경고등 뒤에 숨은 자기진단 원리부터 HL만도의 제동 리던던시(Redundancy) 기술까지
Author’s Note
주행 중 계기판에 낯선 경고등이 켜지면 누구라도 당혹감에 휩싸이기 마련입니다.
“당장 갓길에 차를 세워야 할까? 아니면 정비소까지 운행해도 괜찮을까?”
수만 개의 정밀 부품과 1억 줄 이상의 소프트웨어 코드로 구동되는 자동차는 결함이 발생했을 때 운전자에게 쉼 없이 신호를 보냅니다. 운전자가 페달이나 운전대에서 물리적 이질감을 느끼기 훨씬 전, 시스템은 어떻게 먼저 이상 징후를 감지하고 데이터를 기록해 두는 걸까요? 나아가 고속 주행 중 핵심 제동 계통에 문제가 생겼을 때 차량은 스스로 어떻게 위험을 방어해 낼까요?
일상 속 자동차 기술의 궁금증을 엔지니어의 시선으로 풀어보는 [모빌리티 상담소] 세 번째 시간!
HL만도 SW1 Lab SW5 Team 최하연 책임연구원과 함께, 경고등 뒤에서 작동하는 자기진단(Self-Diagnostics)의 원리부터 탑승자의 안전을 지키는 최후의 보루 리던던시(Redundancy, 이중화 설계)의 세계를 차근차근 짚어봅니다.
Q1. 차는 멀쩡하게 달리는 것 같은데 경고등이 켜졌어요. 자동차는 어떻게 이상을 알아차리는 건가요?
“센서 전압이 기준 범위를 벗어나거나 신호 간 논리적 모순이 발생할 때 이상을 감지합니다. 다만 일시적인 노이즈일 수도 있어서 이상 신호가 일정 시간 지속되거나 여러 조건에서 반복 검출될 때만 ‘실제 고장’으로 판단해 경고등을 점등시킵니다.”
자동차 곳곳에 장착된 수많은 센서 정보는 차량의 두뇌인 ECU(Electronic Control Unit, 전자제어장치)로 실시간 집결됩니다. ECU는 이러한 센서 정보를 실시간으로 수집하고 분석하며 시스템 건전성을 판별하는데요, 이상을 감지하는 공학적 메커니즘은 크게 두 갈래로 나뉩니다.
- 임계치 감시 (Range Check) : 센서 회로의 출력 전압이 정의된 정상 동작 범위(0.5~4.5V)내에 머무는지 살핍니다. 만약 전압이 0V로 떨어지거나 5V수준으로 치솟는다면 배선 단선이나 센서 내부 손상으로 판단하는 방식이죠.
- 상호 개연성 검증 (Plausibility Check) : 복수의 센서 신호를 교차 대조해 물리적 정합성을 확인합니다. 예컨대 차체의 회전을 측정하는 IMU(Inertia Measurement Unit, 관성측정센서)는 차량이 ‘좌회전’ 중이라 보고하는데, 조향각 센서가 ‘우회전’을 가리킨다면 명백한 논리적 모순이 발생하죠. 제어기는 이러한 신호 간 충돌을 포착해 시스템 결함으로 인지합니다.
그렇다면 센서 전압이 단 한 번 튀었다고 곧바로 경고등을 켤까요? 요철 충격이나 혹한기 초기 시동 시 순간적으로 전압이 흔들릴 수 있는데, 이런 일시적 외란마다 불이 켜지면 운전자는 큰 혼란을 겪게 됩니다. 그래서 제어기는 이상 신호가 일정 시간 이상 유지되거나 여러 주행 사이클에서 반복 검출되는지 확인하는 필터링(Filtering) 과정을 거치며, 이 기준을 충족해야 비로소 ‘실제 고장’으로 확정 짓습니다.
‘체크 엔진’ 경고등이 엔진만의 고장이 아닌 이유
고장이 확정되었을 때 운전자가 가장 흔히 마주치는 불빛이 바로 노란색 ‘체크 엔진(Check Engine, MIL:Malfunction Indicator Lamp)' 경고등입니다.
많은 분이 엔진 블록 자체의 기계적 결함으로만 여기기 쉽지만, 실제로는 훨씬 포괄적인 규제 요건과 맞닿아 있습니다. 차량이 배출가스 허용 기준을 충족하고 연소 및 제어 시스템이 정상 작동하는지 상시 감시하는 OBD(On-Board Diagnostics, 배출가스 자가진단)법규와 직결되기 때문이죠. 주로 내연기관 및 하이브리드(HEV, Hybrid Electric Vehicle) 차량에 적용됩니다.
여기서 눈여겨볼 대목은 제동 시스템과의 긴밀한 연계성입니다. 하이브리드 차량의 경우 제동 시스템과 친환경 파워트레인이 유기적으로 연결되어 있습니다. 예를 들어 통합 전자제어 제동장치인 IDB(Integrated Dynamic Brake)의 회생제동 제어가 일시적으로 제한되는 상황이 발생하면, 에너지 회수 효율을 보완하기 위해 엔진 개입 빈도가 달라질 수 있습니다. 이러한 동력 변화가 배출가스 정밀 모니터링 시스템(OBD)의 진단 조건에 영향을 주면서 최종적으로 엔진 경고등(MIL) 점등으로 이어지기도 하는 것이죠.
색상과 점등∙점멸 방식으로 읽는 계기판 경고 체계
계기판에 표시되는 경고등은 국제 표준 규격(ISO 2575 등)에 기반해 기능의 중요도와 위험 수준에 따라 색상이 엄격히 구분됩니다.
- 빨간색 (Danger) : 제동 유압 저하, 배터리 충전 시스템 결함 등 즉각 운행을 멈추고 안전 조치를 취해야 하는 치명적 위험 상태
- 노란색 (Warning) : 체크 엔진, ABS(Anti-lock Brake System, 바퀴 잠김 방지식 제동장치), TPMS (Tire Pressure Monitoring System, 타이어 공기압 감지 시스템), EPS(Electronic Power Steering, 전자식 파워 스티어링)처럼 주행은 가능하되 조속한 점검이 필요한 상태
- 초록색 / 파란색 (Status) : 방향지시등이나 크루즈 컨트롤, 오토하이빔처럼 특정 기능이 정상 작동 중임을 나타내는 단순 인디케이터
아울러 색상뿐만 아니라 심볼의 점등(지속 켜짐)과 점멸(깜빡임) 여부 역시 중요한 단서가 됩니다.
ESC(Electronic Stability Control, 차체자세제어장치) 경고등의 경우 시스템 결함 시에는 노란색 불이 계속 켜져 있지만, 빗길이나 빙판길에서 미끄러짐을 막기 위해 기능이 실시간 개입할 때는 깜빡거리며 작동 상태를 알리거든요.
또한 전용 심볼이 없는 EBD(Electronic Brake-force Distribution, 전자식 제동력 분배) 결함은 빨간색 제동 경고등과 노란색 ABS 경고등이 동시에 점등되는 조합으로 이상을 알리기도 하므로, 계기판의 복합적인 신호를 주의 깊게 살펴볼 필요가 있습니다.
Q2. 정비소에서 차에 장비를 연결하면, 어디가 고장 났는지 바로 알 수 있나요?
"진단기로 추출하는 고장코드(DTC)는 결함의 계통과 유형을 분류하는 표준 식별자입니다. 다만 세부적인 근본 원인을 특정하기 위해서는 고장 확정 순간의 센서 및 제어 상태를 동결 기록한 ‘스냅샷 데이터’를 반드시 교차 분석해야 합니다."
정비소에서 차량 진단 단자에 전용 스캐너를 연결하면 알파벳과 숫자로 조합된 DTC(Diagnostic Trouble Code, 고장코드)가 화면에 떠오릅니다. DTC는 전 세계 공통 표준 규약에 따라 설계되어 첫 글자만 보아도 어느 도메인의 문제인지 단번에 가려낼 수 있죠.
예를 들어 C110161이라는 코드가 출력되었다면, 첫 글자 C로 섀시(제동, 조향) 계통임을 확인하고 세부 결함 유형(FTB, Failure Type Byte)코드를 대조해 ‘제동 제어기의 기준치 이하 전압 검출’ 상태임을 즉시 판별하는 식입니다.
코드만으로 알 수 없는 원인을 밝히는 ‘스냅샷 데이터’
그렇다고 DTC 코드 하나만으로 하드웨어 결함의 물리적 원인을 단정할 수는 없습니다. 동일한 ‘전압 이상’이라 하더라도 배터리 자체의 노후화인지, 와이어링 하네스 접촉 불량인지, 제어기 내부 소자 손상인지 발생 경로는 천차만별이기 때문이죠.
그래서 제어기에는 하나의 DTC 안에서도 결함 유형을 구체화하는 세분화된 내부 진단 코드(Internal DTC)가 탑재됩니다. 나아가 고장이 확정 판정된 바로 그 찰나의 차속, 휠 스피드, 전압, 캘리퍼유압 등을 메모리에 함께 동결 저장하는데, 이를 스냅샷 데이터(Snapshot Data, Freeze Frame)라 부릅니다.
결국 정비사는 DTC와 스냅샷 데이터를 종합적으로 교차 분석하여 "어떤 고장이 발생했는지"를 넘어 "왜 발생했는지"까지 정밀하게 규명해 냅니다. 경고등이 자동차가 운전자에게 보내는 알림이라면, DTC와 스냅샷 데이터는 그 이유를 증명해 주는 자동차의 ‘고장 이력서’인 셈입니다.
Q3. 이상을 알아챈 자동차는 경고등만 켤까요? 아니면 차 스스로 대응하는 기능도 있나요?
“경고등 점등은 단순한 알림에 불과합니다. 자동차는 결함의 위험도를 실시간으로 평가하여 기능을 단계적으로 축소해 하드웨어를 보호하거나, 보조 제어기로 제어권을 넘기는 'Fail-Operational' 제어를 즉각 실행합니다.”
자동차는 이상을 감지했다고 해서 계기판에 불만 켜놓은 채 멈춰 서지 않습니다. 위험 수준을 실시간으로 가늠하며 사전에 정의된 안전 메커니즘을 단계별로 가동하죠.
- 상태 모니터링 유지: 조향각 센서의 미세한 영점 오차처럼 제동 안전성에 직접 위해가 없는 경미한 결함은 정상 제동 성능을 보장하면서 계기판 경고를 통해 정비를 유도합니다.
- 기능 축소 제어 (Limp-Home Mode): 모터 과열 등 하드웨어 파손이 우려되는 상황에서는 출력을 일부 제한합니다. 부품 손상을 막으면서도 안전지대나 정비소까지 자력 이동을 돕는 일종의 비상 모드입니다.
- 제어권 절체 (Fail-Operational Switching): 제동이나 조향처럼 가용성이 절대적인 영역에서는 주 제동 기능에 결함이 감지되는 즉시 대기 중이던 보조 제어기가 실시간으로 주도권을 넘겨받습니다.
대표적인 양산 기술이 바로 HL만도의 IDB-RCU 시스템! 평상시에는 주 제동 제어기인 IDB가 주행 제어를 총괄하다가, 결함이 감지되면 보조 제어기인 RCU(Redundancy Control Unit)가 전륜 캘리퍼 유압을 정밀 제어하는 동시에 후륜의 전자식 주차 브레이크(EPB, Electronic Parking Brake)와 손발을 맞춰 비상 상황에서도 안정적인 감속 성능을 발휘하도록 돕습니다.
Q4. 중요한 기능에는 '예비 장치'가 하나 더! 리던던시는 어떻게 작동하나요?
“리던던시(Redundancy, 이중화)는 안전을 위한 최후의 예비 수단입니다. 단순히 동일 부품을 두 개 배치하는 데 그치지 않고, '단 하나의 원인으로 두 시스템이 동시에 무력화되지 않도록' 전원과 통신 경로까지 완벽히 분리하는 것이 핵심입니다.”
항공기 조종석에 주요 계통이 다중으로 구축되어 있듯, 생명과 직결된 차량 섀시 시스템에도 고도의 리던던시 아키텍처는 필수적입니다. 단 하나의 부품 결함으로 전체 제동력이 상실되는 취약점을 원천 차단하기 위해, HL만도는 4대 독립 리던던시 구조를 갖추고 있습니다.
[HL만도 제동 시스템의 4대 독립 리던던시(이중화) 아키텍처]
1. 센서 리던던시 : 페달 변위 및 유압 측정 회로의 듀얼 센싱과 상호 크로스체크
2. 제어기 리던던시 : 주 제어기(IDB)와 보조 제어기(RCU) 간 독립 연산 프로세서 탑재
3. 전원 리던던시 : 독립된 전원 공급선 분리로 배터리 전압 강하 시 동시 셧다운 방지
4. 통신 리던던시 : 고속 주 통신망(CAN FD) 외에 보조 통신(UART)을 구축해 상시 헬스체크 유지
이중화 설계를 구현할 때 엔지니어들이 가장 경계하는 대상은 공통 원인 고장(CCF, Common Cause Failure)입니다. 제어기를 두 개 탑재했다 하더라도 동일한 배터리 라인을 공유한다면, 전원선 하나가 단선되는 순간 두 제어기가 동시에 먹통이 되어버리기 때문입니다.
따라서 HL만도의 리던던시 아키텍처는 전원 공급 경로를 물리적으로 분리할 뿐만 아니라 통신 경로도 이중화합니다. 주 통신망인 CAN(Controller Area Network) 이 다양한 차량 및 주행 제어 정보를 교환한다면, 별도의 UART(Universal Asynchronous Receiver/Transmitter) 전용 채널은 상대 제어기의 생존 상태와 핵심 고장 정보를 독립적으로 교차 검증하는 역할을 수행하죠. 이를 통해 통신망에 예기치 않은 오류가 발생하더라도 필수 안전 판단을 중단 없이 이어갈 수 있도록 뒷받침합니다.
Q5. HL만도에서는 이런 '만일의 상황'을 어떻게 검증하나요?
“정상 작동 조건을 점검하는 것은 기본이고, 가혹한 고장 시나리오를 인위적으로 주입해 검증하는 데 수많은 시간을 쏟습니다. '고장이 나더라도 시스템이 규정된 시간 내에 오차 없이 안전 상태(Safe State)로 전환되는가'를 입증하는 것이 기능안전의 본질이기 때문이죠.”
설계된 안전 메커니즘이 실제 도로 위에서 단 한 순간의 지연이나 오차 없이 반응하도록 만들기 위해, HL만도는 개발 단계마다 다층적인 검증 프로세스를 거칩니다.
- 소프트웨어 단위 시험 (ASPICE SWE.4 Unit Test): 진단 알고리즘을 구성하는 모든 연산 로직과 분기문이 사양서대로 정확히 동작하는지 수만 개의 수학적 경계 조건으로 확인합니다.
- 실시간 제어기 시뮬레이션 (HILS, Hardware-in-the-Loop Simulation): 실제 제어기를 가상 차량 동역학 시뮬레이터에 연결한 뒤, 주행 중 통신 버스를 단선시키거나 전압을 급격히 떨어뜨립니다. 제어기가 결함을 규정된 시간 내에 감지하고 보조 제어기로 제어권을 매끄럽게 넘기는지 가상 환경에서 수십만 번 반복 검증하죠.
- 실차 고장 주입 시험 (Fault Injection Test): 실제 시험 차량의 센서 라인과 전자 회로에 물리적 결함을 강제 인가한 상태로 주행 시험장 트랙을 질주합니다. 극한의 결함 환경에서도 차량이 운전자의 의도대로 차선을 유지하며 안전 상태(Safe State)로 감속·정차하는지를 최종 확증해 냅니다.
Q6. 운전자를 위한 실전 가이드: 주행 중 경고등이 켜지면 어떻게 대처해야 할까요?
“리던던시가 적용되어 있다고 해서 '결함 상태로 주행을 계속해도 된다'는 뜻은 아닙니다. 리던던시는 어디까지나 운전자가 차량 통제권을 유지하며 안전한 장소로 회피 정차할 수 있도록 골든타임, 즉 최소한의 안전 여유(Safety Margin)를 확보해 주는 안전망인 셈입니다.”
주행 중 계기판에 경고등이 점등되었을 때 권장되는 3단계 확인 절차는 다음과 같습니다.
[주행 중 경고등 점등 시 운전자 행동 수칙 3단계]
- Step 1. 색상에 따른 즉각 조치 ──► 빨간색은 비상등 켜고 즉시 안전지대 정차 / 노란색은 서행하며 상태 파악
- Step 2. 계기판 세부 정보 확인 ──► 계속 켜져 있는지(점등), 깜빡이는지(점멸), 안내 문구가 있는지 확인
- Step 3. 차량 물리적 증상 점검 ──► 페달 감각, 조향 이질감, 하체 소음 등 주행 이상 체감 체크
만약 노란색 경고등이라 하더라도 브레이크 페달이 푹 꺼지는 느낌(스펀지 현상)이 들거나 스티어링 휠이 급격히 무거워지는 등 물리적 이상 증상이 동반된다면 즉시 서행하여 갓길이나 안전지대로 대피해야 합니다.
간혹 시동을 껐다 켰을 때 경고등이 일시적으로 사라져 점검을 미루는 경우가 있는데요, 계기판 표시는 꺼졌더라도 제어기 메모리에는 당시의 고장코드(DTC)와 스냅샷 데이터 기록이 고스란히 남아 있습니다. 잠재적인 결함 원인이 상존하고 있을 가능성이 높으므로, 가급적 빠른 시일 내에 서비스센터를 방문해 점검을 받는 것이 현명합니다. 차종마다 표시 방식과 권장 조치가 다를 수 있으니, 글로브 박스 속 '차량 취급설명서(Owner's Manual)'의 경고등 페이지를 한 번쯤 정독해 두는 것도 훌륭한 대처 습관입니다.
마무리하며
SDV시대로 나아갈수록 차량의 전자 제어 아키텍처는 고도로 복잡해지고 있습니다. 시스템이 정교해질수록, 보이지 않는 곳에서 센서 신호의 건전성을 감시하고 결함 발생 시 다중 안전망을 펼쳐내는 기능안전 소프트웨어의 신뢰성은 무엇보다 중요해지기 마련이죠.
운전자의 손끝과 발끝이 닿는 섀시 제어 시스템 깊은 곳에서, 오늘도 HL만도의 소프트웨어는 매 밀리초(ms) 단위로 차량의 상태를 묵묵히 살피고 있습니다. 다음 주행 때 계기판의 불빛을 마주하신다면, 단순한 기계적 알림을 넘어 차량이 스스로 상태를 진단하고 탑승자의 안전을 위해 건네는 가장 정직한 신호로 기억해 주시기 바랍니다.
💬 HL만도 연구원의 엔지니어링 코멘트
최하연 책임연구원 | HL만도 SW1 Lab SW5 Team:
제동 제어기의 고장 진단 및 상태 관리 소프트웨어를 설계할 때 연구팀의 최우선 기준은 '단 1회의 예외 조건도 배제하는 것'입니다.
고안전성이 요구되는 제동 시스템에서 진단 로직은 단순한 모니터링 코드가 아니라, 위급한 순간 시스템이 안전 상태(Safe State)를 유지하도록 제어 방향을 결정하는 최전선의 안전 장치입니다. 화려하게 드러나지는 않지만, 어떤 극한의 조건에서도 운전자의 통제권을 보장할 수 있는 안전 설계를 구현해 나간다는 자부심으로 개발에 임하고 있습니다.
⚠️ [안내 및 면책 조항]
본 아티클에서 소개된 경고등 체계 및 자기진단 메커니즘은 일반적인 자동차 공학 이론 및 HL만도 시스템 사양을 바탕으로 알기 쉽게 재구성되었습니다. 차량 브랜드, 모델, 파워트레인 및 사양에 따라 계기판 심볼의 형태와 점등 조건, 세부 대처 요령은 상이할 수 있습니다. 주행 중 빨간색 경고등이 켜지거나 조향·제동 계통의 물리적인 이상 징후가 느껴질 경우 즉시 안전한 장소에 정차하시고 공식 서비스센터의 점검을 받으시기 바랍니다.
