ISO 26262

왜 배우는가: ISO 26262는 자동차 전기·전자 시스템의 기능안전을 다루는 대표 표준으로, 차량 부품 개발 시 공급망 전체가 준수를 요구받아 실무에서 필수 지식이다. 시험에서는 ASIL 산정과 개발 생애주기 구성을 묻는 문항으로 반복 출제된다.

출제 이력: 제134회 4교시 2번, 제116회 1교시 5번, 제104회 1교시 12번

1. 한 줄 정의와 핵심 키워드

ISO 26262는 자동차 E/E 시스템의 오작동으로 인한 위해를 막기 위해 제품 수명주기 전 단계에 기능안전 활동과 증거를 요구하는 국제 규격이다.

• 기능안전(Functional Safety): 오작동으로 인한 위험을 줄이는 안전 활동 전체
• E/E 시스템(Electrical/Electronic System): 자동차의 전기·전자 제어 시스템
• ASIL(Automotive Safety Integrity Level): 자동차 안전 무결성 수준(A~D)
• HARA(위해원 분석 및 위험 평가): 위해 상황의 심각도·노출·통제 가능성을 평가하는 분석
• 안전 목표(Safety Goal): HARA 결과로 정한 위험 회피 목표
• 안전 수명주기(Safety Life Cycle): 개념부터 폐기까지의 단계
• Safety Case: 안전 달성을 입증하는 증거 묶음

2. 개념 풀이

쉽게 말하면 자동차의 전자 장치가 고장나거나 잘못 동작해도 사람이 다치지 않도록 설계·개발·생산·운영 전 과정을 관리하는 규칙이다. 이 규격은 기능안전에 관한 프로세스 모델과 함께 요구되는 활동, 유무형 증거물, 개발·생산 방식을 정의한다.

정식으로는 ISO 26262를 자동차 E/E 시스템의 오류로 인한 사고를 방지하기 위해 ISO가 제정한 자동차 기능안전 국제 규격이라고 정의한다. 이 표준은 IEC 61508을 자동차 전기·전자 시스템에 맞게 적응시킨 것이다.

기능안전은 기능이 정상 동작하지 않을 때 발생하는 위험을 줄이는 활동이다. 여기서 말하는 기능은 제동, 조향처럼 차량 안전과 직결된 기능을 가리킨다.

ASIL은 HARA에서 정한 위험을 줄이기 위해 요구되는 위험 감소 수준을 나타내는 등급이다. ASIL D가 가장 엄격하고 ASIL A가 가장 느슨하며, 등급에 따라 개발 방법과 검증 수준이 달라진다.

안전 목표는 HARA에서 도출된 각 위험에 대해 설정한 목표이며, 이 목표가 가진 ASIL을 하위 안전 요구사항이 상속한다.

ASIL은 A, B, C, D 4단계와 QM(품질관리만 필요)으로 구분한다. 이 구분은 IEC 61508의 안전 무결성 수준(SIL)을 자동차 산업에 맞게 바꾼 것이다.

3. 등장 배경과 필요성

자동차에는 제어 장치와 소프트웨어가 늘어나면서 전자 장치 오작동이 사고로 이어질 가능성이 커졌다. 기존 IEC 61508은 범용 안전 표준이어서 자동차 개발 현실에 완전히 맞지 않는다는 한계가 있었다.

이에 ISO는 자동차 산업에 맞춘 전용 규격을 마련했다. 초판은 2011년 11월 11일 발표되었고, 최대 중량 3500kg까지의 일관 생산 승용차에 설치되는 전기/전자 시스템에 적용될 예정이다(시험제작차나 장애인을 위해 개조된 차량, 표준 제정 이전에 생산된 차량은 이에 해당되지 않음).