ISO26262 자동차 기능안전이란?

모든 일에는 위험이 따른다.
 
ISO 26262에 따르면, 위험은 그 발생 확률(Occurrence)과 심각성(Severity)의 조합이다. (ISO 26262:2018-1 3.128)
 

Risk = F(O, S)

 

자동차 산업에서 완벽히 안전한 시스템은 불가능하다.
때문에 ISO 26262의 목표는, 우리가 감내할 수 없는 위험을 식별하고 그 위험을 완화하는 것이다.
 
ISO 26262는 자동차 전자전기 시스템의 fail에 따른 위험을 다룬다.
 
차량안전은 목표된 모든 시나리오와 생애주기 내에서 안전해야 한다.
그리고 그 안전성은 차량이 사용되기 전에 검증되어야 한다.
 
안전에는 세 종류가 있다.

Passive, Active, Preventive

수동적, 능동적, 예방적 안전이다.
 
수동적 안전의 예는 에어백과 E-Call이 있다. E-Call은 사고시 차량 내 시스템이 외부에 자동적으로 사고를 보고하는 시스템이다. 이렇듯 수동적 안전은 사고 발생 시 동작한다.
 
능동적 안전의 예는 ABS, ESP가 있다. 능동적 안전은 차량 충돌이 일어나지 않도록 돕는다.
 
예방적 안전은 능동적 안전의 부분집합으로 운전자가 사고가 발생할만한 상황을 회피할 수 있도록 돕는다. 자동주차, V2X 등이 있다.
 
 
 

그렇다면 ISO 26262에서 이야기하는 기능안전(Functional Safety)란 무엇일까?

 
전자전기 시스템의 오작동에 의해 일어나는 불합리한 위험의 제거이다.
 
기능안전은 신뢰성, 가용성, 사이버보안, SOTIF와는 다르다.
신뢰성(Reliability)은 정해진 기간 동안 요구 기능을 수행할 수 있는 능력이다.
가용성(Availability)은 정해진 기간 동안 시스템이 만족스럽고 효율적으로 작동할 수 있음을 의미한다.
사이버보안(Cyber security)은 전자전기 시스템이 위험 시나리오로부터 안전하게 보호됨을 의미한다.
SOTIF는 의도된 기능의 기능적 불충분으로 인한 위험 또는 합리적 예측 가능한 사람의 오용으로 인한 위험으로 인해 불합리한 위험이 없을을 의미한다.
 
기능안전에 관해 여러 기준이 있었다.
주기준은 IEC61508로 여러 산업을 포함한다.
철도, 원자력, 우주 관련 기능안전이 IEC61508을 기준으로 만들어졌다.
그런데 IEC, ISO는 무슨 의미일까?
 
IEC - International Electrotechnical Commission
ISO - International Organization for Standardization
ISO/TS - Technical Specfication (work still under technical development or for the future)
ISO/PAS - Publicly Available Specfication (published by the ISO to.respond to an urgent market need)
ISO/TR - Technical Report (contains information of a different kind from that of the previous two publications)
ISO/IWA - International Workshop Agreements (publication done to respond to urgent market requirements)
 
만약 기능안전이 지켜지지 않는다면 어떨까?
2015년 보고서에 의하면 미국 자동차 사고의 2%는 전자부품결함으로 인해 발생한다.
전장품이 더 많아지는 요즘, 기능안전을 확보하지 못할 경우 이 수치는 훨씬 높아질 것이다.
 
한 예로, 토요타의 급발진 사고로 인해 80명이 목숨을 잃었다.
이 사고는 자동차 산업 전반을 뒤흔들었고 전장품의 몇 가지 결함을 발견했다.
1. 메모리 프로텍션의 부재
2. 안전기준과 맞지 않는 OS
3. 나쁜 소스코드 품질(MISRA, Cyclomatic complexity)
 
그리고 토요타 외의 다른 OEM도 비슷한 문제를 겪었다.
 
독일에서 19세 여성이 몰던 아우디 E-Tron이 충돌 후 문이 열리지 않아 운전자가 사망한 사고도 있다.
 
또한 보잉737의 MCAS 문제로 인해 발생한 사고에서 알 수 있듯, 자동차 산업이 아니더라도 기능안전은 중요하다.
 
 
 

ISO 26262의 초판은 2011년, 2판은 2018년 개발됐다.

 
ISO 26262는 12개 도메인으로 나눠지며,  '권고' 사항이다. 하지만 추후 특정 조건에서 lawsuit에 사용될 여지가 있다.
승용차, 버스, 트럭, 트레일러, 오토바이에 모두 적용된다.
위험 분석과 평가 방법이 포함되어있다.
750개 이상의 요구사항이 있고 전자전기 시스템 failure의 리스크 컨설팅의 표준에 집중한다.
V-cycle는 개발 모델에 적용될 수 있으며, 애자일 방법론과 조합될 수 있다.