소프트웨어 구조 · 시험대

목차

1. 전체 그림
2. 코어 배치와 M33
3. 샘플레이트와 신호 경로
4. 코어 사이 통신 (공유 링 · RPMsg)
5. 지연 예산
6. 홀터 저장 · 트렌드
7. 경보 엔진
8. 상태기계
9. 부팅 자가시험
10. 클라우드 · 보안 · 업데이트
11. 소프트웨어 등급 분리 · 모듈
12. 개발 순서 · 실측 목록
13. 시험대 펌웨어 (ESP32-S3 + ADS1293)
14. 시험대 검증 결과

1. 전체 그림

처리부는 NXP i.MX 95 입니다. 환자에 닿는 측정부(환자 섬)는 절연되어 있고, 디지털 절연기(ISO7762)를 거쳐 처리부와 이어집니다. 처리부 칩 구성(i.MX 95 · AFE159RP8 · AFE4490 · 2단계 RM44L920)은 확정 사양이고, 아래 코어 배치는 기본값입니다.

 환자 섬(절연, CF)                     │ 비환자 측 (i.MX 95 SoM)
 ──────────────────────────────────────┼───────────────────────────────────────
 AFE159RP8 (ECG 8ch, 전극 10, 페이스 칩내) ─ISO7762#1─ LPSPI-A ┐
 AFE4490   (SpO2, PRF 500 Hz)            ─ISO7762#2─ LPSPI-B ├─► Cortex-M7 800 MHz (FreeRTOS)
 V1/V5 스위치 · sim/signal 스위치 상태    ─(절연 GPIO)────────┘   취득·필터·QRS·페이스·SpO2
 (+옵션) NIBP 모듈 UART · Resp(AFE 내장)                            ·경보 판정·경보음
                                                    │ 공유 DDR 링(파형) + RPMsg(명령·사건)
                                                    ▼
                         Cortex-A55 ×6 (Linux, Yocto)  화면(Qt)·홀터·트렌드·클라우드·OTA·로그·권한
                         Cortex-M33 (NXP SM)           전원·클록·리셋·PMIC·고장 반응(LM 단위 리셋)
 외부: TPS3430 윈도 워치독(M7 이 찬다) → WDO → 백업 부저 + A55 GPIO   [2단계] RM44L920 안전 MCU (SPI)
 LTC1760 + 스마트 팩 A/B (SMBus, M7 소유) · VSYS 저전압 비교기 → M7 IRQ

코어 배치 원칙 세 줄 기본값

1. 환자 안전에 걸리는 경로(취득 → 판정 → 경보음)는 M7 하나로 닫는다. Linux 가 죽어도 소리는 난다.
2. Linux 는 「보여주기·저장·보내기」만 한다. Linux 가 멈추면 M7 이 알아채고 고우선 「표시 고장」을 울린다.
3. M7 이 멈추면 System Manager(SM)가 M7 만 리셋하고, 그동안 TPS3430 이 백업 부저를 울리며, A55 는 파형을 회색으로 바꾼다.

2. 코어 배치와 M33

코어별 담당 기본값

자원 소유 (SM 설정으로 고정)

자원 예산 (계산·기본값)

3. 샘플레이트와 신호 경로

왜 8 kSPS 인가

• IEC 60601-2-27 은 페이스 펄스를 HR 계산에서 빼도록 요구한다. 범위 ±2~±700 mV, 0.1~2 ms (폭 하한은 넓은 쪽 0.1 ms 로 잡음)
• TI ADS1298 데이터시트: 소프트웨어 검출은 「8 kSPS or more」. 논문 수치 8 kHz Se 95.5 % · 16 kHz 97.1 % · 32 kHz 99.3 % (CinC 2018)
• AFE159RP8 은 칩 안에 4리드 페이스 알고리즘 + 128 kSPS 페이스 출력이 있다. 다만 공개본은 요약판이라 판정 출력 형식·폭·진폭 범위는 미확인

기본값 ECG 전 채널을 8 kSPS 24비트로 받는다. 페이스는 칩 내 검출(1차) + M7 소프트 검출(2차 확인). 상세 데이터시트로 칩 내 검출이 요구를 다 만족하는 게 확인되면 2 kSPS 로 내리는 것을 검토하고, 그 전에는 8 kSPS 고정.

M7 안의 경로

AFE159RP8 8 kSPS × 8ch × 24bit ── DRDY ISR → LPSPI DMA ─┐
                                                         ├─ ① 시각 붙이기 (범용 타이머 32bit, 표본번호 u64)
AFE4490 500 SPS × 6 스트림 ── ADC_RDY ISR → LPSPI ───────┘
   ├─ ② 페이스: 칩 플래그 + 8 kSPS 기울기·폭 확인 → 사건 {표본번호, 리드, 폭}
   ├─ ③ 페이스 블랭킹: 펄스 구간을 8 kSPS 에서 직선 보간으로 메움
   ├─ ④ 데시메이션 8000 → 2000 → 500 SPS (선형위상 FIR 2단, ÷4·÷4)
   │      군지연 추정: 31탭(8k) 1.9 ms + 63탭(2k) 15.5 ms ≈ 17.4 ms (계산)
   ├─ ⑤ 「원자료」 분기 → 홀터 저장(500 SPS 24bit, 노치 전·HPF 전) + calib 행
   ├─ ⑥ HPF → 2중 적응형 노치(60·120 Hz) → LPF   (노치 전·후를 둘 다 남김 — 비교 화면용)
   ├─ ⑦ QRS 검출 (별도 대역 5~15 Hz, 노치 상태와 무관)
   │      페이스 사건은 「Paced=Yes」일 때만 HR 에서 제외·마커
   └─ ⑧ PPG: 500 SPS → 5표본 평균 100 SPS → 대역필터 → R·SpO2·PR·PI. 1초 주기

500 SPS 로 내리는 이유: 앞서 설계한 2중 노치 계수가 fs = 500 Hz 기준이라 그대로 쓸 수 있다. 블랭킹 길이와 FIR 탭 수는 신호처리 설계에서 실측으로 정한다.

채널 배정 기본값

표시용 다운샘플

• 열(px)마다 min/max 세로선으로 그려 QRS 꼭짓점을 보존한다. 단순 솎아내기 금지
• PPG 100 SPS 는 이웃 표본 선형 보간
• 화면 행 순서는 6행 고정: calib · lead1 · lead2 · lead3 · SpO2 · pulse 확정. V 유도(V1/V5)의 화면 위치는 미정, 기록에는 항상 들어간다

4. 코어 사이 통신 — 공유 메모리 링 + RPMsg

RPMsg 공통 머리 (24 B, 리틀엔디언) 기본값

엔드포인트 2개: ekg-ctrl (A55 → M7 명령, M7 응답) · ekg-evt (M7 → A55 사건·상태).

주요 메시지 기본값

공유 메모리 링 (계산·기본값)

모든 링은 2의 거듭제곱 길이, 인덱스는 전역 표본번호 u64 마스킹. M7 은 데이터를 다 쓴 뒤 메모리 장벽 → 쓰기 인덱스 갱신. 블록(20 ms = 10 표본)마다 CRC-32C.

예약 영역은 non-cacheable. A55 만 리셋될 때 이 DDR 영역이 그대로 남는지는 미확인 — 실측 항목 S-01.

5. 지연 예산

전극 → 화면 (계산·기본값)

경보 기본값

6. 홀터 저장 · 트렌드

원칙

• 기기 안 기록이 정본, 클라우드는 사본
• 저장 신호는 노치·HPF 전 원자료(500 SPS 24비트). 필터는 볼 때 다시 건다 → 다시 분석할 수 있다
• 기본 5전극 4채널 하루 518.4 MB, 12유도 8채널 하루 1.04 GB (계산) → eMMC pSLC 32 GB 이상

1초 블록 기본값

고정 크기 슬롯: 4채널 8 KiB, 8채널 16 KiB (eMMC 4 KiB 정렬). 1시간 = 3600 슬롯짜리 세그먼트 파일을 미리 할당해 쓰는 동안 파일 메타데이터가 바뀌지 않게 한다.

• 페이스는 원파형을 고속 저장하지 않고 시점만 적는다 (128 kSPS 원파형이면 하루 약 88 GB)
• 쓰기: 1초마다 pwrite 1슬롯 + fdatasync. 쓰기 스레드는 렌더 스레드와 락을 공유하지 않는다
• 파일시스템: ext4 data=ordered + 미리 할당 + 블록마다 fdatasync 를 기본값, F2FS 를 대안으로. 최종 선택은 전원 강제 차단 반복 후 해시 체인 검사로
• 잃는 양: 두 배터리 팩이 동시에 끊기는 급정전에서만 ≤ 1~2 초. 정상 종료 경로에서는 0
• 기동 시 복구: 마지막 세그먼트를 끝에서부터 CRC·해시 체인 확인 → 깨진 꼬리는 「미기록」 표시 + 「기록 끊김」 주석. 끊긴 구간을 채워 넣지 않는다
• 내보내기: EDF+/BDF(24비트) 또는 WFDB-FLAC 기본, 호환용 ISHNE·DICOM Ambulatory(16비트). 정본 블록은 그대로

트렌드 DB 기본값

• 정본은 홀터 블록 안 1초 트렌드 레코드. DB 가 깨져도 블록에서 다시 만든다
• 조회용 SQLite (WAL, synchronous=FULL) — 1초 표 + 1분·5분·1시간 집계 표
• 보관 1년 (5~6 파라미터 1초 2 B → 315~378 MB, 계산). 창 30 min ~ 7일
• SpO2 유래 지표는 「참고값·미교정」 표기

7. 경보 엔진 (IEC 60601-1-8 우선순위)

• M7 AlarmCore: 조건 판정, 우선순위, 래칭, 일시정지 타이머, 경보음 합성. 설정이 안 왔으면 컴파일된 기본 한계로 돈다
• A55 AlarmUI: 시각 신호(색·깜박임·글자), 조작, 경보 로그, 원격 보조 알림. 판정은 하지 않는다
• 시각 대조: M7 은 HB_UI 의 「띄운 경보 ID 목록」을 받아, 활성 경보가 2 s 넘게 화면에 없으면 「표시 고장」(고)
• 2단계: RM44L920 이 같은 입력으로 따로 판정해 M7 결과와 대조

우선순위·신호 기본값

• 소리 주파수: 주 에너지 500~1000 Hz, 스피커 + 합성 파형 (노인성 난청을 고려해 4 kHz 압전 단독은 쓰지 않음)
• 일시정지 기본 2분, 끝나면 자동 복귀. 기술 경보 비래칭, 생리 경보는 설정(기본 래칭)
• 색만으로 구분하지 않는다: 채움 + 글자 + 아이콘 + 점멸 + 소리

경보 목록 (발췌) 기본값

부정맥 분류 결과는 경보에 쓰지 않는다. 기록·참고용이다.

8. 상태기계

세 축이 겹친다: 장치 상태(S) × 파라미터별 신호 유효성 × 전원 상태(P).

장치 상태 기본값

원칙 두 개: 정지된 정상 파형을 보여주지 않는다 · 주 처리부가 죽어도 경보음은 산다.

전원 상태 기본값

9. 부팅 자가시험 (POST) · 주기 시험

주기 시험 (측정 중): calib 행 = 내부 시험 신호를 연속 자가진단으로 겸용, 진폭이 ±2 % 밖이면 「AFE 이득 이상」. 전원·온도는 남는 채널을 수 초마다 순회.

10. 클라우드 · 보안 · 업데이트

클라우드 — 오프라인 저장 후 동기화 기본값

• 보낼함(SQLite 큐)에 쌓았다가 연결되면 밀린 것부터 순서대로
• 실시간 채널: MQTT 5 QoS1, TLS 1.3 상호 인증 — 상태·이벤트·1분 트렌드·경보만 (메시지 한도 때문에 파형은 안 보냄)
• 파형: 1시간 세그먼트 파일 이어받기 업로드. 서버가 해시 체인 확인 후 「수신 확인」
• 지우기: 수신 확인된 것만, 14일 지난 뒤. 미확인분은 자동으로 절대 지우지 않는다
• 기기 인증: 기기별 X.509, 개인키는 보안 칩. 서버는 국내 리전, 첫 설정 때 건강정보 별도 동의 화면
• 보호자 앱 알림은 경보 시스템의 일부로 치지 않는 보조 알림. 본체 소리·화면이 1차
• 방화벽: 들어오는 연결 0. 서비스용 로컬 포트는 서비스 모드에서만

부트 체인 (AHAB)

Boot ROM ─(ELE 검증)─► 부트 컨테이너 [SM(M33) · U-Boot SPL · ATF · OP-TEE · U-Boot]
         U-Boot ─(AHAB 인증)─► M7 펌웨어 컨테이너 (A/B 슬롯 안) → M7 기동 → 취득 시작
         U-Boot ─(서명 FIT)──► 커널 + DTB + initramfs (A/B 슬롯) → rootfs dm-verity

M7 펌웨어를 A/B 슬롯에 두어 Linux 와 한 번들로 같이 갱신·같이 롤백한다. 대가는 M7 시작이 U-Boot 단계까지 늦어지는 것(수 초, 실측 예정). i.MX 95 용 AHAB 서명 절차·롤백 카운터는 미확인.

OTA (RAUC A/B, 서명 필수) 기본값

• 번들 = rootfs + 커널 FIT + M7 펌웨어 + 설정 이전 스크립트 = 릴리스 번호 1개
• 설치 조건: 환자 비연결(전 전극 리드오프 + SpO2 센서 오프) + AC 연결 + 홀터 세션 닫힘 + 권한 있는 사람의 확인. 측정 중에는 내려받기만
• 건강 확인: 새 슬롯 기동 → POST 통과 + M7 HELLO 판 일치 + UI 첫 프레임 → good 표시. 3회 실패 → 이전 슬롯
• USB 오프라인 업데이트도 같은 서명 번들. 서명 검증 전에는 아무것도 실행하지 않는다
• 데이터 보호: /data 암호화, DDR 인라인 암호화, 통신 TLS 1.3

사용자 권한 기본값

안전 설정(경보 한계·최소 음량·Paced)은 M7 에 CFG_SET → 되읽기 확인이 끝나야 「적용됨」. M7 은 확인된 마지막 값으로 계속 돈다.

11. 소프트웨어 등급 분리 (IEC 62304) · 모듈

분리의 근거: 별개 코어 + SM 의 자원 격리(LM 단위) + M7 이 Linux 없이 돈다 + 외부 윈도 워치독. 이 분리가 규격상 인정되는지는 시험기관 판단이라 미확인.

모듈 (발췌)

신호처리 코드(dsp/)는 하드웨어와 무관한 C 로 두어 PC 에서도 빌드하고, 공개 심전도 데이터베이스 재생으로 단위 시험한다. RTOS 를 바꾸더라도 비용이 작다.

12. 개발 순서 · 실측 목록 기본값

미결정 항목: 12유도 옵션 때 lead III 처리(계산 또는 AFE 2개), V1/V5 파형의 화면 위치.

13. 시험대 펌웨어 — ESP32-S3 + ADS1293 + 심박·산소 모듈

본 제품(AFE159RP8 · AFE4490 · i.MX 95)과는 다른 시험대 전용 구성이다. 시중 모듈로 신호 경로·프레임·수신 화면을 먼저 확인하려는 목적이다.

배선 (ESP32-S3 N16R8)

피한 핀: 4·5·6·7·15(2.0" 화면) · 19·20(USB) · 43·44(UART0) · 26~32(플래시) · 33~37(OPI PSRAM) · 0·3·45·46(부팅 스트래핑) · 38·48(보드에 따라 RGB LED).

ADS1293 — lead I·II·III 를 모두 직접 측정

전극 배정 기본: RA→IN1, LA→IN2, LL→IN3, RL←IN4(RLD 출력). 모듈 잭 배선이 미확인이라 명령 e 로 IN 번호를 바꿀 수 있다.

주요 레지스터

RL 탈락은 리드오프로 잡히지 않아 RLD 출력이 레일 근처인지(RLDRAIL)를 따로 내보낸다. 오류 레지스터는 32표본마다, 또는 ALARMB 비트가 서면 바로 읽는다.

샘플레이트 (데이터시트 표 8, SDM 102.4 kHz, R1 = 4)

533 을 기본으로 둔 것은 500 SPS 기준 노치 설계에 가장 가까워서다(노치 계수는 533.33 Hz 로 다시 계산해야 한다). 진단 대역 150 Hz 를 덮는 건 853 뿐이고, 모니터 대역 40 Hz 는 셋 다 덮는다. 입력 범위는 INA 차동 ±400 mV.

내장 시험신호

VTEST 와 VREF 가 같은 기준에서 나오므로 이득 교정은 아니고, 자가시험·채널 간 이득 차이 확인용이다. 1 mV 교정 신호(calib)는 외부 배터리 시뮬레이터 몫이다.

심박·산소 모듈 (MAX30102 추정, I2C 0x57)

• PART_ID 가 0x15 일 때만 쓰고, 아니면 「없음」으로 보고 합성 맥파를 낸다 (칩이 MAX30102 인지 미확인)
• SpO2 모드(적색+IR), 100 sps, 18비트, 표본당 6 바이트. 레지스터 값은 공개 라이브러리 정의 기준이며 원문 데이터시트 대조는 미확인
• SpO2 숫자는 내지 않는다. 교정 곡선이 없다. 수신 화면은 R 비율만 「참고」로 보인다
• 반사형 모듈이라 파형 경로 시험용일 뿐이다. 본 제품은 클립형 투과 프로브 + AFE4490

시리얼 프로토콜

533 SPS × 16 B + 100 × 12 B ≈ 9.7 kB/s (853 SPS 면 14.9 kB/s). 이진 프레임 + # 로 시작하는 글자 줄(정보·1초 상태·경고), CSV 모드도 있다.

ECG 프레임 16 B : A5 5A 'E' seq(u16 LE) CH1 CH2 CH3(u24, MSB 먼저) flags crc8
PPG 프레임 12 B : A5 5A 'P' seq(u16 LE) RED IR(u24)                 crc8
crc8 = 다항식 0x07, 초기 0, 'E'/'P' 부터 flags 까지

flags: 1 RA 탈락 · 2 LA 탈락 · 4 LL 탈락 · 8 RLD 레일 · 16 공통모드 범위밖
       32 입력 범위밖 · 64 합성 · 128 시험신호

CRC 계산 부분 발췌(펌웨어와 PC 시험 코드가 같은 헤더를 쓴다):

static inline uint8_t ekg_crc8(const uint8_t *p, size_t n) {   // 다항식 0x07, 초기값 0
  uint8_t c = 0;
  for (size_t i = 0; i < n; i++) {
    c ^= p[i];
    for (int b = 0; b < 8; b++) c = (c & 0x80) ? (uint8_t)((c << 1) ^ 0x07) : (uint8_t)(c << 1);
  }
  return c;
}

코드 → 전압 변환은 데이터시트 식 13: V = (ADC_OUT/ADCMAX − ½)·2·VREF/3.5.

합성 신호는 ADS1293 과 같은 ADC 코드 꼴로 나가므로, 받는 쪽은 실측과 합성을 구분할 필요가 없다(flags 64 만 다르다). 합성 모형은 사지 전위 φRA=0, φLA=I, φLL=II 로 두고 리드를 전위 차로 다시 계산해 III = II − I 가 정의상 성립한다. 전기축 50° 는 합성용 임의값이다.

수신·표시 스크립트 (PC · 라즈베리파이 공용)

• 받은 바이트 전부를 손실 없이 저장(raw) + ECG·PPG CSV + 로그
• 화면: 흰 바탕, I · II · III · 잔차 II−(I+III) · 맥파 적색 · 맥파 IR. 제목에 심박(단순 문턱법) · R 비율 · fs · 끊김 · 경보
• 저장본을 다시 풀어 검사하는 재생·검사 모드가 있다

안전 — 사람 몸에 닿기 전에

시험 순서

④ 전에 ②·③ 을 반드시 거친다. ② 에서 DRDYB 경고가 나면(수정 없음 의심) 거기서 멈춘다.

14. 시험대 검증 결과 (2026-10-11)

남은 미확인 (부품 도착 후 확인)

1. ADS1293 모듈의 전원 구성(VDD·VDDIO), 4.096 MHz 수정 유무, 잭 핀 배정, 입력 보호·RLD 부품값
2. 한 입력 핀을 CH1 + 와 CH3 − 에 동시에 거는 것의 허용 여부 (잔차로 판정)
3. 센서 모듈이 MAX30102 인지, 적색·IR 이 바뀌었는지
4. MAX30102 원문 데이터시트 대조
5. ESP32-S3 보드의 RGB LED 핀, USB 포트 방식
6. 리드오프 8 nA 가 케이블 용량에서 몇 초에 반응하는지
7. 의료 규격의 전극 DC 전류 한계 수치