이 표현은 늘 쓰이지만, 하나의 인증을 가리키지 않습니다 — 서로 독립된 네 가지를 가리킵니다. 이를 혼동하면 「이 칩은 차량용 등급이니 제동 판단을 맡을 수 있다」 같은 결론에 이릅니다. 맡을 수 없습니다.
어떤 칩을 「차량용 등급」이라고 부를 때, 그 말은 아래 네 가지 중 하나만 가리키고 있을 수 있습니다.
추위와 더위 사이에서 여전히 정상 동작하는 구간.
수천 시간의 노화, 온도 사이클, 진동, 습도 스트레스.
무결점 문화, 로트 추적성, 변경 통보, 10년 공급 가능성.
부품이 고장 났을 때 시스템이 그 결과를 감당할 수 있는지.
가장 자주 혼동되는 것은 둘째와 넷째입니다.
AEC-Q100은 「고장 날 것인가」에 답합니다. ISO 26262는 「고장 나면 어떻게 되는가」에 답합니다. 완전히 별개의 인증입니다. 어떤 칩은 AEC-Q100을 전부 통과하고도 ASIL 능력을 전혀 갖추지 않을 수 있습니다.
넷 중 가장 구체적인 항목입니다. 등급의 차이는 부품이 얼마나 높은 열을 견디는가뿐입니다 — 차량 내 장착 위치가 무엇을 견뎌야 하는지를 결정하기 때문입니다.
차량 내 위치에 따라 열 부하는 크게 달라집니다:
실제 사례. 한 공급사의 설계 문서에는 어떤 부품이 「차량용 등급 아님, 다만 −30~+85 °C로 규정됨」이라 적혀 있었습니다. 가까스로 충분해 보입니다 — 이 차량이 북유럽으로 인도되며 차량 레벨 요구가 −40~+85 °C라는 점을 떠올리기 전까지는.
그 10 °C는 여유가 아닙니다. 노르웨이의 겨울에 트럭이 시동되는지를 가릅니다. 게다가 이 부품은 차량용 최하위 등급인 Grade 3에도 미치지 못합니다 — Grade 3의 하한이 바로 −40 °C입니다.
이것이 AEC-Q100의 본체입니다: 40가지가 넘는 스트레스 시험, 수천 시간, 수백 개의 시료. 목적은 원래라면 10년 차에나 드러날 결함을 몇 달 안에 끌어내는 것입니다.
통과하면 무엇을 얻는가? 고장률에 대한 약속 — 보통 PPM(백만분율) 또는 FIT(10억 시간당 고장 수)로 표현됩니다 — 그리고 추적 가능한 시험 보고서입니다.
소비자용 부품은 이 대부분을 건너뛰거나 몇 가지만 수행합니다. 「동작한다」와 「10년 뒤에도 동작한다」는 서로 다른 주장입니다. 휴대폰은 2년이면 교체되지만, 트럭은 15년을 달립니다.
넷 중 가장 간과되는 항목이자, 15년 수명의 상용차에는 가장 가혹한 항목입니다.
단도직입적으로: 소비자용 부품은 우리 트럭이 아직 보증 기간에 있을 때 단종될 수 있습니다. 그것은 A/S 부품이 없다는 뜻이거나, 기판을 다시 설계해야 한다는 뜻입니다. 그리고 재설계는 재인증을 뜻합니다.
앞의 세 가지는 칩이 얼마나 좋은지를 묻습니다. 넷째는 그것이 고장 났을 때 사람에게 무슨 일이 생기는지를 묻습니다.
신뢰성. 고장의 확률을 낮춥니다. 부품 자체를 시험합니다 — 노화, 온도, 진동, 정전기 방전.
기능안전. 고장의 결과를 관리합니다. 시스템 전체를 시험합니다 — 이를 알아채는 두 번째 경로가 있는가, 그리고 시스템이 안전 상태로 갈 수 있는가?
ASIL은 품질 순위가 아닙니다. 위험원으로부터 계산됩니다. ISO 26262는 세 가지 차원을 점수화합니다:
S에는 쓸 수 있는 값이 셋, E에는 넷, C에는 셋 있습니다. 곧 36가지 조합이며 — 무한한 수가 아닙니다. 그리고 이 36가지는 다섯 가지 결과만을 냅니다. ISO 26262의 표가 단순한 덧셈처럼 동작하기 때문입니다: S, E, C를 1, 2, 3(E는 4까지)으로 매기고, 더한 뒤 등급을 읽으면 됩니다.
36가지 조합 가운데 정확히 하나만 ASIL-D에 도달합니다: S3 × E4 × C3. 가장 심각한 피해가, 가장 흔한 주행 상황에서, 운전자가 수습할 방법 없이 발생하는 경우입니다. 세 차원이 동시에 최댓값이어야 합니다. 표의 절반인 18칸은 기능안전 프로세스가 전혀 필요하지 않습니다.
그리고 등급이 다섯뿐인 이유는, ASIL이 위험을 정밀하게 기술하는 것이 아니라 얼마나 많은 작업을 해야 하는지를 정하기 때문입니다. 각 등급은 개발 요구사항 한 벌을 통째로 끌고 옵니다: 커버리지 목표, 검증 기법, 프로세스 독립성, 락스텝 하드웨어. 36등급이었다면 이 표준은 쓸 수 없었을 것입니다. 의도적으로 눈금이 굵은 자입니다.
ASIL-B와 ASIL-D를 가르는 것:
| 지표 | ASIL-B | ASIL-D |
|---|---|---|
| 단일점 고장 지표 | ≥ 90 % | ≥ 99 % |
| 잠재 고장 지표 | ≥ 60 % | ≥ 90 % |
| 랜덤 하드웨어 고장률 | < 10⁻⁷ / 시간 | < 10⁻⁸ / 시간10배 더 엄격 |
| 하드웨어 아키텍처 | 보통 워치독을 갖춘 단일 코어로 충분 | 일반적으로 락스텝 코어 필요 |
| 프로세스 독립성 | 완화됨 | 독립적 검토, 심사, 평가 |
락스텝 코어란? 두 개의 CPU 코어가 같은 코드를 같은 박자로 실행하고, 하드웨어가 두 출력을 실시간으로 비교합니다. 불일치가 생기면 즉시 고장으로 처리합니다. 랜덤 하드웨어 고장을 잡아내는 가장 효과적인 수단이며 — 높은 ASIL이 이를 거의 포기하지 못하는 이유입니다.
락스텝 없이 ASIL-D에 도달하려면 방대한 소프트웨어 자기진단과 중복 연산으로 이를 보완해야 합니다: 비용이 크고, 기술서비스 앞에서 논증하기도 어렵습니다.
아래 예시는 설명을 위한 것이며 규범이 아닙니다. ASIL은 특정 위험원의 속성이지 부품 종류의 속성이 아닙니다 — 같은 기능이라도 다른 제조사의 위험원 분석에서는 다른 칸에 놓일 수 있습니다.
ASIL-D — 한 가지 조합
| S × E × C | 합계 | 대표 기능 |
|---|---|---|
| S3 × E4 × C3 | 10 | 전동식 조향 보조 상실 · ESC / EBS 의도치 않은 제동 · 에어백 오작동 전개 · 의도치 않은 전개도 가속(토크 안전 감시) · AEB 의도치 않은 제동 · 스티어 바이 와이어 및 브레이크 바이 와이어가장 흔한 주행 상황에서 발생하는 치명적 피해로, 운전자가 수습할 방법이 없습니다. |
ASIL-C — 세 가지 조합
| S × E × C | 합계 | 대표 기능 |
|---|---|---|
| S2 × E4 × C3 | 9 | 정상 주행 중 조향 보조력의 급격한 변화(저하이지 상실은 아님) |
| S3 × E3 × C3 | 9 | 충돌 후 고전압 배터리가 차단되지 않음 · 고전압 절연 상실 |
| S3 × E4 × C2 | 9 | 정상 주행 중 제동력의 부분 상실(다른 회로는 여전히 사용 가능) |
ASIL-C는 실무에서는 드뭅니다 — 대부분의 팀은 곧바로 D로 설계하거나 ASIL 분해를 사용합니다.
ASIL-B — 여섯 가지 조합
| S × E × C | 합계 | 대표 기능 |
|---|---|---|
| S1 × E4 × C3 | 8 | 후미등 및 차폭등 고장 — 노출이 상시적이며, 운전자는 자기 차의 후미등을 볼 수 없음 |
| S2 × E3 × C3 | 8 | 전조등 전체 고장 — 야간 조명 없음 |
| S2 × E4 × C2 | 8 | 제동등 고장 — 뒤차가 제동 사실을 알지 못함 |
| S3 × E2 × C3 | 8 | 고전압 절연 감시 부재 — 사람이 감지할 수 없는 감전 위험 |
| S3 × E3 × C2 | 8 | 크루즈 컨트롤 또는 ACC에 의한 의도치 않은 가속 |
| S3 × E4 × C1 | 8 | 정상 주행 중 구동력 상실 — 차량은 아직 갓길로 타력 주행 가능 |
통상 ASIL-B에 해당하는 것들: 계기판 속도 표시, 타이어 공기압 감시, 그리고 레이더·카메라 시스템의 인지 계층.
ASIL-A — 여덟 가지 조합
| S × E × C | 합계 | 대표 기능 |
|---|---|---|
| S1 × E3 × C3 | 7 | 후방 카메라 화면 소실 — 조작 중 저속 충돌 |
| S1 × E4 × C2 | 7 | 실내등이 계속 켜져 야간 시야 저하 |
| S2 × E2 × C3 | 7 | 빗속에서 와이퍼 전체 고장 — 전방 시야 상실 |
| S2 × E3 × C2 | 7 | 전조등 한쪽 고장 |
| S2 × E4 × C1 | 7 | 속도계 표시 오차 — 운전자는 교통 흐름과 기어로 속도를 가늠할 수 있음 |
| S3 × E1 × C3 | 7 | 드문 운전 조건에서 열폭주 경고 상실 |
| S3 × E2 × C2 | 7 | 특정 조건에서 트레일러 제동 협조 이상 |
| S3 × E3 × C1 | 7 | 중간 노출도에서 구동력 상실 — 차량은 갓길로 정차 가능 |
QM — 열여덟 가지 조합
| 심각도 | 조합 | 대표 기능 |
|---|---|---|
| S1 · 아홉 칸 | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E2C3 E3C1 · E3C2 · E4C1 | 적재함 조명, 시트 열선, 독서등, 창문 끼임 방지, 루프 블라인드, 공조 송풍기, 미러 열선, 계기판 밝기.인포테인먼트 유닛, 내비게이션, 블루투스, 무선 충전, 앰비언트 조명이 모두 이 대역에 있습니다. |
| S2 · 여섯 칸 | E1C1 · E1C2 · E1C3 E2C1 · E2C2 · E3C1 | 드문 조건에서 시트 조절 폭주, 트레일러 조명 이상, 와이퍼 저속 단 고장(고속 단은 사용 가능), 경사로 밀림 방지 이상, 타이어 공기압 경고 미발생 |
| S3 · 세 칸 | E1C1 · E1C2 · E2C1 | 운전자가 완전히 제어 가능한 드문 조건에서의 치명적 심각도 위험원; 제동으로 감당 가능한 저노출 구동 이상 |
새겨둘 만한 세 가지 규칙성.
제어 가능성이 가장 강력한 지렛대입니다. S2 × E4 × C1의 속도계 오차는 ASIL-A이고, S2 × E4 × C2의 제동등 고장은 ASIL-B입니다. 심각도도 노출도도 같습니다 — 차이는 오로지 운전자가 알아채고 보완할 수 있는가에 있습니다.
심각도만으로는 아무것도 정해지지 않습니다. S3은 QM(세 칸), A(세 칸), B(세 칸), C(두 칸), D(한 칸)에 모두 나타납니다 — 전 등급에 걸쳐 있습니다. 치명적이라는 것이 곧 높은 ASIL을 뜻하지는 않습니다.
세 축이 모두 최대일 때만 D에 이릅니다. S3 × E4 × C3이 유일한 칸입니다. 차량에 ASIL-D 항목이 그토록 적은 이유가 여기 있습니다: 조향, 제동, 에어백, 토크 안전 감시 — 그 밖에는 거의 없습니다.
자동 긴급제동에 적용하면, 이 비대칭이 논증의 전부입니다.
의도치 않은 제동 — 하지 말아야 할 때 제동하는 것 — 은 S3 × E4 × C3에 놓입니다. 그 유일한 칸, 곧 ASIL-D입니다.
제동하지 못함 — 해야 할 때 제동하지 않는 것 — 은 대략 S3 × E3–E4 × C1에 놓이며, ASIL-A 또는 B입니다. 기준선은 AEB가 없는 트럭입니다: 운전자가 스스로 제동하리라는 전제는 언제나 있었습니다.
AEB 시스템의 모든 ASIL-D 요구사항은 일어나서는 안 될 제동을 막기 위해 존재합니다 — 일어나야 할 제동을 보장하기 위해서가 아닙니다.
어떤 조합도 가능합니다. 넷 중 하나를 안다고 해서 나머지에 대해 알 수 있는 것은 없습니다.
| 칩 | 온도 | 신뢰성 | 기능안전 | AEB 제동 판단에 적합한가? |
|---|---|---|---|---|
| 소비자용 SoC | 0 to 70 °C | AEC-Q100 없음 | ASIL 없음 | 불가 |
| 산업용 SoC | −40 to 85 °C | AEC-Q100 없음 | ASIL 없음 | 불가온도만 충족, 그 외에는 없음 |
| 차량용 인증 SoC | −40 to 105 °C | Grade 2 | 그래도 없을 수 있음 | 인지 전용안전 판단은 불가 |
| 안전 MCU, ASIL-B | −40 to 125 °C | Grade 1 | ASIL-B, 락스텝 없음 | 추가 논증 필요 |
| 안전 MCU, ASIL-D | −40 to 125 °C | Grade 1 | ASIL-D, 락스텝 코어 | 가능 |
세 번째 행이 함정입니다. 「저희는 차량용 인증 버전을 씁니다」는 말은 안심되게 들리지만, 그 문장은 온도와 신뢰성에만 답합니다. 기능안전에 대해서는 아무것도 말하지 않습니다.
AEC-Q100 몇 등급인가? 정확한 품번과 등급이 적힌 인증서 원본을 요구하십시오.
AEC-Q100 인증서가 있는가? 「차량용 기준에 따라 설계함」과 「그 기준으로 인증받음」은 다른 주장입니다.
어느 ASIL인가? 락스텝은 있는가? 제품 레벨 인증서를 요구하십시오 — 프로세스 인증서는 인정되지 않습니다.
몇 년 공급을 약속하는가? 그 뒤에 PCN과 EOL 규율이 있는가?
가장 흔한 세 가지 화법과 그 실제 의미: