기능 안전 강화를 위한 ISO 26262 활용에 관한 연구

1.1 연구의 필요성 및 구성

본 논문은 기능 안전에 관한 표준화 배경을 바탕으로 ISO 26262의 주요 요구사항과 신뢰성 기법 활용을 조사, 분석하는 것으로 구성된다.

M.-S. Baek[2]은 ASIL(Automotive Safety Integrity Level)을 기반으로 FMEA의 RNP(Risk Priority Number)를 보완할 수 있는 평가 척도인 위험 우선 순위를 강조하고 있다. 기업은 안전 무결성 기준(SIL, Safety Integrity Level)을 IEC 61508을 기본 규격으로 적용하고 있다. ISO 26262 기능 안전 표준은 개념부터 운용 및 폐기 단계까지의 요구사항 분석, 설계, 테스트 등의 공학 기법과 시스템의 오동작 등 안전 분석 기법을 제시하고 있다. 안전 분석 기법으로는 FMEA, FTA 등이 있다. 본 논문에서는 안전 분석 기법에서 사용되는 FMEA, FTA, B to B(Back-to-Back Test), 인터페이스 시험, 시스템 레벨 시험 등 다양한 시험 방법을 조사, 분석하였다.

기능 안전 관리의 조사, 분석은 사고가 발생하지 않도록 시스템의 실패를 발생시킨 구성 요소를 대체 및 예방 방안에 대해 조사, 분석하는 과정이다. 도성룡[3], [4]은 ISO 26262 기능 안전 표준의 공학 기법과 안전 분석 기법을 제시하고 있다. 양동현외2[5]는 절차적 개념을 이용한 더 효과적인 FTA 안전 분석 방법을 강조하였다. 두 논문을 통해 FTA 기법의 목적과 유형에 대하여 조사, 분석하고, 효과적인 FTA 안전 분석 방법을 제안하였다.

J. Choi et al.[6]는 차량용 소프트웨어 FMEA에 적합한 기준을 제공하고 있다.

이 논문은 FMEA 적용 시 소프트웨어와 하드웨어의 차이점을 구조적으로 비교하였다. 또한 ISO 26262 기본 실무 가이드에서는 B to B, 시험 대상의 인터페이스 시험, 시스템 레벨 시험 등 다양한 시험 방법을 제시하고 있다[7].

그림 1은 기능 안전 규격 조사, 분석 체계를 나타낸다.

Fig. 1.

Functional safety standards system

2.1 ISO 26262 주요 요구사항

ISO 26262는 현재 국제적으로 사용되고 있는 자동차 기능 안전성 국제 표준이다. 국내·외의 자동차 기업들이 자동차의 기능 안전성을 증명할 때 ISO 26262 기준을 적용하고 있다.

기술적 안전 요구사항 명세서는 기능 개념과 초기 구조적 가정을 모두 고려하여 기능 안전 개념을 상세하게 표현하고 분석하여 기능 안전 요구사항에 부합하는지 검증하는 것을 목적으로 한다. 전제조건은 기능상의 안전 구상과 계획 확인이며, 이 요구사항의 작업 결과로 기술 안전 요구사항의 구체화, 시스템 검증 보고, 계획 확인 등이 있다.

시스템 설계는 기능의 요구사항과 기술적 안전에 적합한 시스템 설계와 기술적 안전 개념을 개발하며, 기술적 안전 요구사항에 시스템 설계와 기술적 안전 개념이 부합하는지를 검증하는 것을 목적으로 한다. 전제조건에는 ‘아이템 통합과 시험 계획’, ‘기술 안전 요구사항의 구체화’가 있으며, 이 요구사항의 작업 결과로 기술적 안전 구상, 시스템 설계 구체화, 하드웨어-소프트웨어 인터페이스 구체화 등이 있다[8].

부품통합 및 시험은 각각의 안전 요구사항이 명세서와 ASIL 분류에 부합하는지 시험하고, 안전 요구사항을 만족하는 시스템 설계가 전체 부품에 의해 올바르게 구현되었는지를 검증하는 것을 목적으로 한다. 전제조건에는 안전 목표, 기능상의 안전 구상, 부품통합과 시험 등이 있으며, 작업 결과로 아이템 통합과 시험 계획, 통합 시험 설계 명세서, 통합 시험 보고 등이 있다.

안전 확인은 안전 목표에 부합하고 기능 안전 개념이 부품의 기능 안전에 적절한지에 대한 증거를 제공하며, 안전 목표가 차량 수준에서 정확하고 완전하며 충분히 달성되었는지를 증명하는 것을 목적으로 한다. 전제조건에는 위험 분석과 위험도 평가, 안전 목표, 확인 계획 등이 있으며, 작업 결과물로는 확인 계획과 확인 보고가 있다.

기능상의 안전 평가는 아이템에 의해 달성된 기능 안전을 평가하는 것을 목적으로 하며, 이에 대한 전제조건으로 안전 사례, 안전 계획, 검토 보고 확인과 가능할 경우의 회계 감사 확인 등이 있다. 작업 결과물로는 기능상의 안전 평가 보고가 있다.

제품을 위한 개봉은 아이템 개발 완료 시점에서 양산을 위한 배포 기준을 명세한 것으로, 양산을 위한 배포는 부품이 차량 수준에서 기능 안전을 위한 요구사항에 부합함을 확증하는 것을 목적으로 한다. 조건에는 기능상의 안전 평가 보고와 안전 사례가 있으며, 작업 결과물로는 제품을 위한 보고가 있다.

2.2 IEC 61508

IEC 61508은 전기, 전자, 프로그래밍할 수 있는 전자 장비의 기능적 안전성을 위한 국제 표준이다. 이 표준은 국제표준화 단체인 IEC(International Electrotechnical Commission)가 1980년대 중반에 개발을 시작했으며, 위험 기반의 안전성 관련 시스템 설계에 중점을 두고 있다. ISO 26262는 IEC 61508을 자동차의 전기·전자 시스템에 맞게 수정하여 개발된 표준이다.

IEC 61508 표준은 ‘안전 생명 주기(Safety Life Cycle)’와 ‘안전 무결성 기준(SIL)의 두 가지 기본 개념에 기반한다. 안전 무결성 기준은 시스템이 요구하는 이용 가능성을 충족시켜 공정에 대한 위험을 허용할 수 있는 수준으로 낮추기 위한 것이다. 안전 무결성 기준은 안전 관련 시스템이 모든 명시된 조건에서 주어진 일정한 시간 내에 요구되는 안전 기능을 수행할 확률과 가능성으로 정의되며, 안전을 위해 위험도를 줄일 수 있는 요소가 필요하다[9][10].

IEC 61508의 정량적 평가는 외부 요인의 위험 감소 장치와 안전 관련 시스템이 존재하지 않을 때 발생할 수 있는 위험 사건의 잠재적 결과를 결정하는 것이다. 발생 빈도와 결과가 확정된 위험한 경우에 대해서는 최종 사용자 컴퓨팅(EUC, End-User Computing) 위험 평가를 시행한다. 최종 사용자 컴퓨팅 위험 평가에서는 위험을 가정된 상황에서 산출된 정량적 잠재적 결과와 위험 사건의 발생 확률인 빈도의 곱으로 표현한다. IEC 61508에서 위험은 안전 무결성 기준을 도출하기 위해 사용되는 기본 개념으로, 정량적 값을 가지며 정성적인 위험 요소와 구별된다[9].

위험 매트릭스는 위험을 평가하는 도구로, 여기서 고려되는 요소는 위험 사건의 발생 빈도와 위험 사건의 심각도이다. 결과로 나온 심각성과 사건의 노출 시간을 매개변수로 사용하여 위험 사건의 발생 심각도를 평가한다. 정성적 기법은 사건의 영향과 빈도를 정확한 수치로 표현하지 못하는 단점이 있기 때문에, 각각의 매개변수를 몇 개의 일정한 수준으로 나누어 평가한다.

2.3 수명주기에 따른 신뢰성 프로그램

안전성을 보장하기 위해서는 신뢰성 강화를 위한 전반적인 이해가 요구된다. 신뢰성을 추진하는 전반적인 프로그램을 조사하면 제품 수명주기에 따른 프로그램과 신뢰성 척도, 신뢰성 수법, 신뢰성 시험 계획 및 시간에 흐름에 따른 고장원인과 대책을 조사하면 표 1과 같다. 신뢰성을 강화하기 위해서는 표 1을 연계하여 안정성에 관한 국제 규격과 ISO26262를 추진하는 것이 효과적일 수 있다.

Table 1.

Reliability programs according to the life cycle

ISO/TS 16949는 품질 관리 및 신뢰성에 중점을 두어 자동차 관련 제품의 필요한 요구사항을 결정하는 품질 관리시스템이다. 반면, ISO 26262는 RAMS(Reliability, Availability, Maintainability, and Safety)를 확보하여 자동차 제어 장치의 오작동으로 인한 사고를 예방하기 위한 기능 안전성 표준이다.

ISO/TS(Technical Specifications) 16949는 프로세스(Process)에 주 관심을 두어 제품 및 공정 품질을 개선함으로써 국제간 무역에서 신뢰성을 확보하고, 외주업체 간의 공급 체계에서 일관성을 유지하는 것을 강조한다. 반면, ISO 26262는 제품 안전에 중점을 두며, 제품 수명주기 전 단계의 기능 안전 표준과 위험 기반 안전 표준을 사용하고 ASIL 등급을 적용한다[2].

설계 시 다양한 검증 방법을 사용할 수 있으며, 정성적 방법을 사용하여 생산 부품 승인 프로세스(PPAP, Production Part Approval Process)로 승인하는 ISO/TS 16949와 달리, ISO 26262는 표준에서 요구하는 기법을 사용하며 정량적 등급을 활용한다[11].

ISO/PAS 21448(SOTIF, Safety Of The Intended Functionality)은 자율주행 시스템에서 환경과 상황에 따라 시스템의 고장이 없는 상태에서도 대처 또는 성능 한계로 인해 발생할 수 있는 위험을 방지하기 위한 안전 표준이다. ISO 21448은 자율주행 자동차의 안전성을 확보하기 위해 의도된 기능 및 구현과 관련된 모든 위험을 방지하기 위해 고안되었다[12].

ISO 26262는 전기/전자 시스템의 고장, 소프트웨어, 하드웨어 설계 및 도구의 결함에 의한 위험을 다루지만, 기술 발전으로 시스템의 자율성이 증가하면서 새로운 안전 문제가 제기되고 있다. ISO 21448은 결함이나 고장이 없더라도 의도된 기능을 제공하지 못하는 경우와 개발 단계에서 고려하지 못한 상황에서 발생하는 위험을 취급한다. 고장만을 고려하는 것이 아니라 의도되지 않은 상황을 방지하여 의도된 기능의 안정성(SOTIF, Safety Of The Intended Functionality)을 목표로 지속적인 개선을 수행해야 한다.

3.1 FMEA 평가 방법

FMEA는 시스템 개발 동안 발생할 수 있는 고장을 감지하고 이를 회피하거나 고장으로 인한 영향을 감소시키기 위해 수행하는 기법으로, 다음과 같은 목적으로 활용된다.

먼저 잠재 고장 모드를 확인하고 그 영향에 대한 중요도를 평가하며 원인을 분석하는 것이다. 다음으로, 고장을 회피하거나 제품 및 공정의 문제를 제거, 예방하고, 영향을 최소화하기 위한 대책을 마련하는 데 사용된다. 또한, 고장에 따른 위험 평가를 통해 개선 가능성을 식별하는 목적도 있다. 이 평가를 통해 중요 관리 특성을 확인하고 공정 및 설계의 잠재 결함에 대한 순위를 결정할 수 있다.

소프트웨어 FMEA의 분석 대상인 아키텍처 뷰(Architecture view)와 안전 분석 시 고려해야 할 영향성 범위의 제한, 컴포넌트(Components)의 안전 분석 순서 등의 내용이 포함되어 있다.

기존 기준을 사용한 결과와 이 논문에서 제안한 기준을 사용한 결과를 비교한 결과, 제안한 기준이 차량용 내장형 소프트웨어 FMEA에 더 효율적임을 확인하였다. 안전 목표를 위한 요구사항이 13%, 소프트웨어 FMEA의 횟수가 50% 이상 감소하였으며, 안전 메커니즘의 조정으로 소프트웨어 실행 시간도 개선되었다[11].

FMEA는 분석 대상에 따라 그림 2와 같이 제품 FMEA와 공정 FMEA로 구분된다. 제품 시스템 FMEA는 시스템과 외부 요소 간의 상호 작용 시 발생할 수 있는 잠재적 고장을 분석하며, 신규 시스템의 개념 개발 단계에서 위험 식별을 위해 수행된다. 제품 설계 FMEA는 시스템 내부의 하드웨어와 소프트웨어 구성 요소에서 발생할 수 있는 잠재적 고장을 분석하기 위해 수행된다. 공정 FMEA는 제품의 생산, 보관, 출하 등의 공정 과정에서 발생할 수 있는 위험을 분석하기 위해 수행된다.

Fig. 2.

FMEA application classification

특히 FMEA를 효과적으로 적용하기 위해서는 기능 고장 해석(FFA, Funtion Failure Analysis)을 실시해야 한다. 기능 고장 해석은 기능에 대한 정의 및 규격, 기능과 부품 간의 연관 관계, 부품 내의 연관 관계, 기능 고장을 규명하는 과정이다. 이러한 기능 고장 분석을 통해 기능적 고장 해석뿐만 아니라 다른 기능에 미치는 영향도 분석할 수 있다.

3.2 FTA 적용 방법

기존 ISO 26262의 기능 고장 분석을 위해 수행된 FTA는 알려진 영향으로부터 가능한 원인을 찾아가는 연역적 추론 방식이었다. 참고문헌[12]에서는 기존 FTA 분석 방법을 개선한 새로운 FTA 분석 기법을 발표하였다[13][14]. 이 논문은 기존 연구에서의 문제점을 개선하기 위해 두 가지 연구 목표를 설정하였다. 첫 번째는 시스템의 개념 설계 단계에서 확보할 수 있는 설계 정보 중 기능 분석 결과에 기반하여 Top-Event 분간, 이벤트 분해 및 조합 등을 도출해 기능 기반 Fault Tree를 생성하는 것이다. 두 번째는 이렇게 도출된 기능 기반 Fault Tree를 활용하여 위험 요소 분석 방법을 제시하는 것이다.

그림 3은 언급된 논문에서 개선된 FTA를 수행하는 절차를 나타낸 것이다. 이 논문에서 제시한 방법에 따라 만들어진 기능 기반 Fault Tree는 식별된 모든 사건과 사건의 조합이 설계 초기 기능 분석 결과를 활용하여 도출된 것이다[13][14].

Fig. 3.

Improved FTA

즉, 설계 과정에서 식별한 모든 기능에 대한 고장을 분석하여 Fault Tree에 반영하고, 기능 기반 FTA를 통해 기능 수준에서 위험 요소, 원인, 영향을 식별할 수 있음을 확인할 수 있었다. 이 결과를 활용하여 안전 생명 주기에서 기능 안전 개념 결정 단계에서 기능 안전을 도출할 수 있다.

기존 연구에서의 Fault Tree는 기존의 고장 정보에서 역으로 고장 모드와 관련된 기능을 식별하여 연결하게 하는 수준에서 도출되었다.

기존 방식에서는 구성품 수준에서 위험 요소의 기술, 영향, 원인 분석이 이루어지기 때문에, 안전 기능이 어떤 기능의 고장과 관련하여 필요한지, 다른 기능에 어떤 영향을 미치지 않도록 구현해야 하는지 등을 결정하는 데 어려움이 있었다.

앞서 제시한 기능 기반 FTA를 통해 위험 요소, 원인, 영향이 기능 수준에서 명확히 정의되어, 다음 절차인 기능 안전 개념 결정 단계에서 안전 기능이 어떤 기능의 고장에 대응하는 것인지, 원인이 되는 다른 기능의 고장을 어떻게 차단할 것인지, 다른 기능에 영향을 미치지 않도록 어떻게 할 것인지 등을 명확히 정의할 수 있다. 이렇게 하면 차후 상세한 설계 단계에서 안전 기능을 구현함으로써 설계 단계에서 이전보다 나은 수준의 안전을 확보할 수 있게 된다. 표 2에 기존 및 개선된 FTA 차이점을 요약하였다.

Table 2.

Differences from existing FTA application

3.3 신뢰성 실험

3.3.1 수명주기에 따른 신뢰성 시험

제품 개발은 상품 기획, 개념 설계, 예비 설계 및 상세 설계를 거쳐 프로토타입과 시제품(Pilot)을 개발하고, 설계 검증 및 양산 검증을 거쳐 양산 단계에 이르게 된다.

표 3은 수명주기에 따른 신뢰성 시험 및 기술적 보고서입니다. 수명주기 동안 기능 및 성능 시험, 환경시험, 안전 시험 및 신뢰성을 실시하며, 시험 중에 발견된 설계 결함은 설계 변경을 통해 시정한다.

Table 3.

Reliability tests and technical report over the life cycle

신뢰성 시험은 표 3에서 설계 및 양산 검증 단계에서 실시되는 개발 성장 시험과 신뢰성 보증 시험, 양산 단계에서 수행되는 번인(Burn-in) 환경 스트레스 선별시험(ESS, Environmental Stress Screening) 또는 신뢰성 수락 시험(PRAT, Production Reliability Acceptance Test)으로 구분할 수 있다.

3.3.4 결함 주입 시험

결함 주입 시험은 시스템이 정상적으로 동작하는 동안 인위적인 결함(시스템 내의 오류)을 강제로 발생시켜 예외 상황에 대한 시스템의 반응을 테스트하는 기법이다. 결함은 하드웨어와 소프트웨어 두 가지 측면을 가지며, 시스템의 Fail-Safe 기능을 검증하는 특징을 갖고 있다. 이 기법은 종종 안전 요구사항의 테스트 적용 범위를 개선하기 위해 사용한다. 그림 4는 결함 주입 시험의 종류를 나타낸 것이다.

Fig. 4.

Defect injection test

3.3.7 SW 개발에서의 시험 방법

소프트웨어 개발 단계에서 사용할 수 있는 기법과 도구는 표 6에 제시하였다. 소프트웨어 개발 단계에서 사용되는 시험 방법으로는 소프트웨어 시험, 소프트웨어 통합 및 시험이 포함된다. 요구사항 분석 시험, 결함 주입 시험, 인터페이스 시험은 각 단계에서 공통으로 사용되며, 소프트웨어 시험에는 시험 케이스 관리와 구조적 범위, 소프트웨어 통합 및 시험에는 백투백 시험과 시험 범위가 포함된다.

Table 6.

Techniques and tools in the software development phase