탑승자의 생명과 직결되는 차량용 반도체의 필수 신뢰성 표준인 AEC-Q100과 ISO 26262 규격을 알려드리겠습니다. 영하 40도부터 섭씨 150도까지 버티는 극한 환경 스트레스 검증부터 고장을 사전에 방어하는 기능 안전성 메커니즘을 확인해 보세요.
스마트폰 칩과 180도 다른 차량용 반도체의 가혹 운용 환경
우리가 일상에서 사용하는 스마트폰이나 노트북에 탑재되는 일반 소비자용 반도체는 주로 실내의 쾌적한 상온 환경에서 작동합니다. 기껏해야 섭씨 0도에서 40도 안팎의 온화한 공기 속에서 사용되며, 사용 중에 시스템이 일시적으로 멈추거나 블루스크린이 뜨더라도 전원 버튼을 길게 눌러 재부팅하면 약간의 불편함을 겪는 수준에서 끝납니다.
 |
| 스마트폰 칩과 180도 다른 차량용 반도체의 가혹 운용 환경 |
또한 모바일 전자기기의 교체 주기는 통상 2년에서 3년 안팎으로 매우 짧기 때문에 반도체 설계 시 요구되는 기대 수명 역시 3년에서 5년 수준에 맞춰져 있습니다. 하지만 자동차의 엔진룸, 변속기 내부, 휠 브레이크 모듈, 그리고 배터리 관리 시스템에 장착되는 차량용 반도체는 차원이 다른 잔혹한 물리적 환경을 견뎌내야 합니다. 자동차가 달리는 도로 환경은 반도체에게 있어서는 지옥과도 같습니다. 한겨울 북유럽의 맹추위 속에서는 밤새 차갑게 얼어붙어 영하 40도의 극한 냉기에 노출되고, 대낮의 뜨거운 중동 사막이나 고속 주행 중인 엔진룸 내부에서는 온도가 섭씨 125도에서 150도 이상으로 치솟습니다. 이러한 극단적인 온도 격차가 하루에도 수 차례씩 반복되면서 반도체 실리콘 칩과 패키징 플라스틱, 금속 배선 사이에서 열팽창과 수축이 반복되어 미세 균열을 일으킵니다. 여기에 더해 비포장도로를 달릴 때 발생하는 수십 중력가속도(G)에 달하는 격렬한 진동과 기계적 충격, 빗물과 바닷물에 의한 높은 습도와 부식성 염분, 그리고 시동 모터가 돌아갈 때 배선망을 타고 튀어 들어오는 수천 볼트의 거대한 전압 스파이크 노이즈와 전자기파 간섭(EMI)이 24시간 쉼 없이 칩을 공격합니다. 더욱이 자동차는 사용 연한이 최소 10년에서 15년 이상이며 주행 거리가 30만 킬로미터를 훌쩍 넘어가기 때문에, 이 가혹한 스트레스 속에서도 단 1초의 오작동이나 칩 파손 없이 완벽한 동작을 영구히 유지해야만 합니다. 이러한 가혹한 물리적 환경 속에서 반도체 칩이 절대로 깨지거나 망가지지 않는다는 내구 신뢰성을 공학적으로 보증하기 위해 전 세계 자동차 전자 부품 협회가 제정한 절대적인 표준 인증 규격이 바로 에이이씨 큐백(AEC-Q100)입니다. AEC-Q100 인증의 핵심은 칩이 장착되는 차량 내부의 물리적 위치와 발열 위험도에 따라 작동 보증 온도 범위를 총 4가지의 등급(Grade)으로 엄격하게 차등화하여 검증한다는 점입니다. 가장 가혹한 그레이드 0(Grade 0)은 엔진 블록 바로 옆이나 고압 인버터 내부처럼 열이 펄펄 끓는 곳에 장착되는 부품으로, 영하 40도부터 섭씨 150도라는 무시무시한 온도 구간 전체에서 완벽한 정상 동작을 100퍼센트 입증해야 합니다. 그 뒤를 잇는 그레이드 1(Grade 1)은 보닛 아래 엔진룸 전반에 적용되는 등급으로 영하 40도부터 섭씨 125도를 견뎌내야 합니다. 그레이드 2(Grade 2)는 차량 바닥이나 승객석 주변의 열이 덜 발생하는 전장 제어 구역을 위한 등급으로 영하 40도부터 섭씨 105도를 보증합니다. 가장 완만한 그레이드 3(Grade 3)조차도 승객 탑승 공간 내부의 디스플레이나 오디오 장치에 쓰이며 영하 40도부터 섭씨 85도를 만족해야 하므로, 일반 소비자용 칩과는 비교 자체가 불가능한 혹독한 기준을 요구합니다. AEC-Q100 인증을 획득하기 위해 반도체 제조사는 수많은 가학적인 스트레스 시험을 통과해야 합니다. 챔버 온도를 영하 55도에서 섭씨 150도로 단 몇 초 만에 급격하게 바꾸며 수천 회 이상 반복 충격을 가하는 열 충격 시험(Thermal Shock), 고온 다습한 가압 챔버 안에서 칩을 찌는 듯한 고열 수증기에 노출시키는 고가속 수명 시험(HAST), 그리고 실제 최대 동작 전압보다 훨씬 높은 전압을 건 채로 섭씨 125도의 오븐 속에서 1000시간 이상 연속 구동하는 조기 고온 동작 수명 시험(HTOL)을 단 1개의 칩 불량도 없이 통과해야만 합니다. 일반 칩이 100만 개 중 수십 개의 불량을 허용하는 것과 달리, 차량용 반도체는 10억 개의 칩 중 불량이 단 1개도 나오지 않아야 한다는 제로 디펙트(Zero Defect) 품질 철학을 통과해야만 비로소 자동차 공장으로 납품될 수 있는 자격을 얻게 됩니다.
시스템 오작동 시 인명 피해를 방어하는 ISO 26262 국제 기능 안전성 표준
반도체 칩이 AEC-Q100 인증을 완벽하게 통과하여 가혹한 물리적 스트레스에 끄떡없는 튼튼한 하드웨어 내구성을 입증받았다 하더라도, 그것만으로는 자동차에 반도체를 탑재하기에 여전히 치명적인 위험이 남아 있습니다. 단단하게 잘 만들어진 칩이라 할지라도 우주에서 날아오는 방사선 중성자가 우연히 트랜지스터를 때려 0이 1로 뒤바뀌는 소프트 에러가 발생할 수 있고, 미세한 소프트웨어 버그나 회로의 일시적 오류로 인해 칩이 엉뚱한 명령을 내릴 가능성은 언제나 확률적으로 존재하기 때문입니다.
 |
| 시스템 오작동 시 인명 피해를 방어하는 ISO 26262 국제 기능 안전성 표준 |
시속 100킬로미터로 고속도로를 달리는 도중 자율주행 프로세서가 찰나의 연산 착오로 급제동을 걸어버리거나 스티어링 휠을 꺾어버린다면, 부품 자체의 파손 여부와 상관없이 탑승자의 목숨을 앗아가는 대형 참사로 이어집니다. 이처럼 칩의 내부 결함이나 시스템 오작동이 발생하더라도 인명 피해로 번지지 않도록 사전에 안전망을 겹겹이 쳐두는 소프트웨어 및 시스템 차원의 기능적 안전 규약이 바로 국제 표준 아이소 26262(ISO 26262)입니다. ISO 26262의 핵심 철학은 반도체나 시스템이 절대로 고장 나지 않는다는 비현실적인 가정을 버리고, 언제든 반드시 고장이 발생할 수 있다는 전제하에 결함을 실시간으로 감지하여 안전 상태로 유도하는 기능 안전성(Functional Safety)을 구축하는 데 있습니다. 이 표준에서는 자동차의 특정 전장 기능이 고장 났을 때 발생할 수 있는 위험의 크기를 평가하여 차량 안전 무결성 등급(ASIL, Automotive Safety Integrity Level)이라는 4단계 안전 등급을 부여합니다. 이 등급은 사고가 났을 때 얼마나 심각하게 다치는가를 나타내는 심각도(Severity), 위험한 주행 상황에 얼마나 자주 노출되는가를 나타내는 노출 확률(Exposure), 그리고 운전자가 그 상황을 스스로 통제할 수 있는가를 나타내는 통제 가능성(Controllability)의 세 가지 요소를 과학적으로 곱하여 산출됩니다. 가장 낮은 등급인 에이실 에이(ASIL A)는 고장이 나더라도 운전자가 쉽게 대처할 수 있는 후방 안개등이나 라디오 같은 편의 장치에 부여됩니다. 중간 단계인 에이실 비(ASIL B)와 에이실 씨(ASIL C)는 계기판 속도계나 차량 전조등, 사각지대 감지 시스템 등에 적용됩니다. 가장 최고 수준의 가혹한 안전성을 요구하는 등급은 바로 에이실 디(ASIL D)입니다. 고장이 발생하는 즉시 탑승자나 보행자의 사망 사고로 직결되는 브레이크 잠김 방지 장치(ABS), 전자식 조향 장치(EPS), 에어백 전개 제어기, 그리고 고성능 자율주행 메인 인공지능 컴퓨터에 부여됩니다. 에이실 D 등급을 획득해야 하는 반도체는 부품의 전체 수명 주기 동안 단일 고장으로 인해 위험 상황이 발생할 확률이 1억 시간당 10회 미만이어야 하며, 칩 내부에서 발생하는 모든 결함의 99퍼센트 이상을 칩 스스로 실시간 감지하여 방어해 내야 한다는 극한의 안전 통계를 만족해야 합니다. 이러한 최고 등급의 기능 안전성을 달성하기 위해 최신 전장용 반도체는 고도의 하드웨어 오류 방어 아키텍처를 칩 내부 실리콘에 직접 새겨 넣습니다. 대표적인 기술이 바로 두 개의 동일한 연산 코어가 나란히 달리는 듀얼 코어 록스텝(Dual Core Lockstep) 아키텍처입니다. 주 코어가 계산을 수행할 때, 바로 옆에 붙어 있는 그림자 코어가 똑같은 명령어를 단 1클럭의 오차도 없이 100퍼센트 똑같이 동시에 연산합니다. 그리고 두 코어가 내놓은 결과물을 하드웨어 비교기가 실시간으로 맞대어 대조합니다. 만약 우주선 입자 충돌이나 전기적 노이즈로 인해 두 코어의 연산 결과가 단 1비트라도 어긋나는 순간, 시스템은 즉시 연산 오류를 감지하고 엉뚱한 구동 명령이 모터나 브레이크로 전달되는 것을 단 1밀리초 만에 강제로 차단합니다. 또한 메모리 내부의 비트 반전 오류를 스스로 감지하고 고쳐내는 오류 정정 코드(ECC) 회로를 칩 내부의 모든 캐시 메모리와 레지스터에 빈틈없이 배치하며, 칩이 부팅될 때나 주행 중간중간 짬이 날 때마다 회로 스스로 가상의 고장 신호를 찔러 넣어 안전 진단 회로가 살아있는지를 시험하는 내장 자체 시험(BIST) 시스템을 24시간 가동합니다. 설령 칩의 특정 회로가 물리적으로 타버리는 치명적인 고장이 발생하더라도, 시스템 전체를 끄는 것이 아니라 출력을 안전하게 절반으로 낮추어 차를 갓길로 안전하게 멈춰 세우는 페일 세이프(Fail-Safe) 및 페일 오퍼레이셔널(Fail-Operational) 메커니즘을 완벽하게 완수해 냅니다.
0 댓글