차량용 MCU, ECU 분산에서 존 아키텍처로 옮겨 가는 이유

사이트가 수백 개 있는 대형 야영장을 떠올려 봅시다. 처음에는 사이트마다 관리인이 한 명씩 있어서 전기와 수도, 쓰레기 수거를 각자 맡았고, 본부와는 무전기와 전화선으로 따로따로 이어져 있었죠.

규모가 커지자 야영장은 구역마다 관리소를 두고 본부가 전체를 조율하는 방식으로 바뀌었습니다. 자동차의 전자 구조가 걸어온 길이 이와 닮았고, 오늘 다룰 차량용 MCU는 이 변화 속에서 하는 일이 달라지는 칩입니다.

야영장과 다른 점도 있습니다. 야영장은 관리인이 늦게 움직여도 불편한 정도로 끝나지만, 차에서는 제동과 조향처럼 정해진 시간 안에 반응해야 하는 기능이 있고 통합된 뒤에도 안전 기능은 서로 간섭하지 않아야 합니다.

차량용 MCU의 자리, 센서와 액추에이터 사이

차량용 MCU는 센서가 보낸 신호를 읽고, 제어 로직을 계산하고, 액추에이터를 구동하고, 다른 제어기와 통신하는 일을 한 칩에 담은 반도체입니다. 내장 플래시와 SRAM, ADC, PWM 타이머, CAN 같은 통신 주변장치가 함께 들어 있어서 부품 수를 줄이면서 정해진 시간 안에 반응할 수 있습니다.

이 글에서는 MCU 일반론보다 차 안의 구조가 바뀌면서 이 칩이 어디에 놓이고 무엇을 맡는지에 집중합니다. 칩의 신뢰성 시험과 인증은 앞선 AEC-Q100 글에서 따로 다루었습니다.

분산 아키텍처, ECU가 기능마다 따로 있던 구조

전통적인 차량은 기능 하나에 ECU(Electronic Control Unit, 전자 제어 장치) 하나를 붙이는 분산 구조였습니다. 창문, 도어, 에어백, 엔진처럼 기능마다 제어기가 따로 있고 각자의 MCU와 메모리, 전원 회로, 소프트웨어를 가졌죠.

이 방식은 단순하고 기능마다 독립적으로 개발하고 검증할 수 있다는 장점이 있습니다. 그러나 기능이 늘수록 ECU 수가 늘어나고, 센서와 액추에이터를 각각의 ECU까지 연결하는 배선 묶음, 곧 하니스가 길어지고 무거워지며 조립도 복잡해집니다.

소프트웨어도 문제입니다. ECU마다 서로 다른 소프트웨어를 따로 갱신해야 하고, 한 기능이 다른 기능과 협력할 때마다 네트워크 메시지를 주고받아야 하므로 기능이 늘수록 관리가 어려워집니다.

도메인 아키텍처에서 존 아키텍처로

도메인 아키텍처(Domain Architecture)는 파워트레인, 섀시, 차체, 인포테인먼트, 운전 보조처럼 기능 영역별로 ECU를 묶어 영역마다 하나의 고성능 도메인 컨트롤러가 맡게 하는 구조입니다. ECU 수는 줄지만 같은 영역의 센서와 액추에이터는 여전히 차 곳곳에 흩어져 있어서, 배선이 차체를 가로지르는 문제는 남습니다.

존 아키텍처(Zonal Architecture)는 기준을 기능이 아니라 위치로 바꿉니다. 앞쪽, 뒤쪽, 좌우처럼 차량의 구역마다 존 컨트롤러를 두고 그 구역의 센서와 액추에이터를 가까이에서 연결한 뒤, 고속 백본으로 중앙 컴퓨터와 이어 줍니다.

이동의 배경은 크게 세 가지입니다. 배선의 무게와 비용을 줄이고, 흩어진 소프트웨어를 중앙으로 모아 갱신과 관리를 쉽게 하고, 운전 보조처럼 연산량이 큰 기능을 위해 계산 자원을 한곳에 집중하려는 것입니다.

다만 모든 차가 한 번에 존 구조로 넘어가는 것은 아닙니다. 도메인과 존이 섞인 중간 단계를 거치는 경우가 많고, 어디까지 통합할지는 차종과 제조사마다 다릅니다.

구조가 바뀌며 달라지는 차량용 MCU의 역할

판단과 소프트웨어가 중앙 컴퓨터로 올라가면 곳곳에 있던 MCU의 일은 입출력과 실시간 제어, 전력 분배, 진단 쪽으로 좁혀집니다. 존 컨트롤러 안의 MCU는 구역의 스위치와 모터, 조명을 구동하고, 전원 선을 보호하는 스마트 스위치를 제어하며, 이상이 생겼을 때 중앙에 알리는 일을 맡습니다.

그렇다고 모든 계산을 중앙으로 올릴 수는 없습니다. 모터 제어처럼 마이크로초 단위로 반복되는 루프는 통신망을 오가는 시간이 부담이 되므로, 가까운 MCU가 계속 맡는 편이 합리적입니다.

이 변화는 반도체의 구성도 바꿉니다. 중앙 컴퓨터는 큰 DRAM과 연산 블록을 갖춘 고성능 SoC로 만들어져 미세한 공정을 쓰는 편이고, MCU는 내장 플래시를 쓰는 성숙한 공정이 많습니다. 내장 플래시가 미세 공정으로 따라가기 어려워 대체 비휘발성 메모리를 쓰려는 시도도 이어지고 있습니다.

소프트웨어 갱신은 MCU의 메모리 구조에도 영향을 줍니다. 내장 플래시를 두 영역으로 나누어 한쪽에서 실행하는 동안 다른 쪽에 새 소프트웨어를 쓰는 방식이 쓰이면, 갱신 도중 전원이 끊겨도 기존 소프트웨어로 부팅할 수 있습니다.

기능 안전과 실시간성, 통합해도 지켜야 하는 것

통합이 진행될수록 한 칩이 더 많은 기능을 맡습니다. 그러면 안전 등급이 서로 다른 소프트웨어가 한 칩 안에서 함께 돌게 되는데, 낮은 등급의 소프트웨어가 오작동해도 높은 등급의 기능이 영향을 받지 않아야 합니다. 이를 간섭으로부터의 자유라고 부릅니다.

이 요구를 지키는 수단 중 하나가 메모리 보호입니다. 소프트웨어마다 접근할 수 있는 메모리 영역을 하드웨어가 제한하고, 하이퍼바이저가 소프트웨어를 서로 격리합니다.

ISO 26262가 정한 안전 무결성 등급 ASIL은 A에서 D까지 나뉘고 D가 가장 엄격합니다. 높은 등급을 요구하는 MCU에는 흔히 락스텝(Lockstep), 곧 두 코어가 같은 일을 동시에 또는 아주 짧은 시차를 두고 실행해 결과를 비교하는 구조가 들어갑니다. 여기에 메모리의 오류 정정(ECC), 워치독 타이머, 칩 스스로 점검하는 BIST 같은 장치가 더해집니다.

실시간성은 안전만큼이나 중요한 조건입니다. 실행 시간이 들쭉날쭉해지는 요소를 줄이고, 인터럽트 응답 시간이 일정하도록 설계하며, 필요하면 시간이 일정한 접근을 보장하는 메모리를 따로 둡니다.

CAN에서 이더넷으로, 차 안의 통신망

CAN(Controller Area Network)은 여러 제어기가 두 가닥의 버스를 함께 쓰며, 메시지마다 붙은 식별자의 값이 낮을수록 먼저 전송되도록 중재하는 통신 방식입니다. 오류 검출이 강하고 배선이 단순해 제동과 엔진 같은 제어 신호에 오래 쓰였습니다.

대신 대역폭이 작습니다. 클래식 CAN의 최대 속도는 1 Mbit/s이고, CAN FD는 데이터 구간을 더 빠르게 보내도록 확장했지만 카메라 영상 같은 큰 데이터를 나르기에는 부족합니다.

그 자리를 채우는 것이 차량용 이더넷입니다. 장치를 스위치에 일대일로 이어 큰 대역폭을 얻고, 시간에 민감한 데이터의 지연을 보장하는 TSN(Time-Sensitive Networking) 같은 확장이 함께 논의됩니다. 존 아키텍처의 백본이 이더넷인 것도 이 때문입니다.

그렇다고 CAN이 사라지는 것은 아닙니다. 구역 안에서 단순한 제어 신호를 나르기에는 CAN이나 더 단순한 LIN이 여전히 비용 면에서 유리하기 때문에, 한 차 안에 여러 통신망이 함께 쓰이는 구성이 당분간 이어질 것으로 보입니다.

분산과 도메인과 존 아키텍처 비교 표

구분	분산	도메인	존
묶는 기준	기능 하나에 ECU 하나	기능 영역별 도메인 컨트롤러	차량 위치별 존 컨트롤러와 중앙 컴퓨터
제어기 수	많음	줄어듦	더 줄어듦
배선	길고 무거움	여전히 차체를 가로지름	가까운 제어기로 모아 짧아짐
소프트웨어 갱신	ECU마다 따로	도메인 단위로 모임	중앙으로 집중되어 관리하기 쉬움
한계	복잡도와 무게 증가	도메인 간 협력과 배선 부담	중앙 장애의 영향과 백본 사양 부담
MCU의 위치	모든 ECU의 중심	도메인 아래 보조 제어	입출력과 빠른 제어, 전력 분배

핵심 정리

차량용 MCU는 ECU마다 중심에 있던 칩에서, 구조가 도메인과 존으로 옮겨 가면서 입출력과 실시간 제어, 전력 분배를 맡는 칩으로 역할이 좁혀지고 있습니다. 이동의 이유는 배선의 무게와 비용, 소프트웨어 중앙화, 연산 자원의 집중이며, 통합해도 기능 안전과 실시간성은 그대로 지켜야 합니다.

야영장 비유로 돌아가면 사이트마다 있던 관리인이 구역 관리소로 모이고 본부가 전체를 조율하는 이야기입니다. 비유와 달리 차에서는 구역 관리소가 본부와 연락이 끊겨도 제동과 같은 기능이 계속 안전하게 동작하도록 설계해야 합니다.

면접 대비 질문