왜 ISO 26262인가
자동차의 전기·전자 시스템 비중 변화:
- 1980년대: 5%
- 2000년대: 25%
- 2020년대: 50% (전기차 80%)
- 2030년대: 자율주행 90%+
이 비중이 커질수록 전기·전자 시스템 고장이 사고를 일으킬 가능성도 커진다.
대표 사례:
- 2009 토요타 가속 페달 사건 (전자 제어 결함 의혹) → 10조원 손실
- 2010~2015 GM 점화 스위치 결함 → 1.3조원 손실·124명 사망
- 2020 테슬라 자율주행 사고
- 2023 현대·기아 전기차 화재 결함
**ISO 26262(Road Vehicles · Functional Safety·도로 차량 기능안전)**은 이 위험에 대응하는 국제 표준. 2011년 ISO 발간·2018년 개정. 자동차 산업의 핵심 안전 표준.
대상 범위:
- 자동차 전기·전자 (E/E) 시스템
- 차량 제어·안전 시스템
- 인포테인먼트·통신 (일부)
- 전기차 배터리·모터 제어
- 자율주행 시스템 (보조적)
핵심 원칙:
ASIL (Automotive Safety Integrity Level):
- ASIL D: 가장 위험 (브레이크·조향·에어백)
- ASIL C: 중간
- ASIL B: 보통
- ASIL A: 낮음
- QM (Quality Management): 기능안전 외
ASIL 결정 = Severity (심각도) × Exposure (노출) × Controllability (제어성)
V-Model 개발 프로세스:
- 좌측 (개발): 요구사항 → 설계 → 구현
- 우측 (검증): 단위 → 통합 → 시스템 → 차량 → 양산
문서·증빙·추적성 매우 강력.
대상:
- 한국 자동차 부품 OEM 1차·2차·3차 협력사
- 전기차·하이브리드 부품
- 자율주행 부품 (센서·ECU)
- 인포테인먼트·통신
- E/E 시스템 개발 회사
이 블로그는 한국 중소·중견 자동차 부품 협력사의 ISO 26262 5단계 도입 로드맵을 정리한다.
ISO 26262 성숙도 5단계
| 단계 | 상태 | 기능안전 운영 |
|---|---|---|
| L0 | ISO 26262 미인지 | E/E 일반 개발 |
| L1 | 학습·일부 적용 | 초기 단계 |
| L2 | ASIL·HARA 정착 | V-Model 일부 |
| L3 | 완전 적용·외부 평가 | 글로벌 OEM 진입 |
| L4 | 자율주행·확장 (ISO 21448) | 차세대 |
대부분 한국 중소·중견 자동차 부품 협력사는 L0~L1. 전기차·자율주행 시대 L3 필수.
Stage 1 — 진단·ASIL 결정·전략 (8~12주)
1.1 적용 필요성 판단
다음 시 ISO 26262 도입 필수:
- 자동차 E/E 부품 개발·제조 (ECU·센서·모터·배터리)
- 글로벌 자동차 OEM (BMW·Mercedes·VW·도요타·현대·테슬라) 협력사
- 자동차 1차·2차 협력사
- 전기차·하이브리드·자율주행 부품
E/E 부품 무관 (기계·외장·내장·금속): ISO 26262 직접 적용 X. IATF 16949·VDA 6.3 충분.
1.2 제품·기능 ASIL 결정
각 E/E 제품·기능의 ASIL 결정.
ASIL 결정 매트릭스:
| Severity (심각도) | Exposure (노출) | Controllability (제어성) | ASIL |
|---|---|---|---|
| S3 (생명 위협) | E4 (자주) | C3 (제어 어려움) | D |
| S3 | E4 | C2 (제어 가능) | C |
| S3 | E3 | C3 | C |
| S2 (중상) | E4 | C3 | B |
| S1 (경상) | E4 | C3 | A |
| S0 (무) | 모든 | 모든 | QM |
예시:
- 브레이크 제어 ECU: ASIL D
- 조향 제어 모터: ASIL D
- 에어백 ECU: ASIL D
- 전동 파킹 브레이크: ASIL C
- 헤드램프 LED 드라이버: ASIL B
- 윈도우 모터 ECU: ASIL A
- 인포테인먼트 디스플레이: QM
ASIL이 높을수록 ISO 26262 요구가 강력·비용·시간 큼.
1.3 IATF 16949·VDA 6.3 통합
ISO 26262는 IATF·VDA 위에 추가. 통합 운영:
- IATF: 품질경영시스템 기반
- VDA 6.3: 프로세스 심사
- ISO 26262: 기능안전 추가
세 인증 통합 운영 시 효율적.
1.4 V-Model 학습
ISO 26262 V-Model 10단계:
[개발] [검증]
1. 항목 정의 양산 (Operation)
2. 시스템 요구사항 ←→ 차량 통합·시험
3. 시스템 설계 ←→ 시스템 통합·시험
4. 하드웨어 요구사항 ←→ 하드웨어 통합·시험
5. 하드웨어 설계 ←→ 하드웨어 검증
6. 소프트웨어 요구사항 ←→ 소프트웨어 통합·시험
7. 소프트웨어 설계 ←→ 소프트웨어 단위 시험
8. 소프트웨어 구현 ←→ (단위 시험)
9. 통합·시험
10. 양산 안전 사례좌측 개발 단계가 우측 검증 단계와 1대1 대응.
1.5 임원·R&D·생산 합의
- 임원: 24
48개월 인증·예산 (130억원) - R&D: V-Model·HARA·FSC 개발 책임
- 품질: 검증·외부 평가
- 생산: 양산 안전·MOC
- 기능안전 책임자 (Safety Manager) 지정
Stage 1 산출물: 적용 필요성 진단, ASIL 결정, IATF·VDA 통합 계획, V-Model 학습, 임원 합의문·Safety Manager.
Stage 2 — HARA·FSC·기능안전 분석 (16~24주)
2.1 HARA (Hazard Analysis and Risk Assessment)
ISO 26262의 핵심 활동.
HARA 절차:
- 사용 시나리오 정의 (Operational Situations)
- 위험 시나리오 식별 (Hazardous Events)
- 각 위험에 S·E·C 평가
- ASIL 결정
- 안전 목표 (Safety Goal) 정의
예시 (전동 파킹 브레이크):
- 시나리오: 주차 중·운전 중
- 위험: 의도하지 않은 브레이크 작동·해제 실패
- S3 × E4 × C3 = ASIL D 또는 C
- 안전 목표: “사용자 의도 외 브레이크 작동 금지”
2.2 FSC (Functional Safety Concept)
안전 목표를 달성하는 기능 설계:
- 안전 기능 정의
- 중복성·다중성 (Redundancy)
- 자기 진단 (Self-test)
- 안전 상태 (Safe State) 전환
- 외부 통보 (운전자 경고)
2.3 TSC (Technical Safety Concept)
FSC를 기술적으로 구현:
- 하드웨어 아키텍처
- 소프트웨어 아키텍처
- 안전 메커니즘 (감지·진단·반응)
- 결함 감지 범위 (Diagnostic Coverage)
2.4 SEooC (Safety Element out of Context)
협력사가 자동차 OEM 컨텍스트 없이 개발:
- 가정 (Assumptions) 명시
- 적용 OEM이 가정 확인·통합
- 한국 부품 협력사 대부분 SEooC 방식
2.5 PMHF·SPFM·LFM 정량 분석
ASIL D·C는 정량 평가 필수:
- PMHF (Probabilistic Metric for Hardware Failures): 시간당 위험 확률
- SPFM (Single Point Fault Metric): 단일 결함 감지율
- LFM (Latent Fault Metric): 잠재 결함 감지율
기준:
- ASIL D: PMHF <10⁻⁸/h, SPFM >99%, LFM >90%
- ASIL C: PMHF <10⁻⁷/h, SPFM >97%, LFM >80%
- ASIL B: PMHF <10⁻⁷/h, SPFM >90%, LFM >60%
Stage 2 산출물: HARA 보고서, FSC, TSC, SEooC 가정 문서, PMHF·SPFM·LFM 분석.
Stage 3 — 개발·구현·검증 (지속·12~36개월)
3.1 하드웨어 개발 (Part 5)
ASIL 수준별 요구:
- 회로 설계 (FMEA·FMEDA)
- 부품 선정 (자동차 등급 부품·AEC-Q100·Q200)
- 안전 메커니즘 (Watchdog·ECC·CRC)
- 결함 분류·감지·반응
- 검증·시험
3.2 소프트웨어 개발 (Part 6)
ASIL 수준별 요구:
- 요구사항·설계·코딩 표준 (MISRA C·C++)
- 정적 분석 (Coverity·Polyspace)
- 단위 시험 (Code Coverage 80~100%)
- 통합 시험
- 모델 기반 개발 (MATLAB·Simulink + 자동 코드 생성)
ASIL D 소프트웨어는 매우 엄격. MISRA C·정적 분석·100% Branch Coverage 필수.
3.3 도구 자격 (Tool Qualification)
개발 도구도 자격 평가:
- TCL (Tool Confidence Level) 결정
- 도구 자격 (Qualified·Pre-Qualified·In-house Qualified)
- IBM·MathWorks·Vector·Synopsys 도구가 일반적 (사전 자격)
3.4 검증·확인 (V&V)
V-Model 우측 단계:
- 단위 시험 (Unit Test)
- 통합 시험 (Integration Test)
- 시스템 시험 (System Test)
- 차량 통합·시험 (Vehicle Test)
- 양산 검증
각 단계 ASIL 수준별 시험 방법·커버리지 요구.
3.5 안전 사례 (Safety Case)
개발 종료 시 통합 보고서:
- 안전 목표 달성 증명
- HARA·FSC·TSC·구현·검증 추적성
- 외부 평가 자료
문서 양: 보통 5,000~50,000 페이지.
3.6 FMEA·FMEDA 통합
- FMEA: 일반 고장 분석
- FMEDA (Failure Modes Effects and Diagnostic Analysis): 진단 커버리지 포함
ISO 26262는 FMEDA 필수.
Stage 3 산출물: 하드웨어 설계·검증, 소프트웨어 설계·검증, 도구 자격, V&V 결과, 안전 사례, FMEDA.
Stage 4 — 외부 평가·인증 (12~16주)
4.1 평가 기관 선정
ISO 26262 외부 평가 (Assessor) 기관:
- TÜV Süd·TÜV Nord·TÜV Rheinland (독일)
- SGS-TÜV Saar
- exida (미국)
- LRQA
- DEKRA
- 한국 일부 (TÜV 한국 지사)
ISO 26262 자체에는 “인증서” 개념이 약함. 대신:
- 평가 보고서 (Assessment Report)
- 자동차 OEM이 인정
4.2 내부 평가
외부 평가 6~12주 전 내부 평가:
- 안전 매니저 주도
- V-Model 단계별 점검
- 산출물·증빙 완성도
- 부적합 시정
4.3 외부 평가
평가 진행:
- 1단계: 안전 사례·문서 검토 (2~4주)
- 2단계: 현장 방문·인터뷰 (1~3주)
- 3단계: 종합 평가·보고서 (2~4주)
평가원 확인:
- HARA·ASIL 결정의 적절성
- FSC·TSC의 구현
- 검증의 충분성
- 추적성 (요구사항 → 설계 → 시험)
- 도구 자격
4.4 평가 결과·시정
- 적합: 평가 보고서 발급
- Major 부적합: 시정 후 재평가
- Minor 부적합: 보완 후 종결
평가 보고서를 자동차 OEM 제출.
4.5 OEM 인정
각 자동차 OEM이 별도 인정:
- BMW·Mercedes·VW·Audi·도요타·GM·포드·현대 등
- OEM별 추가 요구
- ASIL 수준에 따라 인정 절차
Stage 4 산출물: 내부 평가 결과, 외부 평가 보고서, 부적합 시정, 평가 보고서 발급, OEM 인정.
Stage 5 — 양산·자율주행·지속 (지속·1~5년)
5.1 양산 (Production·Operation)
ISO 26262 Part 7 양산 단계:
- 양산 변경 관리 (MOC·ECO)
- 양산 검증 (Sample·로트 검증)
- 야전 추적 (Field Monitoring)
- 사고·결함 보고·분석
- 재발 방지
5.2 야전 모니터링·리콜 대응
문제 발생 시:
- 야전 사고·결함 보고
- 영향 분석
- 시정·리콜 (필요 시)
- OEM·당국 보고
5.3 자율주행·SOTIF (ISO 21448) 통합
ISO 26262 = 고장에 의한 위험 SOTIF (Safety Of The Intended Functionality) = 의도된 기능의 한계로 인한 위험 (인지·판단·외부 환경)
자율주행 시스템:
- ISO 26262 (E/E 고장)
- SOTIF (인지·판단 한계)
- 두 표준 통합 운영
5.4 Cybersecurity (ISO/SAE 21434) 통합
자동차 사이버보안:
- ISO/SAE 21434 (자동차 사이버보안)
- UNECE R155·R156 (UN 규정)
- ISO 26262 + 21434 통합
5.5 다중 인증 통합
자동차 부품 협력사 통합 운영:
- IATF 16949 (품질)
- VDA 6.3 (프로세스)
- ISO 26262 (기능안전)
- ISO/SAE 21434 (사이버보안)
- SOTIF (자율주행)
- SA8000·RBA (사회적 책임)
- ISO 14001·45001 (환경·안전)
- ESG
5.6 디지털·AI 통합
PLM·Digital Twin·AI 통합:
- 모델 기반 개발 (MBD)
- 자동 코드 생성·시험
- AI 활용 안전 분석
- 가상 검증·시뮬레이션
5.7 KPI
ISO 26262 운영 KPI:
- ASIL D·C 제품 수
- PMHF·SPFM·LFM 추이
- 안전 사례 완성도
- 외부 평가 부적합 수
- 야전 사고·리콜 수
- OEM 인정 수
- ISO 26262 인력 비율
Stage 5 산출물: 양산 안전 운영, 야전 모니터링, SOTIF·사이버보안 통합, 다중 인증 통합, 디지털·AI 통합, KPI 대시보드.
비용·일정 가이드
| 항목 | 소규모(ASIL B 중심) | 중규모(ASIL C 일부) | 대규모(ASIL D) |
|---|---|---|---|
| 외부 컨설팅 | 1~3억원 | 3~7억원 | 7~15억원 |
| HARA·FSC·TSC | 5천만~1.5억원 | 1.5~3억원 | 3~7억원 |
| 개발 도구·MISRA·정적 분석 | 5천만~1.5억원 | 1.5~3억원 | 3~7억원 |
| 검증·시험 인프라 | 1~3억원 | 3~7억원 | 7~20억원 |
| 외부 평가 | 5천만~1.5억원 | 1.5~3억원 | 3~7억원 |
| Safety Manager·전담 인력 | 1~3억원/년 | 3~5억원/년 | 5~10억원/년 |
| 합계 (인증까지) | 3~10억원 | 10~25억원 | 25~80억원 |
| 1차 인증 기간 | 18~24개월 | 24~36개월 | 36~60개월 |
ROI는 보통 36~60개월. 전기차·자율주행 부품 글로벌 OEM 수주로 회수.
ISO 26262 vs IATF 16949 vs VDA 6.3 비교
| 항목 | ISO 26262 | IATF 16949 | VDA 6.3 |
|---|---|---|---|
| 본질 | 기능안전 | 품질경영시스템 | 프로세스 심사 |
| 대상 | E/E 시스템 | 모든 자동차 부품 | 모든 자동차 부품 |
| 핵심 도구 | HARA·V-Model·ASIL | APQP·PPAP·8D | P1~P7 |
| 외부 평가 | Assessment Report | 인증 | 등급 (A·B·C) |
| 한국 자동차 부품 보유율 | 매우 낮음 (성장 중) | 30~40% | 5~10% |
| 차세대 (전기차·자율주행) | 필수 | 필수 | 권장 |
선택:
- 기계·외장·금속: IATF + VDA 6.3
- E/E (전장·반도체): IATF + VDA 6.3 + ISO 26262
- 자율주행: IATF + ISO 26262 + SOTIF + 사이버보안
한국 중소·중견 적용 사례
사례 1: 전장 ECU (충북 청주)
- 매출 380억, 자동차 ECU 제조, IATF·VDA 보유
- 도입 전: 글로벌 OEM 전장 부품 ISO 26262 요구
- 도입: ASIL B·C·D 단계적 + V-Model + HARA·FSC
- 결과: BMW·Mercedes 전장 ECU 진입, 전기차 부품 수주 +180%, 매출 +52%
- 기간: 36개월·총 투자 15억원
사례 2: 자동차 센서 (경기 평택)
- 매출 240억, 자동차 센서 (압력·온도·위치)
- 도입 전: ASIL B 수준 부품, 자율주행 OEM 진출 어려움
- 도입: ASIL C·D 확장 + SOTIF 일부
- 결과: 테슬라·현대·기아 자율주행 센서 수주, 매출 +120%
- 기간: 30개월·총 투자 10억원
사례 3: 자동차 모터 제어 (충남 천안)
- 매출 420억, EV 모터·인버터
- 도입 전: 전기차 시대 ISO 26262 필수, 미보유로 진출 한계
- 도입: ASIL D + ISO/SAE 21434 (사이버보안) 동시
- 결과: BMW·VW·현대 전기차 모터 협력사 진입, 매출 +85%, 영업이익률 +4.2%p
- 기간: 48개월·총 투자 22억원
세 사례 공통점: 모두 전기차·자율주행 진출이 직접 동기, ASIL D + SEooC + V-Model + HARA가 핵심.
자가 진단 체크리스트
다음 12가지 중 6개 이상 “예”라면 ISO 26262 도입 즉시 검토.
- 자동차 E/E (ECU·센서·모터·인버터) 부품 제조사인가
- 전기차·하이브리드 부품 진출 계획·진출 중인가
- 자율주행 부품 (센서·인지·판단) 진출 계획이 있는가
- 글로벌 자동차 OEM (BMW·Mercedes·VW·테슬라) 협력사인가
- IATF 16949·VDA 6.3 보유했는가
- ASIL B·C·D 부품 제품군이 있는가
- HARA·FSC·V-Model 적용 부족한가
- MISRA C·정적 분석·도구 자격 미흡한가
- 안전 사례 (Safety Case) 작성 경험 부족한가
- 24
48개월 인증·예산 확보 가능한가 (530억원) - 자동차 OEM 평가·재계약에 ISO 26262 요구 받는가
- 전기차·자율주행 시장 매출 확대 전략이 있는가
7개 이상이면 Phase 1 진단부터 즉시 착수 권장.
마무리 — 전기차·자율주행 시대의 입장권
자동차 산업이 100년 만의 가장 큰 변화 중이다. 내연기관 → 전기차 → 자율주행. 이 변화의 핵심이 E/E 시스템. E/E 비중이 50% → 90%로 가는 시기에 ISO 26262는 협력사의 입장권.
한국 자동차 부품 협력사가 IATF·VDA만으로 글로벌 OEM 진출하던 시대는 끝나고 있다. 전장·전기차·자율주행 부품은 ISO 26262 필수.
핵심은 ASIL B → C → D 단계적 확장과 V-Model·HARA·FSC 정착. 한 번에 ASIL D 도전 금지. 18~36개월 단계적.
CONTIS은 한국 자동차 부품 협력사의 IATF 16949·APQP·PPAP·VDA 6.3·FMEA·MSA·SPC·Stage-Gate·PLM·OT 사이버보안·Digital Twin·AI·RBA와 통합한 ISO 26262 도입을 지원합니다. 진단·HARA·V-Model·외부 평가·자율주행 확장까지 단계별 동행이 필요하면 상담 요청으로 문의 바랍니다.