move_detect/CHANGELOG.md

CHANGELOG — move-detect (작업장 안전 AI CCTV)

버전 표기는 저장소 루트 VERSION 파일이 단일 출처입니다. 납품 산출물 파일명에도 같은 버전이 들어갑니다: move-detect-cafe24-<VERSION>-<YYYYMMDD>.zip / move-detect-pi-<VERSION>-<YYYYMMDD>-<arch>.tar.gz

---

1.1.0 — 2026-09-04 · 감시 자신의 고장을 실제로 신고하기

1.0.0 은 "감지에 대응하는 시스템"이었습니다. 그런데 감시 장비 자신이 멈춘 것은 여전히 아무도 신고하지 않았습니다 — 타입은 있는데 발행하는 코드가 없었습니다. 1.1.0 이 그것을 채웁니다.

소개서가 내세우던 "감지 17종"은 그때까지 실제로 15종이었습니다. 이제 17종이 사실입니다.

재감사에서 잡은 것 (3차, 14건 전량 해소)

위 기능을 넣으면서 만든 결함들입니다. 상세는 docs/delivery-audit.md 3차 재감사 절.

• 통보가 통째로 멈출 수 있었습니다. 장치 건전성 단계가 예외 처리 밖에 있어, 그 단계에서 난 오류가 통보와 재시도까지 죽였습니다. 새벽에 넘어진 사람이 통보되지 않고 콘솔은 멀쩡해 보이는 상태가 매분 반복됩니다. 단계를 격리했습니다.
• 간헐 고장을 못 잡거나, 반대로 쏟아냈습니다. 카메라가 깜빡이며 살아났다 죽으면 (리본 접촉 불량의 전형) 저하 구간이 계속 끊겨 두 시간을 고장 나 있어도 아무것도 올라오지 않고, 동시에 같은 고장이 수십 건으로 갈라졌습니다. 회복을 '지속된 정상'으로만 인정하고, 재고지 주기당 1건으로 묶었습니다.
• __device__ 라는 내부 값이 메일·웹훅으로 회사 밖에 나갔습니다. 이제 어디서나 "장치 전체"로 표시됩니다.
• 사건 상세에서 존재하지 않는 카메라에 위험구역을 저장할 수 있었습니다(저장되면 아무것도 지키지 않는 구역이 '활성'으로 남습니다). 막았습니다.
• 카메라별 위험 순위·카메라 대수·오탐율에 유령 카메라가 섞이던 것을 제외했습니다.

수정 — 아무도 발행하지 않던 이벤트 2종

monitoring_degraded(감시 성능 저하)와 device_fault(장치 이상)는 타입 정의·서버 검증· 콘솔 필터·통보 라벨까지 전 구간에 있었으나 생성하는 코드가 어디에도 없었습니다. 실제로 값을 넣는 것은 데모 시더뿐이었고, 소개서가 내세우던 "17종"은 실제로 15종이었습니다.

엣지가 낼 수 없는 유형입니다 — 전원이나 회선이 끊긴 노드는 자기가 죽었다고 신고할 수 없습니다. 그래서 서버가 하트비트의 부재로 판정합니다.

• App\Alert\DeviceHealthWatch 추가. 1분 크론(dispatch_alerts.php)의 첫 단계로 실행되어, 같은 실행 안에서 발행된 장치 이벤트가 곧바로 통보 대상이 됩니다.
• 장애당 1건. event_uuid 앵커가 장애 구간의 시작(device_fault 는 마지막 하트비트 시각)이라 크론이 60번 돌아도 이벤트는 하나입니다. 복구 후 재발은 별건으로 잡힙니다.
• 성능 저하는 지속을 요구합니다(기본 5분). 한 번 튄 프레임률로 알람이 울리면 운영자는 이 유형을 무시하게 되고, 그러면 정작 감시가 멈춘 날에도 아무도 보지 않습니다.
• 한 번도 하트비트를 보낸 적 없는 장치는 장애가 아닙니다(미설치 노드). 새 현장 첫날이 빨간 벽이 되지 않도록.
• 설정: device_stale_seconds(180) · degraded_sustain_seconds(300) · degraded_fps_ratio(0.6) · target_fps(12). 노드를 낮은 프레임으로 운용하는 현장은 target_fps 를 실제 값으로 맞춰야 합니다.

장치 단위 이벤트는 카메라가 없으므로 camera_id 에 __device__ 센티넬을 씁니다. 콘솔은 "장치 전체"로 표시하고, 구역 편집기의 카메라 목록에서는 제외합니다(존재하지 않는 카메라에 구역을 그리려는 일이 없도록).

---

1.0.0 — 2026-08-18 · 첫 정식 납품 버전

0.9.0 까지가 "감지하는 시스템"이었다면, 1.0.0 은 "감지에 대응하는 시스템" 입니다. 그 차이를 만드는 것이 아래 첫 항목입니다.

추가 — 통보 (이 버전의 이유)

이전까지 감지는 브라우저 탭이 열려 있고 사람이 보고 있어야만 전달됐습니다. 새벽 3시에 넘어진 작업자는 DB 에 행 하나를 남기고 아침을 맞았습니다.

• 현장 경광등·부저 (엣지 GPIO). 서버도 인터넷도 거치지 않고 감지한 노드가 직접 울립니다. 정전·회선 장애로 업링크가 끊긴 순간은 오히려 위험이 높아지는 때이므로, 어떤 현장이든 이것부터 설정합니다.
• 메일 · 웹훅 채널과 1분 주기 디스패처. 알림에는 현장 이미지를 싣지 않고 링크만 보냅니다 (스냅샷은 개인정보이고, 메일링 리스트로 나가는 순간 인증 프록시의 통제를 벗어납니다).
• 미확인 경보 에스컬레이션. 위급/높음이 정해진 시간 동안 확인되지 않으면 그 사실 자체가 사건이 되어 상위 담당자에게 통보됩니다. "아무도 보지 않았다"가 처음으로 기록에 남습니다.

추가 — 조용한 실패 드러내기

• 카메라 화각 변경 · 가림 · 조도 저하 감지. 위험구역 판정은 카메라가 어제와 같은 곳을 본다는 전제 위에 서 있는데, 청소하다 삼각대를 스치면 제한구역이 엉뚱한 바닥을 가리키면서 시스템은 계속 초록불이었습니다.
• 저장 공간 부족 경고. 디스크가 차면 이미지 저장만 조용히 실패하고 화면은 멀쩡해 보입니다.
• 설정 지연 표시가 실제로 동작하게 됐습니다. 지표는 있었지만 그것을 켜는 사건이 없었습니다.

추가 — 관리 화면 (그전에는 DB 직접 수정이 유일한 방법)

• 감지 임계값 편집 (허용 범위·단위·설명을 화면이 강제)
• 통보 경로 설정
• 정비 중 알람 억제 — 사유 필수, 최대 8시간, 자동 만료. 감지와 기록은 그대로 계속되고 통보만 보류되며, 보류했다는 사실도 기록에 남습니다.
• 위험성평가 연계 · 교대 인수인계 · 설비 성능 추이 · 설치 점검(/setup)

추가 — 증거와 규정

• 감사로그 위·변조 탐지 (해시체인). 수정·삭제·우회삽입이 전부 드러납니다.
• 사고조사 패키지 1클릭 — 전후 타임라인, 통보 이력, 위험요인, 조치 이력, 서명란. 인쇄해서 그대로 제출할 수 있습니다.
• 현장별 현황 (본사 계정)

변경 — 화면 (UI/UX 점검 21건)

• 감지 스트림이 다시 시간순이 됐습니다. 확인 여부가 순서를 바꾸던 탓에 사고 재구성이 불가능했고, 확인하면 그 행이 사라지며 아래가 밀려 올라와 다른 이벤트를 잘못 확인할 수 있었습니다. 확인은 이제 제자리에서 처리됩니다.
• 이벤트 상세에서 바로 확인/오탐 판정 · 구역 설정에 카메라 선택기 · 날짜로 조회 · 경보음 음소거(새 위급 오면 자동 해제) · 일괄 확인(위급 제외) · 키보드 조작
• 표본이 부족한 수치는 비율 대신 원시 숫자만 보여줍니다. 6건→8건을 "▲33% 악화"로 칠하면 안전회의에서 반박당하고, 그 순간 그 화면 전체가 신뢰를 잃습니다.

도구 (move_detect_app/tools/, 웹에서 접근 불가)

도구	용도
dispatch_alerts.php	알림 발송 (크론 1분) · --dry-run 지원
maintain.php	보존기간 정리 (크론 일 1회)
backup.php	DB 덤프 + 사진 아카이브 + 복구 안내
verify_audit_chain.php	감사로그 무결성 검증
seed_demo.php	시연·시험용 데모 데이터 (운영 DB 실행 금지)

업그레이드 (0.9.x → 1.0.0)

migrations/2026-08-09-safety-platform.sql 을 적용합니다. 파일 안의 9번 블록은 DB 종류에 따라 문법이 다릅니다 — MySQL 8.0.16+ / MariaDB / 제약 없음 세 경우의 안내가 파일에 적혀 있으니 SELECT VERSION(); 으로 확인 후 맞는 것을 실행하세요.

적용 후 config.php 에 public_base_url, timezone, escalate_after_seconds 를 추가하고 (템플릿 참조), 자동실행(크론) 2개를 등록해야 알림이 동작합니다 — README-UPLOAD.md 8번.

알려진 제약

• 보호구 미착용 · 중장비 근접 · 화재 감지: 감지기 배선과 이벤트 계약은 준비되어 있으나 추론 모델이 확보되지 않아 기본 비활성입니다. 라이선스 조건을 만족하는 가중치와 Hailo 컴파일이 선행되어야 합니다. 켜져 있지 않다는 사실을 화면에서도 숨기지 않습니다.
• 실장비 검증 잔여 항목은 docs/delivery-audit.md 의 "OFF-HW 잔여" 절을 참조하세요.

---

0.9.0 — 2026-08-08

납품 감사(43건) 대응. CSP nonce 도입, 보안 헤더 PHP 이관, /logout CSRF, 계정 잠금 응답에서 사용자명 열거 제거. 엣지 큐 flush 상한, 타이머 env 전수 검증, 프레임 스킵 시 미블러 얼굴 유출 차단, systemd 워치독. PDO 통합 테스트 복구, 라우트 테이블 대조, 산출물↔소스 패리티 검사, CI 신설. 납품물에 version/git_commit/built_at 스탬프.