STPAISO 26262 2027 3판 초안에서 언급되는 STPA 그리고 모든 안전 분석을 지원하는 VisualPro
01요약
02ISO/DIS 26262 3판 초안에 STPA가 언급됐다
ISO 26262 3판은 지금 국제표준안(DIS) 단계입니다. 투표는 2026년 10월 14일에 시작해 2027년 1월 6일에 끝나며 문구와 조항 번호는 그 뒤에도 바뀔 수 있습니다. 이 글은 초안 1부부터 10부까지를 읽고 정리한 것이며 반도체(11부)와 이륜차(12부)는 보지 않았습니다.
STPA는 열 개 부의 본문에서 두 군데에 언급됩니다.
| 위치 | 내용 | 성격 |
|---|---|---|
| 9부 8.2절 (안전 분석, 일반) | 정성 분석 기법 목록: 정성 FMEA, 정성 FTA, HAZOP, STPA (SAE J3187 참조), 정성 ETA | 설명문의 예시 목록 |
| 10부 13.6.1절의 주 | 위험 시나리오를 탐색할 때 9부의 STPA 같은 방법을 쓸 수 있다 | 기능 안전과 SOTIF의 상호작용을 다루는 절의 주(NOTE) |
9부의 목록은 "다음을 포함하되 이에 한정하지 않는다"로 시작하는 설명문입니다. 요구사항 조항(8.4절)에는 STPA가 없습니다. 4부와 5부의 방법 표는 귀납 분석과 연역 분석을 ASIL별로 권고하고 6부는 9부 8절을 따르라고만 합니다. 초안은 STPA를 귀납·연역 어느 쪽으로도 분류하지 않았습니다. STPA로 그 표의 권고를 충족했다고 주장하려면 조직이 근거를 따로 마련해야 합니다.
정리하면 3판 초안에서 STPA는 "쓸 수 있는 정성 안전 분석 기법으로 표준 본문에 언급된" 단계입니다. 2018년판 9부의 같은 목록에는 STPA가 없었습니다. 한 가지 덧붙이면 8.4.1절은 안전 분석을 적절한 표준이나 지침에 따라 수행하라고 요구합니다. STPA를 고른 조직에는 초안이 참조한 SAE J3187이 그 지침이 됩니다.
03ISO 26262는 무엇을 요구하는 표준인가
ISO 26262는 도로 차량의 전기·전자(E/E) 시스템이 오동작해 사람이 다치는 일을 막기 위한 기능 안전 표준입니다. 산업 일반 표준인 IEC 61508을 자동차에 맞게 옮긴 것으로, 2011년 초판과 2018년 2판을 거쳤습니다.
큰 흐름을 보면 먼저 위험원 분석 및 위험 평가(HARA)에서 위험 사건마다 심각도(S), 노출(E), 제어 가능성(C)을 매겨 ASIL A~D를 정하고 안전 목표를 세웁니다. 안전 목표는 기능 안전 요구사항으로 내려가 시스템, 하드웨어, 소프트웨어에 할당됩니다. 단계마다 안전 분석으로 설계가 요구사항을 위반할 가능성이 있는지 확인하고 시험과 확인 조치로 마무리합니다. 3판 초안에서 ASIL 결정표, 하드웨어 지표 목표값(SPFM·LFM·PMHF), 귀납·연역 분석 권고 등급의 값은 바뀌지 않았습니다. 다만 DIS 단계이므로 최종판에서는 달라질 수 있습니다.
초안 머리말이 밝힌 주요 변경은 여덟 가지이고 안전 분석과 관련된 것은 다음 세 가지입니다.
- 의도된 기능의 안전(SOTIF, ISO 21448)과의 상호작용을 정의했다
- 다른 기술(OT, 기계·유압·화학 등 E/E가 아닌 기술)과의 상호작용을 정의했다
- 예지 정비(predictive maintenance)를 포함했다
04STPA는 어떤 맥락에서 들어갔나
초안은 STPA를 넣은 이유를 따로 설명하지 않습니다. 다만 같은 8절의 문장들을 읽으면 STPA가 쓰일 곳이 드러납니다.
8.1절은 안전 분석이 적용에 따라 하는 일의 목록 첫 항목에 "HARA에서 식별하지 못한 새 위험원의 식별"을 둡니다. 8.4.5절은 그렇게 찾은 위험원을 HARA에 반영하라고 요구합니다.
8.4.9절은 정성 분석이 체계적으로 식별할 결함·고장의 출처를 셋으로 듭니다. 요소 자체, 다른 아이템·요소와의 상호작용, 그리고 사용입니다.
8.2절과 8.4.9절에는 결함·고장이 어길 수 있는 요구사항의 범위에 "SOTIF 관련 요구사항을 포함"한다는 문구가 들어 있습니다. 고장 없이 생기는 위험 자체는 여전히 ISO 21448이 다루지만 두 분석이 같은 요구사항을 함께 보게 됩니다.
부품의 고장 모드에서 출발하는 FMEA는 영향을 따라 올라가고, FTA는 최상위 사건(top event)에서 원인 조합으로 내려옵니다. 둘 다 "무엇이 고장 나는가"를 잘 따집니다. STPA는 출발점이 다릅니다. 제어기와 피제어 대상, 그 사이의 제어행동과 피드백을 제어 구조로 그린 뒤, 특정 상황에서 위험원으로 이어지는 제어행동(비안전 제어행동, UCA)과 그것이 나오게 되는 시나리오를 찾습니다. 해야 할 제어행동을 하지 않은 경우도 UCA이고 부품이 고장 나지 않았을 때와 고장이 겹쳤을 때를 모두 다룹니다. 운전자와 시스템, 시스템과 시스템 사이에서 생기는 문제가 여기서 드러납니다. 위 2번 요구가 가리키는 범위입니다.
| 기법 | 잘 찾는 것 | 덜 보는 것 |
|---|---|---|
| FMEA (주로 귀납) | 이 부품·기능이 이렇게 고장 나면 무슨 일이 생기는가 | 부품·고장 모드 중심으로 하면 요소 사이의 상호작용이 빠지기 쉽다 (기능·인터페이스 FMEA로 일부 보완) |
| FTA (주로 연역) | 이 사건은 어떤 고장 조합으로 생기는가, 그 확률은 | 요소가 각자 정상인데 조합이 위험한 경우처럼 고장 사건으로 표현하기 어려운 원인 |
| HAZOP | 설계 의도에서 벗어난 편차(많음·적음·늦음 등)의 원인과 결과 | 제어기의 판단과 피드백이 얽힌 시나리오의 구조화 |
| 종속 고장 분석(DFA) | 독립이라고 본 두 요소를 함께 고장 나게 하거나 한쪽 고장을 다른 쪽으로 번지게 하는 원인 | 개별 요소의 기능 결함 |
| STPA | 특정 상황에서 위험해지는 제어행동, 상호작용과 사용 맥락 | 고장률과 하드웨어 지표 계산. 시나리오 수가 많아 선별 부담이 있다 |
STPA가 FMEA나 FTA를 대신하지는 않습니다. 하드웨어 지표 계산은 여전히 정량 FMEA(FMEDA)와 FTA로 하고 초안도 그 부분은 바꾸지 않았습니다. 상호작용을 다루는 기법이 STPA뿐인 것도 아닙니다. 같은 목록의 HAZOP도 그 일을 합니다. 제어 구조가 복잡하고 사람과 소프트웨어의 판단이 얽힌 기능일수록 STPA가 맞습니다.
05해야 할 안전 분석은 늘어난다
초안을 조항 단위로 보면 한 아이템에서 해야 하는 분석과 분석 사이의 연결이 여럿입니다. STPA를 더하면 더 늘어납니다. 아래 조항 번호는 DIS 기준이며 최종판에서 바뀔 수 있습니다.
| 초안 내용 | 조항 | 실무에서 생기는 일 |
|---|---|---|
| E/E가 예방·완화에 기여하는 기술 관련 위험원도 HARA에서 다룬다 | 3부 6.4.6 | 아이템에 그런 기능이 있으면 감전처럼 E/E 오동작이 원인이 아닌 위험원이 HARA 표에 들어온다 |
| HARA 검증은 다른 위험 평가와의 일관성을 본다 | 3부 6.4.7.1 | SOTIF 위험 평가나 사이버보안 TARA가 있으면 HARA와 대조한다 |
| 결함·고장이 어길 수 있는 요구사항에 SOTIF 관련 요구사항을 포함한다 | 9부 8.2, 8.4.9 | 안전 분석 항목과 SOTIF 관련 요구사항을 연결한다 |
| 종속 고장 분석은 안전 분석과 별개의 분석이다 | 9부 7.2 | 독립성이나 간섭 배제 요구가 있으면 DFA 결과를 안전 분석 결과와 구분해 제시한다. FMEA 한 열로만 남기는 방식으로는 부족하다. 산출물 항목은 시스템(4부 6.5.7), 하드웨어(5부 7.5.3), 소프트웨어(6부 7.5.4)에 있다 |
| 정성 분석은 상호작용과 사용에서 오는 원인을 식별한다 | 9부 8.4.9 | 그 원인을 어느 분석으로 식별할지 정한다 |
| 분석에서 새로 찾은 위험원은 HARA를 갱신한다 | 9부 8.4.5 | 분석 항목에서 HARA 위험 사건으로 가는 연결과 변경 관리 |
| 안전 분석 툴은 툴 신뢰 평가 대상의 예다 | 8부 부속서 B.1 | 분석 툴의 분류·자격 근거 자료를 준비한다 |
여기에 STPA까지 더하면 한 아이템에서 HARA, FMEA, FTA, DFA, STPA를 하게 되고 사이버보안 쪽 TARA와도 대조해야 합니다. 분석마다 다른 파일과 다른 툴을 쓰면 같은 위험 사건과 같은 안전 목표가 여러 곳에 따로 기록되고 한쪽을 고쳤을 때 다른 쪽에 반영되지 않습니다. 초안도 분석 결과 사이의 일관성을 요구사항으로 두었습니다. 종속 고장 분석은 안전 분석 결과와 일관되어야 하고(9부 7.4.1), 새 위험원은 HARA에 반영해야 하며(9부 8.4.5), HARA는 다른 위험 평가와 일관되어야 합니다(3부 6.4.7.1).
06여러 안전 분석을 한 프로젝트에서 다루는 VisualPro
VisualPro는 VWAY가 만드는 안전 분석 툴입니다. 한 프로젝트 안에 HARA, FMEA, FTA, STPA, CAST(사고 원인 분석), TARA 분석을 함께 다룹니다. 이 글 제목의 "모든 안전 분석"은 이 여섯 가지를 가리킵니다. 초안 목록의 HAZOP, ETA, 마르코프 모델까지 포함한다는 뜻은 아닙니다. 종속 고장 분석(DFA) 기능은 곧 추가됩니다.
STPA 모듈은 MIT STPA Handbook의 네 단계(분석 목적 정의, 제어 구조 작성, 비안전 제어행동 식별, 손실 시나리오 식별)를 따릅니다. MIT PSASS가 공개하는 STAMP Tools 목록에 등록되어 있으며 목록 등록이 MIT의 평가나 보증을 뜻하지는 않습니다. VisualPro는 SGS-TÜV Saar의 툴 인증(ISO 26262, IEC 61508, IEC 62304)을 받았습니다. 앞 절 표의 마지막 줄, 곧 분석 툴 자신의 신뢰 근거를 요구받는 상황에서 쓸 수 있는 자료입니다. 다만 인증서는 사용자가 하는 툴 분류·자격 평가의 입력 자료이고 그 평가를 대신하지 않습니다.
07AI가 맡는 일, 사람이 맡는 일
분석이 늘어나면 사람의 시간부터 부족해집니다. VisualPro는 MCP(Model Context Protocol) 연결을 제공해 Claude 같은 AI가 열려 있는 프로젝트의 분석 데이터를 읽고 항목을 만들어 저장할 수 있습니다. FMEA, FTA, STPA, TARA, HARA 모듈이 연결 대상입니다.
저희가 2026년 10월에 공개한 기술자료에서 실제로 해 본 결과가 있습니다. 주행 보조 기능 교육용 예제 하나에서 AI가 제어 구조와 가이드워드를 읽고 손실 시나리오 17건을 만들어 저장했습니다. 6건은 비교 기준으로 삼은 단일 원형 시나리오이고 11건이 조합 원형 시나리오입니다. 사람이 그 11건을 판정해 보니 대책이 달라지는 것 3건, 단일 원형을 더 골랐으면 찾을 수 있었던 것 3건, 기존 시나리오와 일부 겹치는 것 2건, 설계 확인이 필요한 가설 2건, 중복 1건이었습니다. AI는 후보를 폭넓게 만들었고 그 후보가 우리 설계에서 성립하는지는 사람이 설계 문서로 판정했습니다. 예제 하나에서 필자가 판정한 결과이므로 일반화하기에는 이릅니다.
초안의 요구와 견주면 이렇습니다. 9부 8.4.8절은 안전 분석과 그 결과를 검증하라고 요구하고 8부 10.4.1절은 출력이 충분히 검토·검증되지 않는 툴에 평가를 요구합니다. AI가 낸 항목을 사람이 모두 검토한 뒤에 산출물로 삼는 방식은 이 조건에 맞추려는 것입니다. 8부 10.4.1절에는 AI 기반 툴에 전문 표준의 추가 고려가 따른다는 주도 달려 있습니다.
08내일 확인할 것
- 지금 하는 분석 목록 옆에 9부 8.4.9절의 세 출처(요소 자체, 상호작용, 사용)를 적고 출처마다 어느 분석으로 다루는지 표시한다. 어느 분석으로도 다루지 않는 출처가 있으면 HAZOP이나 STPA 같은 기법을 검토한다.
- 독립성이나 간섭 배제 요구가 있는 곳에서 종속 고장 분석 결과를 안전 분석 결과와 구분해 제시할 수 있는지 확인한다.
- 분석에서 새 위험원이 나왔을 때 HARA에 반영하는 절차와 기록이 있는지 확인한다.
- HARA, SOTIF 위험 평가, TARA가 같은 위험 사건을 서로 다르게 기록하고 있지 않은지 한 건만 대조해 본다.
- 쓰고 있는 안전 분석 툴의 분류·자격 근거 자료(인증서, 알려진 문제 목록, 릴리스 노트)를 모아 둔다.
- AI로 만든 분석 항목을 누가 언제 검토했는지 남기는 방법을 정한다.
09마무리
3판 초안에서 STPA는 요구된 기법이 아니라 언급된 기법입니다. 초안은 정성 분석에 상호작용과 사용에서 비롯되는 원인까지 식별하라고 요구하고, 그 요구를 다루는 데 쓸 수 있는 기법으로 STPA를 언급했습니다.
늘어난 분석을 따로따로 관리하면 분석 사이의 일관성을 유지하기 어렵습니다. 분석은 한 프로젝트에서 함께 다루고 AI가 낸 후보는 사람이 판정합니다.
10자주 묻는 질문
Q1ISO 26262 3판이 나오면 STPA를 반드시 해야 합니까?
아닙니다. 초안에서 STPA는 9부 8.2절의 정성 분석 기법 예시 목록에서 언급됐을 뿐이고 요구사항 조항이나 ASIL별 권고 표에는 없습니다. 다만 8.4.9절은 정성 분석이 상호작용과 사용에서 오는 원인까지 식별하라고 요구합니다. 그 요구를 어떤 기법으로 충족할지는 조직이 정하고 STPA는 초안이 언급한 선택지 가운데 하나입니다.
Q2STPA를 하면 FMEA나 FTA를 줄일 수 있습니까?
줄일 수 없습니다. 하드웨어 아키텍처 지표와 PMHF는 고장률에 기반한 정량 분석으로 평가하고 초안도 귀납·연역 분석 권고를 그대로 두었습니다. 초안은 STPA를 귀납·연역 어느 쪽으로도 분류하지 않았습니다. STPA는 특정 상황에서 위험해지는 제어행동과 상호작용을 찾는 데 쓰고 FMEA·FTA와 병행합니다.
Q3초안이 참조한 SAE J3187은 무엇입니까?
자동차 안전 필수 시스템의 평가에 STPA를 적용하는 권장 실무를 담은 SAE 문서입니다. 초안 9부는 STPA 절차를 직접 설명하지 않고 참고문헌으로 이 문서를 가리킵니다. 절차 자체를 익히려면 MIT의 STPA Handbook이 기본 자료입니다.
Q4아직 초안인데 지금 준비할 필요가 있습니까?
문구는 투표와 의견 반영을 거치며 바뀔 수 있으므로 조항 번호에 맞춘 문서 작업은 이릅니다. 지금 할 만한 것은 분석 범위 점검입니다. 상호작용과 사용에서 오는 원인을 어느 분석으로 식별하는지, 종속 고장 분석 결과를 구분해 제시할 수 있는지는 최종판 문구와 무관하게 확인해 둘 가치가 있습니다.
Q5AI가 만든 분석 결과를 심사에 그대로 낼 수 있습니까?
그대로 내지 않습니다. 초안 9부 8.4.8절은 안전 분석과 그 결과의 검증을 요구하고 8부 10.4.1절은 AI 기반 툴에 추가 고려가 필요하다는 주를 달았습니다. AI는 후보를 만들고 사람이 설계 문서와 대조해 채택한 것만 산출물로 삼는 방식이 맞습니다.
참고 자료
- ISO/DIS 26262-1~10:2026, Road vehicles — Functional safety (국제표준안, 투표 2026-10-14 ~ 2027-01-06). 이 글이 인용한 조항: 9부 7.2, 7.4.1, 8.1, 8.2, 8.4.1, 8.4.5, 8.4.8, 8.4.9 / 10부 13.6.1 / 3부 6.4.6, 6.4.7.1 / 4부 6.5.7 / 5부 7.5.3 / 6부 7.5.4 / 8부 10.4.1, 부속서 B.1
- SAE J3187, System Theoretic Process Analysis (STPA) Recommended Practices for Evaluations of Automotive Related Safety-Critical Systems
- ISO 26262-9:2018, 8절 Safety analyses; ISO 21448:2022 (SOTIF); ISO/SAE 21434 (사이버보안)
- VWAY 기술자료, 「STPA 손실 시나리오 도출의 다음 단계: Class 조합 가이드워드 + MCP AI」, 2026-10-29
- Nancy G. Leveson, John P. Thomas, STPA Handbook, MIT, 2018 — psas.scripts.mit.edu
- MIT PSASS, STAMP Tools — psas.scripts.mit.edu/home/stamp-tools
이 글은 ISO/DIS 26262:2026 1~10부(국제표준안)를 읽고 정리한 것이며 11부와 12부는 다루지 않았습니다. 국제표준안은 확정 표준이 아니며 투표와 의견 반영을 거치며 문구와 조항 번호가 바뀔 수 있습니다. 표준 문구의 인용은 필자의 비공식 번역이고, 해석은 필자의 것이며 인증·심사 판단을 대신하지 않습니다. 화면 그림의 주행 보조 기능은 교육용 가상 예제이며 특정 차량이나 제조사의 설계가 아닙니다. AI 생성 실험 수치는 위 2026-10-29 기술자료의 결과로, 판정은 필자가 했고 독립 재판정은 받지 않았습니다.