 원격제어 기능에 대한 접근 권한과 제어 가능 범위를 사전에 정의하고, 접근 주체별로 수행 가능한 기능과 권한 수준을 명확히 구분하는 관리 체계를 마련할 필요가 있다.
이에 대한 하나의 적용 예로서, 비화재보에 대한 경보 무시 또는 차단 기능을 들 수 있다. 해당 기능은 시스템의 경보 동작에 직접적인 영향을 미치는 고위험 제어 기능에 해당하므로 원칙적으로 제한되어야 하며, 불가피한 경우에 한하여 관리자 권한 하에서 제한적으로 수행될 수 있도록 구성하는 것이 바람직하다. 이는 원격제어 기능이 현장 판단을 대체하거나 오인된 판단으로 인해 안전 저해 요인으로 작용하는 것을 예방하기 위한 것이다.
3.4 원격제어에 대한 이력 관리
수신기 원격제어와 관련된 모든 행위는 사고 발생 시 원인 분석이나 사후 감사를 통해 객관적으로 검증될 수 있도록 체계적으로 관리되어야 한다. 이를 위해 원격접속, 제어 수행, 설정 변경 등 일련의 행위는 UTC 기준의 타임스탬프와 함께 기록되어 일정 기간 이상 안전하게 보관될 필요가 있다. 이러한 이력 관리 방식은 원격제어 행위의 책임 소재를 명확히 하고, 비인가 접근이나 오⋅조작 여부를 사후에 추적할 수 있는 기반을 제공한다는 점에서 중요한 의미를 갖는다.
이와 관련하여 PD CLC/TS 50136-10:2022는 원격접근과 관련된 모든 활동에 대해 감사 추적(audit trail) 확보를 요구하고 있으며, 사용자 인증 과정, 세션의 생성⋅유지⋅종료 정보, 보안 이벤트 및 제어 명령 수행 이력을 UTC 기준으로 기록하도록 규정하고 있다. 이는 원격제어 기능이 단순한 편의 기능이 아니라, 사후 감사와 사고 대응이 가능한 관리⋅통제 구조하에서 운영되어야 함을 전제로 해야 함을 명시하고 있다.
따라서 국내 기준에 부합한 소방관제시스템의 구성장치에 대한 성능기준(안)에서도 모든 원격접속 및 제어 행위에 대해 로그 기반 관리 체계를 필수 요소로 설정하고, 기록 정보의 위⋅변조 방지, 암호화된 통신 환경에서의 로그 전송 및 저장, 그리고 일정 기간 이상의 이력 보관을 요구하는 방향으로 기준을 구성하도록 제안할 필요가 있다. 이러한 이력 관리 체계는 원격제어 기능의 허용 여부를 판단하기 위한 부가 조건이 아니라, 원격제어가 안전하게 운영되기 위한 핵심적인 통제 수단으로서 기능할 것이다.
3.5 소프트웨어 업데이트 시 검증체계의 확보
수신기 원격접속과 관련된 소프트웨어 업데이트가 이루어지는 경우, 변경 사항에 대해서는 사전에 시험 및 검증 절차가 수반되어야 한다. 소프트웨어 변경은 기능 개선이나 보안 취약점 대응을 위해 필요하지만, 그 과정에서 소방관제시스템의의 신뢰성이 저해되지 않도록 하는 것이 무엇보다 중요하다.
이러한 관점에서 NFPA 72는 소프트웨어 변경이나 업데이트 시 기능 시험과 검증 절차의 수행을 요구하고 있으며, 특히 현장 개입 없이 이루어지는 완전 무인 원격 업데이트를 구조적으로 제한함으로써 시스템 안전성에 대한 관리⋅통제를 강조하고 있다.
따라서 국내 기준에 부합한 소방관제시스템의 구성장치에 대한 성능기준(안)에서도 소프트웨어 변경 시 변경된 기능에 대해 전수 시험을 원칙으로 하고, 변경 범위와 영향도가 제한적인 경우에 한하여 샘플 기반의 부분 시험을 병행할 수 있도록 시험 체계를 구성하도록 제안할 필요가 있다. 또한 소프트웨어 변경 이력과 시험 수행 결과는 문서화하여 체계적으로 관리함으로써, 향후 형식승인 시험기준과의 연계 및 사후 검증이 가능하도록 하는 검증 중심의 성능기준을 확보해야 할 것이다.
3.6 원격제어를 통한 구조적 확장성 확보
수신기 원격제어를 통한 구조적 확장은 소방관제시스템의 안정성과 신뢰성을 전제로 하면서도, 통합관제 환경의 고도화를 고려한 선택적 기능 연계를 가능하게 하는 방향에서 검토될 필요가 있다. 이를 위해 수신기 원격제어 체계는 AI 기반 분석 기능이나 영상감시 시스템(CCTV)과 같은 보조적 판단 수단을 직접적인 제어 기능이 아닌 참고 정보 수준에서 선택적으로 연계할 수 있는 구조적 유연성을 확보하는 것이 바람직하다.
다만 이러한 보조적 기능은 원격제어의 기본적인 성능기준과 접근 통제, 인증, 기록 관리 등 관리⋅통제 체계가 충분히 확보된 범위 내에서 단계적으로 적용되어야 하며, 필수적인 성능요건으로 규정되기보다는 부가적 고려 요소로 위치시키는 것이 타당하다. 이러한 접근은 수신기 외부 접근과 원격 기능의 적용에 있어 기본적인 안전성과 통제 구조를 전제로 단계적 적용 가능성을 열어두고 있는 NFPA 72 및 PD CLC/TS 50136-10:2022의 요구사항 구성 방향과도 정합성을 갖는다.
4. 결 론
본 연구는 소방관제시스템의 도입 필요성이 점진적으로 증가하고 있는 현 시점에서, 해당 기능을 단순한 기술적 확장이나 운영 편의성의 관점이 아닌, 시스템의 안전성과 신뢰성을 전제로 한 관리⋅통제 구조의 문제로 인식하고, 소방관제시스템의 구성장치가 갖추어야 할 성능기준의 방향을 검토하고자 수행하였다.
연구 결과, 현행 국내 소방관계법령과 기술기준은 수신기와 외부 저장장치 또는 컴퓨터 간의 제한적인 연계 가능성을 일부 허용하고 있으나, 원격제어 기능을 명시적으로 정의하거나, 접근 주체⋅제어 범위⋅인증 방식⋅세션 관리 등 관리⋅통제 요소를 체계적으로 규정한 성능기준은 마련되어 있지 않은 것으로 확인되었다. 이로 인해 기술적으로는 원격 기반 연동 가능성이 존재함에도 불구하고, 형식승인 제도의 구조적 특성과의 정합성 문제로 인해 제도적 수용에는 한계가 존재하고 있음을 확인하였다.
반면, NFPA 72와 PD CLC/TS 50136-10:2022 등 국외 기술기준은 원격제어 기능의 허용 여부 자체를 직접 규정하기보다는, 원격제어가 수행되는 경우를 전제로 하여 시스템의 안전성과 신뢰성을 저해하지 않도록 하기 위한 전제 조건과 관리⋅통제 구조를 단계적으로 제시하고 있다는 점에서 공통된 특징을 보였다. 특히 접근 주체의 식별과 인증, 제어 범위의 제한, 세션 관리, 이력 기록 및 감사 추적과 같은 요소를 핵심 통제 수단으로 설정함으로써, 원격제어 기능을 시스템 운영의 보조적 수단으로 관리하고 있음을 확인할 수 있었다.
이러한 분석 결과를 토대로, 본 연구에서는 국내 형식승인 제도의 구조적 특성과 현장 운용 환경을 고려하여 소방관제시스템의 구성장치가 갖추어야 할 성능기준(안)의 방향을 주요 기능적 역활을 담당할 수신기를 중심으로 제시하였다. 구체적으로는 수신기 본체에 대한 물리적 개입을 전제로 하지 않는 비개입형 원격접속 구조를 기본 원칙으로 설정하고, 사용자 인증 및 권한 관리 체계의 정립, 기능별 원격제어 범위의 제한적 설정, 원격제어 이력에 대한 로그 기반 관리, 소프트웨어 업데이트 시 검증체계의 확보, 그리고 선택적 기능 연계를 통한 구조적 확장성 확보의 여섯 가지 측면에서 성능기준의 구성 방향을 제시하였다.
본 연구에서 제안한 소방관제시스템의 구성장치가 갖추어야 할 성능기준(안)은 원격제어 기능의 도입 여부를 판단하기 위한 기준이 아니라, 원격제어가 수행되는 경우를 전제로 시스템의 안전성과 신뢰성을 확보하기 위해 요구되는 최소한의 관리⋅통제 구조를 정립하는 데 목적이 있다. 이러한 기준 구성 방향은 기술 발전에 따른 기능 확장을 일률적으로 제한하기보다는, 형식승인 제도의 틀을 유지하면서도 단계적인 기술 수용이 가능하도록 하는 접근 방식으로서 활용될 수 있다.
향후 본 연구 결과는 소방관제시스템의 원격제어 기능과 관련된 성능기준 정립이나 형식승인 기준 고도화 논의에 있어 기초 자료로 활용될 수 있을 것으로 기대되며, 나아가 원격기반 소방시설 관리 기술이 안전성과 신뢰성을 전제로 현장에 적용되기 위한 제도적⋅기술적 검토의 출발점으로 기능할 수 있을 것으로 사료된다.
PDF Links
PubReader
ePub Link
Full text via DOI
Download Citation
