락스텝 코어
두 코어가 같은 명령을 2 클럭 어긋나게 실행하고 결과를 비교합니다. 어긋나게 두는 이유는 같은 순간의 전원 잡음이 양쪽에 같은 오류를 내는 것을 피하기 위해서입니다.
Automotive MCU
차량용 MCU
브레이크와 조향을 제어합니다. 틀린 답보다 멈추는 편이 나은 제품입니다.
- 기능안전
- ASIL-D등급
- 진단 커버리지
- 99.2%
- 최고 클럭
- 400MHz
- 동작 온도
- 150°C
Overview
고장을 없애는 대신 고장을 감지한다
차량용 MCU 설계의 전제는 반도체가 반드시 고장 난다는 것입니다. 우주선이 만든 방사선 하나가 메모리 비트를 뒤집는 일은 확률적으로 반드시 일어납니다. 그래서 목표는 고장을 없애는 것이 아니라, 고장이 났을 때 그것을 감지해 안전한 상태로 가는 것입니다.
ISO 26262 는 이를 등급으로 나눕니다. ASIL-D 는 가장 엄격한 등급으로, 위험한 고장이 시간당 10의 마이너스 8제곱 이하로 일어나야 하고 고장의 99% 이상을 스스로 감지해야 합니다.
넥서스일렉의 NX-U340 은 진단 커버리지 99.2% 를 확보했습니다. 코어 두 개가 같은 명령을 실행하고 매 클럭 결과를 비교하는 락스텝 구조가 이 수치의 대부분을 만듭니다.
Spec
품번별 규격
| 품번 | 코어 | 클럭 | 플래시 | SRAM | 기능안전 | 통신 인터페이스 |
|---|---|---|---|---|---|---|
| NX-U340 | Cortex-R52 x4 (락스텝 2쌍) | 400MHz | 8MB | 1.5MB | ASIL-D | CAN FD 12 · 이더넷 4 · LIN 8 |
| NX-U320 | Cortex-R52 x2 (락스텝 1쌍) | 400MHz | 4MB | 768KB | ASIL-D | CAN FD 8 · 이더넷 2 · LIN 6 |
| NX-U220 | Cortex-R52 x2 (락스텝 1쌍) | 300MHz | 2MB | 512KB | ASIL-D | CAN FD 6 · LIN 4 |
| NX-U160 | Cortex-M7 x2 | 240MHz | 2MB | 384KB | ASIL-B | CAN FD 4 · LIN 4 |
| NX-U110 | Cortex-M7 x1 | 240MHz | 1MB | 256KB | ASIL-B | CAN FD 2 · LIN 2 |
| NX-U080 | Cortex-M4 x1 | 160MHz | 512KB | 128KB | ASIL-A | CAN FD 2 · LIN 2 |
락스텝 한 쌍은 물리적으로 코어 두 개이지만 소프트웨어에서는 하나로 보입니다. 성능이 아니라 신뢰성을 위한 이중화입니다.
Safety
안전 지표
- 진단 커버리지
- 99.2%
- 고장 감지 시간
- 2클럭
- 동작 온도
- 150°C
- 공급 보증
- 15년
NX-U340 단일점 고장 기준
락스텝 불일치 검출까지
접합부 최고 온도
최초 양산일 기준
Function
내장된 안전 장치
내장 자가진단
전원 인가 시 전체를, 주행 중에는 구간을 나눠 주기적으로 검사합니다. 검사 자체가 제어를 방해하지 않도록 유휴 구간에 넣습니다.
메모리 ECC
플래시와 SRAM 전 영역에 ECC 를 겁니다. 1비트는 정정하고 2비트는 예외로 보고합니다.
독립 워치독
주 클럭과 별개 발진기로 도는 감시 회로입니다. 주 클럭이 멈추거나 흔들려도 감지합니다.
전압·클럭 감시
공급 전압과 클럭 주파수가 규정을 벗어나면 즉시 안전 상태로 전환합니다.
하드웨어 보안 모듈
펌웨어 서명 검증과 보안 통신 키를 하드웨어로 처리합니다. EVITA Full 등급을 지원합니다.
Adoption
완성차 채택까지
- STEP 01
안전 목표 정의
제어 대상의 위험도를 분석해 ASIL 등급을 정합니다. 8주.
- STEP 02
FMEDA 작성
고장 모드별 발생률과 진단 커버리지를 계산해 문서로 남깁니다. 12주.
- STEP 03
샘플 검증
A·B·C 샘플 세 단계. 단계마다 12~20주가 걸립니다.
- STEP 04
PPAP 제출
양산 부품 승인 서류 18종을 제출하고 심사받습니다.
- STEP 05
양산 공급
15년 공급 보증. 공정 변경은 12개월 전 통보합니다.
