왜 SOTIF인가
자율주행·ADAS 시대의 새로운 안전 문제:
- 2018 Uber 자율주행 차량 보행자 사망 (Arizona)
- 2018 Tesla Autopilot 트럭 인식 실패 사고
- 2019 Tesla 흰색 트럭 인식 실패
- 2021 Tesla 정차 차량 충돌
- 2023 GM Cruise·Waymo 자율주행 사고 다수
이 사고들의 공통점:
- 하드웨어·소프트웨어 고장 없음
- 모든 시스템이 사양대로 작동
- 그런데 사고 발생
원인:
- 인지의 한계 (안개·역광·드문 객체)
- 판단의 한계 (예측 못한 시나리오)
- 시스템 사양의 한계 (개발 시 가정 외 상황)
ISO 26262는 고장에 의한 위험만 다룬다. 고장 없이 발생하는 위험은 ISO 26262로 해결 불가.
**SOTIF (Safety Of The Intended Functionality·의도된 기능의 안전·ISO 21448)**은 이 갭을 닫는 표준. 2022년 ISO 발간. 자율주행·ADAS의 핵심 안전 표준.
핵심 차이:
| 항목 | ISO 26262 | SOTIF (ISO 21448) |
|---|---|---|
| 본질 | 고장 (Fault) | 기능 한계 (Functional Insufficiency) |
| 예시 | ECU 고장으로 브레이크 실패 | 안개로 차선 인식 실패 |
| 분석 | HARA·ASIL | 시나리오·트리거링 조건 |
| 검증 | V&V | 시나리오 기반 시험 |
| 핵심 | 고장 감지·반응 | 알려지지 않은·위험 시나리오 식별 |
SOTIF 시나리오 4사분면:
| 안전 (Safe) | 위험 (Unsafe) | |
|---|---|---|
| 알려진 (Known) | 영역 1: 알려진·안전 | 영역 2: 알려진·위험 |
| 알려지지 않은 (Unknown) | 영역 4: 알려지지 않은·안전 | 영역 3: 알려지지 않은·위험 |
목표:
- 영역 2 (알려진 위험) 최소화
- 영역 3 (모르는 위험) 영역 4 또는 영역 1로 이동
- 영역 4 확대
대상:
- L2~L5 자율주행·ADAS
- 자동 긴급 제동 (AEB)
- 적응형 순항 제어 (ACC)
- 차선 유지 보조 (LKA)
- 자동 주차 보조
- 인지 시스템 (카메라·레이더·라이다)
- AI·딥러닝 기반 시스템
이 블로그는 한국 자동차 부품 협력사의 SOTIF 5단계 도입 로드맵을 정리한다.
SOTIF 성숙도 5단계
| 단계 | 상태 | SOTIF 운영 |
|---|---|---|
| L0 | SOTIF 미인지 | 없음 |
| L1 | 학습·일부 시나리오 | 초기 |
| L2 | 시나리오·트리거 분석 | 부분 |
| L3 | SOTIF 정착·외부 평가 | 양산 ADAS·L2 |
| L4 | L3~L5 자율주행·시뮬레이션 | 차세대 |
대부분 한국 중소·중견 자동차 부품 협력사는 L0. 자율주행 시대 L3 필수.
Stage 1 — 진단·자율주행 단계·전략 (8~12주)
1.1 적용 필요성
다음 시 SOTIF 도입 필수:
- ADAS·자율주행 부품 (특히 인지·판단·제어)
- 카메라·레이더·라이다 센서
- AI·딥러닝 기반 시스템
- ACC·AEB·LKA·자동 주차 ECU
- 자율주행 통합 ECU
기계·기본 ECU·일반 부품: SOTIF 직접 적용 X.
1.2 자율주행 단계 (SAE J3016)
- L0: 운전자 완전 제어 (수동)
- L1: 일부 보조 (ACC 또는 LKA 단독)
- L2: 부분 자율 (ACC + LKA 동시)
- L3: 조건부 자율 (특정 조건에서 시스템 운전)
- L4: 고도 자율 (특정 지역에서 완전)
- L5: 완전 자율 (모든 상황)
SOTIF 적용 범위:
- L1·L2: 기본 적용
- L3+: 강력 적용
- L4·L5: 핵심 표준
한국 자동차 부품 회사 대부분 L2 부품 (ADAS) 시작.
1.3 ISO 26262·ISO/SAE 21434와 통합
자율주행 안전 3대 표준:
- ISO 26262: 고장 (Fault)
- ISO/SAE 21434: 사이버 위협 (Cybersecurity)
- SOTIF·ISO 21448: 기능 한계 (Functional Insufficiency)
세 표준 통합 운영. 같은 V-Model에서 통합 분석.
1.4 시나리오 기반 개발
전통 ISO 26262: 요구사항 기반. SOTIF: 시나리오 기반.
핵심 차이: 자율주행은 무수히 다양한 시나리오. 모든 시나리오를 명세할 수 없음. 시나리오를 발견·분류·시험.
1.5 임원·R&D 합의
- 임원: 24~48개월 인증·예산
- Safety Manager (ISO 26262 + SOTIF 통합)
- R&D: 시나리오·시험·AI
- 검증: 시뮬레이션·실차
Stage 1 산출물: 적용 필요성, 자율주행 단계 정의, ISO 26262·21434 통합 계획, 시나리오 기반 학습, Safety Manager 지정.
Stage 2 — 시나리오·트리거 분석 (16~24주)
2.1 시나리오 카탈로그
자율주행 시나리오 분류:
Maneuver (운전 행위):
- 직진·차선 유지
- 차선 변경
- 회전·교차로
- 주차
- 비상 제동
Environment (환경):
- 도로 (고속도로·도시·시골)
- 날씨 (맑음·비·눈·안개)
- 조명 (낮·밤·역광·터널)
- 교통 (조밀·희박)
Object (객체):
- 차량 (승용·트럭·이륜)
- 보행자·자전거
- 동물·낙하물
- 교통 표지·신호등
각 조합이 하나의 시나리오. 무수히 많음.
2.2 시나리오 식별 방법
- 자동차 OEM·협력사 사고 데이터베이스
- 정부·NHTSA·EuroNCAP 시험 시나리오
- 실차 시험 데이터
- 시뮬레이션 자동 생성
- 전문가 워크숍
목표: 수천~수만 시나리오 카탈로그.
2.3 트리거링 조건 (Triggering Conditions)
기능 한계가 드러나는 조건:
예시 (자동 차선 유지):
- 트리거: 폭우·역광·차선 마모·임시 차선
- 한계: 차선 인식 실패
- 위험: 차선 이탈·충돌
예시 (AEB·자동 긴급 제동):
- 트리거: 정차 차량·낙하물·작은 객체
- 한계: 분류 오류·거리 측정 한계
- 위험: 제동 지연·충돌
각 시스템·기능의 트리거링 조건 식별.
2.4 시나리오 위험 평가
각 시나리오에 위험 평가:
- 발생 가능성 (지역·환경·빈도)
- 영향도 (사상·재산·중단)
- 시스템 처리 능력
위험 영역 2 (알려진 위험) 시나리오를 시정 대상으로.
2.5 시나리오 데이터베이스
전사 시나리오 데이터베이스:
- 분류·검색
- 시험 결과 추적
- 영역 1·2·3·4 분류
- 변경 이력
ISO 21448 양산 후 지속 갱신.
Stage 2 산출물: 시나리오 카탈로그 (수천~수만), 트리거링 조건 분석, 시나리오 위험 평가, 시나리오 데이터베이스.
Stage 3 — 시험·검증·V&V (지속·12~24개월)
3.1 시뮬레이션 시험
가상 환경에서:
- CarMaker·Carla·LGSVL·NVIDIA Drive Sim
- 수만~수십만 시나리오 자동 실행
- 실차 시험 전 사전 검증
- AI 학습·검증
ISO 21448의 핵심 시험 방법.
3.2 X-in-the-Loop 시험
- SIL (Software-in-the-Loop): 소프트웨어만
- HIL (Hardware-in-the-Loop): 하드웨어+소프트웨어
- VIL (Vehicle-in-the-Loop): 차량+가상 환경
- DIL (Driver-in-the-Loop): 운전자 시뮬레이터
단계적으로 SIL → HIL → VIL → DIL → 실차.
3.3 실차 시험 (Real-World Testing)
시뮬레이션 검증 후 실차:
- 전용 시험장 (테스트 트랙)
- 공도 시험 (정부 허가)
- 누적 거리 (목표: 수백만 km)
- 다양한 환경·시간대
테슬라·웨이모는 수십억 km 누적.
3.4 AI 학습 데이터 평가
AI·딥러닝 시스템:
- 학습 데이터 다양성·균형
- 데이터 편향 (예: 한국·일본 데이터 중심)
- 엣지 케이스 (Edge Case) 데이터
- 적대적 예시 (Adversarial Examples)
3.5 회귀 시험·CI/CD
소프트웨어 업데이트마다 모든 시나리오 자동 재시험:
- CI/CD 파이프라인
- 자동 시뮬레이션
- 결과 자동 평가
- 신규 시나리오 자동 추가
자율주행은 양산 후에도 지속 업데이트. 회귀 시험이 핵심.
3.6 잔여 위험 (Residual Risk) 평가
100% 안전은 불가능. 잔여 위험 평가:
- 알려진 위험 (영역 2) 시정
- 모르는 위험 (영역 3) 시뮬레이션으로 발견
- 잔여 위험 자동차 OEM·소비자에게 통보
Stage 3 산출물: 시뮬레이션 환경, X-in-the-Loop 시험, 실차 시험 결과, AI 학습 데이터 평가, 회귀 시험 자동화, 잔여 위험 분석.
Stage 4 — 외부 평가·OEM 인정 (12~16주)
4.1 외부 평가 기관
SOTIF 외부 평가:
- TÜV Süd·Nord·Rheinland
- DEKRA
- exida
- 자동차 OEM 자체 평가
ISO 21448 자체에 “인증”은 약함. ISO 26262처럼 평가 보고서.
4.2 내부 평가
외부 평가 8~12주 전:
- 시나리오 카탈로그 완성도
- 시험 결과
- 잔여 위험
- 부적합 시정
4.3 외부 평가
평가 진행:
- 시나리오·트리거링 분석
- 시뮬레이션·실차 시험
- AI 학습 데이터
- 잔여 위험·통보
평가원 확인:
- 시나리오의 광범위성
- 시험의 충분성
- 알려지지 않은 위험 (영역 3) 발견 노력
- 양산 후 모니터링 계획
4.4 OEM 평가
자동차 OEM 별도 평가:
- BMW·Mercedes·VW·도요타·테슬라·현대 등
- 각 OEM 자율주행 안전 요구
- ISO 26262 + ISO/SAE 21434 + SOTIF 통합
4.5 UNECE 영향
UN 자율주행 규정:
- ALKS (Automated Lane Keeping Systems) R157
- 향후 L3+ 차량 추가 규정
UNECE 자율주행 차량 인증 시 SOTIF 적합성 확인.
Stage 4 산출물: 내부 평가, 외부 평가 보고서, OEM 인정, UNECE 영향 분석.
Stage 5 — 양산·OTA·자율주행 확장 (지속·1~5년)
5.1 양산 후 모니터링 (Field Monitoring)
ISO 21448은 양산 후 핵심:
- 실차 데이터 수집
- 신규 시나리오 발견
- 사고·아차사고 분석
- 영역 3 → 영역 1·2로 이동
- OTA 업데이트로 시정
5.2 OTA 업데이트
ISO/SAE 21434·R156 SUMS 통합:
- 신규 시나리오 시정
- AI 모델 업데이트
- 시험·검증 자동
- 차량 통보
5.3 자율주행 L3 → L4·L5
단계적 자율주행 확장:
- L2 (ADAS): 운전자 책임
- L3: 조건부 자율 (제한 조건)
- L4: 고도 자율 (특정 지역)
- L5: 완전 자율 (모든 상황)
각 단계 SOTIF 강화.
5.4 협력사·생태계
자율주행은 단일 회사 불가. 생태계:
- OEM (BMW·Mercedes·VW·테슬라·현대)
- 협력사 (보쉬·콘티넨탈·덴소·LG·삼성)
- AI (구글·엔비디아·Mobileye·우버)
- 지도 (HD Map: TomTom·HERE·네이버)
- 정부·표준
협력 필수.
5.5 다중 인증·표준 통합
자율주행 인증:
- IATF 16949 (품질)
- VDA 6.3 (프로세스)
- ISO 26262 (기능안전)
- ISO/SAE 21434 (사이버보안)
- SOTIF·ISO 21448 (의도된 기능 안전)
- IEEE·SAE 자율주행 표준
- 각국 자율주행 법규
5.6 Digital Twin·AI
자율주행 핵심 기술:
- Digital Twin: 가상 차량·도시
- AI·딥러닝: 인지·판단
- 강화학습: 의사결정
- Generative AI: 시나리오 자동 생성
5.7 KPI
SOTIF 운영 KPI:
- 시나리오 카탈로그 수
- 시험 시나리오 커버리지
- 잔여 위험 평가
- 양산 후 신규 시나리오 발견
- 사고·아차사고 분석
- OTA 업데이트 빈도
- OEM 인정 수
Stage 5 산출물: 양산 모니터링, OTA 통합, L3+ 확장, 협력사·생태계, 다중 인증 통합, Digital Twin·AI, KPI 대시보드.
비용·일정 가이드
| 항목 | 소규모(ADAS·L2) | 중규모(L3 부품) | 대규모(L4·L5) |
|---|---|---|---|
| 외부 컨설팅 | 1~3억원 | 3~7억원 | 7~15억원 |
| 시나리오·시뮬레이션 인프라 | 1~3억원 | 3~10억원 | 10~50억원 |
| 실차 시험·검증 | 1~3억원 | 3~10억원 | 10~100억원 |
| AI 학습·데이터 | 1~3억원 | 3~7억원 | 7~50억원 |
| Safety Manager·전담 (연) | 1~3억원 | 3~5억원 | 5~20억원 |
| 외부 평가 | 5천만~1.5억원 | 1.5~3억원 | 3~7억원 |
| 합계 (인증까지) | 5~15억원 | 15~40억원 | 40~250억원 |
| 1차 인증 기간 | 24~36개월 | 36~48개월 | 48~84개월 |
ROI는 보통 60~120개월. 자율주행·L3+ 시장 진출로 회수.
SOTIF vs ISO 26262 vs ISO/SAE 21434 비교
| 항목 | SOTIF (ISO 21448) | ISO 26262 | ISO/SAE 21434 |
|---|---|---|---|
| 본질 | 기능 한계·시나리오 | 고장 (Fault) | 사이버 위협 |
| 대상 | ADAS·자율주행 | E/E 시스템 | 자동차 사이버 |
| 핵심 도구 | 시나리오·트리거링 | HARA·ASIL·V-Model | TARA·CSMS |
| 검증 | 시뮬레이션·실차 | V&V·정량 분석 | 침투 시험·취약점 |
| 양산 후 모니터링 | 핵심 | 야전 분석 | 인시던트 대응 |
| AI 시스템 적합성 | 매우 강함 | 어려움 | 보통 |
| 한국 보유율 | 거의 없음 (시작) | 매우 낮음 | 매우 낮음 |
자율주행 3대 표준: ISO 26262 + ISO/SAE 21434 + SOTIF.
한국 중소·중견 적용 사례
사례 1: ADAS 카메라·SoC (충북 청주)
- 매출 320억, ADAS 카메라·이미지 처리 SoC
- 도입 전: ISO 26262 보유, SOTIF 미보유
- 도입: SOTIF + 시뮬레이션 환경 + AI 시험
- 결과: 현대·BMW L2 ADAS 진입, 매출 +120%
- 기간: 36개월·총 투자 25억원
사례 2: 자율주행 ECU (경기 평택)
- 매출 280억, L3 자율주행 통합 ECU
- 도입 전: 글로벌 OEM L3 진출 시도, SOTIF 부족
- 도입: ISO 26262 + 21434 + SOTIF 통합
- 결과: 메르세데스 L3·BMW iX 자율주행 진입, 매출 +180%
- 기간: 48개월·총 투자 45억원
사례 3: AEB 시스템 (충남 천안)
- 매출 240억, 자동 긴급 제동 시스템
- 도입 전: EuroNCAP 5성 시험 일부 실패
- 도입: SOTIF + 시나리오 확대 + AI 강화
- 결과: EuroNCAP 5성·NHTSA 5성 달성, 글로벌 OEM 진출 가속
- 기간: 30개월·총 투자 15억원
세 사례 공통점: 모두 시뮬레이션 환경과 시나리오 카탈로그가 핵심, AI 학습 데이터 편향 제거가 가장 어려운 영역.
자가 진단 체크리스트
다음 12가지 중 6개 이상 “예”라면 SOTIF 도입 검토.
- ADAS·자율주행 부품 (인지·판단·제어) 제조사인가
- 카메라·레이더·라이다 센서 개발하는가
- AI·딥러닝 기반 자동차 시스템인가
- AEB·ACC·LKA·자동 주차 등 ADAS 부품인가
- L2·L3·L4·L5 자율주행 부품 진출 계획·중인가
- ISO 26262 보유 또는 도입 중인가
- 시뮬레이션·실차 시험 인프라 부족한가
- 시나리오 카탈로그가 없는가
- EuroNCAP·NHTSA·KNCAP 시험 통과 어려운가
- AI 학습 데이터 편향·다양성 부족한가
- 양산 후 모니터링·OTA 시스템 부족한가
- 24
48개월 인증·예산 가능한가 (550억원)
7개 이상이면 Phase 1 진단부터 즉시 착수 권장.
마무리 — 자율주행 안전의 새 표준
자율주행이 본격화하면서 안전의 정의도 확장된다. 전통 “고장 없음”에서 **“의도된 기능의 한계도 안전”**으로. AI·딥러닝 기반 자율주행은 ISO 26262만으로는 인증 불가. SOTIF·ISO 21448이 필수.
핵심은 수만 시나리오 + 시뮬레이션 + AI 학습 + 실차의 통합. 한 회사가 다 못함. 협력사·OEM·정부·표준 협력 필수.
한국 자동차 부품 회사가 자율주행 시대에 글로벌 OEM 진입하려면 ISO 26262 + ISO/SAE 21434 + SOTIF 3대 인증 필수. 2448개월·550억원 투자.
CONTIS은 한국 자동차 부품 협력사의 IATF 16949·APQP·PPAP·VDA 6.3·ISO 26262·ISO/SAE 21434·Digital Twin·AI·FMEA·PLM와 통합한 SOTIF (ISO 21448) 도입을 지원합니다. 진단·시나리오·시뮬레이션·외부 평가·자율주행 확장까지 단계별 동행이 필요하면 상담 요청으로 문의 바랍니다.