ISO 26262 기반 안전 메커니즘 개요 및 실무 적용 가이드

4.1. 카테고리 I: 중복 기반 아키텍처 (Redundancy-Based Mechanisms)

이 메커니즘들은 물리적 혹은 논리적 중복 구조를 활용하여 단일 고장 발생 시에도 시스템의 기능 연속성을 보장하거나 고장을 정정함으로써 높은 고장 내성(Fault Tolerance)을 실현합니다. 이는 특히 ASIL D와 같이 엄격한 안전 요구사항을 충족하는 데 필수적입니다.

멀티 코어 락스텝 (Lockstep CPU): 마이크로컨트롤러 내부에 두 개 이상의 프로세서 코어를 배치하여 동일한 연산을 클럭 단위로 동시에 수행하게 하고, 그 결과를 하드웨어 비교기(Comparator)를 통해 실시간으로 상호 비교하는 구조입니다. 이 방식은 CPU 내부 연산에서 발생하는 미세한 오류나 무작위 고장을 즉시 감지하고, 해당 오류가 시스템 전체에 전파되는 것을 방지함으로써, 높은 ASIL MCU에서 CPU 연산 무결성을 보장하는 가장 효과적인 수단으로 널리 사용됩니다.

TMR (Triple Modular Redundancy) 및 다중화: TMR은 세 개의 동일한 모듈(로직, 메모리, 또는 센서 채널)을 중복하여 구성하고, 이들의 출력단에 다수결 투표 회로(Majority Voter)를 두는 방식입니다. 세 모듈 중 하나의 모듈에 고장이 발생하여 잘못된 값이 나오더라도, 회로가 나머지 두 모듈의 일치하는 값을 선택하여 고장을 자동으로 교정(Correction)하고 기능 손실 없이 동작을 지속합니다. 이는 특히 안전에 치명적(Safety critical)인 시스템과 같은 차량용 메모리/로직에서 발생하는 소프트 에러(SEU)에 대한 고장 내성을 제공하며, ASIL D 요구사항 충족에 핵심적인 역할을 합니다.

이중/다중 채널 신호 비교: 중요한 센서나 액추에이터 구동 신호를 이중화 하거나 다중화하여 출력 신호를 실시간으로 비교함으로써 고장을 감지하는 방법입니다. 예를 들어, 듀얼 센서 출력값을 하드웨어 비교기를 통해 대조할 경우, 한 채널의 오류는 즉시 불일치로 검출되어 최종 제어 단계로 잘못된 값이 전달되는 것을 막을 수 있습니다.

통신 버스의 하드웨어 중복: CAN이나 FlexRay와 같은 차량 네트워크에서 물리적인 배선을 이중화(Complete Redundancy)하여 한쪽 선로에 단선이나 합선 등의 물리적 고장이 발생하더라도 나머지 통신망을 통해 기능 수행을 지속할 수 있으며, 이는 Fail-Operational 시스템에서 통신 무결성과 가용성(Availability)을 높이는 데 필수적입니다.

4.2 카테고리 II. 실시간 모니터링 및 진단 (Runtime Monitoring & Diagnostics)

이 메커니즘들은 시스템의 운영 상태, 실행 흐름, 물리적 조건을 감시하여 시스템 전체의 이상 징후를 조기에 감지하고 안전 상태로의 전환(Fail-Safe)을 유도하는 데 중점을 둡니다.

Watchdog Timer (WDT): MCU의 동작을 감시하는 하드웨어 타이머로, 소프트웨어가 정해진 주기 내에 정상 신호(Heartbeat 또는 Kick)를 보내지 않으면 시스템에 이상이 발생한 것으로 판단하여, 소프트웨어 실행이 정지되거나 무한 루프에 빠지는 오류를 감지하면 시스템을 자동으로 리셋 하거나 오류 처리 절차를 실행하여 위험한 상태를 방지합니다. 정교한 WDT는 너무 느리거나 빠른 주기의 신호까지도 오류로 간주하여 프로그램 흐름 이상을 정밀하게 감지합니다.

Program flow and timing monitoring: 소프트웨어 내부에 설정된 루틴 실행 순서나 주기가 올바 른지 감시하는 기법입니다. 예를 들어 시간 기반 모니터(타임아웃)와 논리 흐름 모니터를 조합하여 프로그램이 지정된 시간 안에 특정 작업을 완료하는지, 그리고 함수 호출 순서 등이 어긋나지 않았는지 확인합니다. 일정 시간 내 완료되지 않거나 수행 순서가 어긋나면 소프트웨어는 이를 오류로 인지하고 안전 모드로 전환하거나 시스템을 재 시작합니다. (예시: 윈도우 워치독은 너무 빠르거나 늦은 주기의 신호도 오류로 간주하여, 프로그램 흐름 이상을 정교하게 잡아냅니다.

Voltage Supply Monitoring: 시스템에 인가되는 전압 또는 전류를 하드웨어적으로 감시하여 기준 범위를 벗어날 경우 경고를 주거나 시스템을 종료합니다. 예를 들어 과 전압이나 저 전압이 감지되면 ECU를 리셋 하거나 안전 모드로 전환하여 전체 시스템의 손상을 막습니다. 이러한 전원 모니터링 IC/회로는 시스템 전반의 전원 안정성을 보장함으로써 차량 전장품의 오동작을 예방합니다.

4.3 카테고리 III. 데이터 무결성 및 논리 검증 (Data Integrity & Plausibility Checks)

이 메커니즘들은 데이터의 저장, 연산, 또는 통신 과정에서 발생하는 오류를 검출하고 정정하여, 잘못된 데이터가 제어 결정에 사용되는 것을 방지함으로써 시스템의 신뢰성을 확보 합니다.

ECC (Error Correction Code) 및 Parity: 메모리 영역에서 발생하는 무작위 비트 뒤바뀜 오류를 처리하기 위해 사용되며, ECC 메모리는 데이터 워드와 함께 검사 코드를 저장하여 1비트 오류는 자동으로 교정(Correction)하고 다중 비트 오류는 검출합니다. 패리티 검사는 가장 단순한 형태로, 각 데이터에 홀수/짝수 패리티 비트를 추가하여 읽을 때 오류를 감지하는 방식이며, 이러한 기법은 메모리에서 발생하는 무작위 고장을 즉시 발견하여 데이터 신뢰성을 크게 향상시킬 수 있습니다.

Checksum/CRC (Cyclic Redundancy Check): 통신 메시지나 메모리 데이터의 무결성을 소프트웨어적으로 확인하는 방법으로 송신 측에서 계산된 CRC 값을 메시지와 함께 전송하고, 수신 측에서 동일한 알고리즘으로 재계산한 값과 비교하여 전송 중 발생한 비트 오류를 검출합니다. 이러한 정보 기반 무결성 검사는 구현이 비교적 간단하면서도 데이터 손상으로 인한 위험을 효과적으로 완화합니다.

논리상 개연성 검사 (Plausibility Check): 센서 신호나 상태 값이 물리적 및 논리적으로 타당한지 판단하는 기법이다. 예를 들어, 입력값이 유효 범위(Valid Range)를 벗어나거나, 복수의 센서 신호가 서로 상관관계 검사(Correlation Check)를 통해 모순되는 경우, 해당 신호를 오류로 식별하고 안전 모드로 전환하거나 경고를 활성화합니다. 이 메커니즘은 소프트웨어 알고리즘으로 구현되지만, 센서의 고착(Stuck-at) 고장처럼 하드웨어 진단이 놓치기 쉬운 이상을 초기에 발견하는 데 매우 중요한 역할을 수행합니다.