카드뉴스
자동차 기능안전은 오동작이 위험으로 이어지는 경로를 다룹니다
기능안전은 고장이 전혀 나지 않게 만드는 기술이나 안전한 코딩 규칙만을 뜻하지 않습니다. 자동차 E/E 시스템의 오동작 때문에 사람의 안전에 받아들이기 어려운 위험이 생기지 않도록 분석하고 통제하는 개발 체계입니다. ISO 26262도 명목 성능의 우수성보다 오동작으로 생길 수 있는 위험을 다룹니다. 정상 상태에서 잘 동작하는지와 고장 상황에서 충분히 안전한지는 다른 질문입니다.
HARA에서 ASIL과 Safety Goal을 정합니다
먼저 아이템의 기능과 경계, 외부 인터페이스를 정의합니다. 이어서 의도하지 않은 구동 토크나 제동 출력 상실 같은 오동작이 특정 운행 상황과 만났을 때 어떤 위험 사건이 되는지 살펴봅니다. HARA(Hazard Analysis and Risk Assessment)에서는 심각도(Severity), 노출 가능성(Exposure), 운전자나 관련자가 상황을 통제할 가능성(Controllability)을 평가합니다.
그 결과에 따라 QM 또는 ASIL A~D가 정해집니다. ASIL은 기능의 품질이나 중요도를 매기는 점수가 아니라 필요한 안전 활동과 엄격성을 정하는 위험 기반 분류입니다. 위험을 방지하거나 완화하기 위한 최상위 요구가 Safety Goal이며, 이후 기능 안전 요구사항과 기술·하드웨어·소프트웨어 안전 요구사항으로 구체화됩니다.
진단 로직과 보호 로직은 검출과 대응을 나눠 설계합니다
진단 로직은 센서 값의 범위와 상호 개연성, 통신 timeout, 전류·전압·온도 한계, 위치 신호 이상을 감시합니다. 임계값 하나만 두면 순간 잡음과 실제 고장을 구분하기 어렵습니다. 지속 시간, debounce, 신호 갱신 주기, 허용 검출 시간과 오검출 가능성까지 요구사항에 포함해야 합니다.
보호 로직은 진단 결과에 따라 토크·전류 제한, PWM 차단, 대체값 사용, 경고 표시와 DTC 저장 등을 수행합니다. 같은 고장도 속도와 운행 상황에 따라 필요한 반응이 달라질 수 있습니다. 진단 플래그가 섰을 때 어떤 출력이 우선되는지, 어느 상태로 전이하는지까지 정해야 안전 메커니즘이 실제 제어와 연결됩니다.
Safe State와 검증 근거는 시스템 상황에 맞춰야 합니다
Safe State가 언제나 즉시 전원을 끄는 상태인 것은 아닙니다. 고속 주행 중 모든 출력을 갑자기 차단하면 다른 위험이 생길 수 있습니다. 시스템과 위험 사건에 따라 제한 운전, 단계적 출력 감소, controlled stop, 인버터 차단처럼 다른 안전 상태를 선택할 수 있고, 그 전에 degraded mode나 비상 운전이 필요할 수도 있습니다.
따라서 “고장 시 OFF”라고만 쓰지 말고 어떤 조건에서 얼마 안에 어떤 출력과 통신 상태로 전환할지 정의해야 합니다. Safety Goal에서 설계와 코드, 단위·통합 테스트, 차량 수준 확인까지 양방향 추적성을 유지하면 안전 로직의 존재뿐 아니라 의도한 위험을 통제했다는 근거도 남길 수 있습니다.
