TARAASIL-B 인증 저장장치를 샀다면, 안전 분석은 끝났을까 — 중앙 컴퓨팅 SSD 예제를 HARA·FTA·FMEA·TARA로 다시 보기
01요약
02기사가 말해 주는 것과 말해 주지 않는 것
독일 전자 전문지 all-electronics는 11월 5일 기사에서 SDV의 존 아키텍처, OTA, V2X가 늘어나면서 저장장치가 안전과 보안이 겹치는 부품이 되고 있다고 다뤘습니다. 예로 든 Silicon Motion의 차량용 SSD 컨트롤러는 AEC-Q100, ISO 26262 ASIL-B, ASPICE CL3 인증을 갖췄다고 소개했습니다.
읽을 때 세 가지를 기억해야 합니다. 기사는 스스로 해당 회사 자료를 바탕으로 썼다고 밝힙니다. 2023년 제품 발표문에서 찾은 표현은 "ASPICE compliance"까지였고, 저희는 인증서 원본을 확인하지 않았습니다. 기사는 고장률이나 구체적인 안전 메커니즘을 제시하지 않으며, ISO 21434는 인증이 아니라 적합성으로 적었습니다.
그래도 이 기사에서 쓸 만한 단어가 하나 있습니다. SEooC(Safety Element out of Context)입니다. 특정 차량을 정해 두지 않고 개발한 안전 요소를 뜻합니다.
03부품 인증이 넘겨주는 것과 남기는 것
SEooC로 개발한 부품은 공급사가 사용 환경을 가정하고 만듭니다. 그 가정은 안전 매뉴얼에 적혀 통합하는 쪽으로 넘어옵니다. 가정이 우리 차량에서 맞지 않으면 부품의 안전 근거도 그대로 쓸 수 없습니다.
| 부품 인증이 보여 주는 것 | 차량 쪽에 남는 질문 |
|---|---|
| 공급사의 개발 절차와 안전 메커니즘이 정해진 등급을 목표로 평가되었다 | 그 부품에 의존하는 우리 안전 목표의 ASIL은 몇인가 |
| 정해진 온도, 전원, 사용 조건에서 동작을 뒷받침한다 | 우리 실장 위치와 전원, 기록량이 그 조건 안에 있는가 |
| 부품 안의 고장을 진단하는 기능이 있다 | 진단 결과를 차량이 받아 안전하게 반응하는가 |
| 저장 데이터를 암호화한다 | 키는 어떻게 관리하고, 정상 경로로 들어오는 변조는 누가 막는가 |
이제 이 질문들을 가상 예제로 따라가 보겠습니다.
04예제: 컨트롤러 하나를 함께 쓰는 중앙 컴퓨팅 SSD
교육용으로 만든 구성입니다. 중앙 컴퓨터의 SSD 한 개를 주행 보조, 인포테인먼트, OTA 가상 머신이 함께 씁니다. 컨트롤러는 ASIL-B 인증품이라고 가정합니다. 주행 보조는 SSD에서 지도 데이터를 읽고, 호스트의 소프트웨어가 체크섬으로 무결성을 검사합니다.
아래의 모든 등급, 점수, 고장률은 설명을 위해 넣은 가정값입니다. 실제 제품의 값이 아닙니다.
HARA: 부품 등급과 안전 목표의 등급은 다르다
| 오작동 | 위험 사건 | S | E | C | ASIL |
|---|---|---|---|---|---|
| 오래되거나 잘못된 지도 데이터를 정상 데이터처럼 제공 | 고속도로 주행 보조 중 오래된 지도로 차로를 벗어남 | S3 | E4 | C2 | C |
| 필요한 순간 지도 데이터를 제공하지 못함 | 고속도로 주행 보조가 경고 없이 꺼짐 | S2 | E4 | C2 | B |
첫 번째 안전 목표는 ASIL C입니다. 컨트롤러는 ASIL-B입니다. 그래서 설계팀은 ASIL 분해를 택합니다. SSD 쪽은 ASIL B(C), 호스트의 무결성 검사는 ASIL A(C)로 나누는 방식입니다. 표로 보면 등급이 맞습니다. 그런데 ASIL 분해에는 조건이 붙습니다. 나눈 요소들이 충분히 독립적이어야 합니다.
FTA: 독립적이라고 본 두 요소가 같은 컨트롤러에 묶여 있었다
무결성 검사에 쓰는 체크섬을 지도 데이터와 같은 SSD에 저장했다고 해 봅시다. NAND 오류로 데이터만 깨지면 체크섬 검사가 잡습니다. 하지만 컨트롤러가 이전 버전 블록을 돌려주면 데이터와 체크섬이 함께 옛날 값으로 돌아옵니다. 둘은 서로 맞으니 검사를 통과합니다. 검사 소프트웨어가 멀쩡해도 소용이 없습니다.
T0 구조의 컷셋은 세 개입니다.
| 컷셋 | 차수 | 뜻 |
|---|---|---|
| 컨트롤러 펌웨어가 이전 버전 블록을 반환 | 1차 | 이 고장 하나로 최상위 사건 발생 |
| 컨트롤러 내부 매핑 테이블 오류 | 1차 | 이 고장 하나로 최상위 사건 발생 |
| NAND 데이터 오류 + 호스트 무결성 검사 고장 | 2차 | 설계자가 의도한 이중 구조 |
ASIL 분해표에는 2차만 보입니다. 1차 두 건은 FTA를 그려야 보입니다.
고치기: 기준값을 컨트롤러 밖으로 옮긴다
서명된 기준값과 버전 번호를 별도 보안 저장소에 둡니다. 이제 컨트롤러가 이전 블록을 돌려주면 별도 저장소의 값과 맞지 않아 걸러집니다.
| 구조 | 1차 컷셋 | 2차 컷셋 |
|---|---|---|
| T0 기준값을 같은 SSD에 저장 | 2건 | 1건 |
| T1 기준값을 별도 저장소에 저장 | 0건 | 3건 |
부품은 그대로이고 바뀐 것은 차량 쪽 구조뿐입니다. 고장률이 가정값이므로 이 글에서는 계산 수치를 비교하지 않고 컷셋 구조만 봅니다.
FMEA: 공급사의 가정이 깨지는 원인은 차량 쪽에 있다
| 고장 원인 | 고장 형태 | 고장 영향 | S | O | D | AP |
|---|---|---|---|---|---|---|
| 실장 위치 온도가 공급사 가정 범위를 넘음 | 데이터 보존력이 떨어져 정정 불가 오류 증가 | 주행 보조가 잘못된 지도 데이터 사용 | 9 | 4 | 6 | H |
| OTA 쓰기 중 전원이 끊길 때 유지 시간 부족 | 메타데이터 손상으로 저장 이미지를 읽지 못함 | 업데이트 후 차량 기능 일부가 시작되지 않음 | 7 | 5 | 7 | H |
| 로그 기록량이 공급사 가정치를 넘음 | 쓰기 수명이 소진되어 읽기 전용으로 전환 | 업데이트 후 차량 기능 일부가 시작되지 않음 | 7 | 6 | 6 | H |
세 원인 모두 부품 인증서로는 답할 수 없습니다. 부품 온도 등급을 확인해도 실제 실장 위치를 재지 않았다면 모르는 일이고, 양산 뒤 OTA로 기능이 늘면 기록량도 처음 계산과 달라집니다. 시험 계획을 부품 단품에서 실차 조건으로 옮겨야 하는 이유입니다.
TARA: AES-256이 막는 것과 막지 못하는 것
| 위협 | 공격 잠재력 합계 | 실현 가능성 | 영향 | 위험 등급 | 처리 결정 |
|---|---|---|---|---|---|
| SSD를 탈거해 NAND를 직접 읽음 | 42 | Very Low | Major | 1 | 위험 유지 |
| 침해된 인포테인먼트 가상 머신이 공유 경로로 지도 데이터를 변조 | 18 | Medium | Severe | 4 | 위험 감소 |
| 차량 한 대에서 공용 키를 추출해 같은 차종 데이터를 복호화 | 22 | Low | Major | 2 | 위험 감소 |
저장 데이터 암호화가 직접 막는 위협은 첫 번째입니다. 두 번째는 정상 권한으로 쓰기를 요청하므로 암호화와 상관없이 통과합니다. 세 번째는 암호 강도가 아니라 키 관리의 문제입니다. 그래서 위험이 가장 높은 위협의 대책은 "가상 머신별 저장 영역 분리와 사용 전 서명 검증"이 됩니다. 이 서명 검증은 FTA에서 찾은 기준값 분리와 같은 설계로 이어집니다. 안전 분석과 보안 분석이 같은 대책을 가리키는 사례입니다.
05부품 인증서를 받으면 확인할 다섯 가지
| 확인할 것 | 어디서 보나 | 예제에서 나온 것 |
|---|---|---|
| 인증서 원본의 대상 제품, 펌웨어 버전, 범위. 인증인지 적합성 주장인지 | 인증서, 공급사 자료 | 자료의 표현이 "인증"과 "준수"로 섞여 있음 |
| 이 부품에 의존하는 안전 목표의 ASIL | HARA | 부품 ASIL-B, 안전 목표 ASIL C |
| 나눈 요소들이 공유하는 자원 | FTA 공통 원인 | 같은 컨트롤러에서 1차 컷셋 2건 |
| 안전 매뉴얼의 사용 가정과 우리 설계의 차이 | FMEA 고장 원인 | 온도, 전원 유지, 기록량 |
| 암호화의 범위, 키 관리, 공유 경로의 접근 통제 | TARA | 위협 세 건 중 암호화가 막는 것은 한 건 |
06VisualPro로 하는 방법과 한계
VisualPro에서는 HARA, FTA, DFMEA, TARA를 한 프로젝트에 두고 작업합니다. 이 예제도 한 프로젝트에 네 모듈을 만들어 입력했고, ASIL과 AP, 위험 등급, 컷셋은 도구가 계산했습니다.
VisualPro가 대신하지 못하는 것도 분명히 해 둡니다. 부품의 실제 고장률은 공급사 자료와 시험에서 와야 합니다. 부품 인증서가 유효한지, ASIL 분해의 독립성이 충분한지 판단하는 것은 엔지니어와 평가자의 몫입니다. 이 예제는 부품 수준의 FMEDA를 다루지 않았습니다.
07자주 묻는 질문
Q1ASIL-B 인증 부품을 ASIL C 또는 D 기능에 쓸 수 없나요?
쓸 수 있는 경우가 있습니다. 대표적인 방법이 ASIL 분해입니다. 다만 나눈 요소들이 충분히 독립적이어야 합니다. 공유 자원이 있으면 이 예제처럼 FTA에 단일 고장점이 나타날 수 있으니 먼저 확인해야 합니다.
Q2SEooC 인증 부품이면 우리는 무엇을 추가로 해야 하나요?
안전 매뉴얼의 가정을 우리 차량 조건과 하나씩 대조합니다. 맞지 않는 가정이 있으면 설계를 바꾸거나 공급사와 협의합니다. 진단 결과를 차량 쪽 안전 반응으로 연결하는 일도 통합하는 쪽의 과제입니다.
Q3저장장치를 AES-256으로 암호화하면 TARA에서 위험이 낮아지나요?
저장 매체를 빼내 읽는 위협에는 효과가 있습니다. 정상 권한 경로로 들어오는 변조나 공용 키 유출은 따로 평가해야 합니다. 위협별로 공격 경로를 나눠 보면 암호화가 어디까지 막는지 드러납니다.
참고 자료
· all-electronics, 「Speicher wird zum Sicherheitsfaktor」(2026-11-05) — 기사 보기
· Silicon Motion, 2023년 8월 제품 발표 — 자료 보기
· Intertek, 「Exploring Safety Elements out of Context」(2026-01-15) — 자료 보기
· Renesas, ISO 26262 SEooC 소프트웨어 해설 — 자료 보기
· ISO 26262 Road vehicles — Functional safety — ISO 페이지