기능 안전: ISO 26262와 ASIL
전기·전자 시스템 고장이 사람을 다치게 하지 않도록 하는 표준. 위험 분석, ASIL 등급, 안전 메커니즘.
무엇을 다루나
센서가 틀린 값을 주거나, 소프트웨어가 멈추거나, MCU 비트가 뒤집혀도 위험한 상황으로 이어지지 않게 설계하고 그것을 증거로 보이는 것입니다.
순서
- HARA (위험 분석): 오동작 시나리오별 심각도(S), 노출 빈도(E), 제어 가능성(C) 평가
- ASIL 결정: QM, A, B, C, D (D가 가장 엄격)
- 안전 목표: "의도하지 않은 가속을 일으키지 않는다"
- 기능 안전 요구 → 기술 안전 요구 → 하드웨어·소프트웨어 요구로 내려감
- 각 단계 검증과 안전 사례(safety case) 작성
| 예 | ASIL (대략) |
|---|---|
| 조향, 브레이크 | D |
| 에어백 | D |
| 전조등 | B |
| 인포테인먼트 | QM |
안전 메커니즘 예
- 락스텝 코어 (두 코어가 같은 계산을 하고 비교)
- RAM/Flash ECC, 주기적 자가 진단
- 워치독, 프로그램 흐름 감시
- 센서 이중화와 타당성 검사 (두 값의 차이, 변화율 한계)
- 고장 시 안전 상태로 전환 (토크 0, 경고등)
소프트웨어 쪽
ASIL에 따라 코딩 규칙(MISRA), 단위 테스트 커버리지(MC/DC), 정적 분석, 요구사항 추적이 요구됩니다. 안전 등급이 다른 소프트웨어가 서로 간섭하지 않게 메모리 보호(MPU)와 시간 분리를 둡니다.