기능안전과 ASPICE의 기본 차이
자동차 개발에서 기능안전과 ASPICE는 서로 다른 목적을 가진 기준이지만, 실제 프로젝트에서는 매우 밀접하게 연결된다. 기능안전은 차량 기능의 오동작으로 인해 사람에게 위험이 발생하지 않도록 관리하는 활동이고, ASPICE는 자동차 소프트웨어와 시스템 개발 프로세스가 체계적으로 수행되는지 평가하는 기준이다. 즉 기능안전이 “안전한 기능을 만들기 위한 요구”에 가깝다면, ASPICE는 “그 요구를 개발 과정에서 어떻게 관리하고 검증할 것인가”에 초점을 둔다.
기능안전은 주로 ISO 26262를 기준으로 다뤄진다. ISO 26262에서는 차량 기능의 위험을 분석하고, ASIL 등급을 정하며, 안전 목표와 안전 요구사항을 도출한다. 예를 들어 제동, 조향, 배터리 제어, ADAS 기능처럼 오동작 시 사고로 이어질 수 있는 기능은 안전 관점에서 체계적인 분석이 필요하다. 이렇게 도출된 안전 요구사항은 단순히 문서로만 남는 것이 아니라 시스템 요구사항, 소프트웨어 요구사항, 설계, 구현, 테스트로 이어져야 한다.
이 지점에서 ASPICE가 중요해진다. ASPICE는 요구사항 분석, 시스템 설계, 소프트웨어 요구사항, 아키텍처 설계, 구현, 검증, 추적성, 변경관리 등을 다룬다. 기능안전 활동에서 만들어진 안전 요구사항도 결국 개발 프로세스 안에서 관리되어야 한다. 안전 요구사항이 어떤 시스템 요구사항으로 반영되었고, 어떤 소프트웨어 요구사항과 설계로 연결되었으며, 어떤 테스트로 검증되었는지 설명할 수 있어야 한다. 이 연결을 가능하게 하는 것이 ASPICE의 추적성 관리다.
자동차 기능안전과 ASPICE의 가장 큰 연결점은 요구사항 관리다. 기능안전에서는 위험 분석을 통해 안전 목표와 안전 요구사항을 정의한다. ASPICE에서는 이러한 요구사항이 명확하고 검증 가능한지, 상위 요구사항과 하위 요구사항이 연결되어 있는지, 변경 시 영향 분석이 가능한지를 확인한다. 따라서 기능안전 요구사항이 아무리 잘 작성되어 있어도 ASPICE 관점의 추적성과 검증 체계가 부족하면 실제 개발 품질을 확보하기 어렵다.
두 번째 연결점은 설계와 검증이다. 안전 요구사항은 시스템 아키텍처와 소프트웨어 아키텍처에 반영되어야 한다. 예를 들어 고장 발생 시 안전 상태로 전환하거나, 오류를 감지하고 진단 정보를 저장하거나, 특정 조건에서 출력을 제한하는 기능은 설계 단계에서 명확히 정의되어야 한다. 이후 유닛 테스트, 통합 테스트, 소프트웨어 적격성 테스트를 통해 해당 안전 요구사항이 제대로 구현되었는지 확인해야 한다. ASPICE는 이러한 설계와 검증 활동이 계획되고 수행되었는지 확인하는 기준을 제공한다.
세 번째 연결점은 변경관리다. 자동차 개발 중에는 요구사항 변경, 결함 수정, 고객 요청, 안전 분석 결과 변경이 발생할 수 있다. 기능안전 관련 요구사항이 변경되면 관련 설계, 코드, 테스트, 안전 분석 결과까지 함께 검토해야 한다. ASPICE 기반의 변경관리와 형상관리가 잘 되어 있으면 변경 영향 범위를 명확히 파악할 수 있고, 누락된 재검증을 줄일 수 있다.
결론적으로 기능안전과 ASPICE는 경쟁 관계가 아니라 서로 보완하는 관계다. 기능안전은 차량 기능의 위험을 줄이기 위한 안전 요구사항을 정의하고, ASPICE는 그 요구사항이 개발 전 과정에서 체계적으로 반영되고 검증되도록 돕는다. 자동차 제어기 개발자, 시스템 엔지니어, 소프트웨어 엔지니어라면 두 기준을 따로 외우기보다 요구사항, 설계, 구현, 테스트, 추적성이라는 하나의 흐름으로 이해하는 것이 좋다. 기능안전과 ASPICE가 함께 관리될 때 자동차 소프트웨어의 품질과 안전성을 더 안정적으로 확보할 수 있다.