미래의 차가 수십 개의 AI 에이전트에 의해 동시에 움직일 때 정말 중요한 것은 그 에이전트들이 얼마나 똑똑하냐가 아니다. 누가 그것들을 감독하고, 어떤 원칙으로 통제하느냐다. TrustMotion의 CTO 슈테판 폴레드나 박사가 'AID 2026' 키노트에서 던진 메시지가 이것이었다. 그에 따르면, 차안의 피지컬 AI는 더 이상 선택 사항이 아니다. 그러나 AI 정의 차량(AI-Defined Vehicle)은 소프트웨어 정의 자동차(SDV)를 대체하지 않는다. 오히려 SDV 위에 구축되며, SDV 없이는 안전할 수 없다. 그리고 결국 안전을 결정하는 것은 모델에 대한 신뢰가 아니라, 그 모델을 물리 법칙과 안전 경계 안에 묶어두는 시스템 아키텍처다.

글 | 한상민 기자＿han@autoelectronics.co.kr
IN ENGLISH












폴레드나(Dr. Stefan Poledna, TrustMotion)는 작은 정정으로 발표를 시작했다.
청중 대부분은 그의 회사를 여전히 TTTech Auto로 기억하고 있다. 이름은 바뀌었지만 사명은 바뀌지 않았다고 짧게 짚은 뒤, 곧바로 본론으로 들어갔다.
피지컬 AI의 토대로서의 안전과 결정론.

AI는 이미 차 전체로 퍼지고 있다. ADAS 쪽에서는 경로 계획과 객체 탐지를, 인포테인먼트 쪽에서는 음성 제어와 예측 경로 안내를 맡고 있다. 폴레드나에 따르면 이제는 운전자가 평소 생각조차 안 하는 영역까지 들어가고 있다. 예를 들면, 네트워크 침입 탐지, 레이다와 라이다를 융합해 차가 원래 갖지 못했던 데이터를 만들어내는 가상 센서, 배터리 상태 모니터링, 심지어 공조 제어까지 말이다. 이제 중요한 건 그 목록이 아니다. 중요한 건 AI가 더 이상 하나의 기능이 아니라 인프라가 됐다는 사실이다.
폴레드나의 표현을 빌리면, 이것이 Edge AI에서 Physical AI로의 전환이다. 
그는 오늘날의 AI를 “애플리케이션에 국한돼 있을 뿐, 시스템을 인식하지는 못하는” 상태라고 표현했다. 콕핏 쪽 모델과 인지 쪽 모델이 각자 고립된 채 자기 논리만으로 돌아간다는 것이다. Physical AI는 그 고립이 끝나는 순간 시작된다. 

“여러 AI 시스템을 안전하게, 결정론적으로, 실시간으로 오케스트레이션해서 물리적 세계를 제어하는 것, 그것이 핵심입니다.” 폴레드나가 말했다.
그리고 바로 이것이, AI 정의 차량이 SDV를 대체하는 게 아니라, SDV를 필요로 하는 이유라고 강조했다.
“AI 정의 차량이 SDV를 대체하는 게 아니라는 점을 이해하는 게 중요합니다. 오히려 SDV가 AI 정의 차량의 기반입니다.” 
무언가를 학습시키려면 차에서 데이터를 꺼내야 한다. 학습된 것을 배포하려면 무선 소프트웨어 업데이트가 있어야 한다. 그리고 애초에 그 모델을 구동하려면 SDV의 중앙·존형 컴퓨팅 자원이 필요하다. 이건 둘 중 하나를 고르는 문제가 아니다.






하나의 두뇌, 세 겹의 안전장치

이 논지는 하나의 그림에서 강하게 드러났다.
배터리, 섀시, ADAS, 중앙 컴퓨팅, 존, 보안, 콕핏, 인포테인먼트 등 차량의 각 도메인은 저마다의 AI 에이전트를 갖는다. 이 에이전트들은 모두 하나의 'Super AI Agent'로 보고를 올린다. 그 Super AI Agent는 'Safety Monitor' 안에 자리한다. Safety Monitor는 다시 폴레드나가 그저 'Safety & Supervision'이라 이름 붙인 바깥층 안에 있다. 차 안의 모든 지능을 감싸는 세 겹의 동심원인 셈이다.
이는 사실상, AI를 그 자체로는 신뢰할 수 없다고 전제할 때 자율 기계의 운영체제가 어떤 모습이어야 하는지를 보여주는 스케치였다. 

하나의 두뇌가 아니라, 항시 감시받는 하나의 두뇌. 이 동심원들은 빠르게 움직이지 않는다. 그리고 그것이 설계 의도다. 도메인 에이전트들이 끊임없이 재학습되고 조정되는 빠른 루프가 허용되는 건, 오직 그 바깥의 느린 루프, 즉 동심원 자체가 전혀 움직이지 않기 때문이다.
폴레드나는 같은 논리를 하나의 예로 보여줬다. 구동계와 배터리 시스템을 AI로 더 똑똑하게 최적화하면 전기차의 주행거리를 1~2%p 더 짜낼 수 있다. 운전자가 바로 체감하는 이득이다. 하지만 그 최적화는 물리 모델이 설정한 안전 경계, 즉 좀처럼 바뀌지 않는 안전 가드레일 안에서만 허용된다. 차는 더 똑똑해지지만, 그 가드레일은 거의 움직이지 않는다.
그는 그 안전장치가 없을 때 어떤 일이 벌어지는지도 가감 없이 짚었다. 차량의 기능이 에이전틱 AI가 호출할 수 있는 API로 노출되는 순간, 그 모델에게 차가 할 수 있는 모든 것을 무제한으로 맡길 수는 없다. 그는 안전하지 않은 명령 체인이 어두운 고속도로를 달리던 차량의 헤드라이트를 꺼버려 충돌로까지 이어졌던 사고들을 언급하며, 청중 다수가 이미 알고 있을 사례라고 말했다. 운전자는 살아남았지만, 애초에 일어나서는 안 될 일이었다. 해법은 에이전트를 더 신뢰하는 것이 아니라, 차량이 그 명령을 실행하기 전에 검사하는 안전장치에 있다.







안전장치를 실리콘에 새기다 

이는 아키텍처 차원에서 미들웨어의 역할을 CPU 워크로드 스케줄링 그 이상으로 밀어붙인다. 이제 미들웨어는 GPU, NPU, AI 가속기를 그것들을 감시하는 안전 모델과 나란히 중재해야 한다. 결정론적 자원 관리, 혼합 안전등급 실행, 종단 간 지연시간 보장까지 최선을 다하는 수준이 아니라 반드시 지켜야 하는 요구사항으로서 말이다. 
폴레드나는 NXP의 S32N7과 함께 이것이 실리콘 위에서 어떤 모습인지 보여줬다. 이는 도메인별로 조직된 컴퓨팅, 그 모든 도메인 아래에서 돌아가는 안전·보안 레이어, 무거운 AI 워크로드를 위한 외부 NPU까지 안전 정합성, 자원 라우팅, 장애 격리가 그 위에서 돌아가는 소프트웨어의 속성이 아니라 칩 자체의 속성이 되는 구조다.
TrustMotion 자체의 MotionWise도 바로 이런 종류의 하드웨어 위로 확장되고 있다. MW Schedule, MW Communication, MW Orchestrate, 그리고 그 밑에 있는 MW Safety Middleware라는 작은 제품군으로서, 한 번 개발된 소프트웨어가 매번 더 적은 검증 노력으로 중앙 ECU와 존 ECU 사이를 오갈 수 있도록 만들어졌다.
폴레드나는 마지막으로 그의 팀, 자신의 개발 프로세스로 시선을 돌렸다. 관찰(Observe)-학습(Learn)-해결(Solve)-오케스트레이션(Orchestrate)-배포(Deploy)-측정(Measure)으로 이어지는 6단계 루프를 차량이 아니라 오케스트레이션 레이어 자체에 적용해 실제 실행 데이터를 근거로 끊임없이 재조정한다고 설명했다. 







그의 마지막 슬라이드는 청중에게 이렇게 권했다.
AI 워크로드를 가져와서, 목표 하드웨어 위에서 만들고, 함께 안전하게 최적화하고, 확신을 갖고 배포하라고.
지난 10년간 업계는 소프트웨어 정의 자동차가 무엇인지를 두고 논쟁했다. 다음 10년은 더 어려운 질문으로 시작될지 모른다. 
실패하면 사람이 죽을 수도 있는 기계 안에서, 수십 개의 AI 시스템을 누가 감독할 것인가.
폴레드나의 답은, AI는 SDV를 대체하지 않는다. 오히려 SDV에 기댄다. 그리고 마지막까지 인간을 지켜주는 것은 모델의 지능이 아니라, 그 아래 놓인 물리학이다.

 

[AEM] Automotive Electronics Magazine