ISO 26262 기반 ‘의도된 기능’과 ‘안전 기능’의 분류 및 구조적 본질

기능 안전 표준에서 용어는 단순한 명칭이 아니라 해당 요소가 시스템 내에서 수행하는 역할과 책임을 규정하는 법적, 기술적 구속력을 가집니다. 따라서 질문의 핵심에 접근하기 위해서는 먼저 ISO 26262 Part 1 (Vocabulary)과 관련 문헌들이 정의하는 ‘기능(Function)’의 이원론적 구조를 명확히 이해해야 합니다.

2.1 의도된 기능(Intended Function)의 정의와 본질
 

의도된 기능은 시스템이 존재한 본래의 목적을 수행하는 동작을 의미하며, 이는 차량의 거동을 제어하거나 사용자의 편의를 제공하기 위해 설계된 핵심 로직입니다. 예를 들어, 전기차(EV)의 트랙션 모터 제어 시스템에서 운전자의 가속 페달 입력에 따라 토크를 생성하여 차량을 전진 또는 후진 시키는 행위, 혹은 전동식 파워 스티어링(EPS) 시스템에서 운전자의 조향 의지를 보조하기 위해 모터를 구동하는 행위 등이 이에 해당됩니다.

의도된 기능의 가장 중요한 특징은 그것이 위험(Hazard)의 잠재적 원천이라는 점입니다. 기능 안전의 관점에서 볼 때, 의도된 기능이 설계된 대로 완벽하게 작동할 때는 가치를 창출하지만, 오동작(Malfunction)을 할 경우에는 즉각적인 위험을 초래합니다. 엘리베이터가 사용자의 층수 요청에 따라 움직이는 것은 의도된 기능이지만, 문이 열린 채로 움직이거나 과속으로 하강하는 것은 의도된 기능의 오작동이며, 이는 곧 승객의 안전을 위협하는 위험원이 됩니다. 따라서 의도된 기능은 ‘안전(Safety)’을 목적으로 하는 것이 아니라 ‘성능(Performance)’을 목적으로 하며, 안전 분석의 대상(Target of Analysis)이 됩니다.

ISO 26262는 의도된 기능의 수행 능력이 전자 시스템의 핵심이라고 정의하며, 여기에는 제동, 조향 등 안전에 치명적인 영향을 줄 수 있는 기능들이 포함된다고 명시합니다. 그러나 ‘안전에 치명적인 영향을 주는 기능’이라는 표현이 곧 ‘안전 기능’을 의미하는 것은 아니며, 이는 해당 기능이 고장 날 경우 심각한 사고로 이어질 수 있다는 ‘안전 관련성(Safety-Relevance)’을 의미할 뿐, 그 기능 자체가 사고를 예방하는 실체임을 의미하지 않습니다.

2.2 안전 기능(Safety Function)의 정의와 역할
 

반면, 안전 기능은 시스템의 고장이나 오작동이 발생했을 때 위험한 사건(Hazardous Event)이 발생하는 것을 방지하거나 그 영향을 완화하여 시스템을 안전 상태(Safe State)로 유도하는 기능을 의미합니다. 안전 기능은 HARA(Hazard Analysis and Risk Assessment)를 통해 도출된 안전 목표(Safety Goal)를 달성하기 위해 존재하며, 그 자체로 시스템의 성능을 높이는 것이 아니라 리스크를 줄이는 데 목적이 있습니다.

안전 기능의 핵심은 ‘보호(Protection)’와 ‘통제(Control)’에 있으며, 트랙션 모터 예시에서, 모터가 과도한 토크를 생성하여 급 발진할 위험이 있을 때, 이를 감지하고 인버터의 전원을 차단하거나 토크를 0으로 만드는 기능이 바로 안전 기능입니다. 이 경우 안전 기능은 의도된 기능(토크 생성)을 억제하거나 중단시키는 역할을 수행합니다. ISO 26262는 안전 기능에 대해 ASIL을 할당하며, 이는 해당 기능이 수행해야 할 리스크 감소의 수준을 정량적, 정성적으로 요구합니다.

중요한 점은 안전 기능이 반드시 별도의 하드웨어로만 구현되는 것은 아니라는 점이며, 하나의 ECU 내에서 소프트웨어적으로 구현될 수도 있고, 별도의 센서나 액추에이터를 포함할 수도 있습니다. 그러나 개념적으로 안전 기능은 의도된 기능과 구별되는 ‘감시자(Monitor)’ 혹은 ‘보호자(Guardian)’의 위치에 있습니다. 즉 안전 기능은 시스템이 의도되지 않은 사용이나 오용 상황에서도 특정 기능을 올바르게 수행하거나 위험한 고장을 자동으로 방지하도록 설계된 상태를 의미한다.

2.3 안전 메커니즘(Safety Mechanism)과 안전 기능의 관계
 

안전 메커니즘은 안전 기능을 구현하기 위한 구체적인 기술적 수단이며, 이는 고장을 탐지(Detection)하거나 고장의 영향을 제어(Control)하여 안전 상태를 달성하는 하드웨어적, 소프트웨어적 장치를 의미합니다.

일반적으로 안전 기능은 하나 이상의 안전 메커니즘들의 조합으로 구성되며 예를 들어, “과속 방지”라는 안전 기능을 수행하기 위해 “휠 속도 센서 모니터링(고장 탐지)”, “토크 계산 값 비교(오류 탐지)”, “연료 차단 밸브 제어(안전 상태 천이)”라는 세부 안전 메커니즘들이 유기적으로 작동해야 합니다. 따라서 아키텍처 상에서 안전 메커니즘은 안전 기능의 실체이며, 의도된 기능이 오작동할 때 최후의 방어선 역할을 수행합니다.

2.4 안전 관련 요소(Safety-Related Element)와의 혼동 방지
 

가장 빈번하게 발생하는 오해는 ‘안전 관련 요소’와 ‘안전 기능’을 동일시하는 것입니다. 안전 관련 요소는 안전 목표를 위반할 잠재력을 가진 모든 요소를 지칭하며, 의도된 기능이 고장 나면 안전 목표를 위반할 수 있으므로, 의도된 기능은 명백히 ‘안전 관련 요소’입니다. 그러나 어떤 요소가 안전과 관련되어 있다는 사실이 그 요소가 안전 기능을 의미하지는 않습니다.

마치 칼(Knife)이 위험하므로 ‘안전 관련 도구’이지만, 칼 자체가 ‘안전 장치’는 아닌 것과 같으며, 칼집이 바로 안전 장치(안전 기능)가 됩니다. 칼이 없으면 요리를 할 수 없으므로 칼은 ‘의도된 기능’을 수행하고, 칼집은 요리를 하지 못하지만 사용자가 다치지 않게 하므로 ‘안전 기능’을 수행합니다. 즉, QM으로 할당된 의도된 기능은 칼과 같고, ASIL D로 할당된 모니터링 메커니즘은 칼집과 같습니다. 칼을 아무리 잘 만들어도(QM 수준의 품질 관리), 그것이 칼집의 역할을 하는 것은 아닌 것입니다.