AMR Mechanical and Electrical Engineering — Ch.12: Emergency Stop and Safety Circuit [KR]

STATERA Library · Series 02 · Volume 02 · Chapter 12 · KR
Source: https://github.com/Statera-Library/02_Vol_02_AMR_Mechanical_and_Electrical_Engineering/blob/main/12_Emergency_Stop_and_Safety_Circuit/12_Emergency_Stop_and_Safety_Circuit_KR.md

Volume 02. AMR Mechanical and Electrical Engineering

Contents {#contents .TOC-Heading}

[Chapter 00 Introduction 1](#_Toc232583413)

Chapter 12 Emergency Stop and Safety Circuit

12.01 E Stop System Architecture

An emergency stop system is a dedicated safety function designed to bring an autonomous mobile robot into a safe condition when continued operation could create unacceptable risk. It must act independently from ordinary mission control, navigation, artificial intelligence, and fleet software because those systems may be unavailable, delayed, corrupted, or responsible for the hazardous behavior. The architecture therefore begins with a clear safety objective: when an emergency stop is activated, hazardous motion and energy must be removed or controlled quickly enough to protect people, equipment, payloads, and the surrounding environment.

The emergency stop function should not be confused with a normal stop command. A normal stop may be generated by navigation software, an operator interface, or a fleet manager and may use controlled deceleration while maintaining full system operation. An emergency stop is intended for urgent situations and must rely on a verified safety path. It should not depend on cloud connectivity, high-level operating systems, non-safety communication networks, or complex software behavior. Its response must remain predictable even when the main computer has crashed or communication has been lost.

The architecture starts with hazard analysis and risk assessment. Engineers must identify dangerous robot motions, stored energy, moving mechanisms, lifting devices, manipulators, payload transfer systems, rotating tools, and external equipment controlled by the robot. The required emergency response depends on the severity of possible harm, the speed at which the hazard develops, the probability of exposure, and the ability of people to avoid it. This analysis determines the required stopping behavior, safety integrity, redundancy, diagnostic coverage, and acceptable response time.

Emergency stop devices must be physically accessible to people who may encounter the robot. Large red mushroom-head buttons with yellow backgrounds are commonly used because they are easy to recognize and operate under stress. Buttons may be installed on multiple sides of the robot so that a person does not need to approach a moving hazard from a dangerous direction. Additional emergency stop devices may be located at charging stations, operator panels, work cells, loading areas, remote control stations, or fixed infrastructure along robot routes.

Button placement should account for robot size, operating orientation, payload configuration, and expected human position. A button hidden behind a payload or positioned too low may be difficult to reach. Outdoor robots may require protected but accessible devices that tolerate rain, dust, ice, vibration, and accidental impact. The actuator must remain identifiable in poor lighting and should not be easily confused with normal controls. Mechanical guards may prevent accidental operation, but they must not delay intentional activation during an emergency.

Emergency stop devices generally use direct-opening normally closed contacts. In the healthy state, electrical current flows through the safety loop. Pressing the button mechanically forces the contacts open, interrupting the circuit. This normally closed arrangement supports fail-safe behavior because a broken wire, disconnected connector, or loss of supply can be detected as a stop condition. Direct-opening contact construction improves confidence that welded or stuck contacts will be physically separated when the button is activated.

A single contact channel may provide basic interruption, but higher-risk applications generally require dual-channel architecture. Two independent contact paths are routed through separate safety inputs and monitored for agreement. If one channel opens while the other remains closed, the safety controller detects a discrepancy and prevents automatic restart. Dual-channel design reduces the chance that a single wiring fault, welded contact, short circuit, or component failure will defeat the emergency stop function.

The two channels should be separated enough to avoid common-cause failure. They may use different terminals, independent conductors, separate connector pins, and monitored test pulses. Routing both channels through the same damaged cable without short-circuit detection may create a false healthy state. Safety input modules therefore inject controlled signals and evaluate timing, continuity, and cross-fault behavior. The purpose is not only to detect whether a button has been pressed but also to verify that the complete signal path remains capable of performing the safety function.

A safety relay or safety programmable logic controller commonly evaluates the emergency stop inputs. A safety relay provides a relatively simple and deterministic solution for small systems, while a safety PLC or safety controller supports multiple devices, configurable logic, diagnostics, networked safety, and coordinated safe functions. Regardless of implementation, the controller should be certified or designed for the required safety integrity and should remain independent from the robot's ordinary motion controller.

The safety controller continuously monitors input channels, internal logic, output drivers, feedback contacts, and supply voltage. It checks whether both emergency stop channels change state within an acceptable time and whether outputs actually disconnect the hazardous energy path. Internal self-tests detect processor, memory, timing, or communication faults. When a fault is detected, the controller should transition to a safe state and inhibit restart until the problem has been corrected and acknowledged.

Output architecture determines how hazardous energy is removed. The safety controller may de-energize motor contactors, disable drive torque, activate safe torque off inputs, engage mechanical brakes, isolate actuator power, or command controlled deceleration before final torque removal. The correct method depends on robot mass, speed, slope, payload, drivetrain characteristics, and stopping risk. Simply cutting all electrical power may not be safe if the robot can coast, roll downhill, drop a suspended load, or lose steering control.

Safe torque off is widely used in modern motor drives. When activated, it prevents the drive from generating torque-producing current even if the main control software issues motion commands. Safe torque off can stop further acceleration and prevent unintended restart, but it does not actively decelerate the robot. The vehicle may coast due to inertia or gravity. Therefore, safe torque off is often combined with braking functions, mechanical brakes, or a controlled stop sequence suitable for the robot's operating environment.

Some applications require a controlled emergency stop in which the robot first decelerates under monitored control and then removes torque. This approach can reduce stopping distance, avoid payload instability, and maintain steering during deceleration. However, it depends on functional drive control during the initial phase. The architecture must detect whether controlled braking succeeds and must transition to torque removal or mechanical braking if the expected deceleration does not occur. Time and speed monitoring are therefore essential.

Mechanical brakes provide an independent method of holding the robot after motion has stopped. Spring-applied, electrically released brakes are commonly used because loss of electrical power causes the brake to engage. The brake must be sized for maximum vehicle mass, slope, payload, and wear condition. Its engagement timing should be coordinated with motor torque removal to avoid excessive shock, wheel lock, or drivetrain damage. Brake status sensing can confirm whether the mechanism has actually engaged.

On a heavy robot, abrupt wheel locking may create a secondary hazard by causing skidding, payload movement, or loss of directional stability. The emergency stop strategy should therefore be based on validated stopping behavior rather than the assumption that the fastest possible torque removal is always safest. Braking distribution, tire-road friction, center of gravity, suspension response, and payload retention must be considered. Different strategies may be required for indoor low-speed operation and outdoor high-speed travel.

The main battery contactor may be included in the emergency stop chain, but opening it should be analyzed carefully. Disconnecting the battery removes energy from many systems, yet it may also disable controlled braking, steering, communication, lighting, and diagnostic functions. High current may cause contact arcing, and regenerative energy can raise bus voltage when the battery is suddenly isolated. Many architectures therefore use drive-level safe torque off for immediate motion prevention while reserving main contactor opening for a later or higher-level isolation stage.

Energy isolation should distinguish between hazardous and non-hazardous loads. Even after an emergency stop, it may be desirable to keep safety controllers, warning lights, communication devices, event recorders, and low-power sensors active. These functions can indicate that the robot is stopped, report the cause, preserve diagnostic data, and support recovery. Separating safety and control power domains allows hazardous actuator energy to be removed without making the robot completely unobservable.

The emergency stop circuit should be powered from a reliable safety supply. Voltage regulators, fuses, wiring, and connectors in the safety path must be selected for environmental and electrical stress. Supply loss should produce a safe condition rather than leaving outputs energized. Brownout behavior must be tested because unstable voltage can cause repeated switching or partial actuation. Energy storage may be used to maintain the safety controller long enough to complete a controlled shutdown and record critical information.

Reset behavior is a central part of the architecture. Releasing an emergency stop button must not automatically restart the robot. The button is normally mechanically latched and must be deliberately twisted, pulled, or unlocked. After all emergency stop devices have been restored, a separate reset action should be required. The reset confirms that a responsible person has inspected the situation and intends to re-enable the safety system. Motion should begin only after an additional normal start or mission command.

The reset control should be positioned where the operator can verify that the hazardous area is clear. A reset command issued remotely without visibility may re-enable the robot while someone is still performing recovery work. In distributed installations, local confirmation or video verification may be required. The safety controller should reject reset if any emergency stop channel, contactor feedback, brake status, safety sensor, or internal diagnostic remains in an unsafe or inconsistent state.

Restart interlocking prevents unexpected motion after power restoration or communication recovery. If the robot loses power while a motion command is active, it should not resume automatically when power returns. Similarly, a fleet manager should not restart a mission merely because the emergency stop state has cleared. The architecture should require a defined sequence of safety reset, system readiness checks, brake release, localization confirmation, and explicit operational authorization before movement is permitted.

Feedback monitoring verifies that output devices respond correctly. Safety contactors may include mirror contacts or auxiliary contacts that report their actual mechanical state. The safety controller compares commanded output state with feedback. If a contactor is welded closed, reset is prevented. Drive safe torque off channels may also provide status feedback. Monitoring is essential because commanding a stop is insufficient if the energy-isolation devices fail to execute it.

Redundant contactors may be used when a single contactor failure could maintain hazardous power. Two independently controlled contactors are connected in series so that either can interrupt the energy path. Their feedback contacts are monitored separately. Common-cause failures such as incorrect wiring, overvoltage, contamination, or excessive fault current must still be considered. Redundancy improves fault tolerance only when independence and diagnostics are properly implemented.

Safety communication may be used when emergency stop devices are distributed across a large robot, trailer, manipulator, charging station, or facility. Certified safety protocols transmit safety states with measures such as sequence counters, time monitoring, source identification, cyclic redundancy checks, and repeated data. Safety communication can reduce wiring complexity, but the network design must account for latency, loss, power interruption, and device replacement. Ordinary Ethernet or CAN messages alone are not sufficient unless protected by an appropriate safety protocol.

Wireless emergency stop functions require particular caution. Radio links may suffer interference, delay, congestion, shadowing, or battery failure. A wireless emergency stop should use a purpose-designed safety-rated system with continuous link supervision and a defined safe response when communication is lost. A smartphone application or standard remote-control message should not be treated as the primary emergency stop function. Physical onboard buttons should generally remain available even when remote emergency stopping is provided.

The remote emergency stop interface must distinguish between deliberate activation, communication loss, and operator-device failure. Loss of the supervised safety link may require the robot to stop, but the required reaction depends on operational risk. In some applications, stopping immediately in the current location is safest. In others, stopping inside an intersection, doorway, railway crossing, or fire route may create another hazard. The operating concept must therefore define safe behavior for link loss separately from intentional emergency activation.

Integration with obstacle detection and protective sensors should preserve clear functional boundaries. Safety LiDARs, bumpers, safety edges, and speed monitoring may automatically initiate protective stops when a hazard is detected. Emergency stop buttons are manually activated and serve a different purpose. Both functions may ultimately disable motion, but they can have different reset rules, stopping categories, diagnostics, and operational meanings. Combining them without clear logic can make fault diagnosis and recovery difficult.

The emergency stop system should cover all hazardous actuators, not only the traction motors. A robot may include steering motors, lifting columns, conveyors, robotic arms, doors, clamps, pumps, winches, or payload mechanisms. Pressing an emergency stop should place each mechanism into a defined safe state. A lifting system may need to hold position rather than lose power, while a conveyor may require immediate torque removal. The safety concept must evaluate each energy source separately.

Stored energy remains after electrical power is removed. Capacitors, pneumatic pressure, hydraulic accumulators, springs, elevated loads, rotating masses, and compressed mechanisms can continue to create risk. Discharge circuits, dump valves, mechanical locks, brake systems, and pressure monitoring may be required. Emergency stop architecture should therefore address hazardous energy control, not merely electrical signal interruption. Safe maintenance may require additional lockout and isolation procedures beyond the emergency stop function.

Lockout and tagout serve a different purpose from emergency stopping. An emergency stop is intended for rapid intervention during operation, while lockout provides secured isolation for maintenance or repair. An emergency stop button can be reset and may not remove all stored energy. Maintenance personnel should use lockable disconnects, battery isolation, mechanical supports, and verification procedures. The system documentation must clearly prevent emergency stop activation from being mistaken for safe maintenance isolation.

Functional safety requirements should be allocated using recognized safety methods and standards appropriate to the robot application. The target may be expressed through a performance level, safety integrity level, category, or comparable risk-reduction requirement. Achieving the target depends on component reliability, architectural category, diagnostic coverage, common-cause failure control, testing interval, and systematic development quality. Merely using a safety relay does not guarantee that the complete emergency stop function meets the required integrity.

Common-cause failures can defeat redundant channels simultaneously. Water ingress, fire, mechanical damage, incorrect maintenance, shared power supply failure, software configuration error, or cable crushing may affect both channels. The design should use physical separation, environmental protection, independent routing, controlled configuration, and robust verification. Diversity may be beneficial in some architectures, such as combining electronic torque removal with a mechanically applied brake.

Response time must be evaluated from button actuation to elimination or control of the hazard. This total includes contact opening, input filtering, safety logic processing, output switching, drive response, brake engagement, mechanical deceleration, and communication delay. The robot continues moving during this period. Stopping distance therefore depends on speed, response time, braking force, surface condition, mass, and slope. Safety distances and maximum operating speeds should be established using measured worst-case values rather than ideal estimates.

Input filtering must balance noise immunity with fast response. Mechanical contacts can bounce, and long cables can collect electrical interference. Safety inputs often apply short debounce or discrepancy timers to avoid false trips. Excessive filtering, however, delays the emergency response. Timing parameters should be justified by measurement and hazard analysis. Diagnostic pulses must also be compatible with connected devices so they do not cause unintended switching or misleading voltage readings.

Environmental conditions can affect the reliability of emergency stop devices and circuits. Dust, water, salt, cleaning chemicals, vibration, impact, ultraviolet exposure, low temperature, and condensation may degrade contacts or mechanical latching. Outdoor devices require appropriate ingress protection, corrosion resistance, sealing, and temperature rating. Periodic inspection should confirm that buttons remain accessible, clearly marked, mechanically functional, and electrically monitored after long-term field use.

Human factors must be considered because the emergency stop is operated under stress. The control should be immediately recognizable and should not require complex interpretation. Labels and symbols should remain visible, but recognition should not depend solely on written language. The force and movement required for activation should be suitable for expected users. The system should provide clear confirmation through lights, sounds, displays, or remote status that the emergency stop has been accepted and motion energy has been disabled.

The robot's external indicators should distinguish emergency stop from ordinary waiting, low battery, route blockage, or protective stopping. Personnel approaching a stationary robot need to understand whether it is safe, faulted, remotely controlled, or capable of restarting. A dedicated emergency status indication can reduce confusion. The indication should remain active from a non-hazardous power domain and should not disappear simply because the main motor power has been removed.

Diagnostic information should identify which emergency stop device or channel caused the stop. A large robot or facility may contain many buttons and remote stations. Generic reporting such as "E-stop active" can delay recovery because technicians must inspect every device. The safety controller can provide device-level status to the supervisory system without allowing that system to override the safety decision. Diagnostic logs should include activation time, channel states, output response, feedback status, robot speed, and relevant faults.

Event recording supports incident investigation and continuous improvement. When an emergency stop occurs, the system should preserve recent motion commands, sensor data, safety states, network conditions, battery voltage, brake status, and operator actions where appropriate. Data retention must respect privacy and security policies. The purpose is to determine whether the event resulted from a genuine hazard, accidental activation, component failure, poor route design, unclear human interaction, or inadequate training.

Frequent emergency stop activation should not be accepted as normal operation. Repeated use may indicate unsafe workflows, poor navigation, insufficient protective sensing, inaccessible normal stop controls, or operator mistrust. Emergency stops are not substitutes for routine process control. Operational data should be reviewed to identify patterns by location, task, time, payload, or user group. Corrective actions may involve route changes, training, software improvement, infrastructure modification, or hardware redesign.

Testing must include each emergency stop device, each input channel, every safety output, feedback loop, brake, contactor, and controlled actuator. Tests should verify activation, latching, reset inhibition, restart prevention, fault detection, and response time. Single faults such as broken wires, shorted channels, welded contacts, disconnected feedback, supply loss, processor failure, and network interruption should be introduced where practical. The expected safe state must be maintained under each condition.

Stopping tests should be performed under worst-case mechanical conditions. Maximum speed, maximum payload, steepest permitted slope, low-friction surfaces, worn brakes, high battery voltage, low battery voltage, and environmental temperature can affect performance. Tests should measure total stop time, stopping distance, wheel slip, directional stability, payload movement, and brake holding capability. Results should establish safe operating limits and provide evidence that the architecture achieves its intended risk reduction.

Verification should separate safety logic testing from full-system validation. Logic verification confirms that each input and fault condition produces the specified outputs. System validation confirms that the resulting robot behavior is actually safe in the intended environment. A correct electrical circuit can still produce unsafe motion if braking is inadequate or payloads shift. Both analysis and physical testing are therefore required before the emergency stop system can be accepted.

Periodic proof testing is necessary because some failures remain hidden during normal operation. Buttons may become mechanically stuck, contacts may degrade, brakes may wear, and feedback devices may fail. Maintenance procedures should define inspection and functional test intervals based on risk, environment, duty cycle, and component reliability. Automated diagnostics can detect many faults, but they do not eliminate the need for physical operation and visual inspection of emergency stop devices.

Service procedures must prevent maintenance activity from bypassing or weakening the safety architecture. Replacement devices should match approved specifications, and wiring changes should be controlled. Temporary jumpers or software overrides used during troubleshooting can create serious risk if left in place. Access to safety configuration should be restricted, changes should be logged, and a complete validation should follow any modification to safety hardware, firmware, parameters, braking components, or robot mass.

Configuration management is especially important for fleet deployment. All robots intended to have the same emergency stop behavior should use controlled versions of safety logic, drive parameters, brake settings, wiring diagrams, and component revisions. A change in motor drive firmware or wheel size may alter stopping behavior even if the emergency circuit remains unchanged. Fleet records should identify the exact safety configuration installed on each robot and the validation evidence associated with it.

Remote monitoring systems may display emergency stop state and support incident response, but they must not become a hidden dependency of the safety function. The robot must stop safely even if the server, cloud platform, network switch, or dashboard is unavailable. Remote systems can notify personnel, preserve logs, locate the robot, and guide recovery. Their failure should affect convenience and response time, not the fundamental ability of the emergency stop system to remove hazardous motion.

Scalable architecture should support additional emergency devices without compromising clarity or diagnostic quality. Modular safety I/O, standardized connectors, defined zone interfaces, and controlled network addressing can simplify future expansion. However, adding devices changes response paths, fault possibilities, and validation scope. Expansion should therefore follow a managed engineering process rather than informal field wiring. The safety function must remain understandable to technicians throughout the robot's lifecycle.

Future emergency stop systems will increasingly combine certified safety controllers, safe drive functions, distributed safety networks, intelligent braking supervision, and real-time condition monitoring. Robots may estimate current mass, slope, tire friction, and brake health to confirm that sufficient stopping capability remains available. Such intelligence can improve diagnostics and preventive maintenance, but the fundamental emergency stop path must remain deterministic, independently verifiable, and resistant to failures in high-level artificial intelligence.

A robust emergency stop architecture is ultimately a coordinated safety system rather than a single red button. It connects human action, fault detection, safety logic, energy isolation, torque prevention, braking, feedback monitoring, status indication, reset control, maintenance, and validation. Each element must support the others under normal operation and foreseeable failure. When designed from hazard analysis and verified under realistic conditions, the emergency stop system becomes a dependable final layer of protection for autonomous mobile robots operating around people and valuable equipment.

비상 정지 시스템(Emergency Stop System)은 자율이동로봇(Autonomous Mobile Robot, AMR)이 계속 동작할 경우 허용할 수 없는 위험이 발생할 수 있을 때 로봇을 안전한 상태로 전환하기 위한 전용 안전 기능이다. 이 기능은 일반 임무 제어, 내비게이션, 인공지능(Artificial Intelligence), 플릿 소프트웨어(Fleet Software)와 독립적으로 동작해야 한다. 이러한 시스템은 사용 불능 상태가 되거나 지연되거나 손상될 수 있으며, 위험 행동의 원인이 될 수도 있기 때문이다. 따라서 시스템 구조는 명확한 안전 목표에서 시작해야 한다. 비상 정지가 작동하면 사람, 장비, 적재물, 주변 환경을 보호할 수 있도록 위험한 움직임과 에너지가 충분히 빠르게 제거되거나 제어되어야 한다.

비상 정지 기능은 일반 정지 명령과 혼동해서는 안 된다. 일반 정지는 내비게이션 소프트웨어, 작업자 인터페이스, 플릿 관리자(Fleet Manager)에 의해 생성될 수 있으며 전체 시스템의 운용을 유지하면서 제어된 감속을 수행할 수 있다. 반면 비상 정지는 긴급 상황을 위한 기능이며 검증된 안전 경로(Safety Path)에 의존해야 한다. 클라우드 연결, 상위 운영체제, 비안전 통신망, 복잡한 소프트웨어 동작에 의존해서는 안 된다. 주 컴퓨터가 중단되거나 통신이 끊어져도 항상 예측 가능한 응답을 유지해야 한다.

시스템 구조는 위험 분석(Hazard Analysis)과 위험도 평가(Risk Assessment)에서 시작된다. 엔지니어는 위험한 로봇 움직임, 저장 에너지, 이동 기구, 승강 장치, 매니퓰레이터(Manipulator), 적재물 이송 시스템, 회전 공구, 로봇이 제어하는 외부 장비를 식별해야 한다. 필요한 비상 대응은 예상 피해의 심각도, 위험 발생 속도, 사람의 노출 가능성, 회피 가능성에 따라 달라진다. 이러한 분석을 통해 필요한 정지 동작, 안전 무결성(Safety Integrity), 이중화(Redundancy), 진단 범위(Diagnostic Coverage), 허용 가능한 응답시간을 결정한다.

비상 정지 장치(Emergency Stop Device)는 로봇과 접촉할 가능성이 있는 사람이 쉽게 접근할 수 있어야 한다. 노란색 배경 위의 큰 적색 버섯형 버튼(Mushroom-Head Button)이 일반적으로 사용되는데, 긴급 상황에서도 쉽게 식별하고 조작할 수 있기 때문이다. 사람이 움직이는 위험물에 접근하기 위해 위험한 방향으로 이동하지 않도록 로봇의 여러 측면에 버튼을 설치할 수 있다. 추가 비상 정지 장치는 충전 스테이션, 작업자 패널, 작업 셀, 적재 구역, 원격 제어 스테이션, 로봇 이동 경로 주변의 고정 인프라에 배치할 수 있다.

버튼 배치는 로봇 크기, 운행 방향, 적재 구성, 예상되는 사람의 위치를 고려해야 한다. 적재물 뒤에 가려지거나 지나치게 낮게 배치된 버튼은 접근하기 어려울 수 있다. 실외 로봇에서는 비, 먼지, 결빙, 진동, 우발적 충격을 견디면서도 쉽게 사용할 수 있는 보호 구조가 필요하다. 조명이 어두운 환경에서도 식별 가능해야 하며 일반 조작 장치와 혼동되지 않아야 한다. 기계식 가드(Guard)는 오작동을 방지할 수 있지만 긴급 작동을 지연시켜서는 안 된다.

비상 정지 장치는 일반적으로 직접 개방식 상시폐쇄 접점(Direct-Opening Normally Closed Contact)을 사용한다. 정상 상태에서는 안전 루프를 통해 전류가 흐른다. 버튼을 누르면 기계적으로 접점이 강제로 열리면서 회로가 차단된다. 상시폐쇄 구조는 배선 단선, 커넥터 분리, 전원 상실도 정지 조건으로 감지할 수 있기 때문에 고장 안전(Fail-Safe) 동작을 지원한다. 직접 개방 접점 구조는 용착되거나 걸린 접점도 버튼 작동 시 물리적으로 분리될 가능성을 높인다.

단일 접점 채널은 기본적인 차단 기능을 제공하지만 위험도가 높은 응용에서는 일반적으로 이중 채널 구조(Dual-Channel Architecture)가 필요하다. 두 개의 독립적인 접점 경로는 각각 별도의 안전 입력으로 연결되며 두 신호의 일치 여부가 감시된다. 한 채널만 열리고 다른 채널은 닫힌 상태를 유지하면 안전 제어기(Safety Controller)는 불일치를 감지하고 자동 재시작을 방지한다. 이중 채널 설계는 하나의 배선 고장, 접점 용착, 단락, 부품 고장으로 비상 정지 기능 전체가 무력화될 가능성을 줄인다.

두 채널은 공통 원인 고장(Common-Cause Failure)을 피할 수 있도록 충분히 분리되어야 한다. 서로 다른 단자, 독립 도체, 별도 커넥터 핀, 감시용 테스트 펄스(Test Pulse)를 사용할 수 있다. 단락 감지 없이 두 채널을 동일하게 손상된 케이블 안에 배치하면 잘못된 정상 상태가 만들어질 수 있다. 따라서 안전 입력 모듈은 제어된 신호를 주입하고 타이밍, 연속성, 채널 간 단락을 감시한다. 목적은 단순히 버튼이 눌렸는지를 확인하는 것이 아니라 전체 신호 경로가 안전 기능을 수행할 능력을 유지하는지를 검증하는 것이다.

비상 정지 입력은 일반적으로 안전 릴레이(Safety Relay) 또는 안전 프로그래머블 논리 제어기(Safety Programmable Logic Controller, Safety PLC)가 평가한다. 안전 릴레이는 소규모 시스템에서 비교적 단순하고 결정론적인 해결책을 제공한다. 안전 PLC 또는 안전 제어기는 다수의 장치, 구성 가능한 논리, 진단, 네트워크 기반 안전, 연계 안전 기능을 지원한다. 구현 방식과 관계없이 제어기는 요구되는 안전 무결성 수준에 적합하도록 인증되거나 설계되어야 하며 일반 모션 제어기와 독립적으로 동작해야 한다.

안전 제어기는 입력 채널, 내부 논리, 출력 드라이버, 피드백 접점, 전원 전압을 지속적으로 감시한다. 두 비상 정지 채널이 허용된 시간 내에 상태를 변경하는지, 출력 장치가 실제로 위험 에너지 경로를 차단했는지를 확인한다. 내부 자가진단(Self-Test)은 프로세서, 메모리, 타이밍, 통신 고장을 탐지한다. 고장이 검출되면 제어기는 안전 상태로 전환하고 문제가 해결되고 확인될 때까지 재시작을 금지해야 한다.

출력 구조(Output Architecture)는 위험 에너지를 어떻게 제거할지를 결정한다. 안전 제어기는 모터 컨택터를 차단하고, 드라이브 토크를 비활성화하고, 안전 토크 차단(Safe Torque Off, STO) 입력을 작동시키며, 기계식 브레이크를 체결하거나, 액추에이터 전원을 분리하거나, 최종 토크 제거 전에 제어된 감속을 명령할 수 있다. 적절한 방식은 로봇 질량, 속도, 경사, 적재물, 구동계 특성, 정지 위험에 따라 달라진다. 모든 전원을 단순히 차단하는 것은 로봇이 관성 주행을 하거나, 경사로에서 굴러가거나, 매달린 하중을 떨어뜨리거나, 조향 제어를 잃을 수 있기 때문에 항상 안전하지는 않다.

안전 토크 차단은 최신 모터 드라이브에서 널리 사용된다. 이 기능이 작동하면 주 제어 소프트웨어가 이동 명령을 보내더라도 드라이브가 토크를 생성하는 전류를 공급하지 못하게 한다. 안전 토크 차단은 추가 가속을 막고 의도하지 않은 재시작을 방지하지만 능동적으로 로봇을 감속시키지는 않는다. 로봇은 관성이나 중력 때문에 계속 이동할 수 있다. 따라서 STO는 로봇의 운용 환경에 적합한 제동 기능, 기계식 브레이크, 제어 정지 절차와 함께 사용하는 경우가 많다.

일부 응용에서는 로봇이 감시된 제어 하에서 먼저 감속한 후 토크를 제거하는 제어형 비상 정지(Controlled Emergency Stop)가 필요하다. 이 방식은 정지 거리를 줄이고, 적재물 불안정을 방지하며, 감속 중 조향 기능을 유지할 수 있다. 그러나 초기 단계에서는 정상적인 드라이브 제어 기능에 의존한다. 시스템은 제어 제동이 성공했는지 감시하고 예상 감속이 이루어지지 않으면 토크 제거 또는 기계식 제동으로 전환해야 한다. 따라서 시간과 속도 감시가 필수적이다.

기계식 브레이크(Mechanical Brake)는 로봇이 정지한 이후 위치를 유지하는 독립적인 수단을 제공한다. 스프링 작동식 전기 해제 브레이크(Spring-Applied, Electrically Released Brake)는 전원이 상실되면 자동으로 체결되기 때문에 일반적으로 사용된다. 브레이크는 최대 차량 질량, 경사, 적재물, 마모 상태를 고려하여 용량을 선정해야 한다. 체결 시점은 모터 토크 제거와 조율하여 과도한 충격, 바퀴 잠김, 구동계 손상을 방지해야 한다. 브레이크 상태 센서는 실제 체결 여부를 확인할 수 있다.

중량이 큰 로봇에서는 바퀴를 급격히 잠그는 것이 미끄러짐, 적재물 이동, 방향 안정성 상실과 같은 2차 위험을 만들 수 있다. 따라서 비상 정지 전략은 가장 빠른 토크 제거가 항상 가장 안전하다는 가정이 아니라 검증된 정지 동작을 기반으로 해야 한다. 제동력 분배, 타이어와 노면의 마찰, 무게중심, 서스펜션 반응, 적재물 고정을 고려해야 한다. 실내 저속 운전과 실외 고속 운전에는 서로 다른 전략이 필요할 수 있다.

주 배터리 컨택터(Main Battery Contactor)를 비상 정지 체인에 포함할 수 있지만 개방 동작은 신중하게 분석해야 한다. 배터리를 분리하면 여러 시스템의 에너지를 제거할 수 있지만 동시에 제어 제동, 조향, 통신, 조명, 진단 기능도 비활성화될 수 있다. 큰 전류를 차단할 때 접점 아크가 발생할 수 있으며 배터리를 갑자기 분리하면 회생 에너지 때문에 버스 전압이 상승할 수 있다. 따라서 많은 시스템은 즉각적인 움직임 방지를 위해 드라이브 수준의 STO를 사용하고, 주 컨택터 개방은 이후 단계 또는 상위 수준의 절연 단계에 사용한다.

에너지 절연(Energy Isolation)은 위험 부하와 비위험 부하를 구분해야 한다. 비상 정지 이후에도 안전 제어기, 경고등, 통신 장치, 이벤트 기록기, 저전력 센서를 계속 동작시키는 것이 바람직할 수 있다. 이러한 기능은 로봇이 정지했음을 표시하고, 원인을 보고하며, 진단 데이터를 보존하고, 복구를 지원한다. 안전 전원과 제어 전원을 분리하면 위험한 액추에이터 에너지를 제거하면서도 로봇 상태를 계속 관찰할 수 있다.

비상 정지 회로는 신뢰성 높은 안전 전원(Safety Supply)으로 구동해야 한다. 안전 경로의 전압 레귤레이터, 퓨즈, 배선, 커넥터는 환경적·전기적 스트레스를 견디도록 선정해야 한다. 전원 상실은 출력이 계속 활성화되는 상태가 아니라 안전 상태를 만들어야 한다. 불안정한 저전압은 반복적인 스위칭이나 불완전한 동작을 유발할 수 있으므로 브라운아웃(Brownout) 동작도 시험해야 한다. 제어 종료를 완료하고 중요 정보를 기록할 수 있도록 안전 제어기에 제한된 시간 동안 전원을 유지하는 에너지 저장 장치를 사용할 수 있다.

리셋 동작(Reset Behavior)은 시스템 구조의 핵심이다. 비상 정지 버튼을 해제한다고 해서 로봇이 자동으로 재시작되어서는 안 된다. 버튼은 일반적으로 기계적으로 걸려 있으며 비틀거나 당기거나 잠금을 해제하는 명시적인 조작이 필요하다. 모든 비상 정지 장치가 정상 상태로 복원된 뒤에는 별도의 리셋 동작이 요구되어야 한다. 리셋은 책임 있는 사람이 상황을 확인하고 안전 시스템 재활성화를 의도한다는 의미이다. 실제 움직임은 추가적인 일반 시작 명령 또는 임무 명령이 내려진 뒤에만 허용되어야 한다.

리셋 조작 장치는 작업자가 위험 영역이 비어 있음을 확인할 수 있는 위치에 배치해야 한다. 시야가 확보되지 않은 상태에서 원격으로 리셋하면 누군가 복구 작업을 수행하는 중에 로봇이 다시 활성화될 수 있다. 분산형 현장에서는 현장 확인이나 영상 확인이 필요할 수 있다. 비상 정지 채널, 컨택터 피드백, 브레이크 상태, 안전 센서, 내부 진단 중 하나라도 비안전 또는 불일치 상태이면 안전 제어기는 리셋을 거부해야 한다.

재시작 인터록(Restart Interlock)은 전원 복구나 통신 복구 후 예기치 않은 움직임을 방지한다. 이동 명령이 활성화된 상태에서 로봇 전원이 꺼진 경우 전원이 다시 들어왔다고 해서 자동으로 움직임을 재개해서는 안 된다. 마찬가지로 비상 정지 상태가 해제되었다는 이유만으로 플릿 관리자가 임무를 다시 시작해서는 안 된다. 시스템은 안전 리셋, 준비 상태 확인, 브레이크 해제, 위치추정 확인, 명시적인 운영 승인 순서를 거친 뒤에만 이동을 허용해야 한다.

피드백 감시(Feedback Monitoring)는 출력 장치가 명령대로 동작했는지 검증한다. 안전 컨택터에는 실제 기계 상태를 보고하는 미러 접점(Mirror Contact) 또는 보조 접점이 포함될 수 있다. 안전 제어기는 출력 명령과 피드백 상태를 비교한다. 접점이 용착된 경우 리셋을 금지한다. 드라이브의 STO 채널도 상태 피드백을 제공할 수 있다. 단순히 정지 명령을 내리는 것만으로는 충분하지 않으며 에너지 절연 장치가 실제로 동작했는지 확인해야 한다.

단일 컨택터 고장으로 위험 전원이 유지될 수 있는 경우 이중 컨택터(Redundant Contactor)를 사용할 수 있다. 두 컨택터는 직렬로 연결되어 어느 하나만 열려도 에너지 경로를 차단할 수 있도록 한다. 각각의 피드백 접점은 별도로 감시된다. 그러나 오배선, 과전압, 오염, 과도한 고장 전류와 같은 공통 원인 고장도 고려해야 한다. 이중화는 독립성과 진단 기능이 제대로 구현될 때에만 고장 허용성을 높인다.

비상 정지 장치가 대형 로봇, 트레일러, 매니퓰레이터, 충전 스테이션, 시설 전체에 분산된 경우 안전 통신(Safety Communication)을 사용할 수 있다. 인증된 안전 프로토콜은 순서 카운터, 시간 감시, 송신자 식별, 순환 중복 검사(Cyclic Redundancy Check), 데이터 반복 등의 방법으로 안전 상태를 전송한다. 안전 통신은 배선 복잡성을 줄일 수 있지만 지연시간, 통신 손실, 전원 중단, 장치 교체를 고려해야 한다. 일반 Ethernet 또는 CAN 메시지는 적절한 안전 프로토콜로 보호되지 않는 한 충분하지 않다.

무선 비상 정지(Wireless Emergency Stop)는 특별한 주의가 필요하다. 무선 링크는 간섭, 지연, 혼잡, 음영, 배터리 고장을 겪을 수 있다. 무선 비상 정지는 지속적인 링크 감시와 통신 손실 시 명확한 안전 대응을 제공하는 안전 등급 시스템을 사용해야 한다. 스마트폰 애플리케이션이나 일반 원격 제어 메시지를 주 비상 정지 기능으로 간주해서는 안 된다. 원격 정지 기능이 제공되더라도 로봇 본체의 물리적 버튼은 일반적으로 유지되어야 한다.

원격 비상 정지 인터페이스는 의도적인 작동, 통신 손실, 작업자 장치 고장을 구분해야 한다. 감시되는 안전 링크가 끊어지면 로봇을 정지시켜야 할 수 있지만 필요한 반응은 운용 위험에 따라 달라진다. 일부 환경에서는 현재 위치에서 즉시 정지하는 것이 가장 안전하다. 반면 교차로, 출입문, 철도 건널목, 소방 통로 한가운데에서 정지하면 새로운 위험을 만들 수 있다. 따라서 통신 손실에 대한 안전 동작은 의도적인 비상 작동과 별도로 정의해야 한다.

장애물 감지 및 보호 센서와의 통합은 명확한 기능 경계를 유지해야 한다. 안전 라이다, 범퍼, 안전 에지(Safety Edge), 속도 감시는 위험을 감지하면 자동으로 보호 정지(Protective Stop)를 시작할 수 있다. 비상 정지 버튼은 사람이 수동으로 작동시키며 다른 목적을 가진다. 두 기능 모두 최종적으로 움직임을 차단할 수 있지만 리셋 규칙, 정지 범주, 진단, 운영 의미가 다를 수 있다. 이를 명확한 논리 없이 결합하면 고장 진단과 복구가 어려워진다.

비상 정지 시스템은 구동 모터뿐 아니라 모든 위험 액추에이터를 포함해야 한다. 로봇에는 조향 모터, 리프팅 컬럼, 컨베이어, 로봇 팔, 도어, 클램프, 펌프, 윈치, 적재 기구가 포함될 수 있다. 비상 정지 버튼이 눌리면 각 장치는 정의된 안전 상태로 전환되어야 한다. 승강 시스템은 전원을 잃는 것보다 위치를 유지해야 할 수 있으며, 컨베이어는 즉시 토크를 제거해야 할 수 있다. 안전 개념은 각각의 에너지원과 기구를 별도로 평가해야 한다.

전기 전원을 제거한 뒤에도 저장 에너지(Stored Energy)는 남아 있을 수 있다. 커패시터, 공압 압력, 유압 축압기, 스프링, 상승된 하중, 회전 질량, 압축 기구는 계속 위험을 만들 수 있다. 방전 회로, 덤프 밸브, 기계식 잠금, 브레이크 시스템, 압력 감시가 필요할 수 있다. 따라서 비상 정지 구조는 단순한 전기 신호 차단이 아니라 모든 위험 에너지를 제어해야 한다. 안전한 유지보수를 위해서는 비상 정지 이외에 별도의 잠금 및 절연 절차가 필요하다.

잠금표시 절차(Lockout and Tagout)는 비상 정지와 목적이 다르다. 비상 정지는 운전 중 신속한 개입을 위한 것이고, 잠금 절차는 유지보수나 수리를 위한 확실한 에너지 절연을 제공한다. 비상 정지 버튼은 다시 해제할 수 있으며 모든 저장 에너지를 제거하지 않을 수도 있다. 유지보수 담당자는 잠금 가능한 차단기, 배터리 절연, 기계식 지지대, 검증 절차를 사용해야 한다. 문서에서는 비상 정지 작동이 안전한 유지보수 절연으로 오인되지 않도록 명확히 설명해야 한다.

기능 안전 요구사항(Functional Safety Requirement)은 로봇 응용에 적합한 공인 안전 방법과 표준을 사용하여 할당해야 한다. 목표는 성능 수준(Performance Level), 안전 무결성 수준(Safety Integrity Level), 카테고리(Category), 또는 유사한 위험 저감 요구사항으로 표현될 수 있다. 목표 달성은 부품 신뢰성, 구조적 카테고리, 진단 범위, 공통 원인 고장 제어, 시험 주기, 체계적 개발 품질에 따라 결정된다. 안전 릴레이를 사용했다고 해서 전체 비상 정지 기능이 필요한 무결성을 자동으로 만족하는 것은 아니다.

공통 원인 고장은 이중 채널을 동시에 무력화할 수 있다. 침수, 화재, 기계 손상, 잘못된 정비, 공용 전원 고장, 소프트웨어 구성 오류, 케이블 압착이 두 채널 모두에 영향을 줄 수 있다. 설계에서는 물리적 분리, 환경 보호, 독립 배선, 통제된 구성 관리, 강건한 검증을 적용해야 한다. 일부 구조에서는 전자식 토크 차단과 기계식 브레이크를 조합하는 것처럼 서로 다른 원리의 다중화(Diversity)가 유리할 수 있다.

응답시간(Response Time)은 버튼 작동부터 위험이 제거되거나 제어될 때까지 전체 시간을 평가해야 한다. 여기에는 접점 개방, 입력 필터링, 안전 논리 처리, 출력 스위칭, 드라이브 응답, 브레이크 체결, 기계적 감속, 통신 지연이 포함된다. 이 시간 동안 로봇은 계속 이동한다. 따라서 정지 거리는 속도, 응답시간, 제동력, 노면 상태, 질량, 경사에 따라 결정된다. 안전 거리와 최대 운행 속도는 이상적인 계산이 아니라 측정된 최악 조건을 기준으로 설정해야 한다.

입력 필터링(Input Filtering)은 노이즈 내성과 빠른 응답 사이의 균형이 필요하다. 기계식 접점은 바운스(Bounce)를 발생시킬 수 있고 긴 케이블은 전기적 간섭을 수집할 수 있다. 안전 입력은 오작동을 줄이기 위해 짧은 디바운스(Debounce) 또는 채널 불일치 타이머를 적용할 수 있다. 그러나 지나친 필터링은 비상 응답을 지연시킨다. 타이밍 파라미터는 측정과 위험 분석을 통해 정당화해야 한다. 진단 펄스도 연결된 장치와 호환되어야 하며 의도하지 않은 스위칭이나 잘못된 전압 측정을 유발해서는 안 된다.

환경 조건은 비상 정지 장치와 회로의 신뢰성에 영향을 준다. 먼지, 물, 염분, 세척 화학물질, 진동, 충격, 자외선, 저온, 결로는 접점과 기계식 래칭 구조를 열화시킬 수 있다. 실외 장치는 적절한 방진·방수 등급, 내식성, 밀봉, 온도 정격을 가져야 한다. 정기 점검을 통해 장기간 사용 후에도 버튼이 쉽게 접근 가능하고, 명확히 표시되며, 기계적으로 작동하고, 전기적으로 감시되는지를 확인해야 한다.

비상 정지는 스트레스 상황에서 사람이 조작하므로 인간공학(Human Factors)을 고려해야 한다. 조작 장치는 즉시 식별 가능해야 하며 복잡한 해석을 요구해서는 안 된다. 라벨과 기호는 항상 잘 보여야 하지만 식별이 문자 언어에만 의존해서는 안 된다. 작동에 필요한 힘과 이동량은 예상 사용자에게 적합해야 한다. 시스템은 조명, 음향, 디스플레이, 원격 상태 정보를 통해 비상 정지 명령이 수락되고 움직임 에너지가 차단되었음을 명확히 알려야 한다.

로봇의 외부 표시 장치는 비상 정지 상태를 일반 대기, 저배터리, 경로 차단, 보호 정지와 구분해야 한다. 정지된 로봇에 접근하는 사람은 해당 로봇이 안전한지, 고장 상태인지, 원격 제어 중인지, 재시작 가능성이 있는지를 이해해야 한다. 전용 비상 상태 표시 기능은 혼란을 줄일 수 있다. 이 표시는 비위험 전원 도메인에서 계속 유지되어야 하며 주 모터 전원이 차단되었다고 해서 사라져서는 안 된다.

진단 정보는 어떤 비상 정지 장치 또는 채널이 정지를 발생시켰는지 식별해야 한다. 대형 로봇이나 시설에는 많은 버튼과 원격 스테이션이 있을 수 있다. 단순히 "비상 정지 활성"만 표시하면 기술자가 모든 장치를 확인해야 하므로 복구가 지연된다. 안전 제어기는 상위 시스템이 안전 판단을 무시하지 못하도록 하면서도 장치 수준의 상태 정보를 제공할 수 있다. 진단 로그에는 작동 시간, 채널 상태, 출력 응답, 피드백 상태, 로봇 속도, 관련 고장을 포함해야 한다.

이벤트 기록(Event Recording)은 사고 조사와 지속적 개선을 지원한다. 비상 정지가 발생하면 최근 이동 명령, 센서 데이터, 안전 상태, 네트워크 조건, 배터리 전압, 브레이크 상태, 필요한 경우 작업자 행동을 보존해야 한다. 데이터 보관은 개인정보 보호와 보안 정책을 준수해야 한다. 기록의 목적은 해당 이벤트가 실제 위험, 우발적 작동, 부품 고장, 부적절한 경로 설계, 불명확한 사람-로봇 상호작용, 교육 부족 중 무엇에서 발생했는지 확인하는 것이다.

비상 정지가 자주 사용되는 상황을 정상 운전으로 받아들여서는 안 된다. 반복적인 비상 정지 작동은 위험한 작업 흐름, 부적절한 내비게이션, 부족한 보호 센싱, 접근하기 어려운 일반 정지 장치, 작업자의 불신을 나타낼 수 있다. 비상 정지는 일상 공정 제어를 대체하는 수단이 아니다. 위치, 작업, 시간, 적재물, 사용자 그룹별 패턴을 분석해야 한다. 개선 조치는 경로 변경, 교육, 소프트웨어 개선, 인프라 수정, 하드웨어 재설계를 포함할 수 있다.

시험(Testing)은 각 비상 정지 장치, 각 입력 채널, 모든 안전 출력, 피드백 루프, 브레이크, 컨택터, 제어 대상 액추에이터를 포함해야 한다. 작동, 래칭, 리셋 금지, 재시작 방지, 고장 감지, 응답시간을 검증해야 한다. 단선, 채널 단락, 접점 용착, 피드백 단절, 전원 상실, 프로세서 고장, 네트워크 중단과 같은 단일 고장을 가능한 범위에서 의도적으로 주입해야 한다. 각 조건에서도 예상 안전 상태가 유지되어야 한다.

정지 시험은 최악의 기계적 조건에서 수행해야 한다. 최대 속도, 최대 적재, 허용 최대 경사, 저마찰 노면, 마모된 브레이크, 높은 배터리 전압, 낮은 배터리 전압, 환경 온도가 모두 성능에 영향을 줄 수 있다. 시험에서는 전체 정지시간, 정지거리, 바퀴 미끄러짐, 방향 안정성, 적재물 이동, 브레이크 유지 능력을 측정해야 한다. 결과는 안전 운전 한계를 설정하고 시스템 구조가 의도한 위험 저감을 달성했음을 입증해야 한다.

검증(Verification)은 안전 논리 시험과 전체 시스템 유효성 확인(System Validation)을 구분해야 한다. 논리 검증은 각 입력과 고장 조건이 지정된 출력을 만드는지를 확인한다. 시스템 유효성 확인은 그 출력에 따른 실제 로봇 동작이 목표 환경에서 안전한지를 확인한다. 전기 회로가 정확하더라도 제동력이 부족하거나 적재물이 이동하면 안전하지 않을 수 있다. 따라서 비상 정지 시스템을 승인하기 전에 분석과 실물 시험을 모두 수행해야 한다.

정기적인 증명 시험(Proof Test)이 필요한 이유는 일부 고장이 정상 운전 중에는 드러나지 않기 때문이다. 버튼이 기계적으로 고착되고, 접점이 열화되며, 브레이크가 마모되고, 피드백 장치가 고장날 수 있다. 유지보수 절차는 위험도, 환경, 사용 빈도, 부품 신뢰성을 기준으로 점검 및 기능 시험 주기를 정의해야 한다. 자동 진단은 많은 고장을 발견할 수 있지만 비상 정지 장치의 실제 작동과 육안 점검을 완전히 대체할 수는 없다.

정비 절차(Service Procedure)는 유지보수 작업이 안전 시스템 구조를 우회하거나 약화시키지 않도록 해야 한다. 교체 장치는 승인된 규격과 일치해야 하며 배선 변경은 통제되어야 한다. 문제 해결 중 사용하는 임시 점퍼나 소프트웨어 우회 기능이 남아 있으면 심각한 위험을 만들 수 있다. 안전 설정 접근은 제한되어야 하고, 변경사항은 기록되어야 하며, 안전 하드웨어, 펌웨어, 파라미터, 제동 장치, 로봇 질량이 변경된 후에는 전체 검증을 다시 수행해야 한다.

플릿 배포에서는 구성 관리(Configuration Management)가 특히 중요하다. 동일한 비상 정지 동작을 가져야 하는 모든 로봇은 통제된 버전의 안전 논리, 드라이브 파라미터, 브레이크 설정, 배선도, 부품 개정 번호를 사용해야 한다. 모터 드라이브 펌웨어나 바퀴 크기의 변경은 비상 정지 회로가 그대로여도 정지 동작을 바꿀 수 있다. 플릿 기록에는 각 로봇에 설치된 정확한 안전 구성과 관련 검증 증거를 식별할 수 있어야 한다.

원격 모니터링 시스템은 비상 정지 상태를 표시하고 사고 대응을 지원할 수 있지만 안전 기능의 숨은 의존성이 되어서는 안 된다. 서버, 클라우드 플랫폼, 네트워크 스위치, 대시보드가 사용 불가능해도 로봇은 안전하게 정지해야 한다. 원격 시스템은 작업자에게 알림을 보내고, 로그를 보존하며, 로봇 위치를 알려주고, 복구를 안내할 수 있다. 이러한 시스템의 고장은 편의성과 대응시간에는 영향을 줄 수 있지만 비상 정지 기능 자체를 무력화해서는 안 된다.

확장 가능한 구조(Scalable Architecture)는 명확성과 진단 품질을 저하시키지 않으면서 추가 비상 장치를 지원해야 한다. 모듈형 안전 입출력, 표준화된 커넥터, 정의된 구역 인터페이스, 통제된 네트워크 주소는 향후 확장을 단순화한다. 그러나 장치 추가는 응답 경로, 고장 가능성, 검증 범위를 변경한다. 따라서 임시 현장 배선이 아니라 관리되는 엔지니어링 절차를 따라야 한다. 로봇의 전체 수명 동안 기술자가 안전 기능을 이해할 수 있어야 한다.

미래의 비상 정지 시스템은 인증된 안전 제어기, 안전 드라이브 기능, 분산 안전 네트워크, 지능형 제동 감시, 실시간 상태 모니터링을 더욱 긴밀하게 결합하게 될 것이다. 로봇은 현재 질량, 경사, 타이어 마찰, 브레이크 상태를 추정하여 충분한 정지 능력이 유지되는지를 확인할 수 있다. 이러한 지능은 진단과 예방 정비를 개선할 수 있지만 핵심 비상 정지 경로는 항상 결정론적이고, 독립적으로 검증 가능하며, 상위 인공지능의 고장에 강해야 한다.

강건한 비상 정지 구조는 궁극적으로 하나의 적색 버튼이 아니라 통합된 안전 시스템이다. 이 시스템은 사람의 조작, 고장 감지, 안전 논리, 에너지 절연, 토크 방지, 제동, 피드백 감시, 상태 표시, 리셋 제어, 유지보수, 검증을 연결한다. 각 요소는 정상 운전과 예측 가능한 고장 상황에서 서로를 지원해야 한다. 위험 분석을 기반으로 설계하고 실제 조건에서 검증할 때 비상 정지 시스템은 사람과 고가 장비 주변에서 운용되는 자율이동로봇의 신뢰할 수 있는 최종 보호 계층이 된다.

12.02 Safety Relay Design

안전 릴레이 설계(Safety Relay Design)는 자율이동로봇(Autonomous Mobile Robot, AMR)의 안전 구조에서 핵심적인 부분이다. 안전 릴레이는 비상 장치, 보호 센서, 안전 논리, 그리고 위험 에너지의 최종 제거 사이에 검증 가능한 경로를 형성하기 때문이다. 일반 제어 릴레이와 달리 안전 릴레이는 고장을 감지하고, 이중 채널을 감시하며, 예기치 않은 재시작을 방지하고, 출력 장치가 실제로 명령된 상태에 도달했는지를 확인하도록 설계된다. 그 목적은 단순히 전원을 스위칭하는 것이 아니라 예측 가능한 단일 고장이 발생하더라도 로봇이 안전 상태로 진입하고 그 상태를 유지할 수 있도록 보장하는 것이다.

설계 과정은 안전 기능(Safety Function)을 명확하게 정의하는 것에서 시작된다. 엔지니어는 릴레이가 어떤 위험을 제어해야 하는지, 어떤 입력이 안전 기능을 시작하는지, 어떤 출력을 비활성화해야 하는지, 어느 정도의 응답시간이 필요한지, 재시작 전에 어떤 조건이 충족되어야 하는지를 결정해야 한다. 안전 릴레이는 비상 정지 버튼, 안전 범퍼, 보호 도어, 안전 라이다(Safety LiDAR) 구역, 인터록(Interlock), 브레이크 피드백, 드라이브 활성화 회로를 감시할 수 있다. 각각의 기능에는 정의된 안전 상태, 응답시간, 리셋 동작, 진단 요구사항이 있어야 한다.

안전 릴레이는 이중화된 내부 소자, 강제 유도 접점(Forced-Guided Contact), 자가 감시 회로, 고장 감지 논리를 사용한다는 점에서 일반 산업용 릴레이와 다르다. 일반 릴레이는 정상 운전 중에는 부하를 신뢰성 있게 스위칭할 수 있지만 접점 용착이나 스프링 파손과 같은 고장이 감지되지 않은 상태로 남을 수 있다. 안전 릴레이는 내부 접점 상태를 감시할 수 있고 서로 일치하지 않는 조건에서는 리셋을 허용하지 않도록 설계된다. 이러한 특성 때문에 숨은 고장이 위험한 움직임을 지속시킬 수 있는 응용에 적합하다.

위험 분석(Hazard Analysis)은 릴레이 시스템에 필요한 신뢰성과 구조를 결정한다. 로봇의 속도, 질량, 적재물, 제동 거리, 운용 환경, 사람의 노출 가능성, 액추에이터 에너지는 모두 필요한 위험 저감 수준에 영향을 준다. 제한된 구역에서 운용되는 저속 실내 플랫폼은 보행자 근처를 주행하는 중량급 실외 로봇보다 단순한 안전 기능으로 충분할 수 있다. 선택된 릴레이, 배선 구조, 컨택터, 피드백 감시, 증명 시험 주기(Proof-Test Interval)는 함께 목표 안전 성능을 만족해야 한다.

이중 채널 입력 구조(Dual-Channel Input Architecture)는 안전 릴레이 설계에서 널리 사용된다. 비상 정지 버튼이나 안전 장치는 두 개의 독립적인 상시폐쇄 접점 경로를 제공하며 각각 별도의 릴레이 입력으로 연결된다. 정상 운전 중에는 두 채널이 모두 닫혀 있다. 장치가 작동하면 두 채널이 열리면서 릴레이의 안전 출력이 비활성화된다. 한 채널만 상태가 바뀌고 다른 채널은 그대로이면 릴레이는 불일치를 감지하고 재시작을 차단한다. 이러한 구성은 하나의 접점 또는 배선 고장이 전체 안전 기능을 무력화할 가능성을 줄인다.

두 입력 채널은 공통 원인 고장(Common-Cause Failure)을 최소화하도록 배선하고 연결해야 한다. 별도의 도체, 커넥터 핀, 단자, 통제된 케이블 경로를 사용할 수 있다. 두 채널이 서로 단락되거나 동일한 위치에서 손상되면 장치가 독립적인 차단 기능을 잃었는데도 정상으로 보일 수 있다. 안전 릴레이는 종종 펄스 시험(Pulse Testing)이나 채널 타이밍 분석을 사용하여 채널 간 단락을 감지한다. 외부 배선은 이러한 진단 기능을 우회하지 않고 제대로 지원해야 한다.

상시폐쇄 접점(Normally Closed Contact)은 연속성이 끊어지면 정지 조건이 되기 때문에 일반적으로 사용된다. 배선 단선, 단자 분리, 전원 공급 고장은 모두 안전 릴레이를 비활성화시킨다. 이러한 고장 안전(Fail-Safe) 원칙은 진동, 반복적인 케이블 움직임, 충격, 먼지, 습기에 노출되는 이동형 로봇에서 필수적이다. 그러나 상시폐쇄 배선만으로는 충분하지 않다. 릴레이는 채널 간 단락, 전원과의 단락, 접점 용착, 잘못된 리셋 배선, 하위 스위칭 장치의 고장도 감지해야 한다.

입력 타이밍(Input Timing)은 안전 릴레이가 두 채널의 상태 변화를 비교하기 때문에 중요하다. 기계식 접점은 정확히 같은 순간에 열리지 않는 경우가 많다. 따라서 짧은 불일치 허용 시간이 설정되지만, 한 채널이 설정된 한계 이상 닫힌 상태로 남으면 릴레이는 고장으로 판단한다. 타이밍 값은 정상적인 접점 특성을 수용할 만큼 충분히 길어야 하지만 위험한 고장을 빠르게 감지할 만큼 짧아야 한다. 지나치게 긴 불일치 허용 시간은 진단 효과를 떨어뜨리고 부분 작동의 인지를 늦출 수 있다.

접점 바운스(Contact Bounce)는 기계식 버튼이나 스위치가 상태를 바꿀 때 반복적인 전이를 발생시킬 수 있다. 안전 릴레이는 바운스로 인해 출력이 불안정해지는 것을 방지하기 위한 입력 필터링(Input Filtering)을 포함한다. 그러나 필터 시간이 지나치게 길면 전체 비상 응답시간이 증가하므로 신중하게 설정해야 한다. 로봇의 최종 정지 거리는 버튼 작동, 입력 필터링, 릴레이 처리, 출력 스위칭, 드라이브 응답, 브레이크 체결, 기계적 감속을 모두 포함한다. 따라서 릴레이 지연시간도 전체 안전 계산에 포함되어야 한다.

수동 리셋(Manual Reset)은 안전 릴레이가 작동한 뒤 일반적으로 요구된다. 비상 정지 장치를 해제하면 입력 채널은 정상 상태로 복귀하지만, 별도의 리셋 동작이 완료되기 전까지 릴레이 출력은 비활성화 상태를 유지해야 한다. 이는 버튼이 해제되거나 보호 구역이 비워졌을 때 로봇이 예기치 않게 재시작하는 것을 방지한다. 리셋은 안전 기능을 다시 활성화하려는 명시적인 사람의 의도를 확인하는 과정이다. 실제 로봇의 움직임은 안전 출력 복구 후에도 별도의 일반 시작 또는 임무 명령이 있어야만 허용되어야 한다.

리셋 회로는 리셋 버튼이 계속 눌려 있거나 우회되더라도 자동 재시작이 발생하지 않도록 설계해야 한다. 많은 안전 릴레이는 지속적으로 활성화된 입력을 받아들이는 대신 리셋 신호의 상승 에지(Rising Edge)나 상태 전이를 감지한다. 이러한 감시형 수동 리셋(Monitored Manual Reset)은 다시 리셋하기 전에 버튼이 반드시 해제되도록 한다. 리셋 버튼은 작업자가 위험 구역을 확인할 수 있는 위치에 배치해야 한다. 시야 확인이 필요한 경우 원격 인터페이스의 리셋 명령이 현장 확인을 대체해서는 안 된다.

자동 리셋(Automatic Reset)은 일부 보호 기능에서 허용될 수 있지만 신중한 위험 평가가 필요하다. 예를 들어 위험도가 낮은 점검 패널이나 일시적인 보호 필드는 조건이 해제되면 자동 복원이 가능할 수 있다. 단, 로봇의 실제 움직임은 별도의 명령을 요구해야 하고 사람이 위험 구역에 남아 있을 수 없어야 한다. 비상 정지 기능은 일반적으로 자동 재활성화가 예기치 않은 움직임을 만들 수 있기 때문에 수동 리셋을 사용한다. 리셋 전략은 각 안전 입력의 의미와 위험도에 맞아야 한다.

안전 릴레이 출력은 일반적으로 이중화된 강제 유도 접점(Forced-Guided Contact)을 사용한다. 강제 유도 구조는 하나의 접점이 용착되더라도 상시개방 접점과 상시폐쇄 접점이 동시에 닫힌 상태로 남지 않도록 한다. 이러한 기계적 연동 관계는 피드백 회로를 통해 릴레이 고장을 감지할 수 있게 한다. 두 개 이상의 출력 경로는 독립 컨택터, 드라이브의 안전 토크 차단(Safe Torque Off, STO) 채널, 브레이크 회로, 액추에이터 전원 절연을 제어하는 데 사용될 수 있다. 출력 구성은 하나의 접점 고장으로 위험 에너지가 유지되지 않도록 해야 한다.

릴레이 출력 접점의 전류 정격은 실제 부하에 맞아야 한다. 안전 릴레이 접점은 대형 모터 전류를 직접 차단하기보다 컨택터 코일이나 안전 입력을 제어하도록 설계되는 경우가 많다. 돌입전류(Inrush Current), 유도성 코일 특성, 스위칭 빈도, 공급 전압, 접점 사용 범주(Utilization Category)를 고려해야 한다. 특정 저항성 부하 전류에 적합한 접점도 유도성 부하를 스위칭할 때는 허용 용량이 훨씬 낮을 수 있다. 부적절한 부하 연결은 접점 침식, 용착, 수명 단축을 초래할 수 있다.

릴레이 접점이 컨택터 코일, 브레이크 코일, 솔레노이드, 밸브와 같은 유도성 부하를 스위칭할 때에는 아크 억제(Arc Suppression)가 필요하다. 전류가 차단되면 인덕턴스가 전압 스파이크를 발생시켜 접점을 손상시키고 전자파 간섭을 만들 수 있다. 요구되는 해제 속도와 전압 형식에 따라 플라이백 다이오드(Flyback Diode), TVS 다이오드, RC 스너버(RC Snubber), 바리스터(Varistor)를 사용할 수 있다. 단순 다이오드는 접점 스트레스를 줄이지만 코일 전류의 감소를 늦추어 컨택터 개방이나 브레이크 체결을 지연시킬 수 있다.

외부 장치 감시(External Device Monitoring)는 안전 릴레이 설계의 핵심 기능이다. 릴레이는 재시작을 허용하기 전에 하위 컨택터, 브레이크, 스위칭 장치가 실제로 안전 상태로 복귀했는지를 확인해야 한다. 출력 장치의 보조 접점 또는 미러 접점(Mirror Contact)을 피드백 루프에 연결한다. 컨택터가 용착되어 닫힌 상태로 남으면 피드백 접점이 기대 상태로 돌아오지 않으며 안전 릴레이는 재시작을 차단한다. 이를 통해 비상 정지 이후 고장난 전력 컨택터가 감지되지 않은 상태로 남는 것을 방지한다.

피드백 접점은 제어 대상 장치의 실제 기계 상태를 정확하게 나타내야 한다. 일반 보조 접점은 주 접점과 기계적으로 연동되어 있지 않으면 충분한 신뢰성을 제공하지 못할 수 있다. 필요한 경우에는 주 접점 상태를 신뢰성 있게 표시하도록 설계된 미러 접점 또는 강제 유도 접점을 사용하는 것이 바람직하다. 피드백 회로는 단선과 잘못된 연결도 감지해야 한다. 출력 장치가 명령을 따르지 않을 수 있으므로 명령 신호만 감시하는 것은 충분하지 않다.

이중 컨택터(Redundant Contactor)는 일반적으로 서로 다른 안전 릴레이 출력으로 제어된다. 두 컨택터는 위험 에너지 경로에 직렬로 연결되어 어느 하나만 열려도 전력을 차단할 수 있다. 피드백 접점은 독립적으로 감시하거나 적절하게 설계된 직렬 루프를 통해 감시한다. 하나의 컨택터가 용착되어도 다른 컨택터가 시스템을 정지시킬 수 있으며, 해당 고장은 다음 재시작 전에 감지된다. 이중화는 반드시 진단 감시와 함께 사용해야 하며, 그렇지 않으면 첫 번째 숨은 고장이 두 번째 장치가 고장날 때까지 남을 수 있다.

컨택터 선정 시에는 연속 전류, 단락 능력, 코일 전압, 기계적 수명, 전기적 수명, 환경 정격, 피드백 접점 구조를 고려해야 한다. 정상 전류에는 적합한 컨택터라도 예상 가능한 고장 전류를 안전하게 차단하지 못할 수 있다. 고에너지 고장은 퓨즈나 회로 차단기가 제거하고 컨택터는 제어된 안전 절연을 수행하도록 구성할 수 있다. 릴레이와 컨택터 조합은 개별 부품이 아니라 하나의 완전한 하위 시스템으로 평가해야 한다.

안전 토크 차단 입력은 대안 또는 보완적인 출력 경로를 제공한다. 최신 모터 드라이브에는 안전 사용 인증을 받은 이중 채널 STO 입력이 포함되는 경우가 많다. 안전 릴레이는 이 채널을 직접 제어하여 드라이브가 모터 토크를 생성하지 못하게 한다. STO는 낮은 전류만 스위칭하므로 기계식 릴레이 접점의 마모를 줄일 수 있다. 그러나 STO는 모든 전기 에너지를 제거하지 않으며 능동적으로 로봇을 제동하지도 않는다. 따라서 기계식 브레이크, 제어 감속, 주 전원 차단이 추가로 필요할 수 있다.

안전 릴레이가 이중 STO 채널을 구동할 때에는 채널 독립성을 유지해야 한다. 두 개의 출력 접점 또는 반도체 안전 출력이 각각의 STO 입력을 따로 제어해야 한다. 두 채널을 연결하거나 감시되지 않는 공통 도체를 사용하면 고장 허용성이 저하될 수 있다. 가능하다면 드라이브 피드백을 통해 STO 상태를 확인해야 한다. 제조사마다 STO 시험 펄스, 입력 전류, 응답시간, 리셋 요구사항이 다르므로 드라이브 매뉴얼을 세밀하게 검토해야 한다.

제어 정지(Controlled Stop)에는 시간 지연 또는 순차 동작을 지원하는 안전 릴레이 기능이 필요할 수 있다. 릴레이는 먼저 제어 감속 명령을 허용한 다음 설정된 시간 뒤에 토크를 제거할 수 있다. 이러한 접근은 정지 거리를 줄이거나 적재물 불안정을 방지할 수 있다. 그러나 고정 시간 지연은 로봇이 토크 제거 전에 안정적인 저위험 상태에 도달하는 것이 신뢰성 있게 보장될 때만 안전하다. 적재량, 경사, 노면에 따라 제동 성능이 달라진다면 단순 시간보다 속도 감시, 정지 상태 감지, 안전 모션 제어가 더 적합할 수 있다.

지연 안전 출력(Delayed Safety Output)은 위험 노출 시간을 증가시키므로 특별히 주의해야 한다. 지연시간은 측정된 정지 동작을 기반으로 산정하고 고장 감지 기능으로 뒷받침해야 한다. 제어 감속이 실패하면 다른 안전 경로가 토크를 제거하거나 브레이크를 작동시켜야 한다. 시간 지연 릴레이는 설정 오류와 비인가 변경으로부터 보호되어야 한다. 안전 유효성 확인에서는 즉시 출력과 지연 출력 경로가 정상 및 고장 조건에서 모두 올바르게 동작하는지를 확인해야 한다.

반도체 안전 출력(Semiconductor Safety Output)은 소형 안전 릴레이와 제어기에서 점점 더 많이 사용된다. 기계식 접점 마모 없이 빠른 스위칭, 긴 전기 수명, 진단 기능을 제공한다. 이러한 출력은 단락, 과부하, 채널 간 고장을 감지할 수 있다. 그러나 오프 상태에서도 누설 전류가 존재할 수 있으며 용량성 부하나 호환되지 않는 입력 회로에 민감할 수 있다. 연결 장치는 오프 상태 누설 전류를 정확히 해석할 수 있어야 하며, 더 높은 전류나 갈바닉 절연이 필요한 경우 외부 릴레이가 필요할 수 있다.

기계식 릴레이 출력은 명확한 갈바닉 절연(Galvanic Isolation)과 매우 낮은 오프 상태 누설 전류를 제공한다. 다양한 컨택터 코일과 안전 입력에 호환되지만 반도체 출력보다 스위칭 수명이 제한되고 응답이 느리다. 접점 마모는 부하 유형과 억제 방식에 영향을 받는다. 기계식과 반도체 출력 중 선택은 부하, 예상 스위칭 빈도, 진단 요구, 절연 요구, 유지보수 전략을 반영해야 한다.

안전 릴레이는 전압 변동에서도 예측 가능한 동작을 유지해야 하므로 전원 공급 설계(Power Supply Design)가 매우 중요하다. 전원은 역극성, 서지, 전기 노이즈, 단락으로부터 보호되어야 한다. 저전압이 발생하면 릴레이 출력은 안전하게 비활성화되어야 한다. 서서히 감소하거나 불안정한 전압은 릴레이 채터링(Chattering), 불완전한 접점 이동, 반복적인 리셋 시도를 일으킬 수 있으므로 브라운아웃 시험이 중요하다. 노이즈가 큰 모터 전원과 분리된 정전압 안전 전원은 신뢰성을 높일 수 있다.

위험한 움직임이 가능한 모든 시간 동안 안전 릴레이 전원은 공급되어야 한다. 주 제어 컴퓨터가 켜져 있는데 안전 릴레이가 꺼져 있다면 로봇은 출력을 감시하지 못할 수 있다. 시스템은 액추에이터 에너지가 활성화되기 전에 안전 감시가 먼저 동작하도록 기동 순서를 정의해야 한다. 종료 시에는 안전 릴레이가 전원을 잃기 전에 위험 출력이 먼저 제거되어야 한다. 제어 종료 동안 릴레이와 진단 표시를 유지하기 위해 저장 에너지를 사용할 수 있다.

배선과 접지 설계가 부적절하면 전기 노이즈로 인해 오동작 정지나 입력 불안정이 발생할 수 있다. 안전 입력 케이블은 모터 상 배선, 배터리 케이블, 스위칭 컨버터, 고전류 컨택터에서 멀리 배치해야 한다. 꼬임쌍(Twisted Pair), 차폐, 적절한 귀환 경로, 서지 억제, 필터링된 전원을 사용하면 간섭을 줄일 수 있다. 그러나 필터가 과도한 응답 지연을 만들지 않도록 해야 한다. 목표는 실제 안전 이벤트에는 민감하게 반응하면서 예상되는 산업 노이즈에는 안정적인 신호 경로를 구현하는 것이다.

안전 릴레이 배선에는 명확하게 식별된 도체, 견고한 단자, 스트레인 릴리프(Strain Relief), 진동 내성 연결을 사용해야 한다. 이동형 로봇은 충격, 반복적인 케이블 굽힘, 온도 변화, 오염에 노출된다. 느슨하거나 피로한 배선은 진단하기 어려운 간헐 정지를 만들 수 있다. 페룰(Ferrule), 승인된 크림프 단자, 잠금형 커넥터, 통제된 체결 토크 절차는 신뢰성을 높인다. 안전 배선은 마모, 적재물 충격, 유지보수 손상으로부터 물리적으로 보호되어야 한다.

단자 배치(Terminal Assignment)는 안전 회로와 비안전 회로가 잘못 혼합되는 것을 방지해야 한다. 분리된 단자 그룹, 커넥터 키잉(Keying), 라벨, 색상 구분, 보호된 접근을 통해 배선 오류를 줄일 수 있다. 안전 입력, 리셋선, 출력, 피드백 회로, 전원은 일관되게 문서화해야 한다. 정비 담당자가 전선 위치만 보고 기능을 추정해서는 안 된다. 여러 로봇 개정 모델이 함께 운영되는 플릿에서는 명확한 배선도와 장치 수준 라벨이 특히 중요하다.

릴레이 외함과 장착 위치는 환경 신뢰성을 지원해야 한다. 온도, 습도, 먼지, 결로, 진동, 전자기장, 기계적 충격은 동작에 영향을 줄 수 있다. 안전 릴레이는 제조사가 지정한 방향과 간격으로 설치하여 적절한 방열을 확보해야 한다. 실외 또는 세척 환경의 로봇은 밀폐 외함, 통기성 멤브레인, 컨포멀 보호, 추가 히터가 필요할 수 있다. 외함은 작업자를 위험 전원에 노출시키지 않으면서 점검 가능해야 한다.

릴레이 코일, 반도체 출력, 접점 저항, 인접 전력 장치에서 열이 발생하므로 열 성능(Thermal Performance)을 평가해야 한다. 높은 외함 온도는 접점 수명, 출력 용량, 전자장치 신뢰성을 감소시킬 수 있다. 안전 릴레이 데이터시트에는 고온에서 또는 여러 출력에 동시에 전류가 흐를 때의 디레이팅(Derating) 조건이 제시되는 경우가 많다. 열 검증은 최대 주변 온도, 최대 부하, 낮은 환기, 모터 드라이브나 DC-DC 컨버터와 같은 인접 열원을 포함해야 한다.

안전 릴레이는 단순히 접점 수만 보고 선정해서는 안 된다. 엔지니어는 안전 등급, 입력 호환성, 리셋 방식, 출력 유형, 진단 능력, 응답시간, 환경 정격, 인증을 검토해야 한다. 릴레이는 요구되는 안전 구조와 목표 성능 수준을 지원해야 한다. 인증된 장치를 사용하면 부품 수준의 정당화는 쉬워지지만 전체 회로가 자동으로 인증되는 것은 아니다. 외부 배선, 센서, 컨택터, 브레이크, 기계적 정지 성능은 여전히 전체 안전 기능의 일부이다.

안전 표준(Safety Standard)은 설계, 유효성 확인, 문서화에 대한 지침을 제공한다. 응용 분야에 따라 기계 안전, 비상 정지, 전기 장비, 기능 안전, 이동형 로봇, 산업 차량 관련 요구사항을 충족해야 할 수 있다. 적용 표준은 접점 구성, 리셋 논리, 부품 선정, 진단 범위, 시험 증거에 영향을 주므로 설계 초기에 결정해야 한다. 규정 검토가 늦어지면 비용이 큰 재설계로 이어질 수 있다.

성능 수준(Performance Level) 또는 안전 무결성 수준(Safety Integrity Level) 계산에는 전체 안전 채널의 신뢰성 데이터가 필요하다. 여기에는 비상 장치, 안전 릴레이, 출력 컨택터, STO 입력, 브레이크, 배선, 진단 기능이 포함될 수 있다. 계산은 위험 고장률, 진단 범위, 구조 카테고리, 공통 원인 대책, 증명 시험 주기를 고려한다. 높은 등급의 릴레이를 사용하더라도 감시되지 않는 단일 컨택터나 보호가 부족한 배선을 보완할 수는 없다. 전체 안전 체인이 목표 위험 저감을 달성해야 한다.

공통 원인 고장 제어는 이중화된 릴레이 시스템에서 특히 중요하다. 두 채널이 침수, 화재, 오배선, 커넥터 손상, 공통 전원 상실, 전자파 교란의 영향을 동시에 받을 수 있다. 물리적 분리, 독립 배선, 환경 밀봉, 부품 디레이팅, 체계적인 유지보수로 이러한 위험을 줄일 수 있다. 가능한 경우 전자식 STO와 스프링 작동식 기계 브레이크를 결합하는 것처럼 서로 다른 정지 원리를 사용하는 다양성(Diversity)을 적용할 수 있다.

진단 정보는 유용해야 하지만 비안전 소프트웨어가 릴레이 동작에 개입하도록 해서는 안 된다. 보조 릴레이 접점, 상태 출력, 통신 인터페이스를 통해 입력 상태, 출력 상태, 고장 코드, 리셋 가능 여부를 로봇 제어기에 전달할 수 있다. 이는 문제 해결과 플릿 모니터링을 향상시킨다. 그러나 핵심 안전 판단은 인증된 릴레이 논리 내부에 남아 있어야 한다. 소프트웨어 명령은 일반 정지나 리셋 준비를 요청할 수 있지만 활성 안전 고장을 무시할 수는 없어야 한다.

고장 표시는 장치 작동과 시스템 고장을 구분해야 한다. 눌린 비상 정지 버튼은 채널 불일치, 용착된 컨택터, 전원 저전압, 내부 릴레이 고장과는 다른 대응을 요구한다. 명확한 표시 기능은 복구 시간을 줄이고 위험한 우회 조치를 방지한다. 로컬 LED, 디스플레이 메시지, 원격 로그, 유지보수 도구는 안전 상태를 유지한 채 영향을 받은 입력, 채널, 피드백 루프, 출력을 식별할 수 있어야 한다.

시험은 부품과 배선 수준에서 시작해야 한다. 각 입력 장치를 개별적으로 작동시키고 두 채널을 모두 확인해야 한다. 리셋 회로, 출력 접점, 컨택터 코일, 피드백 접점, 브레이크, STO 입력을 검증해야 한다. 단선, 채널 단락, 채널 간 단락, 고착된 리셋 신호, 접점 용착 모사, 피드백 분리, 전원 상실, 출력 과부하와 같은 고장을 가능한 범위에서 주입해야 한다. 각 관련 고장에서도 릴레이는 안전 상태를 유지하고 재시작을 방지해야 한다.

응답시간 시험(Response Time Testing)은 안전 장치 작동부터 위험 움직임이 최종적으로 제거되거나 제어될 때까지의 시간을 측정해야 한다. 릴레이 입력, 릴레이 출력, 컨택터 상태, STO 상태, 브레이크 체결, 바퀴 속도에서 전기적·기계적 타이밍을 측정해야 한다. 이에 따른 실제 정지 거리는 최대 속도, 최대 적재, 최소 마찰, 허용 최대 경사 조건에서 시험해야 한다. 안전 계산에는 적절한 여유를 포함한 측정 최악값을 사용해야 한다.

재시작 시험(Restart Testing)은 안전 장치를 해제하는 것만으로 움직임이 복구되지 않는지를 확인해야 한다. 시스템은 정의된 리셋 절차와 별도의 운전 시작 명령을 요구해야 한다. 입력 채널, 출력 피드백, 브레이크 상태, 컨택터 상태, 내부 릴레이 진단 중 어느 하나라도 비정상이면 리셋은 차단되어야 한다. 전원 재인가로 리셋 요구사항을 우회할 수 없어야 한다. 통신 복구나 소프트웨어 재부팅도 자동 움직임을 발생시켜서는 안 된다.

일부 위험 고장은 정상 운전 중 숨은 상태로 남을 수 있으므로 정기적인 증명 시험(Proof Testing)이 필요하다. 접점이 열화되고, 리셋 버튼이 고착되며, 단자가 느슨해지고, 피드백 접점의 정렬이 변할 수 있다. 유지보수 계획은 환경 심각도, 동작 빈도, 부품 신뢰성, 안전 요구사항에 따라 시험 주기를 정의해야 한다. 증명 시험에는 실제 장치 작동, 출력 확인, 피드백 검사, 라벨, 장착, 배선의 육안 점검이 포함되어야 한다.

릴레이 교체는 통제된 절차를 따라야 한다. 접점 수는 같더라도 타이밍, 진단 동작, 출력 유형이 다른 대체품은 안전 기능을 변경할 수 있다. 승인된 부품 번호, 구성 기록, 배선도, 검증 절차를 유지해야 한다. 교체 후 기술자는 연결된 모든 입력과 출력을 시험해야 한다. 문제 해결 중 사용한 임시 우회 회로는 로봇이 다시 운용되기 전에 제거하고 독립적으로 확인해야 한다.

다수의 로봇이 동일한 안전 설계를 사용할 때에는 구성 관리(Configuration Management)가 더욱 중요해진다. 하드웨어 개정, 릴레이 모델 변경, 컨택터 대체, 펌웨어 업데이트, 브레이크 변경, 배선 수정은 모두 안전 성능에 영향을 줄 수 있다. 각 로봇은 설치된 부품과 검증 상태를 추적할 수 있는 기록을 가져야 한다. 플릿 전체 변경은 배포 전에 대표 장비에서 시험해야 한다. 통제되지 않은 현장 개조는 금지되어야 한다.

안전 릴레이 구조는 유지보수 절연(Maintenance Isolation)을 지원해야 하지만 비상 정지와 혼동되어서는 안 된다. 릴레이는 비상 상황에서 액추에이터 활성화를 제거할 수 있지만 모든 배터리 에너지나 저장 압력을 차단하지는 않을 수 있다. 정비 작업에는 잠금표시 절차(Lockout and Tagout), 배터리 차단, 기계적 지지, 에너지 무존재 확인이 여전히 필요하다. 문서에서는 비상 정지, 보호 정지, 일반 정지, 정비용 확실한 에너지 절연을 명확하게 구분해야 한다.

로봇에 향후 추가 비상 장치, 매니퓰레이터, 트레일러, 적재 스테이션, 안전 구역이 추가될 수 있다면 확장성(Scalability)을 고려해야 한다. 추가 릴레이를 연속 연결할 수 있지만 부적절한 직렬 구성은 진단 품질을 낮추고 리셋 논리를 복잡하게 만들 수 있다. 대규모 시스템에서는 확장 릴레이, 모듈형 안전 입출력, 안전 제어기가 더 적합할 수 있다. 기능이 추가되어도 시스템 구조는 이해하기 쉽고, 시험 가능하며, 유지보수 가능해야 한다.

안전 릴레이는 점점 더 소프트웨어 중심으로 발전하는 로봇에서도 여전히 가치가 있다. 복잡한 인공지능, 내비게이션, 플릿 제어, 원격 감독 시스템은 다양한 방식으로 실패할 수 있다. 안전 릴레이는 단순한 상태 전이, 감시 접점, 제어된 출력, 정의된 리셋 논리에 의존한다. 시스템의 다른 부분이 불확실한 상태에 있더라도 위험 에너지를 제거해야 하는 최종 요구에서는 이러한 단순성이 강점이 된다.

미래의 안전 릴레이 시스템은 더 많은 진단 기능, 소형 반도체 출력, 안전 통신, 상태 모니터링, 연계 제동 기능을 통합하게 될 것이다. 접점 열화, 코일 전류 이상, 온도 상승, 응답시간 증가를 고장 발생 전에 감지할 수 있을 것이다. 그러나 고급 진단이 기본적인 안전 원칙을 대체해서는 안 된다. 이중화, 고장 안전 배선, 피드백 감시, 제어된 리셋, 검증된 정지 성능, 체계적인 유지보수는 계속 필수적이다.

강건한 안전 릴레이 설계는 외함 안에 장착된 하나의 모듈이 아니라 완전한 안전 회로이다. 그 효과는 비상 장치, 이중 채널 배선, 전원 공급, 릴레이 논리, 출력 컨택터, 드라이브 안전 입력, 브레이크 시스템, 피드백 루프, 리셋 제어, 환경 보호, 검증 절차에 의해 결정된다. 이러한 요소를 하나의 통합된 안전 기능으로 설계할 때 안전 릴레이는 위험 감지와 위험한 로봇 움직임의 검증된 제거를 연결하는 신뢰할 수 있는 안전 계층을 제공한다.

12.03 Safety PLC Integration

안전 PLC 통합(Safety PLC Integration)은 단순한 릴레이 논리를 넘어 자율이동로봇(Autonomous Mobile Robot, AMR)의 안전 구조를 확장한다. 안전 PLC는 프로그래밍이 가능하면서도 독립적으로 검증된 플랫폼을 통해 여러 안전 장치, 분산 입력, 안전 모션 기능, 진단, 제어된 복구를 통합적으로 조정한다. 안전 PLC는 일반 로봇 제어 소프트웨어를 대체하지 않는다. 대신 내비게이션, 인공지능, 통신, 임무 소프트웨어에 고장이 발생하더라도 로봇이 안전 상태로 진입하는 것을 방해하지 못하도록 위험한 움직임을 감시하는 보호된 판단 계층을 형성한다.

통합 과정은 안전 관련 제어와 비안전 제어 사이의 경계를 명확하게 정의하는 것에서 시작된다. 장애물 회피, 경로 계획, 플릿 조정(Fleet Coordination), 위치추정(Localization), 작업 실행은 고성능 컴퓨터에서 수행할 수 있다. 반면 비상 정지, 보호 영역 평가, 안전 속도 감시, 브레이크 제어, 액추에이터 절연, 재시작 인터록(Restart Interlocking)은 안전 PLC 영역에 유지되어야 한다. 이러한 분리는 복잡한 소프트웨어가 위험 에너지에 대한 최종 권한을 갖지 못하게 하면서도 통제된 인터페이스를 통해 운영 정보를 교환할 수 있도록 한다.

위험 분석(Hazard Analysis)은 어떤 로봇 기능을 인증된 안전 기능으로 구현해야 하는지를 결정한다. 엔지니어는 구동 움직임, 조향, 승강 시스템, 컨베이어, 매니퓰레이터(Manipulator), 도어, 클램프, 적재물 이송 기구, 저장 에너지, 로봇이 제어하는 외부 장비를 검토한다. 분석을 통해 각 위험에 필요한 안전 상태, 응답시간, 이중화(Redundancy), 진단 범위(Diagnostic Coverage), 무결성 수준(Integrity Level)을 정의한다. 이후 안전 PLC 구조는 모든 위험 기능을 감시하고 일반 제어기와 독립적으로 비활성화할 수 있도록 설계된다.

안전 PLC는 요구되는 성능 수준(Performance Level), 안전 무결성 수준(Safety Integrity Level), 환경 정격, 입출력 용량, 통신 능력, 처리시간, 인증 범위를 기준으로 선정해야 한다. 소형 실내 로봇에는 컴팩트 제어기가 충분할 수 있지만 대형 플랫폼에는 모듈형 원격 안전 입출력, 다중 안전 통신망, 연계된 안전 모션 제어가 필요할 수 있다. 향후 매니퓰레이터, 트레일러, 도킹 스테이션, 신규 보호 센서가 추가되면 안전 기능의 수와 복잡성이 크게 증가할 수 있으므로 확장성도 고려해야 한다.

일반적인 안전 PLC 구조는 인증된 프로세서, 이중화된 내부 실행 경로, 자가진단 메커니즘, 안전 메모리, 감시 전원, 전용 안전 입출력 모듈로 구성된다. 제어기는 프로세서, 메모리, 타이밍, 통신, 입출력 동작을 반복적으로 검사한다. 내부 불일치가 발견되면 제어 대상 출력을 미리 정의된 안전 상태로 전환한다. 이러한 내부 진단 구조는 안전 PLC를 일반 논리만 실행하고 검증된 고장 대응 기능이 없는 일반 PLC와 구분한다.

프로그래밍 가능한 제어기를 사용하더라도 이중 채널 안전 입력(Dual-Channel Safety Input)은 여전히 필수적이다. 비상 정지 버튼, 안전 범퍼, 보호 스위치, 일부 브레이크 또는 컨택터 피드백 장치는 두 개의 독립적인 상시폐쇄 채널을 제공한다. 안전 PLC는 채널 일치 여부, 전환 순서, 펄스 패턴, 불일치 시간, 채널 간 단락을 감시한다. 프로그래밍 플랫폼은 릴레이보다 유연하지만 배선, 커넥터, 경로, 장치 선정에서 입력 채널의 물리적 독립성을 유지해야 한다.

안전 라이다(Safety LiDAR)와 레이저 스캐너는 전용 안전 출력 또는 인증된 안전 통신을 통해 통합되는 경우가 많다. 이러한 센서는 로봇 속도, 주행 방향, 조향각, 적재량, 운전 모드에 따라 변경되는 여러 보호 영역을 제공할 수 있다. 안전 PLC는 적절한 필드 세트를 선택하고 검증하며 스캐너 상태를 감시하고 침입이 감지되면 보호 정지(Protective Stop)를 시작한다. 필드 전환은 결정론적으로 이루어져야 하며 일반 소프트웨어 명령으로 위험한 영역을 선택할 수 없도록 보호되어야 한다.

속도에 따라 변하는 보호 영역에는 정확하고 신뢰할 수 있는 모션 정보가 필요하다. 안전 PLC는 인증된 드라이브 기능이나 이중화 센서에서 안전 속도, 휠 엔코더, 조향각, 주행 방향 신호를 받을 수 있다. 고속에서는 일반적으로 더 큰 보호 영역을 사용하고, 저속 도킹이나 유지보수 운전에서는 더 작은 영역을 허용할 수 있다. 제어기는 현재 활성화된 필드가 실제 로봇 상태와 일치하는지를 검증해야 한다. 속도와 보호 범위가 일치하지 않으면 안전 대응을 시작해야 한다.

안전 모션 기능(Safe Motion Function)은 호환되는 모터 드라이브와 직접 통합할 수 있다. 안전 토크 차단(Safe Torque Off, STO)은 토크 생성을 방지하고, 안전 정지 기능은 제어된 감속 후 토크를 제거하며, 안전 제한 속도(Safely Limited Speed)는 움직임을 검증된 임계값 이하로 제한한다. 그 밖에도 안전 방향, 안전 브레이크 제어, 안전 운전 정지, 안전 위치, 안전 제한 가속도가 포함될 수 있다. 안전 PLC는 주 전원 컨택터만 사용하는 대신 위험 조건에 따라 이러한 드라이브 기능을 조정한다.

안전 토크 차단은 일반적으로 두 개의 독립 채널로 구현된다. 안전 PLC는 두 채널을 제어하고 가능한 경우 드라이브 피드백을 감시한다. STO가 활성화되면 드라이브는 토크를 생성할 수 없지만 즉각적인 감속이나 위치 유지를 보장하지는 않는다. 로봇은 관성이나 경사 때문에 계속 움직이거나 굴러갈 수 있다. 따라서 플랫폼의 기계적 특성과 위험도에 따라 STO를 브레이크, 속도 감시, 제어 정지 기능과 통합해야 한다.

중량급 로봇이나 불안정한 적재물에는 제어형 안전 정지(Controlled Safety Stop)가 필요할 수 있다. 이 순서에서 안전 PLC는 조향과 드라이브 제어를 일시적으로 유지하면서 감시된 감속을 시작한다. 정지 상태 또는 안전한 저속이 확인되면 토크를 제거하고 기계식 브레이크를 체결한다. 예상 감속이 지정된 시간이나 거리 내에 이루어지지 않으면 제어기는 대체 정지 경로를 작동시킨다. 따라서 안전 정지 논리는 명령 동작뿐 아니라 독립적인 결과 확인도 포함해야 한다.

기계식 브레이크 통합은 단순히 코일에 전원을 인가하거나 차단하는 것 이상을 요구한다. 안전 PLC는 브레이크 해제 명령, 체결 시간, 피드백 스위치, 가능한 경우 코일 전류, 브레이크 상태와 드라이브 토크의 관계를 감시해야 한다. 스프링 작동식 전기 해제 브레이크(Spring-Applied, Electrically Released Brake)는 전원 상실 후 고장 안전 유지 기능을 제공하지만 고속에서 체결되면 미끄러짐이나 구동계 충격을 만들 수 있다. 제어기는 실제 속도와 토크 상태에 맞추어 브레이크 동작을 조정해야 한다.

조향 제어는 추진 제어와 별도로 고려해야 한다. 일부 로봇에서는 구동 토크를 제거하면서 조향을 제어하지 않으면 감속 중 불안정한 움직임이 발생할 수 있다. 다른 플랫폼에서는 직선 정지 경로를 유지하기 위해 제어 제동이 진행되는 동안 조향 기능을 유지해야 할 수 있다. 안전 PLC는 조향 토크를 즉시 제거할지, 감속 중 유지할지, 정지 후 잠글지를 정의해야 한다. 올바른 전략은 차량 구조, 속도, 지형, 사용 가능한 안전 조향 기능에 따라 달라진다.

서로 다른 운전 모드를 지원하기 위해 안전 구역(Safety Zone)을 구성할 수 있다. 일반 자율 모드에서는 전체 경로 운행을 허용하고, 감속 모드에서는 사람과 가까운 상호작용을 허용하며, 도킹 모드에서는 매우 낮은 속도에서 작은 보호 영역을 사용할 수 있다. 유지보수 모드에서는 제한된 수동 이동을 허용할 수 있다. 안전 PLC는 키 스위치, 인증된 제어, 인에이블링 장치(Enabling Device), 사전 정의된 조건을 이용하여 모드 선택을 검증한다. 일반 소프트웨어 요청만으로 제한이 낮은 안전 모드에 들어갈 수 없어야 한다.

모드 선택은 상호 배타적이어야 하며 명확하게 표시되어야 한다. 제어기는 서로 호환되지 않는 모드가 동시에 활성화되는 것을 방지하고 선택 신호가 불일치하면 보수적인 상태로 전환해야 한다. 모드 전환 전에 로봇 정지가 필요할 수 있다. 외부 표시 장치, 작업자 패널, 원격 모니터링은 현재 안전 모드를 보여주어 주변 사람이 로봇의 허용 동작과 움직임 가능성을 이해할 수 있도록 해야 한다.

인에이블링 장치는 시운전, 유지보수, 유도 복구 과정에서 사용할 수 있다. 3위치 인에이블링 스위치(Three-Position Enabling Switch)는 중앙 위치에서 유지될 때만 움직임을 허용하고, 손을 놓거나 긴장으로 끝까지 강하게 누르면 로봇을 정지시킨다. 안전 PLC는 인에이블 신호를 감속, 제한 이동, 현장 제어, 제한된 액추에이터 동작과 결합한다. 유지보수 움직임은 추가 보호 조건 없이 하나의 일반 버튼이나 소프트웨어 명령만으로 활성화되어서는 안 된다.

리셋 및 재시작 논리는 안전 PLC 프로그램에서 명시적으로 구현된다. 비상 정지, 보호 영역, 가드 스위치가 정상 상태로 복귀했다고 해서 위험한 움직임이 자동으로 복구되어서는 안 된다. 제어기는 모든 안전 입력이 정상인지, 출력 장치가 안전 상태에 도달했는지, 컨택터 피드백이 정확한지, 브레이크가 체결되었는지, 드라이브 고장이 해제되었는지, 선택된 운전 모드가 유효한지를 확인한다. 이후 감시형 수동 리셋이 요구되며, 별도의 일반 시작 또는 임무 명령이 뒤따라야 한다.

리셋 인터페이스는 작업자가 영향을 받은 영역을 확인할 수 있는 위치에 배치해야 한다. 원격 리셋은 시야, 카메라 범위, 절차적 통제, 현장 확인을 통해 위험 구역에 사람이 남아 있지 않음이 보장될 때만 허용할 수 있다. 안전 PLC는 명확한 신호 전환을 요구하여 고착되거나 우회된 리셋 신호를 감지해야 한다. 전원 재인가, 네트워크 재연결, 소프트웨어 재부팅, 지도 재로딩으로 정의된 리셋 절차를 우회할 수 없어야 한다.

프로그래밍 가능한 구조에서도 외부 장치 감시(External Device Monitoring)는 중요하다. 이중 컨택터, 브레이크 릴레이, 유압 밸브, 공압 덤프 밸브, 기타 최종 스위칭 장치는 안전 PLC에 피드백 접점을 제공해야 한다. 제어기는 재시작을 허용하기 전에 명령 상태와 실제 상태를 비교한다. 컨택터가 용착되거나 브레이크가 체결되지 않으면 불일치를 기록하고 위험 출력을 비활성화 상태로 유지한다. 피드백 감시는 숨은 고장이 반복 운전 중 누적되는 것을 방지한다.

안전 출력은 기계식 릴레이 접점, 반도체 출력, 인증된 네트워크 명령으로 구현할 수 있다. 기계식 출력은 갈바닉 절연과 매우 낮은 오프 상태 누설 전류를 제공하고, 반도체 출력은 빠른 스위칭, 진단 기능, 긴 수명을 제공한다. 연결 부하는 출력 테스트 펄스, 누설 전류, 전압 범위, 고장 감지 방식과 호환되어야 한다. 대형 컨택터 코일이나 전기적 절연이 필요한 장치를 구동할 때는 외부 인터페이스 릴레이가 필요할 수 있다.

안전 PLC 전원 구조는 위험 에너지가 존재할 가능성이 있는 동안 항상 활성 상태를 유지해야 한다. 정전압과 보호 기능을 갖춘 안전 전원은 노이즈가 큰 모터 및 컴퓨팅 전원과 분리하는 경우가 많다. 저전압, 서지, 역극성, 브라운아웃(Brownout) 동작을 평가해야 한다. 안전 전원이 상실되면 위험 출력은 비활성화되고 고장 안전 브레이크는 체결되어야 한다. 기동 과정에서는 액추에이터 전원이나 드라이브 활성화 신호가 인가되기 전에 안전 PLC가 자가진단을 완료해야 한다.

안전 정지 이후에도 비위험 기능은 전원을 유지할 수 있다. 경고등, 통신, 이벤트 기록, 저전력 센서, 원격 진단은 작업자가 상황을 이해하고 복구하는 데 도움을 준다. 따라서 전원 구조는 안전 논리 전원, 제어 전자장치, 위험 액추에이터 전원을 분리해야 한다. 안전 PLC는 구동 및 기구 에너지를 제거하면서도 상태 보고와 고장 데이터 보존에 필요한 시스템 가시성을 유지할 수 있다.

안전 통신망(Safe Communication Network)은 제어기가 분산 입출력, 드라이브, 스캐너, 원격 비상 정지, 충전 스테이션, 엘리베이터, 외부 기계 셀을 통합할 수 있도록 한다. 인증된 프로토콜은 순서 카운터, 타임아웃, 송신자 식별, 데이터 검증, 순환 중복 검사(Cyclic Redundancy Check)를 추가하여 데이터 손상, 지연, 중복, 손실을 감지한다. 안전 PLC는 통신 고장을 정의된 안전 조건으로 처리한다. 안전 프로토콜이 논리적 독립성과 검증된 오류 감지를 유지한다면 일반 Ethernet 또는 CAN과 물리적 인프라를 공유할 수 있다.

통신 타이밍은 전체 안전 응답시간에 포함해야 한다. 센서 갱신 간격, 네트워크 주기, 제어기 처리시간, 출력 전송, 드라이브 응답, 기계적 정지가 모두 정지 거리에 영향을 준다. 안전 네트워크는 현실적인 최악 지연시간과 타임아웃 값으로 설정해야 한다. 지나치게 긴 타임아웃은 정지를 지연시키고, 지나치게 짧은 값은 정상적인 네트워크 변동에서도 불필요한 정지를 만들 수 있다. 타이밍은 분석과 측정으로 정당화해야 한다.

네트워크 토폴로지(Network Topology)는 강건성과 유지보수성에 영향을 준다. 선형, 링, 스타, 이중화 네트워크 구조는 케이블 길이, 고장 허용성, 진단 가시성에서 서로 다른 특성을 제공한다. 링 구조는 하나의 케이블이 단선되어도 운전을 계속할 수 있고, 스타 구조는 분기 고장을 더 명확하게 격리할 수 있다. 안전 통신을 사용한다고 해서 물리 네트워크 자체가 자동으로 고장 허용성을 갖는 것은 아니다. 전력 분배, 스위치 동작, 커넥터 신뢰성, 케이블 경로도 요구되는 가용성과 안전 대응을 지원해야 한다.

안전 PLC와 주 로봇 제어기 사이의 인터페이스는 신중하게 제한해야 한다. 안전 PLC는 이동 가능 상태, 보호 정지 활성, 비상 정지 활성, 감속 모드, 리셋 필요, 안전 고장과 같은 상태 정보를 제공할 수 있다. 주 제어기는 일반 정지, 감속 운전, 모드 전환을 요청할 수 있다. 그러나 일반 제어기는 안전 출력을 직접 활성화하거나 유효한 안전 고장을 억제할 수 없어야 한다.

명령 중재(Command Arbitration)는 안전 논리가 항상 가장 높은 권한을 갖도록 해야 한다. 주 제어기가 움직임을 명령하더라도 안전 PLC가 정지 상태를 나타내면 드라이브는 비활성화 상태를 유지해야 한다. 주 제어기가 고장나 활성화 신호를 계속 출력하더라도 안전 조건이 발생하면 안전 PLC는 토크를 제거해야 한다. 이러한 우선순위는 단순한 소프트웨어 규칙이 아니라 하드웨어 또는 인증된 안전 인터페이스를 통해 강제되어야 한다.

안전 제어기와 비안전 제어기 사이에는 하트비트(Heartbeat)와 워치독(Watchdog) 신호를 교환할 수 있다. 안전 PLC는 주 제어기가 정상 동작하는지를 감시하고, 주 제어기는 안전 상태를 감시할 수 있다. 일반 제어기의 상실로 자율 운전을 계속하는 것이 안전하지 않다면 제어 정지를 시작할 수 있다. 그러나 안전 PLC의 핵심 논리와 센서 평가는 일반 하트비트 없이도 비상 기능을 수행할 수 있어야 한다.

위치추정과 인지 데이터는 고급 안전 동작을 지원할 수 있지만 신뢰 수준을 고려해야 한다. 일반 AI 출력은 인증된 안전 판단의 유일한 근거로 사용하기에 부적합한 경우가 많다. 이러한 데이터는 감속 요청, 주의 수준 증가, 운영 문맥 제공에 사용할 수 있으며, 인증된 센서는 최종 보호 경계를 집행한다. 인지 결과를 안전 기능에 직접 사용하려면 전체 센싱 및 처리 경로가 요구되는 무결성 수준과 검증 기준을 만족해야 한다.

동적 속도 감시(Dynamic Speed Supervision)는 안전 엔코더, 드라이브 데이터, 보호 영역 선택을 결합할 수 있다. 안전 PLC는 현재 모드와 구역에서 로봇이 허용 속도 이하로 유지되는지를 검증한다. 속도가 한계를 초과하면 내비게이션 소프트웨어와 독립적으로 안전 정지를 시작한다. 측정 구조는 이중 휠 엔코더나 인증된 모터 피드백을 사용할 수 있다. 휠 슬립이 발생하면 모터 속도와 실제 지면 속도가 일치하지 않을 수 있으므로 실제 차량 움직임도 고려해야 한다.

정지 상태 감시(Standstill Monitoring)는 브레이크 해제, 접근 허용, 조작, 모드 전환 전에 로봇이 실제로 멈췄는지를 확인한다. 적재량과 경사에 따라 정지시간이 달라질 수 있으므로 단순한 시간 지연만으로는 충분하지 않을 수 있다. 안전 정지 감지는 검증된 속도 정보와 임계값 논리를 사용한다. 제어기는 로봇이 정지했다고 선언하기 전에 지정된 시간 동안 0 또는 거의 0에 가까운 속도를 유지하도록 요구할 수 있다. 이러한 확인은 도킹, 유지보수, 외부 장비 상호작용에서 안전성을 높인다.

컨베이어, 엘리베이터, 적재 스테이션, 로봇 팔과 상호작용할 때에는 안전 위치 및 구역 감시가 필요할 수 있다. 안전 PLC는 이송 장비를 활성화하기 전에 로봇이 지정된 위치 범위 안에 있는지를 검증할 수 있다. 위치 정보는 인증된 엔코더, 안전 위치추정 시스템, 감시형 도킹 센서, 이중화 물리 스위치에서 얻을 수 있다. 일반 지도 좌표만으로는 위험한 기계 연동에 충분한 무결성을 제공하지 못할 수 있다.

충전 인프라와의 통합은 추가적인 안전 기능을 요구한다. 안전 PLC는 도킹 위치를 확인하고, 로봇을 고정하며, 구동을 비활성화하고, 충전 커넥터 상태를 감시하며, 컨택터를 감독하고, 충전 전류가 흐르는 동안 이동을 방지할 수 있다. 비정상적인 분리, 충전기 고장, 안전하지 않은 커넥터 상태도 감지해야 한다. 충전 스테이션과 로봇은 에너지 전달 전에 양쪽 모두 준비되었음을 확인하도록 인증된 인터록 신호를 교환할 수 있다.

외부 기계 통합에서는 공유 안전 기능의 책임을 명확하게 정의해야 한다. 로봇이 기계 셀에 진입하면 시설의 안전 PLC와 로봇의 안전 PLC가 구역 진입 허가, 도어 상태, 로봇 위치, 이송 준비, 비상 정지 상태를 교환할 수 있다. 통합 시스템은 각 모드에서 어느 제어기가 권한을 갖는지와 고장이 어떻게 전파되는지를 정의해야 한다. 인터페이스 고장은 제어 책임을 모호하게 남기는 것이 아니라 양쪽 모두를 안전 상태로 전환해야 한다.

안전 구역 분할(Safety Zoning)은 영향을 받은 영역이나 액추에이터만 격리하여 불필요한 전체 정지를 줄일 수 있다. 위험 분석에 따라 정지된 로봇 후면의 범퍼가 작동해도 안전하게 고정된 전면 매니퓰레이터까지 비활성화할 필요가 없을 수 있다. 적재 컨베이어 고장 시 구동은 차단하면서 통신과 진단은 유지할 수 있다. 구역 분할은 가용성을 높이지만 논리를 복잡하게 만든다. 각 구역 경계는 위험한 상호작용이 발생하지 않도록 명확하게 문서화하고 검증해야 한다.

안전 프로그램은 가능한 경우 인증된 기능 블록(Certified Function Block)을 사용해야 한다. 비상 정지, 가드 감시, 양손 제어, 모드 선택, 리셋, 불일치 타이밍, 컨택터 피드백, 안전 속도, 안전 정지용 표준 블록은 구현 오류를 줄인다. 그러나 기능 블록은 올바르게 설정되고 적절한 시스템 구조 안에 연결되어야 한다. 블록의 인증이 전체 응용 논리나 물리 시스템을 자동으로 검증하는 것은 아니다.

프로그램 구조는 단순하고 결정론적이며 검토 가능해야 한다. 안전 논리에 불필요하게 복잡한 상태 머신이나 이해하기 어려운 추상화를 사용해서는 안 된다. 입력을 표준화하고, 안전 조건을 명시적으로 평가하며, 명확한 인터록을 통해 출력을 제어하고, 리셋 기준을 운전 명령과 분리해야 한다. 명명 규칙, 주석, 기능 다이어그램, 원인-결과 매트릭스(Cause-and-Effect Matrix)는 엔지니어와 심사자가 각 위험이 어떤 대응으로 이어지는지를 이해하는 데 도움을 준다.

안전 프로그램과 일반 프로그램이 동일한 하드웨어 플랫폼에서 실행될 수 있지만 제어기 설계에 따라 메모리와 실행의 분리를 유지해야 한다. 비안전 작업이 안전 실행을 지연시키는 방식으로 자원을 소비해서는 안 된다. 프로그램 영역 간 통신은 정의된 변수와 보호된 인터페이스를 사용해야 한다. 엔지니어는 어떤 파라미터가 안전 인증 대상이고 어떤 데이터가 일반 구성값인지 명확히 이해해야 한다.

작은 논리 수정도 안전 기능을 변경할 수 있으므로 변경 통제(Change Control)가 필수적이다. 안전 프로그램 접근은 비밀번호, 역할, 물리적 제어로 제한해야 한다. 변경은 배포 전에 검토, 시험, 문서화, 버전 관리, 승인을 거쳐야 한다. 운전 중 온라인 수정은 금지하거나 엄격하게 통제해야 한다. 제어기는 체크섬(Checksum)이나 전자서명을 기록하여 비인가 변경을 감지할 수 있어야 한다.

안전 속도 한계, 제동 시간, 스캐너 필드 번호, 엔코더 비율, 리셋 모드와 같은 구성 데이터도 안전 프로그램의 일부로 취급해야 한다. 잘못된 파라미터는 올바른 설계를 무력화할 수 있다. 값은 측정된 시스템 동작을 기반으로 정해야 하며 임의 조정으로부터 보호해야 한다. 로봇 질량, 타이어, 브레이크, 드라이브 펌웨어, 적재물 형상이 변경되면 영향을 받는 모든 안전 기능을 다시 검증해야 한다.

진단 설계는 운영상 정지와 안전 고장을 구분해야 한다. 보호 영역 침입은 구역이 비워지면 해제되는 정상 사건일 수 있지만 채널 불일치, 엔코더 불일치, 컨택터 용착, 통신 타임아웃은 유지보수가 필요한 시스템 고장이다. 안전 PLC는 원격 시스템이 상태를 무시할 수 없도록 하면서도 명확한 로컬 및 원격 정보를 제공해야 한다. 상세 진단은 가동 중단 시간을 줄이고 위험한 문제 해결 방식을 방지한다.

이벤트 기록(Event Logging)은 안전 상태 전환, 입력 변화, 출력 명령, 피드백 응답, 네트워크 고장, 속도 값, 모드 선택, 리셋 동작, 관련 타임스탬프를 포함해야 한다. 로그는 사고 조사, 증명 시험, 플릿 수준 신뢰성 분석을 지원한다. 주 제어기는 센서 데이터와 임무 상태 같은 확장 문맥을 저장할 수 있지만, 안전 PLC도 주 컴퓨터가 고장난 경우 안전 순서를 재구성할 수 있을 만큼 충분한 정보를 보존하거나 전송해야 한다.

환경 설계는 제어기와 분산 입출력 모두에 영향을 준다. 온도, 습도, 결로, 먼지, 물, 진동, 충격, 전자파 간섭은 신뢰성을 저하시킬 수 있다. 모듈은 인증된 환경 한계 안에서 설치하고 적절한 외함, 커넥터, 케이블 글랜드, 코팅, 장착 구조로 보호해야 한다. 실외 로봇에는 히터, 밀폐 캐비닛, 압력 평형 구조, 내식성 배선 부품이 필요할 수 있다.

안전 배선은 모터 드라이브, 배터리, 컨버터, 고속 컴퓨터 근처를 통과하는 경우가 많으므로 전자파 적합성(Electromagnetic Compatibility, EMC)이 특히 중요하다. 차폐, 꼬임쌍, 제어된 접지, 케이블 분리, 서지 억제, 필터링된 전원은 오작동 정지와 통신 고장을 줄인다. 안전 입출력의 테스트 펄스를 이해하여 연결 장치에 간섭을 주지 않도록 해야 한다. 노이즈 내성을 확보하되 과도한 필터 지연을 만들어서는 안 된다.

열 관리(Thermal Management)는 안전 모듈, 전원 공급 장치, 출력 인터페이스, 인접 컨택터를 포함해야 한다. 높은 외함 온도는 출력 전류 용량과 부품 수명을 감소시킬 수 있다. 안전 PLC 제조사는 설치 간격과 디레이팅 요구사항을 제시하는 경우가 많다. 검증에는 최대 주변 온도, 최대 출력 부하, 낮은 공기 흐름, 인접 열원을 포함해야 한다. 안전 캐비닛의 열 고장은 제어 불능 상태에 도달하기 전에 정의된 안전 대응을 발생시켜야 한다.

검증(Validation)은 요구사항 추적성(Requirements Traceability)에서 시작된다. 식별된 모든 위험은 하나 이상의 안전 요구사항, 프로그램 기능, 하드웨어 채널, 시험 항목, 합격 기준과 연결되어야 한다. 원인-결과 매트릭스는 각 입력 조건이나 고장이 출력과 운전 상태를 어떻게 변경하는지를 보여줄 수 있다. 추적성은 소프트웨어 변경 과정에서 안전 기능이 누락되는 것을 방지하고 구현된 시스템이 초기 위험 평가를 충족한다는 증거를 제공한다.

논리 검증(Logic Verification)은 각 입력 조합, 모드, 리셋 조건, 고장 경로, 출력 순서를 시험한다. 하드웨어가 준비되기 전에 시뮬레이션 도구로 안전 프로그램을 시험할 수 있지만 실제 입출력 시험은 여전히 필요하다. 팀은 불일치 감지, 단락 감지, 통신 타임아웃, 피드백 불일치, 전원 상실, 엔코더 고장, 브레이크 고장, 드라이브 안전 응답을 검증해야 한다. 예상하지 못한 조합에서는 보수적인 동작이 나타나야 한다.

진단 범위를 확인하려면 고장 주입(Fault Injection)이 필요하다. 엔지니어는 채널을 분리하고, 도체를 단락시키고, 컨택터 용착을 모사하며, 네트워크 구간을 차단하고, 엔코더 신호를 변경하고, 피드백을 제거하고, 전원 전압을 낮추거나, 드라이브 고장을 발생시킬 수 있다. 안전 PLC는 관련 조건을 감지하고 재시작을 방지해야 한다. 구조가 계속 진단 능력을 유지해야 하는 경우 하나의 고장이 다른 고장의 감지를 차단하지 않는지도 확인해야 한다.

전체 시스템 유효성 확인은 제어기 논리뿐 아니라 실제 로봇 동작을 확인한다. 정지 거리, 감속, 휠 슬립, 조향 안정성, 브레이크 체결, 적재물 이동, 안전 유지 능력을 최대 속도, 최대 질량, 허용 최대 경사, 저마찰 노면, 극한 온도에서 시험해야 한다. 안전 PLC가 프로그램대로 정확하게 동작하더라도 물리적 로봇이 안전하게 정지하지 못할 수 있으므로 기계적 검증은 필수적이다.

정기 증명 시험(Periodic Proof Testing)은 유지보수 계획에 포함되어야 한다. 안전 입력, 출력, 브레이크, 컨택터, 스캐너, 통신 링크, 리셋 장치는 정해진 주기에 실제로 작동시키고 점검해야 한다. 안전 PLC는 시험 날짜나 운전 주기를 추적하고 증명 시험 시점이 되면 유지보수 담당자에게 알릴 수 있다. 자동 진단은 숨은 고장을 줄이지만 실제 장치의 물리적 점검과 작동 시험을 완전히 대체할 수는 없다.

플릿 배포에는 엄격한 구성 관리(Configuration Management)가 필요하다. 각 로봇은 안전 PLC 모델, 펌웨어, 프로그램 버전, 파라미터 세트, 입출력 모듈, 드라이브 설정, 스캐너 필드, 브레이크 설정, 검증 결과를 추적 가능한 형태로 기록해야 한다. 플릿 전체 업데이트는 대표 로봇에서 시험한 뒤 단계적으로 배포해야 한다. 하드웨어 개정이 호환되지 않는 로봇에는 추가 검증 없이 동일한 안전 구성을 적용해서는 안 된다.

원격 모니터링은 안전 상태를 표시하고 복구를 지원할 수 있지만 안전 기능은 로컬에 유지되어야 한다. 클라우드 서비스, 플릿 서버, 대시보드, 무선 네트워크가 고장나더라도 로봇의 정지 능력에는 영향을 주지 않아야 한다. 원격 시스템은 작업자에게 알림을 보내고, 로그를 보존하고, 문제 해결을 안내할 수 있다. 전체 원격 경로가 해당 기능에 맞게 특별히 설계되고 인증되지 않은 한 안전 출력을 직접 활성화하거나, 안전 고장을 해제하거나, 현장 리셋 요구를 우회해서는 안 된다.

확장 가능한 안전 PLC 통합은 센서, 드라이브, 매니퓰레이터, 트레일러, 인프라가 추가되더라도 논리의 명확성을 유지해야 한다. 모듈형 입출력, 표준화된 장치 템플릿, 일관된 네트워크 주소, 재사용 가능한 검증 기능 블록은 확장을 단순화한다. 그러나 새 장치를 추가하면 위험 분석, 타이밍, 공통 원인 위험, 시험 범위가 모두 변경된다. 따라서 확장은 비공식적인 현장 수정이 아니라 공식적인 엔지니어링 변경 절차를 따라야 한다.

미래의 안전 PLC 시스템은 더 많은 분산 지능, 안전 모션 감시, 예측 진단(Predictive Diagnostics), 보안 통신, 상태 기반 유지보수를 통합하게 될 것이다. 브레이크 열화, 센서 정렬, 정지 능력, 네트워크 상태를 실시간으로 추정할 수 있다. 고급 분석은 가용성을 향상시킬 수 있지만 핵심 안전 판단은 결정론적이고, 범위가 제한되며, 독립적으로 검증 가능해야 한다. 상위 인공지능은 문맥을 제공할 수 있지만 인증된 안전 경로를 대체해서는 안 된다.

성공적인 안전 PLC 통합은 사람의 조작 장치, 보호 센서, 모션 드라이브, 브레이크, 컨택터, 충전 시스템, 외부 기계, 진단, 리셋 논리, 유지보수를 아우르는 통합 안전 계층을 만든다. 그 강점은 일반 제어와의 명확한 분리, 고장 안전 하드웨어, 검증된 소프트웨어, 감시된 출력, 측정된 물리적 동작에서 나온다. 이러한 요소를 함께 설계하면 안전 PLC는 자율 시스템의 다른 부분이 불확실하거나 고장난 상황에서도 위험한 로봇 움직임을 방지하는 신뢰할 수 있는 최종 권한이 된다.

12.04 Safe Power Shutdown

안전 전원 차단(Safe Power Shutdown)은 자율이동로봇(Autonomous Mobile Robot, AMR)에서 새로운 위험을 만들지 않고, 하드웨어를 손상시키지 않으며, 데이터를 훼손하지 않고, 기계 장치를 불안정한 상태로 남겨두지 않으면서 전기 에너지를 제거하거나 감소시키는 체계적인 과정이다. 현대의 로봇은 구동 드라이브(Traction Drive), 조향 액추에이터(Steering Actuator), 브레이크, 승강 장치, 컴퓨터, 센서, 통신 장치, 커패시터(Capacitor), 분산 제어기를 포함하고 있으며, 각각은 전원이 차단될 때 서로 다른 방식으로 반응한다. 따라서 안전 전원 차단 구조는 위험한 움직임을 제어하는 것뿐만 아니라 전기적·계산적 기능을 질서 있게 종료하는 과정까지 함께 관리해야 한다.

첫 번째 설계 목표는 각 하위 시스템에서 "안전(Safe)"이 무엇을 의미하는지를 정의하는 것이다. 구동 시스템에서는 제어된 감속 후 토크 제거와 브레이크 체결이 안전 상태일 수 있다. 승강 장치에서는 전원을 즉시 차단하는 대신 적재물을 안정적으로 유지하는 것이 필요할 수 있다. 인공지능(AI) 컴퓨터에서는 로그를 저장하고 저장장치를 정상적으로 종료하는 것이 중요할 수 있다. 통신 장치는 이벤트를 보고하기 위해 일정 시간 동안 전원을 유지하는 것이 바람직할 수 있다. 따라서 안전 전원 차단은 단일한 전체 전원 차단이 아니라 각 하위 시스템에 맞는 안전 상태를 기반으로 설계되어야 한다.

안전 전원 차단은 비상 정지(Emergency Stop)와도 구별되어야 한다. 비상 정지는 긴급 상황에서 가능한 한 빠르게 위험 에너지를 제거하거나 제어하는 것이 목적이다. 반면 안전 전원 차단은 정상적인 작업 종료, 배터리 부족, 열 이상, 유지보수 준비, 네트워크 상실 또는 제어된 시스템 고장 상황에서 시작될 수 있다. 어떤 경우에는 비상 정지가 이후 안전 전원 차단의 첫 번째 단계가 되기도 한다. 따라서 시스템 구조는 어떤 기능이 즉시 동작해야 하고 어떤 기능이 관리된 순서로 수행되어야 하는지를 명확하게 정의해야 한다.

위험 분석(Hazard Analysis)은 전원 차단 중과 차단 이후에도 위험으로 남아 있는 에너지원을 식별한다. 여기에는 배터리 전압, 충전된 DC 링크 커패시터(DC-Link Capacitor), 회생 에너지(Regenerative Energy), 회전 중인 바퀴, 들어 올려진 적재물, 공압 압력, 유압 축압기(Hydraulic Accumulator), 스프링, 고온 표면, 기계적으로 저장된 에너지가 포함될 수 있다. 엔지니어는 제어 전원이 사라질 때 각각의 에너지원이 어떻게 동작하는지를 평가해야 한다. 단순히 배터리를 차단하는 것만으로도 액추에이터가 움직일 만큼의 잔류 에너지가 남거나 감전 위험이 발생하거나 연결된 전자장치가 손상될 수 있다.

전원 차단 순서는 로봇의 실제 물리적 거동을 기반으로 설계되어야 한다. 고속으로 이동하는 대형 이동 플랫폼은 일반적으로 구동 토크를 제거하기 전에 먼저 감속해야 한다. 경사면에서는 기계식 브레이크가 완전히 체결될 때까지 능동적인 제동이 필요할 수 있다. 조향 시스템은 감속 과정에서 방향 안정성을 유지하기 위해 일정 시간 동안 계속 전원이 공급되어야 할 수도 있다. 따라서 하나의 기능을 제거하는 과정이 다른 하위 시스템을 위험하게 만들지 않도록 전체 순서를 설계해야 한다.

제어된 감속(Controlled Deceleration)은 안전 전원 차단의 첫 번째 능동 단계인 경우가 많다. 모션 제어기(Motion Controller) 또는 안전 드라이브 기능은 정의된 감속 프로파일(Deceleration Profile)에 따라 로봇의 속도를 줄인다. 이 프로파일은 적재물 안정성, 타이어 마찰력, 휠 슬립(Wheel Slip), 바닥 상태, 무게중심, 장애물 위치를 고려해야 한다. 지나치게 강한 제동은 미끄러짐이나 적재물 이동을 유발할 수 있고, 너무 약한 제동은 정지 거리를 필요 이상으로 증가시킬 수 있다. 선택된 감속 프로파일은 최악의 운전 조건에서 반드시 검증되어야 한다.

전원 차단 제어기는 감속이 실제로 예상대로 진행되고 있는지를 독립적으로 확인해야 한다. 휠 엔코더(Wheel Encoder), 모터 피드백, 관성 센서(Inertial Sensor), 인증된 안전 속도 기능을 사용하여 실제 움직임을 감시할 수 있다. 지정된 시간이나 거리 안에 속도가 충분히 감소하지 않으면 안전 토크 차단(Safe Torque Off, STO), 기계식 브레이크, 전원 컨택터(Contactors) 차단과 같은 대체 정지 경로를 활성화해야 한다. 단순히 정지 명령을 전송한 것만으로는 충분하지 않으며, 드라이브, 통신 경로 또는 주 제어기가 이미 고장났을 가능성도 고려해야 한다.

정지 상태 감지(Standstill Detection)는 동적 정지와 최종 에너지 차단 사이를 연결하는 중요한 전환점이다. 제어기는 바퀴 속도와 기타 위험한 기계 장치가 정의된 임계값 이하로 일정 시간 동안 유지되는지를 확인해야 한다. 단순한 시간 지연은 질량, 경사, 노면 마찰, 배터리 전압, 브레이크 상태에 따라 실제 정지 시간이 달라질 수 있기 때문에 신뢰하기 어렵다. 정지 상태가 확인되면 구조는 유지 브레이크를 체결하고, 액추에이터 전원을 차단하며, 위험한 움직임이 발생하지 않는 상태에서 비안전 시스템 종료를 시작할 수 있다.

기계식 브레이크(Mechanical Brake)는 전기적 토크가 제거된 이후에도 로봇이 정지 상태를 유지해야 하는 경우 매우 중요하다. 스프링 작동·전기 해제 브레이크(Spring-Applied, Electrically Released Brake)는 전원이 상실되면 자동으로 체결되므로 널리 사용된다. 그러나 로봇이 아직 높은 속도로 이동하는 동안 브레이크가 잠기지 않도록 체결 시점을 적절하게 조정해야 한다. 브레이크 피드백, 코일 전류 감시, 위치 스위치를 이용하여 실제 체결 여부를 확인할 수 있다. 단순히 브레이크 명령을 보냈다는 사실만으로 실제 기계 상태를 가정해서는 안 된다.

경사면이나 불균일한 지형에서는 구동 전원을 차단하기 전에 유지 능력(Holding Capability)을 검증해야 한다. 제어기는 기계식 브레이크가 체결되는 동안 일시적으로 모터 토크를 유지하고, 이후 움직임을 감시하면서 점진적으로 토크를 제거할 수 있다. 만약 로봇이 굴러가기 시작하면 제동력을 다시 증가시키거나 상위 수준의 고장 대응을 수행해야 한다. 브레이크 용량은 최대 질량, 최대 허용 경사, 마모, 온도, 오염, 낮은 배터리 전압까지 모두 고려하여 선정해야 한다.

안전 토크 차단(STO)은 모터 드라이브가 더 이상 토크를 생성하지 못하도록 하는 대표적인 안전 기능이다. STO는 드라이브 내부의 에너지 경로를 차단하지만 진단 기능을 위해 드라이브 전자회로는 계속 유지할 수 있다. STO는 의도하지 않은 모터 동작을 방지하는 빠르고 신뢰성 높은 방법이지만 DC 버스를 차단하거나 차량이 즉시 정지하는 것을 보장하지는 않는다. 따라서 STO는 감속, 정지 상태 확인, 기계식 브레이크, 최종 전원 차단을 포함하는 전체 안전 시퀀스 안에서 사용되어야 한다.

메인 배터리 컨택터(Main Battery Contactor)는 정상적인 안전 전원 차단 과정에서 가장 먼저 열려서는 안 되는 경우가 많다. 모터가 회생 제동을 수행하거나 대형 전력 변환기가 동작하는 동안 컨택터를 개방하면 전압 스파이크, 접점 아크, 제어 제동 상실이 발생할 수 있다. 일반적으로는 부하를 줄이고, 움직임을 멈추며, 전력 변환기를 비활성화하고, 회생 전류가 완전히 사라졌음을 확인한 후 컨택터를 개방하는 것이 바람직하다. 정확한 순서는 배터리 화학 특성, 인버터 설계, DC 버스 커패시턴스, 에너지 흡수 경로에 따라 달라진다.

회생 제동(Regenerative Braking)은 안전 전원 차단 과정에서 특별한 문제를 만든다. 감속 중 모터 드라이브는 에너지를 배터리 또는 DC 버스로 되돌려 보낼 수 있다. 그러나 배터리 관리 시스템(Battery Management System, BMS)이 배터리가 완충 상태이거나 저온, 과열 또는 고장 상태라는 이유로 충전을 제한하면 버스 전압이 급격히 상승할 수 있다. 이러한 경우 안전 전원 차단 구조는 제동 저항(Braking Resistor), 덤프 회로(Dump Circuit), 양방향 컨버터(Bidirectional Converter), 또는 회생 토크 제한 기능을 포함해야 할 수 있다. 제어 시스템은 정지 과정에서 회생 제동에 의존하기 전에 배터리가 실제로 에너지를 수용할 수 있는지를 반드시 확인해야 한다.

프리차지 및 방전 회로(Pre-Charge and Discharge Circuit)는 전원 차단 논리와 함께 동작해야 한다. 프리차지 회로는 기동 시 돌입전류(Inrush Current)를 제한하고, 방전 회로는 전원 제거 후 DC 링크 전압을 낮춘다. 메인 컨택터가 개방된 이후에도 모터 드라이브, 컴퓨터, 전력 변환기의 대용량 커패시터에는 상당한 전하가 남아 있을 수 있다. 방전 저항(Bleeder Resistor)이나 제어된 방전 스위치를 이용하여 허용 시간 안에 전압을 안전한 수준으로 낮춰야 한다. 시스템은 단순히 시간이 지났다고 가정하는 것이 아니라 실제 버스 전압을 감시해야 한다.

잔류 전압 표시기(Residual Voltage Indicator)는 유지보수 안전성을 크게 향상시킬 수 있다. 눈으로 확인 가능한 표시등이나 진단 신호를 통해 전원 차단 이후에도 위험한 DC 버스 전압이 남아 있는지를 알려줄 수 있다. 이러한 표시 장치는 전압이 감소하는 과정에서도 신뢰성 있게 동작하도록 설계되어야 한다. 유지보수 절차에는 커넥터, 버스바(Busbar), 전력 모듈에 접근하기 전에 필요한 대기 시간과 전압 확인 방법이 포함되어야 한다. 단순한 소프트웨어 메시지만으로 회로가 완전히 무전압 상태라고 판단해서는 안 된다.

배터리 절연(Battery Isolation)은 배터리 관리 시스템(BMS)과 협조하여 수행되어야 한다. BMS는 셀 전압, 전류, 온도, 절연 상태, 컨택터 상태, 고장을 지속적으로 감시한다. 정상적인 종료 과정에서는 로봇 제어기가 BMS에 절연을 요청하고 충전 및 방전 경로가 모두 차단되었음을 확인할 수 있다. 심각한 고장이 발생하면 BMS는 자체적으로 컨택터를 개방할 수도 있다. 시스템은 이러한 경우에도 안전 상태를 유지할 수 있도록 설계되어야 한다.

주행 중 배터리 전원이 갑자기 상실되는 상황도 중요한 고장 시나리오이다. 과전류, 셀 저전압, 과열 보호, 통신 상실, BMS 내부 고장으로 인해 컨택터가 예기치 않게 개방될 수 있다. 로봇은 배터리 전원이 계속 존재한다는 가정 없이도 안전한 대응을 수행해야 한다. 이를 위해 스프링 작동 브레이크, 기계적으로 안정적인 조향 장치, 잔류 에너지 저장 장치, 독립적인 안전 전원이 필요할 수 있다. 시스템은 예기치 않은 전원 상실을 충분히 발생 가능한 조건으로 간주해야 한다.

독립적인 안전 전원(Independent Safety Power)은 전원 차단 중에도 중요한 기능을 유지할 수 있게 한다. 소형 보조 배터리, 슈퍼커패시터(Supercapacitor), 보호된 저전압 전원은 안전 제어기, 브레이크 논리, 경고 표시기, 통신 모듈, 데이터 기록 장치에 전력을 공급할 수 있다. 이를 통해 위험한 액추에이터 전원이 제거된 이후에도 진단을 완료하고, 브레이크 체결을 확인하며, 이벤트를 보고하고, 로그를 저장할 수 있다. 이러한 에너지 저장 장치는 최악의 종료 시간과 배터리 노화를 고려하여 용량을 결정해야 한다.

전원 영역(Power Domain)은 기능에 따라 분리되어야 한다. 위험 전원은 구동, 조향, 승강 장치, 컨베이어, 히터, 대형 적재 메커니즘을 공급할 수 있다. 제어 전원은 컴퓨터, 통신 장치, 센서, 일반 제어 논리를 담당한다. 안전 전원은 안전 상태를 감시하고 유지하는 회로를 지원해야 한다. 이러한 분리를 통해 위험한 에너지는 제거하면서도 종료 과정을 계속 감시하고 제어할 수 있다.

전원 차단 제어기는 이러한 전원 영역에 대해 명확한 제어 권한을 가져야 한다. 컨택터, 반도체 스위치, 드라이브 활성화 신호, DC-DC 컨버터 제어, 전원 분배 장치를 이용하여 각 부하를 정의된 순서로 차단할 수 있다. 일반 소프트웨어는 종료를 요청할 수 있지만 최종 전원 차단 과정은 충돌되는 명령이나 우발적인 중단으로부터 보호되어야 한다. 위험한 움직임이 발생할 수 있는 단계는 결정론적인 논리 또는 안전 제어기에서 수행되어야 한다.

컴퓨팅 시스템은 저장장치 손상과 진단 정보 손실을 방지하기 위해 질서 있는 소프트웨어 종료가 필요하다. 운영체제는 응용 프로그램을 종료하고, 파일 버퍼를 기록하며, 데이터베이스를 닫고, 저장장치를 정상적으로 마운트 해제해야 한다. AI 작업, 지도 업데이트, 원격 데이터 전송, 로그 저장도 함께 종료되어야 할 수 있다. 그러나 소프트웨어 종료가 위험 에너지 제거를 지연시켜서는 안 된다. 안전 동작이 항상 우선되어야 하며, 남은 홀드업 시간(Hold-Up Time) 동안 컴퓨터는 안전하게 종료를 완료해야 한다.

종료 서비스(Shutdown Service)는 여러 컴퓨터의 소프트웨어 작업을 조정할 수 있다. 각 응용 프로그램에 종료를 통보하고, 임무 수행을 중단하며, 현재 상태를 저장하고, 통신 세션을 종료한 뒤, 완료 여부를 전원 제어기에 보고할 수 있다. 이 과정에는 반드시 타임아웃(Timeout)이 필요하다. 하나의 응용 프로그램이 응답하지 않는다고 해서 전체 종료 과정이 무한정 지연되어서는 안 된다. 제한 시간이 지나면 안전 기능을 유지한 채 강제 전원 차단을 수행해야 한다.

저장장치(Storage Technology)의 종류는 종료 과정에서의 데이터 안정성에 영향을 준다. 전원 상실 보호 기능을 갖춘 산업용 SSD는 일반 소비자용 SSD보다 훨씬 안전하다. 읽기 전용 시스템 파티션(Read-Only Partition), 저널링 파일 시스템(Journaling File System), 트랜잭션 데이터베이스(Transaction Database), 제어된 로그 버퍼링은 데이터 손상을 줄이는 데 도움이 된다. 중요한 설정과 안전 파라미터는 갑작스러운 전원 상실에도 보존될 수 있는 방식으로 저장되어야 한다.

이벤트 로그(Event Log)는 종료 직전에 우선적으로 기록되어야 한다. 시스템은 종료 원인, 로봇 속도, 안전 입력, 배터리 상태, 컨택터 상태, 브레이크 피드백, 네트워크 상태, 온도, 최근 고장을 저장해야 한다. 이러한 정보는 사고 조사와 유지보수에 매우 중요하다. 로그는 긴 클라우드 업로드를 기다리지 않고 로컬 저장장치에 안전하게 기록되어야 하며, 원격 동기화는 이후 재시작 시 수행할 수 있다.

통신은 작업자와 플릿 관리 시스템(Fleet Management System)에 종료 사실을 알릴 수 있을 만큼 충분한 시간 동안 유지되어야 한다. 로봇은 정지 중임을 알리고, 종료 원인을 보고하며, 현재 위치와 지원 필요 여부를 전달할 수 있다. 그러나 통신이 실패하더라도 안전 전원 차단은 정상적으로 완료되어야 한다. 따라서 네트워크는 상황 인식을 향상시키는 역할만 해야 하며 토크 제거, 브레이크 체결, 배터리 절연에 필수적인 요소가 되어서는 안 된다.

외부 표시 장치(External Indicator)는 현재 종료 상태를 명확하게 나타내야 한다. 표시등, 디스플레이, 경고음, 상태 비콘(Status Beacon)은 제어된 종료, 비상 정지, 배터리 부족, 열 종료, 유지보수 절연, 완전한 전원 차단을 구분하여 보여줄 수 있다. 작업자는 로봇이 아직 전원이 공급되고 있는지, 움직일 수 있는지, 유지보수를 기다리는 상태인지를 쉽게 이해할 수 있어야 한다. 안전 전원 영역에서 공급되는 표시 장치는 위험 에너지가 제거될 때까지 계속 동작할 수 있다.

배터리 부족 종료(Low-Battery Shutdown)는 안전한 정지와 브레이크 동작에 필요한 에너지가 부족해지기 전에 시작되어야 한다. 로봇은 정지, 안전한 위치 이동, 브레이크 체결, 데이터 저장, 전원 절연에 필요한 에너지를 항상 남겨두어야 한다. 배터리 잔량(State of Charge)은 특히 고부하, 저온, 노화된 셀에서는 오차가 커질 수 있으므로 충분한 안전 여유를 확보해야 한다. 이는 주행 중 BMS가 갑자기 전원을 차단하는 위험을 줄여준다.

열 종료(Thermal Shutdown)도 단계적인 접근이 필요하다. 배터리, 모터 드라이브, 컴퓨터, 전력 변환기, 브레이크 구성품이 과열되면 먼저 속도나 연산 부하를 줄이거나 적재 장치를 제한할 수 있다. 온도가 계속 상승하면 로봇을 정지시키고 해당 전원 영역을 차단해야 한다. 냉각 팬이나 펌프는 움직임이 멈춘 후에도 계속 동작해야 할 수 있다. 열관성(Thermal Inertia) 때문에 부하 제거 후에도 온도가 계속 상승할 수 있으므로 종료 순서는 이를 고려해야 한다.

화재나 연기 감지(Fire or Smoke Detection)는 보다 적극적인 전원 차단 전략을 요구할 수 있다. 시스템은 즉시 움직임을 멈추고, 충전을 중단하며, 배터리 컨택터를 개방하고, 경보를 울리며, 작업자에게 상황을 알릴 수 있다. 그러나 이러한 즉각적인 차단에서도 제동과 저장 에너지를 고려해야 한다. 배터리 화재 특성, 외함 배기 구조, 소화 시스템, 열 확산 방지, 대피 절차는 별도의 화재 안전 설계에서 다루어져야 한다. 안전 전원 차단은 전기적 위험을 줄일 수 있지만 화재 안전 전체를 대신할 수는 없다.

절연 고장(Insulation Fault)과 접지 누설(Ground Leakage)도 종료를 유발할 수 있다. 절연 감시 장치(Isolation Monitoring Device)는 고전압 버스와 차체 사이의 절연 저항 감소를 감지한다. 고장의 심각도에 따라 시스템은 운전을 제한하거나 안전한 장소에서 정지하거나 즉시 배터리를 차단할 수 있다. 제어기는 일시적인 측정 노이즈와 지속적인 위험 누설을 구분해야 한다. 차단 이후에는 유지보수 담당자가 실제 고장을 확인하고 차체가 안전한 상태인지 검증할 수 있어야 한다.

단락(Short Circuit)과 과전류(Overcurrent)는 일반적인 안전 종료보다 훨씬 빠른 대응을 요구한다. 퓨즈, 회로 차단기, 전자식 보호 장치, BMS는 소프트웨어가 반응하기 전에 전류를 차단할 수 있다. 안전 종료 구조는 이러한 보호가 동작한 이후에도 안정적으로 유지되어야 한다. 부분적인 전원 상실, 컨택터 개방, 통신 중단, 액추에이터 비가용 상태를 모두 처리할 수 있어야 한다. 보호 협조(Protection Coordination)는 가능한 한 가장 작은 전원 영역만 차단하면서도 전체 안전을 유지하도록 설계되어야 한다.

전원 분배 장치(Power Distribution Unit)는 선택적 종료(Selective Shutdown)를 지원할 수 있다. 모든 전원을 동시에 제거하는 대신 지능형 스위치를 이용하여 고장난 센서, 컴퓨터, 적재 장치, 히터, 통신 장치만 선택적으로 차단하고 핵심 기능은 유지할 수 있다. 이러한 방식은 가용성을 높이고 복구 시간을 줄여준다. 그러나 신호선, 네트워크 케이블, 공통 접지를 통해 역전류(Backfeed)가 흐르지 않도록 해야 한다. 각 전원 영역은 명확한 절연 경계를 가져야 한다.

역전류(Backfeeding)는 분산 시스템에서 자주 발생하는 종료 문제이다. 전원이 꺼졌다고 생각한 컴퓨터나 센서가 USB, Ethernet, CAN, GPIO, 차폐선을 통해 다른 장치에서 전류를 공급받을 수 있다. 이러한 부분 전원 상태는 불안정한 논리 동작, 커넥터 손상, 예기치 않은 액추에이터 동작을 유발할 수 있다. 따라서 인터페이스 설계에서는 절연, 로드 스위치(Load Switch), 이상 다이오드(Ideal Diode), 제어된 순차 동작을 이용하여 원치 않는 전류 경로를 제거해야 한다.

통신 인터페이스의 종료 순서도 중요하다. 제어기의 전원이 먼저 꺼졌는데 통신 트랜시버(Transceiver)가 계속 전원을 공급받으면 정의되지 않은 신호나 팬텀 전류(Phantom Current)가 발생할 수 있다. 반대로 통신을 너무 빨리 차단하면 최종 상태 보고나 협조 종료가 불가능해질 수 있다. 따라서 의존 장치가 종료를 확인할 때까지 통신을 유지한 후 인터페이스 전원을 순차적으로 차단해야 한다.

충전 종료(Charging Shutdown)는 로봇, 충전기, BMS, 충전 컨택터 간의 긴밀한 협조가 필요하다. 가능하면 커넥터나 컨택터를 열기 전에 충전 전류를 0으로 감소시켜야 한다. 충전이 종료되었음을 확인한 뒤에만 기계적 잠금을 해제하고, 커넥터가 완전히 분리되기 전에는 로봇이 움직이지 못하도록 해야 한다. 비정상적인 분리나 충전기 고장이 발생하면 즉시 절연과 고장 기록을 수행해야 한다. 자동 충전 스테이션 역시 온보드 전원 시스템과 동일한 수준의 안전성을 가져야 한다.

무선 충전(Wireless Charging)은 추가적인 종료 고려사항을 요구한다. 로봇이 움직이거나 사람이 충전 구역에 접근하기 전에 송신기와 수신기는 반드시 에너지 전달을 중단해야 한다. 이물질 감지(Foreign Object Detection), 정렬 감시, 온도 감시, 통신 상태 확인이 인터록의 일부가 되어야 한다. 로봇은 유도 전력이 안전 수준 이하로 감소했음을 확인한 후에만 이동을 허용해야 한다. 통신이 끊어지면 기본적으로 에너지 전달은 중단되어야 한다.

외부 적재 장치(External Payload)는 자체적인 종료 절차가 필요할 수 있다. 냉장 적재함은 냉각을 계속 유지해야 하고, 의료 장비는 경보 전원이 필요할 수 있으며, 산업용 공구는 회전 부품이나 저장 에너지를 포함할 수 있다. 따라서 로봇은 차체의 주 전원을 차단했다고 해서 적재 장치까지 자동으로 안전 상태가 된다고 가정해서는 안 된다. 표준화된 적재 인터페이스는 전원 종료 명령, 피드백, 방전 시간, 고장 대응, 최종 안전 상태의 책임을 정의해야 한다.

매니퓰레이터를 장착한 로봇은 자세 관리(Posture Management)를 함께 수행해야 한다. 전원을 제거하기 전에 로봇 팔은 공구나 적재물을 안전한 위치에 놓을 필요가 있다. 그러나 고장 상황에서는 이러한 동작 자체가 불가능하거나 위험할 수도 있다. 브레이크, 카운터밸런스(Counterbalance), 기계식 잠금장치, 중력 보상, 충돌 안전 동작을 모두 고려해야 한다. 전원 상실이 로봇 팔의 낙하나 위험 물질 방출로 이어져서는 안 된다.

공압 및 유압 시스템은 압력 관리가 필요하다. 종료 과정에서는 공급 밸브를 닫고, 일부 회로의 압력을 배출하며, 하중을 지지하는 액추에이터의 압력을 유지하거나 기계식 잠금장치를 사용할 수 있다. 압력을 너무 빠르게 배출하면 제어되지 않은 움직임이 발생할 수 있고, 반대로 압력을 계속 유지하면 유지보수 위험이 커질 수 있다. 압력 센서와 밸브 피드백을 이용하여 실제 상태를 확인해야 한다. 또한 운전 중 안전 상태와 유지보수용 무에너지 상태(Zero-Energy State)를 명확히 구분해야 한다.

작업자가 수행하는 일반 종료(Normal Operator Shutdown)는 단순하고 예측 가능해야 한다. 하나의 종료 명령만으로 임무 취소, 안전 주차 위치 이동, 적재물 고정, 제어 감속, 브레이크 체결, 소프트웨어 종료, 전원 절연까지 순차적으로 수행되어야 한다. 작업자는 종료 진행 상황과 완료 여부를 명확하게 확인할 수 있어야 한다. 어느 단계에서 문제가 발생하면 로봇은 안전한 열화 절차를 수행하거나 작업자 지원을 요청해야 하며 위험한 움직임을 다시 허용해서는 안 된다.

원격 종료(Remote Shutdown)는 플릿 운영에 유용하지만 적절한 권한과 상황 판단이 필요하다. 원격 작업자는 출입문, 엘리베이터, 교차로, 경사면을 이동 중인 로봇의 전원을 즉시 차단해서는 안 된다. 일반적으로는 먼저 제어 정지를 요청하고 로봇이 안전한 위치에 도달했음을 확인한 후 최종 종료를 수행하는 것이 바람직하다. 원격 종료 권한은 인증(Authentication), 역할 기반 제어(Role-Based Access Control), 기록(Log), 실수로 전체 플릿이 동시에 종료되는 것을 방지하는 보호 기능을 갖추어야 한다.

자동 종료 정책(Automatic Shutdown Policy)은 새로운 위험을 만들어서는 안 된다. 통신 타임아웃, 소프트웨어 예외, 센서 고장이 항상 전체 전원 차단을 의미하는 것은 아니다. 이러한 경우 로봇은 제어된 정지를 수행하고 경고등과 통신을 유지하는 편이 더 안전할 수 있다. 고장의 심각도에 따라 부하 감소, 보호 정지, 안전 주차, 액추에이터 절연, 완전 전원 차단을 구분하여 적용해야 한다.

워치독 시스템(Watchdog System)은 중요한 제어기가 응답하지 않을 때 종료를 시작할 수 있다. 독립적인 하드웨어 또는 안전 제어기 워치독은 주 컴퓨터 상태, 드라이브 통신, 핵심 제어 루프를 지속적으로 감시한다. 주 제어기가 멈추면 워치독은 드라이브 활성화를 제거하고 안전 정지를 시작할 수 있다. 종료 과정은 고장난 컴퓨터가 스스로 복구 절차를 수행하는 것에 의존해서는 안 된다. 동시에 현실적인 타이밍과 적절한 진단을 통해 불필요한 워치독 오동작도 최소화해야 한다.

안전 전원 차단 이후의 재시작(Restart)은 반드시 통제되어야 한다. 배터리 전원을 복구한다고 해서 모터가 즉시 활성화되거나 브레이크가 자동 해제되어서는 안 된다. 시스템은 전원 점검, 안전 제어기 자가진단, BMS 검증, 컨택터 진단, 프리차지, 버스 전압 확인, 컴퓨터 기동, 센서 점검, 위치추정 확인, 작업자 또는 임무 승인 과정을 수행해야 한다. 종료 원인이 해결되지 않은 경우 자동 재시작은 차단되어야 한다.

프리차지 감시(Pre-Charge Monitoring)는 재시작 과정에서 특히 중요하다. 제어기는 메인 컨택터를 닫기 전에 DC 버스 전압이 예상한 속도로 상승하는지를 확인해야 한다. 전압이 너무 빨리 상승하면 컨택터 용착을 의미할 수 있으며, 너무 느리게 상승하면 단락, 손상된 저항기, 과도한 커패시턴스, 부하 고장을 의심해야 한다. 따라서 안전 종료와 안전 기동은 컨택터, 전압, 진단 논리를 함께 공유하는 연속된 과정이다.

리셋 요구사항은 종료 원인에 따라 달라져야 한다. 일반적인 작업 종료는 정상 기동으로 충분할 수 있지만 비상 정지, 절연 고장, 브레이크 고장, 과열, 컨택터 용착은 점검과 수동 리셋을 요구해야 한다. 시스템은 종료 원인을 전원 재인가 이후에도 유지하여 단순히 전원을 껐다 켜는 것만으로 안전 고장이 사라지지 않도록 해야 한다. 이러한 영구 고장 기록은 유지보수와 안전한 복구를 지원한다.

유지보수 절연(Maintenance Isolation)은 운전 종료와 구분되어야 한다. 정상 종료가 완료된 로봇에도 배터리 전압, 충전된 커패시터, 압력, 들어 올려진 하중, 원격 제어 가능한 회로가 남아 있을 수 있다. 위험한 시스템 작업에는 잠금표시 절차(Lockout and Tagout), 기계적 지지, 서비스 차단기(Service Disconnect), 전압 확인이 반드시 필요하다. 문서에는 "전원이 꺼짐(Powered Down)"이 곧 "무에너지 상태(Zero Energy)"를 의미하지 않는다는 점을 명확히 설명해야 한다.

수동 배터리 차단기(Manual Battery Disconnect)는 접근하기 쉽고 명확하게 표시되어야 하며 실수로 작동되지 않도록 보호되어야 한다. 이는 유지보수나 긴급 대응 시 확실한 절연 수단을 제공한다. 손상된 장치나 움직이는 기계에 가까이 가지 않고도 사용할 수 있는 위치에 설치해야 한다. 차단기는 시스템 전압, 전류, 고장 에너지, 환경 조건, 예상 사용 횟수에 적합한 정격을 가져야 한다. 부하가 흐르는 상태에서 수동 차단기를 개방하는 것은 해당 장치가 이를 지원하도록 설계된 경우를 제외하고 금지되어야 한다.

환경 조건(Environmental Condition)은 종료 신뢰성에 큰 영향을 미친다. 저온에서는 컨택터 응답이 느려지고 배터리 출력이 감소하며 브레이크 마찰이 증가할 수 있다. 고온에서는 브레이크 성능이 저하되고 전력 변환기 용량이 감소하거나 전자장치가 순차 종료 전에 먼저 꺼질 수 있다. 물, 먼지, 부식, 진동은 피드백 접점과 배선을 손상시킬 수 있다. 따라서 검증은 실제 운용 환경 전체 범위에서 수행되어야 한다.

전자파 간섭(Electromagnetic Interference, EMI)은 종료 신호, 통신, 컨택터 제어를 방해할 수 있다. 안전 배선은 고전류 스위칭 경로와 분리하여 배치하고 유도성 코일에는 적절한 억제 회로를 사용해야 한다. 컨택터 개방 시 발생하는 전원 과도현상이 최종 상태를 확인하기 전에 안전 제어기를 리셋시켜서는 안 된다. 접지, 차폐, 필터링, 물리적 배선 구조는 최악의 전기적 노이즈 환경에서도 안정적인 종료를 보장해야 한다.

타이밍 분석(Timing Analysis)은 종료 과정 전체를 포함해야 한다. 엔지니어는 고장 감지 시간, 판단 시간, 감속 명령, 드라이브 응답, 정지 확인, 브레이크 체결, 토크 제거, 컨택터 개방, 커패시터 방전, 소프트웨어 종료, 최종 상태 표시 시간을 모두 측정해야 한다. 일부 단계는 병렬로 수행될 수 있지만 서로의 의존성을 명확히 이해해야 한다. 모든 시간 한계는 실제 최악 조건에서 측정된 결과와 충분한 설계 여유를 기반으로 설정해야 한다.

종료 상태 머신(Shutdown State Machine)은 이해하기 쉽고 결정론적이어야 한다. 일반적으로 정상 운전, 종료 요청, 제어 감속, 정지 확인, 브레이크 체결, 액추에이터 절연, 소프트웨어 종료, 배터리 절연, 방전 확인, 종료 완료와 같은 상태로 구성될 수 있다. 고장이 발생하면 항상 보수적인 상태로 전이되어야 한다. 지나치게 복잡한 상태 구조는 복구 과정을 불명확하게 만들 수 있으므로 각 상태와 전이에는 명확한 진입 조건, 수행 동작, 타임아웃, 종료 조건이 정의되어야 한다.

진단(Diagnostics)은 종료 과정에서 어느 단계가 실패했는지를 정확하게 알려주어야 한다. 단순히 "종료 실패"라는 메시지만으로는 충분하지 않다. 브레이크 피드백 없음, 속도 감소 실패, 컨택터 개방 실패, 버스 전압 방전 실패, 컴퓨터 종료 응답 없음, 충전 전류 지속, 적재 장치 미고정과 같은 구체적인 정보가 제공되어야 한다. 상세한 진단은 유지보수 시간을 줄이고 위험한 우회 조작을 예방한다.

이벤트 기록(Event Recording)은 성공적인 종료뿐 아니라 실패한 종료도 저장해야 한다. 컨택터 개방 시간이 점차 길어지거나, 브레이크 체결 시간이 증가하거나, 버스 방전 시간이 길어지거나, 소프트웨어 타임아웃이 자주 발생하는 것은 고장의 전조일 수 있다. 플릿 분석(Fleet Analytics)은 여러 로봇의 종료 패턴을 비교하여 완전한 고장이 발생하기 전에 열화를 발견할 수 있다. 이러한 상태 기반 유지보수(Condition-Based Maintenance)는 컨택터, 브레이크, 배터리, 방전 저항기, 보조 전원 시스템에서 특히 효과적이다.

시험(Testing)은 일반 작업자 종료, 배터리 부족, 통신 상실, 프로세서 고장, 과열, 비상 정지 후속 종료, 충전기 고장, BMS 절연, 갑작스러운 전원 상실을 모두 포함해야 한다. 또한 피드백 고장, 컨택터 용착, 브레이크 고장, 센서 불일치, 소프트웨어 응답 정지를 인위적으로 발생시켜야 한다. 모든 상황에서 로봇은 안전 상태를 유지하고 유용한 진단 정보를 제공해야 한다.

기계적 검증(Mechanical Validation)은 종료 과정 전체에서 로봇이 안정적으로 유지되는지를 확인해야 한다. 최대 속도, 최대 적재, 최대 경사, 저마찰 노면, 마모된 브레이크, 불균형 적재, 외력을 포함한 조건에서 시험해야 한다. 정지 거리, 역방향 미끄러짐(Roll-Back), 휠 슬립, 브레이크 유지력, 적재물 움직임, 조향 거동, 최종 위치를 모두 측정해야 한다. 전기적 종료 순서가 올바르더라도 물리적 결과가 안전하지 않다면 설계는 성공한 것이 아니다.

전기적 검증(Electrical Validation)은 컨택터 아크, 버스 전압, 회생 전류, 방전 시간, 보조 전원 유지 시간, 재기동 시 돌입전류, 잔류 전압을 측정해야 한다. 오실로스코프(Oscilloscope), 전류 프로브(Current Probe), 열화상 카메라(Thermal Camera), 이벤트 로그를 이용하면 소프트웨어 진단으로는 확인할 수 없는 현상을 발견할 수 있다. 반복 시험은 접점 마모와 열 축적 효과가 한 번의 종료 시험에서는 나타나지 않을 수 있기 때문에 매우 중요하다.

소프트웨어 검증(Software Validation)은 프로세스 타임아웃, 파일 시스템 무결성, 로그 보존, 설정 유지, 종료가 중단된 이후의 복구를 확인해야 한다. 엔지니어는 종료 과정의 여러 단계에서 의도적으로 전원을 차단하여 안전 파라미터나 저장장치가 손상되지 않고 다시 시작할 수 있는지를 확인해야 한다. 어떤 종료 구조도 항상 정상 종료를 보장할 수는 없으므로 핵심 소프트웨어는 정상 종료와 갑작스러운 전원 상실을 모두 견딜 수 있어야 한다.

정기 증명 시험(Periodic Proof Testing)은 브레이크, 컨택터, 방전 회로, 잔류 전압 표시기, 보조 에너지 저장장치, 안전 입력, 종료 논리가 계속 정상적으로 동작하는지를 확인해야 한다. 시험 주기는 운전 횟수, 환경 조건, 부품 신뢰성, 위험도를 고려하여 결정해야 한다. 일부 요소는 지속적으로 감시할 수 있지만 기계적 마모, 오염, 접근이 어려운 차단 장치를 발견하기 위해서는 실제 점검과 동작 시험이 여전히 필요하다.

플릿 전체에서는 구성 관리(Configuration Management)가 매우 중요하다. 종료 동작은 모터 파라미터, 제동 프로파일, 배터리 펌웨어, 컨택터 타이밍, 컴퓨터 홀드업 시간, 방전 저항기, 적재물 종류, 소프트웨어 버전에 의해 영향을 받는다. 작은 하드웨어 변경도 전체 안전 종료 순서를 바꿀 수 있다. 따라서 각 로봇은 설계 개정 버전에 연결된 추적 가능한 구성 정보와 검증 기록을 유지해야 한다.

미래의 안전 전원 차단 시스템은 더욱 지능적인 전원 분배, 반도체 절연(Solid-State Isolation), 예측 상태 진단(Predictive Health Monitoring), 모델 기반 에너지 제어(Model-Based Energy Control)를 활용하게 될 것이다. 로봇은 실시간으로 제동 가능 에너지, 컨택터 마모, 커패시터 방전 상태, 배터리 충전 수용 능력, 브레이크 성능을 추정할 수 있을 것이다. 이러한 기술은 가용성과 유지보수를 향상시키지만 핵심 종료 경로는 고급 소프트웨어나 인공지능이 동작하지 않는 상황에서도 반드시 결정론적이고 안전하게 유지되어야 한다.

성공적인 안전 전원 차단 구조는 모션 제어, 브레이크, 드라이브, 배터리, 컨택터, 전력 변환기, 컴퓨터, 센서, 통신, 적재 장치, 저장 에너지, 작업 절차를 하나의 통합 시스템으로 조정한다. 올바른 순서로 위험 에너지를 제거하면서도 최종 상태를 감시하고 통신하며 검증하는 데 필요한 기능은 유지한다. 안전 전원 차단을 단순한 전원 스위치가 아니라 전체 시스템 수준의 제어 과정으로 설계할 때 자율이동로봇은 새로운 위험을 만들지 않고 안전하게 정지하고, 무전원 상태로 전환하며, 이후에도 신뢰성 있게 복구할 수 있다.

12.05 Redundant Safety Circuits

이중화 안전 회로(Redundant Safety Circuit)는 단일한 전기적, 기계적, 통신 또는 제어 고장이 로봇의 위험 감지 능력과 안전 상태 도달 능력을 동시에 제거하지 못하도록 설계된다. 자율이동로봇(Autonomous Mobile Robot, AMR)에서는 움직임, 제동, 조향, 승강, 적재 기능이 사람의 직접적인 감독 없이 계속될 수 있으므로 이중화가 특히 중요하다. 따라서 이중화 회로는 하나의 요소가 고장나더라도 안전을 유지할 수 있도록 다중 독립 채널, 감시형 출력, 진단 논리, 제어된 고장 대응을 사용한다.

이중화는 모든 부품을 단순히 두 개씩 복제하는 것을 의미하지 않는다. 동일한 전원, 케이블 경로, 커넥터, 소프트웨어 루틴 또는 통신 채널에 연결된 두 개의 동일 장치는 동시에 고장날 수 있다. 효과적인 이중화에는 채널 간 독립성과 공통 원인 고장(Common-Cause Failure)에 대한 의도적인 관리가 필요하다. 설계에서는 동일한 단락, 환경 조건, 배선 오류, 전원 교란, 소프트웨어 결함, 기계적 충격 또는 유지보수 작업이 두 채널에 동시에 영향을 줄 수 있는지를 고려해야 한다.

필요한 이중화 수준은 위험 평가(Risk Assessment)를 통해 결정된다. 엔지니어는 예상 가능한 부상의 심각도, 위험 노출 빈도, 위험 회피 가능성, 안전 기능에 요구되는 신뢰성을 평가한다. 비상 정지, 구동 절연, 브레이크 제어, 사람 감지와 같은 고위험 기능은 일반적으로 단일 고장을 감지하면서도 안전 상태를 유지하거나 복구할 수 있는 구조를 요구한다. 위험도가 낮은 기능은 분석을 통해 정당화되는 경우 더 단순한 구조를 허용할 수 있다.

안전 채널(Safety Channel)은 위험을 발생시키는 입력 장치에서 최종 스위칭 요소까지 이어지는 완전한 경로이다. 비상 정지 기능의 경우 하나의 채널은 비상 정지 버튼의 한 접점, 한 입력 회로, 한 처리 경로, 한 안전 출력, 한 컨택터로 구성될 수 있다. 두 번째 채널도 독립적인 등가 경로를 따른다. 이중화는 단순히 두 개의 입력을 하나의 감시되지 않는 출력에 연결하는 것이 아니라, 전체 안전 기능 안에 독립적인 완전 경로가 존재할 때만 의미가 있다.

이중 채널 비상 정지 회로(Dual-Channel Emergency Stop Circuit)는 가장 일반적인 예 중 하나이다. 비상 정지 버튼은 일반적으로 기계적으로 연동된 두 개의 상시폐쇄 접점을 포함한다. 각 접점은 별도의 안전 입력에 연결된다. 안전 제어기는 정상 운전 중 두 채널이 모두 폐쇄되어 있는지 확인하고, 버튼이 눌리면 두 채널이 모두 개방되는지를 검사한다. 한 채널만 상태를 바꾸면 제어기는 불일치를 감지하고 로봇이 이미 안전하게 정지했더라도 재시작을 방지한다.

상시폐쇄 접점(Normally Closed Contact)은 배선 단선, 느슨한 단자, 커넥터 분리와 같은 고장이 안전 장치가 작동한 것과 같은 신호를 만들기 때문에 선호된다. 이는 고장 안전(Fail-Safe) 동작을 지원하지만 상시폐쇄 배선만으로 모든 고장을 감지할 수 있는 것은 아니다. 접점 양단이 단락되면 정상 상태가 거짓으로 유지될 수 있다. 따라서 현대적인 안전 입력은 테스트 펄스, 분리된 소스 출력, 동적 신호 패턴을 이용하여 채널 간 단락과 우회 상태를 감지한다.

두 채널은 별도의 도체를 사용해야 하며 가능하면 서로 다른 커넥터 핀과 배선 경로를 사용해야 한다. 두 채널이 하나의 손상된 케이블 안에 함께 배치되면 단일 기계적 사건이 두 채널을 모두 무력화할 수 있다. 소형 로봇 내부에서는 물리적 분리가 제한될 수 있지만 날카로운 모서리, 열, 진동, 가동 관절, 고전류 배선에 대한 공통 노출을 줄여야 한다. 독립성은 회로도 일부가 아니라 전체 설치 범위에서 평가해야 한다.

입력 불일치 감시(Input Discrepancy Monitoring)는 두 채널의 타이밍과 전환 순서를 비교한다. 안전 장치가 작동하면 두 채널은 허용된 시간 안에 모두 상태를 변경해야 한다. 기계식 접점은 정확히 동시에 전환되지 않으므로 작은 지연은 정상일 수 있다. 그러나 지연이 설정된 불일치 시간을 초과하면 제어기는 접점 용착, 배선 단선, 채널 고장을 의심한다. 로봇이 이미 안전 상태에 도달했더라도 고장은 점검과 적절한 리셋이 이루어질 때까지 유지되어야 한다.

동시성 요구사항(Simultaneity Requirement)은 장치의 실제 특성에 맞아야 한다. 일부 비상 정지 스위치는 접점 동작이 매우 동기화되어 있지만 가드 스위치나 기계식 인터록은 더 큰 시간 차이를 보일 수 있다. 불일치 시간을 너무 짧게 설정하면 불필요한 고장이 발생하고, 너무 길게 설정하면 진단 효과가 떨어진다. 설정값은 제조사 데이터, 실제 전환 동작, 환경 조건, 요구 안전 응답시간을 기반으로 결정해야 한다.

테스트 펄스 감시(Test Pulse Monitoring)는 정적 안전 회로의 고장 감지 능력을 향상시킨다. 안전 제어기는 각 입력 채널에 짧고 코딩된 전압 단속을 보내고 예상한 패턴이 되돌아오는지를 확인한다. 두 채널이 서로 단락되었거나 외부 전원에 연결되었거나 우회되면 펄스 패턴이 왜곡되거나 사라질 수 있다. 이러한 펄스는 연결된 장치와 호환되어야 하며 비안전 전자장치를 의도치 않게 작동시키지 않아야 한다.

전자식 안전 센서는 종종 출력 신호 스위칭 장치(Output Signal Switching Device, OSSD)라고 불리는 두 개의 반도체 출력을 제공한다. 두 출력은 함께 전환되지만 서로 독립적으로 감시되며 자체 테스트 펄스를 포함할 수 있다. 안전 제어기는 센서의 출력 형식과 타이밍 특성에 맞게 설정되어야 한다. 두 전자식 출력을 일반 릴레이 접점처럼 연결하면 오고장이 발생하거나 진단 정보가 숨겨질 수 있다. 장치 문서에는 적절한 입력 설정과 배선 방식이 정의되어야 한다.

하나의 감지 기술만으로 필요한 신뢰성을 달성할 수 없는 경우 이중화된 보호 센서가 필요할 수 있다. 로봇은 안전 레이저 스캐너와 압력 감지 범퍼를 조합하거나 독립적인 전방·후방 감지 구역을 사용할 수 있다. 센서들이 반드시 동일한 기능을 수행하는 것은 아니지만 함께 계층화된 보호를 형성한다. 설계에서는 각 센서가 어떤 위험을 담당하는지, 하나의 센서가 고장났을 때 감속 운전, 제한 운전, 완전 정지 중 어떤 대응이 필요한지를 명확히 해야 한다.

센서 이중화는 일반 인지 소프트웨어의 센서 융합(Sensor Fusion)과 혼동해서는 안 된다. 동일한 비안전 컴퓨터에서 처리되는 두 대의 카메라는 내비게이션 성능을 향상시킬 수 있지만 자동으로 이중화된 안전 회로가 되는 것은 아니다. 안전 기능으로 인정받으려면 감지 경로, 처리, 통신, 고장 감지, 출력 동작이 요구되는 무결성을 만족해야 한다. 사람 보호가 결과에 의존하는 경우 인증된 장치나 독립적으로 정당화된 구조가 일반적으로 필요하다.

이중화된 안전 처리는 인증된 안전 릴레이(Safety Relay), 안전 PLC(Safety PLC), 안전 등급 모션 제어기(Safety-Rated Motion Controller)를 통해 구현할 수 있다. 이러한 장치는 동일한 논리를 독립적으로 실행하고 결과를 비교하는 이중 프로세서를 포함할 수 있다. 또한 메모리 검사, 명령어 검사, 타이밍 감시, 내부 통신 감시를 수행한다. 처리 경로 간 결과가 불일치하면 어느 한쪽을 정답으로 선택하는 대신 출력을 정의된 안전 상태로 전환한다.

두 개의 일반 PLC를 사용하는 것만으로 인증된 이중화 안전 제어기가 되는 것은 아니다. 두 PLC 모두 동일한 체계적 소프트웨어 결함을 포함하거나 공통 전원을 사용하거나 감지되지 않는 방식으로 고장날 수 있다. 안전 등급 제어기는 특정 고장 동작과 진단 범위를 고려하여 설계되고 평가된다. 사용자 정의 이중 제어기 방식도 가능하지만 상세한 하드웨어 분석, 소프트웨어 보증, 동기화, 고장 감지, 검증이 필요하며 인증 장비를 사용하는 것보다 훨씬 복잡할 수 있다.

입력과 제어기가 정상적으로 동작하더라도 최종 스위칭 요소가 고장날 수 있으므로 출력 이중화(Output Redundancy)는 필수적이다. 두 개의 안전 출력이 위험 전원 경로에 직렬로 연결된 두 개의 독립 컨택터를 제어할 수 있다. 한 컨택터가 용착되어 닫힌 상태가 되더라도 다른 컨택터가 전류를 차단할 수 있다. 제어기는 보조 피드백 접점을 이용하여 용착된 장치를 감지하고 재시작을 방지한다. 이러한 조합은 고장 허용성과 진단 능력을 동시에 제공한다.

컨택터는 필요한 경우 강제 유도 접점 또는 기계적 연동 보조 접점(Positively Guided or Mechanically Linked Auxiliary Contact)을 갖는 제품으로 선정해야 한다. 이러한 접점은 피드백 상태가 주 접점의 실제 위치와 신뢰성 있게 일치하도록 설계된다. 일반 보조 접점은 기계적 고장으로 상태 불일치가 발생할 수 있으므로 충분하지 않을 수 있다. 피드백 루프는 두 컨택터를 모두 포함하고 전원이 다시 인가되기 전에 두 장치가 모두 비활성 위치로 복귀했음을 확인해야 한다.

두 컨택터가 동일한 기계적 액추에이터로 연결되어 있거나 동일한 고장 원인에 노출되어 있다면 독립적인 장치로 간주할 수 없다. 하나의 컨택터 내부에 있는 두 개의 극을 사용하는 것은 전류 용량을 높일 수 있지만 일반적으로 진정한 장치 이중화를 제공하지 않는다. 하나의 용착된 기계 구조가 두 극에 모두 영향을 줄 수 있기 때문이다. 단일 컨택터 고장을 허용해야 하는 경우 별도 코일과 감시 접점을 가진 독립 컨택터가 일반적으로 선호된다.

두 컨택터는 동일한 DC 버스와 부하를 공유할 수 있으므로 보호 협조(Protection Coordination)가 중요하다. 심각한 단락이 발생했을 때 차단 용량이 부족하면 두 장치 모두 용착되거나 손상될 수 있다. 퓨즈, 회로 차단기, 프리차지 회로, 아크 억제 장치는 고장 에너지를 제한해야 한다. 이중화는 전압, 전류, 유도성 부하, 예상 단락 에너지에 맞지 않는 부품을 보완할 수 없다.

반도체 안전 출력(Semiconductor Safety Output)은 또 다른 이중 스위칭 방법을 제공한다. 이중 채널 트랜지스터 출력은 드라이브 STO 입력, 밸브, 인터페이스 릴레이를 독립적으로 제어할 수 있다. 빠른 응답과 진단 기능을 제공하지만 누설 전류와 단락 고장 모드를 가질 수 있다. 연결 장치는 오프 상태를 올바르게 인식하고 제어기의 테스트 펄스를 지원해야 한다. 일부 응용에서는 서로 다른 절연 경로를 제공하기 위해 반도체 출력과 기계식 컨택터를 함께 사용한다.

모터 드라이브의 안전 토크 차단(Safe Torque Off, STO) 입력은 일반적으로 이중 채널로 구성된다. 각 채널은 드라이브의 토크 생성 회로를 독립적으로 비활성화한다. 안전 제어기는 두 STO 입력을 제어하고 가능한 경우 드라이브의 안전 상태를 감시한다. 채널 간 단락, 외부 전압 주입, 배선 고장이 감지되어야 한다. 또한 STO는 토크 생성을 막지만 저장된 전기 에너지를 제거하거나 로봇을 기계적으로 고정하지 않는다는 점도 고려해야 한다.

브레이크 고장이 위험한 구름이나 낙하를 유발할 수 있는 경우 이중화 브레이크 제어가 필요하다. 두 개의 독립 제어 경로가 별도의 브레이크 코일, 이중 브레이크 장치 또는 전기식 브레이크와 기계식 유지 장치를 각각 작동시킬 수 있다. 브레이크 피드백에는 스위치, 전류 측정, 위치 감지, 실제 움직임 확인이 포함될 수 있다. 브레이크 명령은 정상적으로 내려졌더라도 기계적 고장이 발생할 수 있으므로 독립적인 유지 확인이 필요하다.

경사면에서 운전하는 이동로봇은 스프링 작동 주차 브레이크와 전환 중 모터 유지 토크를 조합할 수 있다. 모터는 기계식 브레이크가 체결되는 동안 일시적으로 로봇을 안정화하지만 전원 상실이 예상 가능한 경우 장기 유지 수단으로 사용해서는 안 된다. 제어기는 역방향 미끄러짐(Roll-Back)을 감시하고 드라이브 전원을 제거하기 전에 기계식 브레이크만으로 안전 상태를 유지할 수 있는지를 확인해야 한다.

조향 이중화는 차량 구조에 따라 달라진다. 일부 로봇은 조향 전원을 상실해도 안전하게 정지할 수 있지만 고속 또는 관절형 플랫폼은 감속 중 조향 제어를 계속 유지해야 할 수 있다. 이중화 조향은 이중 센서, 독립 드라이브 채널, 기계적으로 안정적인 구조, 고장 시 중앙 복귀 장치(Fail-Centered Mechanism)를 사용할 수 있다. 안전 개념은 하나의 조향 채널 상실 시 제어 정지, 감속 운전, 즉시 토크 차단 중 어떤 대응을 수행할지 정의해야 한다.

위치와 속도 피드백에도 이중화 감지가 필요한 경우가 많다. 드라이브는 두 개의 엔코더 채널, 독립적인 모터 엔코더와 휠 엔코더, 또는 하나의 엔코더와 다른 움직임 센서를 사용할 수 있다. 제어기는 신호를 비교하여 신호 상실, 드리프트, 비현실적인 방향, 스케일 오류를 감지한다. 이중화 피드백은 휠 슬립, 커플링 파손, 동일한 고장 축에 두 센서가 함께 장착된 경우와 같은 공통 기계적 요인을 고려해야 한다.

다양성(Diversity)은 두 채널에 서로 다른 기술을 사용하여 이중화 효과를 높일 수 있다. 예를 들어 속도는 모터 엔코더와 독립 휠 엔코더로 감시하고, 위치는 엔코더와 물리적 도킹 스위치로 검증할 수 있다. 서로 다른 기술의 채널은 동일한 체계적 고장을 공유할 가능성이 낮지만 응답시간, 정확도, 고장 동작이 다를 수 있다. 비교 논리는 실제 고장을 숨기지 않으면서 이러한 차이를 고려해야 한다.

이중화 전원 공급 장치(Redundant Power Supply)는 단일 전원 고장 이후에도 안전 회로를 계속 동작시킬 수 있다. 두 개의 독립 DC-DC 컨버터가 다이오드 또는 이상 다이오드 절연(Ideal-Diode Isolation)을 통해 안전 제어기에 전원을 공급할 수 있다. 또는 안전 시스템이 주 구동 배터리와 별도의 보조 배터리를 사용할 수 있다. 한 전원의 고장이 다른 전원을 함께 끌어내리지 않아야 하며 각 전원의 상태는 지속적으로 감시되어야 한다.

전원 이중화는 접지와 리턴 경로까지 포함해야 한다. 두 개의 양전원 공급 장치가 하나의 취약한 리턴 도체를 공유하면 완전한 이중화 시스템이 아니다. 마찬가지로 두 컨버터가 동일한 보호되지 않은 상위 퓨즈에서 전원을 받는다면 동시에 고장날 수 있다. 분석은 전원 소스에서 보호 장치, 스위칭, 배선, 커넥터, 접지, 부하까지 전체 에너지 경로를 추적해야 한다. 독립성은 완전한 전원 경로 전반에서 유지되어야 한다.

분산 안전 장치에는 이중화 통신을 사용할 수 있지만 단순히 케이블을 두 개 사용하는 것만으로는 충분하지 않을 수 있다. 네트워크 링은 하나의 케이블 단선을 견딜 수 있고, 이중 독립 네트워크는 더 복잡한 고장을 견딜 수 있다. 인증된 안전 프로토콜은 데이터 손상, 지연, 반복, 손실을 감지하지만 모든 물리 네트워크 고장을 방지하지는 못한다. 스위치 전원, 커넥터 위치, 배선 경로, 장치 인터페이스도 이중화 설계에 포함되어야 한다.

통신 이중화는 성능 저하 상태에서 필요한 동작을 정의해야 한다. 하나의 통신 경로가 고장난 경우 남은 안전 무결성에 따라 경고와 함께 계속 운전하거나, 속도를 낮추거나, 정지할 수 있다. 남은 경로의 상태를 확인하지 않고 정상 운전을 계속하면 두 번째 고장이 위험으로 이어질 수 있다. 제어기는 경로 상실을 신속히 감지하고 잔여 위험에 적합한 상태로 전환해야 한다.

이중화 제어기 간 교차 감시(Cross-Monitoring)는 자가진단만으로 놓칠 수 있는 고장을 식별할 수 있다. 각 제어기는 상태, 입력 결과, 출력 명령, 타이밍 정보, 내부 건전성 데이터를 교환할 수 있다. 결과가 불일치하면 두 채널 모두 안전 상태로 전환해야 한다. 한 고장난 제어기가 다른 제어기를 지배하거나 손상시키는 상황을 피해야 하므로 채널 간 통신은 제한되고 검증되며 고장 안전 방식으로 설계되어야 한다.

이중화 제어기는 동기화(Synchronization)를 고려해야 한다. 두 채널이 동적 신호를 서로 다른 시점에 평가하면 정상 상태에서도 일시적인 불일치가 발생할 수 있다. 구조는 동기화된 클록, 타임스탬프 데이터, 정의된 샘플링 구간, 비교 허용오차를 사용할 수 있다. 허용오차가 너무 크면 고장을 숨기고, 지나치게 엄격한 동기화는 불필요한 정지를 만든다. 타이밍 특성은 최대 프로세서 부하와 통신 지연 조건에서 분석해야 한다.

공통 원인 고장 분석(Common-Cause Failure Analysis)은 이중화 설계의 핵심이다. 화재, 침수, 전도성 오염, 잘못된 유지보수, 펌웨어 업데이트, 과전압, 기계적 충돌은 두 채널에 동시에 영향을 줄 수 있다. 엔지니어는 공유 요소를 식별하고 물리적 분리, 기술적 다양성, 환경 보호, 독립 보호 수단을 도입해야 한다. 이중화는 모든 채널에 완전히 공통된 고장에는 효과가 없다.

물리적 분리(Physical Separation)는 공통 원인 위험을 줄일 수 있다. 이중화 배선은 차체 반대편으로 배치하고, 제어기는 서로 다른 보호 구획에 설치하며, 컨택터는 한쪽의 열 사고가 다른 쪽으로 전파되지 않도록 간격을 둘 수 있다. 그러나 분리는 중량, 크기, 비용, 정비성과 균형을 이루어야 한다. 선택한 분리 수준은 식별된 위험과 요구 무결성에 맞아야 한다.

전기적 분리(Electrical Separation)는 독립 퓨즈, 절연형 전력 변환기, 갈바닉 절연 입출력, 별도 접지 경로, 서지 보호를 포함할 수 있다. 공유된 서지 억제기, 단자대, 커넥터는 숨은 공통 지점이 될 수 있다. 회로도 검토에서는 모든 공유 부품을 명확히 표시해야 한다. 공유 요소를 제거할 수 없는 경우 고장 확률과 동작을 정당화하거나 추가 보호를 통해 통제해야 한다.

소프트웨어 다양성(Software Diversity)은 체계적 공통 고장을 줄일 수 있지만 구현과 검증이 어렵다. 서로 다른 팀이나 언어로 작성된 두 채널도 동일하게 잘못된 요구사항을 공유할 수 있다. 많은 안전 PLC에서는 하드웨어 진단과 개발 보증을 통해 위험을 통제하면서 서로 다른 내부 프로세서에서 동일한 검증 소프트웨어를 실행한다. 독립 소프트웨어 구현은 실제 다양성이 존재하고 비교 논리가 명확할 때만 유효하다.

요구사항 오류는 모든 이중화 구현을 무력화할 수 있다. 두 채널이 동일하게 잘못된 정지 거리를 기준으로 설계되면 일관되게 동작하더라도 안전하지 않을 수 있다. 따라서 이중화 안전 회로는 정확한 위험 분석, 검증된 요구사항, 실제 물리 시험, 독립 검토에 의존한다. 하드웨어 복제는 안전하지 않은 시스템 수준의 가정을 보완할 수 없다.

진단 범위(Diagnostic Coverage)는 구조가 위험한 고장을 얼마나 효과적으로 감지하는지를 나타낸다. 이중화 회로는 관련 조건에서 배선 단선, 단락, 채널 불일치, 접점 용착, 출력 고착, 프로세서 고장, 전원 상실, 통신 오류, 피드백 불일치를 감지해야 한다. 일부 고장은 즉시 감지되지만 다른 고장은 다음 안전 요구나 증명 시험에서만 발견될 수 있다. 필요한 감지 시간은 하나의 숨은 고장이 존재한 상태에서 시스템이 얼마나 오래 안전하게 운전할 수 있는지에 따라 달라진다.

잠재 고장(Latent Fault)은 안전 기능이 요구되지 않았기 때문에 발견되지 않은 채 남아 있는 고장이다. 이후 두 번째 고장이 발생하면 남은 보호 기능도 제거될 수 있다. 주기적 테스트 펄스, 자동 출력 순환, 컨택터 피드백, 브레이크 검사, 증명 시험은 잠재 고장의 지속시간을 줄인다. 시스템은 감지된 고장을 기록하고 수리될 때까지 재시작을 차단해야 하며 하나의 남은 채널에 의존한 반복 운전을 허용해서는 안 된다.

고장 대응(Fault Reaction)은 보수적이면서도 상황에 적합해야 한다. 모든 단일 채널 고장이 즉각적이고 제어되지 않은 전원 상실을 요구하는 것은 아니다. 로봇은 정상 채널을 이용해 제어 정지를 수행한 후 전원을 절연하고 서비스를 요청할 수 있다. 대응은 적재물 불안정이나 대피 경로 차단과 같은 2차 위험을 최소화하면서 안전을 유지해야 한다. 고장 전략은 구현 이후 소프트웨어에서 임의로 결정하는 것이 아니라 사전에 정의되어야 한다.

열화 운전(Degraded Operation)은 위험 분석이 허용하는 경우에만 가능하다. 예를 들어 후방 이중화 센서 중 하나를 상실했을 때 남은 보호가 충분하고 후진을 금지한다면 매우 낮은 속도로 전진하여 정비 구역까지 이동할 수 있다. 이러한 모드는 엄격한 제한, 명확한 표시, 시간 제한, 유지보수 조치를 요구한다. 영구적인 우회 운전 방식으로 사용되어서는 안 된다.

이중화 고장 이후에는 리셋 논리(Reset Logic)가 특히 중요하다. 두 채널이 불일치하면 이후 신호가 다시 일치하더라도 단순히 고장을 해제해서는 안 된다. 제어기는 원인 조건이 제거되고, 두 채널이 모두 유효한 상태로 복귀하며, 외부 장치 피드백이 정상이고, 의도적인 수동 리셋이 수행되도록 요구해야 한다. 전원 재인가로 위험 고장의 영구 증거가 사라져서는 안 된다.

수동 리셋은 정상 시작과 분리되어야 한다. 리셋은 안전 시스템이 정상임을 확인하는 것이고 시작은 다시 움직이도록 승인하는 것이다. 두 기능을 결합하면 고장이 해제되는 즉시 예상치 못한 움직임이 발생할 수 있다. 리셋 장치는 작업자가 위험 구역을 확인할 수 있는 위치에 설치하거나 동등한 통제 절차를 사용해야 한다. 원격 리셋에는 추가 보호와 추적성이 필요하다.

이중화 안전 회로는 일반 제어와 공존하면서도 비안전 소프트웨어가 이를 무시할 수 없도록 해야 한다. 주 제어기는 상태를 수신하고 정상 정지를 요청할 수 있지만 안전 출력은 독립적인 권한 아래 있어야 한다. 주 컴퓨터가 멈추거나 충돌되는 명령을 보내거나 고장 이후에도 전원이 유지되더라도 이중화 안전 경로는 위험 에너지를 제거할 수 있어야 한다.

안전 시스템과 비안전 시스템 사이의 인터페이스 릴레이는 단일 고장 지점을 만들 수 있다. 두 채널을 하나의 일반 입력으로 합치는 릴레이는 진단을 무력화하거나 위험한 우회를 만들 수 있다. 안전 기능에 영향을 미치는 인터페이스는 채널 분리를 유지하고 필요한 경우 안전 등급 부품을 사용해야 한다. 비안전 감시는 절연된 보조 접점이나 보호된 통신을 통해 안전 상태를 관찰할 수 있다.

커넥터 설계는 종종 과소평가된다. 편의를 위해 이중화 회로가 하나의 다핀 커넥터를 공유할 수 있지만 오염, 부분 삽입, 핀 손상, 잠금장치 고장은 두 채널에 동시에 영향을 줄 수 있다. 키 구조, 분리된 핀 그룹, 차폐, 스트레인 릴리프(Strain Relief), 커넥터 진단은 위험을 줄일 수 있다. 중요한 기능에서는 조립 복잡성이 증가하더라도 별도의 커넥터 사용이 정당화될 수 있다.

하니스 제조 품질도 중요하다. 잘못된 핀 연결, 전선 색상 혼동, 불량 압착 단자, 숨겨진 스플라이스는 로봇이 운용되기 전에 이중화를 무력화할 수 있다. 자동 연속성 시험, 절연 시험, 채널 간 단락 시험, 하니스 일련번호 기록은 품질 보증을 높인다. 안전 회로도는 서비스 수정 사항까지 포함한 실제 배선과 일치해야 한다.

유지보수 절차는 이중화 구조를 보존해야 한다. 기술자는 의도치 않게 채널을 브리지하고, 안전 컨택터를 일반 장치로 교체하고, 두 채널을 하나의 커넥터로 통합하거나, 반복 고장을 제거하기 위해 피드백을 비활성화할 수 있다. 명확한 문서, 통제된 예비부품, 접근 제한, 유지보수 후 검증이 필요하다. 이중화 설계는 현장 서비스 과정에서 독립성이 점차 제거되지 않을 때만 신뢰할 수 있다.

우회 기능(Bypass Function)은 매우 엄격하게 통제되어야 한다. 시운전이나 유지보수 중 안전 채널을 일시적으로 우회해야 할 수 있지만 승인, 시간 제한, 명확한 표시, 로그 기록, 대체 보호 조치를 함께 요구해야 한다. 영구 점퍼나 문서화되지 않은 소프트웨어 플래그는 허용할 수 없다. 시스템은 숨은 우회가 어렵고 감지 가능하도록 설계되어야 한다.

증명 시험(Proof Testing)은 이중화 채널이 계속 독립적으로 동작하는지를 확인한다. 각 입력을 작동시키고, 각 채널을 개방하며, 채널 간 단락을 모사하고, 출력 고장을 강제하며, 피드백 루프를 끊고, 정상 채널만으로도 시스템이 안전 상태에 도달하는지를 검증해야 한다. 두 채널을 동시에 시험하는 것만으로는 한 채널이 실제로 무효인지 확인하기 어렵다.

고장 주입(Fault Injection)은 현실적인 공통 원인 시나리오를 포함해야 한다. 엔지니어는 공유 전원을 제거하고, 접지를 교란하고, 전자파 간섭을 가하고, 네트워크 스위치를 분리하고, 인접 부품을 가열하고, 커넥터를 오염시키고, 잘못된 유지보수를 모사할 수 있다. 목적은 독립적이라고 생각한 채널이 숨은 의존성을 공유하는지를 확인하는 것이다. 이러한 시험은 단순한 부품별 검사보다 더 가치가 있을 수 있다.

출력 시험은 전기적 절연과 실제 물리 동작을 모두 검증해야 한다. 한 컨택터를 개방했을 때 다른 컨택터가 닫혀 있어도 위험 에너지가 제거되어야 한다. 한 브레이크 채널만 작동했을 때 예상한 부분 또는 전체 유지 기능이 제공되어야 한다. 한 STO 경로를 비활성화했을 때 이를 감지하고 재시작을 차단해야 한다. 실제 전압, 전류, 토크, 속도, 기계 상태를 측정하여 결과를 확인해야 한다.

정지 거리 검증(Stop-Distance Validation)은 단일 고장 조건을 포함해야 한다. 시험을 안전하게 수행할 수 있다면 하나의 이중화 채널을 의도적으로 비활성화하거나 지연시킨 상태에서 로봇을 시험해야 한다. 이를 통해 남은 경로가 요구 응답을 충족하는지 확인할 수 있다. 최대 속도, 적재량, 경사, 노면 상태, 배터리 상태, 온도를 시험 매트릭스에 포함해야 한다.

환경 시험(Environmental Testing)은 이중화 채널이 온도, 진동, 습기, 먼지, 전자파 노이즈에 서로 다르게 반응할 수 있기 때문에 필요하다. 하나의 채널에서 간헐적 고장이 발생하고 다른 채널이 안정적이면 반복적인 불일치 정지가 발생할 수 있다. 이러한 동작은 감지되지 않은 고장보다 바람직하지만 근본 원인은 수정되어야 한다. 검증은 안전 대응과 운영 안정성을 모두 확인해야 한다.

신뢰성 계산은 구조 결정에 도움을 주지만 물리 검증을 대신해서는 안 된다. 고장률, 진단 범위, 공통 원인 계수, 증명 시험 주기를 이용하여 성능 수준(Performance Level) 또는 안전 무결성 수준(Safety Integrity Level)을 추정할 수 있다. 계산은 가정이 실제 설계, 환경, 유지보수, 임무 프로파일과 일치할 때만 의미가 있다. 지나치게 낙관적인 부품 데이터는 거짓 신뢰를 만들 수 있다.

이중화는 안전뿐 아니라 가용성에도 영향을 준다. 지나치게 민감한 진단은 작은 순간 고장에도 로봇을 정지시키고, 진단이 부족하면 위험한 열화를 허용할 수 있다. 목표는 모든 정지를 피하는 것이 아니라 실제 고장과 허용 가능한 변동을 구분하는 것이다. 우수한 배선, 안정적인 전원, 적절한 타이밍, 명확한 진단은 고장 감지 능력을 약화시키지 않으면서 불필요한 정지를 줄인다.

이벤트 기록(Event Logging)은 이중화 채널의 동작 순서를 보존해야 한다. 채널 전환 시간, 불일치 지속시간, 테스트 펄스 고장, 출력 명령, 컨택터 피드백, 브레이크 확인, 프로세서 상태, 네트워크 오류, 리셋 동작이 유용한 기록 항목이다. 이러한 로그는 작업장 시험에서 재현하기 어려운 간헐적 배선 문제와 플릿 공통 문제를 찾는 데 도움을 준다.

플릿 수준 분석(Fleet-Level Analysis)은 여러 로봇에서 반복되는 패턴을 발견할 수 있다. 특정 커넥터 근처나 특정 온도 조건에서 동일한 채널이 반복적으로 고장난다면 무작위 부품 문제가 아니라 설계 약점일 수 있다. 하드웨어 개정, 공급업체, 설치 위치, 운용 환경별 고장률 비교는 체계적인 개선과 예방 정비를 지원한다.

구성 관리(Configuration Management)는 타이밍 파라미터, 채널 할당, 출력 논리, 피드백 설정, 안전 펌웨어가 검증된 설계와 일치하도록 보장해야 한다. 잘못된 입력 형식이나 불일치 시간 설정은 진단 범위를 눈에 띄지 않게 낮출 수 있다. 변경은 검토, 버전 관리, 시험을 거쳐 정확한 로봇 구성과 연결되어야 한다. 안전 파라미터는 일반 작업자 인터페이스에서 수정할 수 없어야 한다.

구성이나 통신이 프로그래밍 가능한 경우 보안(Security)도 이중화 안전 회로에 영향을 준다. 안전 논리, 네트워크 주소, 모드 파라미터의 비인가 변경은 하드웨어를 건드리지 않고도 이중화를 무력화할 수 있다. 접근 제어, 서명된 소프트웨어, 보호된 서비스 포트, 보안 업데이트 절차, 감사 로그는 검증된 안전 상태를 유지하는 데 도움을 준다. 사이버보안은 기능 안전을 지원해야 하지만 비상 기능이 원격 인증에 의존하게 해서는 안 된다.

확장 가능한 이중화 구조는 제어되지 않는 복잡성을 만들지 않으면서 추가 센서, 액추에이터, 적재 모듈을 지원해야 한다. 모듈형 안전 입출력, 표준화된 이중 채널 인터페이스, 재사용 가능한 기능 블록, 정의된 진단 메시지는 확장을 단순화한다. 그러나 새 공유 전원, 커넥터, 네트워크, 기계 시스템은 새로운 공통 원인 경로를 만들 수 있으므로 재분석이 필요하다.

비용과 중량은 이동로봇에서 이중화 선택에 영향을 준다. 추가 컨택터, 브레이크, 배선, 센서, 제어기, 보호 외함은 질량, 에너지 소비, 유지보수 부담을 증가시킨다. 설계는 위험이 요구하는 위치에 이중화를 적용하고 다른 영역에서는 진단 기반 단순화를 사용할 수 있다. 불필요한 복제를 줄이면 안전 기능을 약화시키지 않으면서 커넥터와 공통 고장 기회를 줄여 오히려 신뢰성을 높일 수 있다.

다양한 이중화(Diverse Redundancy)는 시스템 수준에서 가장 효과적인 경우가 많다. 로봇은 전자식 장애물 감지를 1차 보호 기능으로 사용하고, 물리 범퍼를 최종 접촉 보호층으로 사용하며, 제어 제동을 정상 정지 수단으로 사용하고, 스프링 작동 브레이크를 전원 상실 대비 수단으로 사용할 수 있다. 이러한 계층은 서로 다른 고장 모드에 대응하고 동일한 기술에 모두 의존하지 않는다. 그 결합 효과는 동일 부품의 단순 복제보다 더 강력할 수 있다.

미래의 안전 회로는 더 많은 분산 진단, 반도체 스위칭, 이중화 안전 위치추정, 예측 상태 감시를 사용하게 될 것이다. 제어기는 접점 마모, 채널 열화, 케이블 절연 상태, 브레이크 응답, 네트워크 신뢰성을 완전한 고장 전에 추정할 수 있을 것이다. 이러한 기능은 유지보수와 가용성을 향상시키지만 즉각적인 안전 기능은 고급 분석과 독립적으로 결정론적으로 동작해야 한다.

성공적인 이중화 안전 회로는 복제된 부품의 개수로 정의되지 않는다. 완전한 시스템이 고장을 견디고, 열화를 감지하고, 공통 원인 고장을 피하며, 위험 에너지를 계속 통제할 수 있는지가 핵심이다. 입력, 프로세서, 통신, 출력, 브레이크, 전원 공급 장치, 배선, 커넥터, 소프트웨어, 유지보수 절차가 하나의 검증된 구조로 함께 동작해야 한다. 전체 안전 체인으로 설계하고 시험할 때 이중화는 개별 요소가 고장나더라도 자율이동로봇이 안전 상태를 유지할 수 있도록 한다.

12.06 Functional Safety Standards

기능 안전 표준(Functional Safety Standard)은 자동화 시스템이 고장, 위험 상황 또는 예측 가능한 오용이 발생했을 때 올바르게 대응하도록 보장하기 위한 체계적인 방법을 제공한다. 자율이동로봇(Autonomous Mobile Robot, AMR)에서 기능 안전은 모든 부품이 절대로 고장나지 않는다는 의미가 아니다. 대신 안전 관련 기능을 식별하고, 측정 가능한 안전 무결성 요구사항을 부여하며, 적절한 구조로 구현하고, 검증을 통해 고장이 발생하더라도 시스템이 제어 가능한 충분히 안전한 상태로 전환되도록 하는 것을 의미한다.

기능 안전은 전체 기계 안전(Machine Safety)의 일부에 불과하다. 가능한 경우 위험은 본질적으로 안전한 기계, 전기 및 운용 설계를 통해 우선 제거되어야 한다. 보호 가드(Guard), 안정적인 구조, 제한된 힘, 보호된 배터리, 안전한 재료, 제한된 접근, 명확한 운용 절차는 제어 시스템에 의존하지 않고도 위험을 감소시킬 수 있다. 기능 안전은 이러한 방법으로 제거되지 않은 잔여 위험을 대상으로 하며, 센서, 제어 논리, 통신, 드라이브, 브레이크 또는 프로그래머블 전자 시스템이 안전 기능을 수행하도록 요구한다.

기능 안전 표준 체계는 일반적으로 계층 구조(Hierarchy)로 이해된다. 기본 안전 표준(Basic Safety Standard)은 산업 전반에 적용되는 일반 개념을 제시하고, 그룹 안전 표준(Group Safety Standard)은 특정 기계군이나 안전 기능에 대한 방법을 제공하며, 제품별 표준(Product-Specific Standard)은 특정 기계에 대한 요구사항을 정의한다. 따라서 AMR 프로젝트에서는 하나의 표준만 사용하는 것이 아니라 일반적인 위험 평가 표준, 기계 제어 시스템 표준, 무인 산업용 차량 표준 등을 함께 적용하는 경우가 많다.

ISO 12100은 기계 위험 평가(Risk Assessment)와 위험 감소(Risk Reduction)를 수행하기 위한 일반적인 절차를 정의한다. 이 표준은 기계의 사용 한계를 정의하고, 위험원을 식별하며, 위험을 추정·평가하고, 적절한 보호 대책을 선택하도록 안내한다. AMR에서는 사용 환경, 최대 속도, 적재 중량, 경사, 바닥 상태, 사람과의 상호작용, 충전 동작, 유지보수 작업, 예측 가능한 오용, 제품 수명주기의 모든 운용 상태를 고려해야 한다. 이렇게 수행된 위험 평가는 이후 모든 안전 요구사항의 기반이 된다.

안전 기능(Safety Function)은 위험을 감소시키기 위해 수행되어야 하는 구체적인 동작을 의미한다. 예를 들어 사람이 보호 영역에 들어오면 구동을 정지시키는 기능, 도킹 중 속도를 제한하는 기능, 충전 중 이동을 방지하는 기능, 정지 후 브레이크를 체결하는 기능, 보호문이 열려 있을 때 승강 동작을 금지하는 기능, 작업자와 안전거리를 유지하는 기능 등이 이에 해당한다. 각각의 안전 기능은 동작 조건, 응답 방식, 안전 상태, 응답 시간, 운전 모드, 고장 동작, 리셋 조건 및 검증 기준을 명확히 정의해야 한다.

IEC 61508은 전기(Electrical), 전자(Electronic), 프로그래머블 전자(Programmable Electronic) 안전 관련 시스템을 위한 가장 기본적인 기능 안전 라이프사이클(Lifecycle) 표준이다. 이 표준은 초기 개념 수립과 위험 분석에서부터 요구사항 정의, 설계, 구현, 검증, 운용, 유지보수, 변경 관리, 폐기에 이르기까지 전체 생명주기를 하나의 관리 프로세스로 다룬다. 또한 안전 무결성 수준(Safety Integrity Level, SIL)의 개념을 도입하고, 하드웨어의 우발적(Random) 고장과 하드웨어 및 소프트웨어의 체계적(Systematic) 고장을 모두 관리하는 방법을 제시한다.

IEC 61508은 특정 제품을 위한 AMR 설계 매뉴얼이 아니라 여러 산업 분야에서 공통적으로 사용하는 수평 표준(Horizontal Standard)이다. 일부 프로젝트에서는 직접 적용되며, 다른 산업별 표준들의 기반이 되기도 한다. 이 표준은 높은 안전 무결성이 단순히 신뢰성 높은 부품을 사용하는 것만으로 달성되지 않는다고 강조한다. 요구사항 관리, 시스템 구조, 고장 분석, 소프트웨어 개발, 구성 관리, 검증, 개발자의 역량, 독립성 확보 및 생명주기 문서화가 모두 최종적인 안전성을 결정한다.

안전 무결성 수준(Safety Integrity Level, SIL)은 전기·전자·프로그래머블 전자 시스템으로 구현된 특정 안전 기능이 어느 정도의 위험 감소 능력을 가져야 하는지를 나타낸다. SIL 수준이 높을수록 정량적인 신뢰성, 체계적 개발 능력, 진단 범위(Diagnostic Coverage), 구조적 제약, 개발 절차에 대한 요구도 함께 높아진다. SIL은 로봇 전체에 부여되는 것이 아니라 하나의 안전 기능과 그 기능을 수행하는 전체 경로에 대해 적용된다. 따라서 하나의 AMR 안에서도 안전 기능마다 서로 다른 SIL을 가질 수 있다.

기계 분야에서는 IEC 62061이 IEC 61508의 개념을 기계 안전 제어 시스템에 적용한다. 이 표준은 기계 안전 기능을 설계, 통합, 검증하는 방법을 제공하며, 안전 기능의 무결성을 SIL을 이용하여 표현한다. 현재는 IEC 62061:2021 제2판이 기본이며 이후 2026년에 Amendment 2가 발표되었다. 실제 프로젝트에서는 적용 시점의 통합판(Consolidated Edition)을 확인하는 것이 중요하다.

IEC 62061은 하나의 안전 기능을 입력 감지(Input Sensing), 안전 논리(Safety Logic), 출력 동작(Output Actuation)과 같은 하위 시스템으로 분해하여 평가하도록 한다. 엔지니어는 위험 고장 확률(Probability of Dangerous Failure), 구조적 제약(Architectural Constraint), 진단 범위(Diagnostic Coverage), 공통 원인 고장(Common-Cause Failure), 체계적 개발 능력(Systematic Capability), 하위 시스템 간 인터페이스를 평가한다. 예를 들어 AMR의 보호 정지 기능은 안전 스캐너, 안전 통신, 안전 PLC, 드라이브 STO 채널, 기계식 브레이크, 배선, 피드백 회로 전체를 하나의 안전 체인으로 평가해야 한다.

ISO 13849-1은 기계 안전 제어 시스템을 설계하기 위해 가장 널리 사용되는 또 하나의 표준이다. 최신판인 ISO 13849-1:2023은 소프트웨어를 포함한 기계 안전 제어 시스템의 설계 방법을 규정한다. 이 표준은 요구 성능 수준(Required Performance Level, PLr)과 실제 달성 성능 수준(Achieved Performance Level, PL)을 이용하여 안전 기능의 위험 감소 능력을 PL a부터 PL e까지의 등급으로 표현한다.

성능 수준(Performance Level)은 구조 카테고리(Category), 위험 고장 평균 시간(Mean Time to Dangerous Failure, MTTFd), 진단 범위(Diagnostic Coverage), 공통 원인 고장에 대한 저항성, 체계적 대책 등을 이용하여 결정된다. 카테고리는 단일 채널 구조에서부터 이중화 및 감시 기능을 갖춘 구조까지 다양한 시스템 구조를 정의한다. 그러나 높은 카테고리를 사용했다고 해서 자동으로 높은 PL을 달성하는 것은 아니며 부품 신뢰성과 진단 성능도 함께 만족해야 한다.

ISO 13849-2는 ISO 13849-1에 따라 설계된 안전 기능과 안전 관련 제어 시스템을 검증(Validation)하기 위한 절차를 정의한다. 검증은 분석과 시험을 통해 설계된 기능, 구조 카테고리, 달성된 성능 수준이 요구사항을 만족하는지를 확인하는 과정이다. 설계 문서 검토, 정상 운전 시험, 고장 주입(Fault Injection), 소프트웨어 동작 확인 및 실제 기계가 의도한 안전 상태에 도달하는지를 모두 포함한다.

IEC 62061과 ISO 13849-1은 서로 다른 접근 방식을 제공하지만 모두 기능 안전을 달성하기 위한 방법이다. IEC 62061은 SIL 기반 접근과 전기·전자·프로그래머블 시스템에 보다 밀접하게 연관되어 있고, ISO 13849-1은 전기뿐 아니라 유압(Hydraulic), 공압(Pneumatic), 기계(Mechanical) 제어 기술까지 폭넓게 적용된다. 하나의 안전 기능에서는 일관된 하나의 방법을 선택하는 것이 바람직하며 두 표준의 계산 방법을 임의로 혼합해서는 안 된다.

SIL 기반 접근과 PL 기반 접근 중 어느 방식을 사용할 것인지는 프로젝트 초기에 결정해야 한다. 이 결정은 요구사항, 부품 선정, 시스템 구조, 소프트웨어 개발 절차, 문서화, 검증 방법에 모두 영향을 준다. 고객 요구사항, 지역 규제, 인증 전략, 개발 조직의 역량, 시스템 복잡도, 사용 가능한 인증 부품 등이 선택에 영향을 미친다. 어떤 방식을 사용하든 요구되는 안전 무결성은 위험 분석으로부터 도출되고 전체 안전 기능을 대상으로 입증되어야 한다는 원칙은 동일하다.

ISO 3691-4는 산업 현장에서 사용되는 많은 AMR에 가장 중요한 제품 표준 가운데 하나이다. 2023년판은 무인 산업용 차량(Driverless Industrial Truck)과 그 시스템에 대한 안전 요구사항과 검증 방법을 규정하며 자동유도차량(Automated Guided Vehicle, AGV), 자율이동로봇(AMR), 자동운반카트 등을 포함한다. 이동, 정지, 속도 제어, 방향 제어, 적재물 처리, 감지 영역, 운전 모드, 제어 장치 및 시스템 통합과 관련된 위험을 다룬다.

ISO 3691-4는 기계 기능 안전 표준을 대체하는 것이 아니다. 이 표준은 제품 수준에서 요구되는 안전 동작을 정의하고, ISO 13849-1이나 IEC 62061은 이러한 요구사항을 만족하는 안전 제어 기능을 설계하고 입증하는 데 사용된다. 또한 AMR이 특수 적재물을 운반하거나, 실외에서 운행하거나, 매니퓰레이터를 장착하거나, 맞춤형 설비와 연동되는 경우에는 제품 표준에서 다루지 않는 추가 위험도 위험 평가를 통해 고려해야 한다.

로봇의 실제 용도에 따라 적용해야 하는 제품 표준도 달라진다. 창고용 운반 AMR은 ISO 3691-4의 적용 대상이 되지만 실외 순찰 로봇, 농업용 플랫폼, 공공 공간 배송 로봇, 건설 장비 등은 다른 기계, 차량, 로봇 또는 국가별 표준을 적용해야 할 수도 있다. 제품 분류는 마케팅 명칭이 아니라 실제 기능과 운용 환경을 기준으로 결정해야 한다.

AMR이 매니퓰레이터를 장착하는 경우에는 산업용 로봇 표준도 중요해진다. ISO 10218은 산업용 로봇과 로봇 시스템의 안전 요구사항을 규정하며 협동 작업(Collaborative Operation)에서는 사람과의 접촉, 힘, 속도, 분리 감시(Separation Monitoring), 작업 공간 설계까지 추가적으로 고려해야 한다. 이동형 매니퓰레이터는 이동 플랫폼과 로봇 팔을 각각 독립적으로 평가하는 것이 아니라 하나의 통합 시스템으로 위험을 분석해야 한다.

전기 장비 표준도 안전 구조에서 중요한 역할을 한다. IEC 60204-1은 기계 전기 장비(Electrical Equipment of Machines)에 대한 요구사항을 정의하며 보호 접지, 제어 회로, 비상 기능, 과전류 보호, 문서화, 도체 식별, 검증 절차 등을 포함한다. 배터리 기반 AMR은 DC 전원 분배, 저장 에너지, 충전 인터페이스, 절연 감시, 컨택터, 커패시터, 서비스 차단 장치 등에 대해 추가적인 고려가 필요하다.

비상 정지(Emergency Stop)는 일반적인 운전 정지와 구별되는 원칙에 따라 설계되어야 한다. 위험 평가에서 필요하다고 판단되는 위치에는 반드시 비상 정지 장치를 제공해야 하며, 일반 제어 명령보다 우선적으로 동작해야 하고, 모든 관련 운전 모드에서 유효해야 하며, 의도적인 리셋이 있기 전까지는 다시 운전할 수 없어야 한다. 비상 정지는 보조 보호 수단이며, 부적절한 보호 장치, 부족한 보호 영역, 불안정한 제동, 안전하지 않은 기계 설계를 대신할 수는 없다.

안전 모션 기능(Safe Motion Function)은 IEC 61800-5-2를 기반으로 구현되는 경우가 많다. 안전 토크 차단(STO), 안전 정지 1(SS1), 안전 정지 2(SS2), 안전 제한 속도(SLS), 안전 방향(SDI), 안전 운전 정지(SOS), 안전 브레이크 제어(SBC)와 같은 기능을 통해 드라이브 수준에서 위험한 움직임을 제어할 수 있다. 이러한 기능은 적절한 선택, 시스템 통합, 타이밍 분석, 파라미터 보호, 실제 기계 응답에 대한 검증이 함께 이루어져야 한다.

인증된 드라이브 기능이 있다고 해서 전체 로봇 안전 기능이 자동으로 인증되는 것은 아니다. STO는 토크 생성을 방지할 수 있지만 즉시 정지를 보장하지 않으며, 관성 주행을 막거나 경사면에서 로봇을 유지하거나 DC 버스 전압을 제거하지도 않는다. 시스템 통합자는 STO를 센서, 안전 제어기, 브레이크, 전원 절연, 고장 감시와 연결하고 최악 조건에서 정지 거리와 최종 기계 상태를 검증해야 한다.

안전 레이저 스캐너(Safety Laser Scanner)와 같은 보호 전자 장치는 장치별 표준과 제조사의 인증 범위 안에서 사용해야 한다. 통합자는 감지 능력, 응답 시간, 보호 영역 설정, 설치 높이, 환경 조건, 시험 요구사항 등을 인증 범위 내에서 적용해야 한다. 보호 영역은 전체 시스템 응답 시간, 최대 속도, 제동 거리, 측정 오차 및 충분한 안전 여유를 모두 고려하여 결정해야 한다.

기능 안전 응답 시간(Response Time)은 전체 안전 체인을 기준으로 계산해야 한다. 센서 감지 시간, 네트워크 전송, 안전 제어기 처리 시간, 출력 스위칭, 드라이브 응답, 브레이크 지연, 기계 감속, 환경 변화가 모두 최종 정지 거리에 영향을 준다. 단순히 스캐너 응답 시간이나 PLC 주기만 인용해서는 충분한 안전 근거가 될 수 없다. 계산 결과는 최대 적재량, 최대 속도, 최대 경사 및 저마찰 조건에서 실제 시험으로 검증해야 한다.

안전 통신 프로토콜(Safe Communication Protocol)은 안전 데이터를 네트워크로 전송할 때 사용할 수 있다. 이러한 프로토콜은 데이터 손상, 반복, 순서 오류, 과도한 지연, 데이터 손실, 송수신 오류 등을 감지하도록 설계되어 있다. 그러나 프로토콜이 인증되었다고 해서 네트워크 자체의 가용성이나 응용 프로그램의 올바른 설정까지 보장하는 것은 아니다. 타임아웃, 갱신 주기, 스위치 동작, 네트워크 구조, 전원 분배, 주소 설정 및 고장 대응도 함께 분석해야 한다.

기능 안전과 사이버보안(Cybersecurity)은 점차 밀접하게 연결되고 있다. 허가되지 않은 변경이나 시스템 방해는 안전 기능이 제대로 수행되지 못하게 만들 수 있기 때문이다. IEC TS 63074는 IEC 62443 시리즈의 보안 요구사항 가운데 기계 안전 제어 시스템과 관련된 내용을 제시한다. 안전 프로젝트에서는 설정, 펌웨어, 서비스 인터페이스, 네트워크, 인증 정보, 업데이트 절차를 보호해야 하지만 비상 기능이 원격 서비스에 의존하도록 만들어서는 안 된다.

안전 라이프사이클(Safety Lifecycle)은 계획 단계에서부터 책임을 명확히 정의하는 것으로 시작된다. 제조사, 시스템 통합업체, 부품 공급업체, 설비 운영자, 유지보수 조직, 인증 기관은 각각 서로 다른 위험을 관리한다. 이러한 책임에는 위험 분석, 안전 요구사항, 하드웨어와 소프트웨어 설계, 설치, 검증, 운용 지침, 교육, 변경 관리, 사고 대응 및 정기 시험이 포함된다.

기능 안전 계획(Function Safety Plan)은 수행해야 할 작업, 산출물, 개발 방법, 도구, 역할, 역량 요구사항, 검토의 독립성, 승인 기준, 구성 관리 방법을 정의한다. 또한 어떤 표준을 적용할 것인지와 어느 판(Edition)을 계약상 또는 법적으로 적용할 것인지를 명확히 해야 한다. 표준은 지속적으로 개정되므로 개발 중에 영향 분석 없이 버전을 변경하면 요구사항과 검증 결과가 일관성을 잃을 수 있다.

개발자의 역량(Competency)은 기능 안전에서 명시적으로 요구되는 요소이다. 위험 분석, SIL·PL 결정, 회로 설계, 소프트웨어 개발, 고장 분석, 검증을 수행하는 엔지니어는 관련 기술과 표준을 충분히 이해해야 한다. 역량에는 교육, 실무 경험, 해당 분야의 전문지식, 해당 로봇 시스템에 대한 이해가 포함된다. 단기간 교육 수료증만으로 모든 프로젝트 의사결정을 수행할 수 있는 능력이 입증되는 것은 아니다.

안전 요구사항 명세(Safety Requirements Specification)는 위험 감소 대책을 구체적인 공학 요구사항으로 변환한다. 각각의 요구사항은 시험 가능해야 하며 기능, 운전 모드, 동작 조건, 안전 상태, 최대 응답 시간, 목표 무결성 수준, 인터페이스, 고장 대응, 리셋 방식, 환경 조건 및 증명 시험 요구사항을 포함해야 한다. "로봇은 안전하게 정지해야 한다."와 같은 모호한 문장은 속도, 거리, 안정성, 최종 에너지 상태를 정의하지 않으므로 충분하지 않다.

추적성(Traceability)은 각 위험을 안전 요구사항, 시스템 구조, 소프트웨어 논리, 계산 결과, 검증 시험과 연결한다. 요구사항이 변경되면 어떤 분석과 시험을 다시 수행해야 하는지를 쉽게 확인할 수 있으며 구현 과정에서 위험이 누락되지 않았음을 입증하는 데도 도움이 된다. 따라서 요구사항 데이터베이스나 추적성 매트릭스는 단순한 관리 문서가 아니라 중요한 안전 도구이다.

하드웨어 신뢰성 분석(Hardware Reliability Analysis)은 센서, 프로세서, 전원 공급 장치, 배선, 커넥터, 컨택터, 브레이크 및 출력 장치의 우발적(Random) 고장을 평가한다. 고장률 데이터는 인증 보고서, 공인 데이터베이스, 제조사 자료 또는 정당화된 현장 데이터를 사용할 수 있다. 온도, 부하, 운전 시간, 스위칭 횟수 및 환경 조건이 실제 사용 환경과 일치해야 한다. 부적절한 데이터를 사용하면 달성된 안전 무결성을 과대평가할 수 있다.

고장 형태 및 영향 분석(Failure Mode and Effects Analysis, FMEA)은 개별 부품의 고장이 안전 기능에 미치는 영향을 분석한다. 고장 형태·영향·진단 분석(Failure Mode, Effects and Diagnostic Analysis, FMEDA)은 이를 확장하여 안전 고장과 위험 고장을 구분하고 진단 범위를 추정한다. 고장수 분석(Fault Tree Analysis)은 여러 고장이 조합되어 위험 사건을 만드는 과정을 분석할 수 있다. 이러한 분석에는 배선 고장, 피드백 오류, 공통 전원 상실, 통신 장애, 기계 고장까지 포함해야 한다.

공통 원인 고장(Common-Cause Failure)은 겉보기에는 독립적인 이중화 채널이 하나의 공통 원인 때문에 동시에 고장나는 현상이다. 공통 배선, 커넥터, 전원 공급 장치, 소프트웨어 요구사항, 환경 노출, 유지보수 오류, 펌웨어 업데이트 등이 두 채널을 동시에 무력화할 수 있다. 따라서 표준에서는 물리적 분리, 기술적 다양성, 환경 보호, 독립 보호 수단, 통제된 개발 절차, 체계적인 유지보수를 요구한다. 단순한 부품 이중화만으로는 충분하지 않다.

체계적 고장(Systematic Fault)은 요구사항, 설계, 소프트웨어, 시스템 통합, 구성 관리, 제조 또는 유지보수 과정의 오류에서 발생한다. 이는 우발적 하드웨어 고장과 달리 더 신뢰성 높은 부품을 사용한다고 감소되지 않는다. 개발 프로세스, 코딩 표준, 설계 검토, 정적 분석, 시험, 도구 검증, 구성 관리, 독립 검증 등을 통해 관리해야 한다. 특히 IEC 61508-3은 안전 관련 소프트웨어 개발에 대한 요구사항을 별도로 정의하고 있다.

안전 소프트웨어(Safety Software)는 결정론적(Deterministic)이며 구조가 명확하고 요구사항과 추적 가능해야 한다. 인증된 기능 블록(Function Block)은 구현 위험을 줄일 수 있지만 파라미터와 연결이 올바르지 않으면 안전성을 보장할 수 없다. 안전 논리는 상태 전이(State Transition), 타임아웃, 기동 검사, 고장 유지(Latching), 리셋 조건 및 출력 우선순위를 명확하게 정의해야 한다. 동적 메모리 사용, 통제되지 않은 재귀 호출, 모호한 데이터 공유, 불필요한 통신 의존성은 피해야 한다.

개발 도구(Software Tool) 역시 안전 결과에 영향을 줄 수 있다. 컴파일러, 코드 생성기, 설정 프로그램, 계산 도구, 시뮬레이션 환경, 시험 시스템은 오류를 만들 수 있다. 개발 과정에서는 도구의 결과를 독립적으로 검증할 것인지 또는 도구 자체의 신뢰성을 확보할 것인지를 결정해야 한다. 사용한 도구 버전, 옵션, 라이브러리, 생성 파일 및 체크섬을 기록하여 동일한 시스템을 다시 생성할 수 있어야 한다.

검증(Verification)은 각 개발 단계의 산출물이 입력 요구사항을 정확히 만족하는지를 확인하는 과정이다. 설계 검토는 시스템 구조가 안전 요구사항을 만족하는지 확인하고, 코드 분석은 구현 규칙을 확인하며, 부품 시험은 모듈의 동작을 검증한다. 이후 시스템 통합 검증에서는 센서, 안전 제어기, 드라이브, 브레이크, 전원 시스템 및 일반 제어 소프트웨어 간 인터페이스를 확인한다. 검증은 개발 마지막이 아니라 전 과정에서 지속적으로 수행되어야 한다.

유효성 확인(Validation)은 완성된 로봇이 실제 운용 환경에서 요구된 안전 기능을 수행하는지를 확인하는 과정이다. 정상 조건뿐 아니라 경계 조건, 예측 가능한 오용 및 관련 고장을 포함해야 한다. 보호 정지, 비상 정지, 감속 운전, 충전 인터록, 브레이크 유지, 재시작 방지, 통신 상실, 센서 고장, 전원 상실 등을 시험하여 제어 논리뿐 아니라 실제 기계적 결과도 안전함을 입증해야 한다.

유효성 확인은 원래 설계를 수행한 조직으로부터 충분한 독립성을 가져야 한다. 필요한 독립성 수준은 안전 무결성, 시스템 복잡도, 조직 구조 및 적용 표준에 따라 달라진다. 독립 검토자는 설계자가 놓친 가정이나 모호한 요구사항, 예상 동작만 확인하는 시험을 발견할 가능성이 높다. 독립성은 협력을 배제하는 것이 아니라 설계자의 선입견을 줄이기 위한 것이다.

고장 주입(Fault Injection)은 가장 중요한 검증 기법 중 하나이다. 엔지니어는 채널을 분리하고, 단락을 만들고, 통신을 지연시키고, 피드백을 변경하고, 컨택터 용착을 모사하고, 전원을 차단하고, 소프트웨어 작업을 중단시키고, 엔코더 신호를 변경하거나, 센서를 비활성화한다. 단순히 경보가 발생하는지만 확인하는 것이 아니라 로봇이 정의된 안전 상태에 도달하고 요구되는 복구 조건을 만족하기 전까지 다시 운전하지 못함을 입증해야 한다.

환경 및 전자파 시험(Environmental and Electromagnetic Testing)은 실제 운용 환경에서도 안전 기능이 유지되는지를 확인한다. 극한 온도, 습도, 결로, 진동, 충격, 먼지, 물, 부식, 정전기, 전자파, 전도성 과도현상, 전원 변동은 간헐적인 고장을 만들 수 있다. 이러한 조건에서도 안전 기능은 유지되어야 하며 진단 기능이 과도한 오동작이나 숨은 열화를 만들지 않아야 한다.

문서화(Document)는 설계 의도와 달성된 안전성을 연결하는 증거를 제공한다. 일반적으로 위험 평가, 적용 표준 목록, 안전 계획, 안전 요구사항 명세, 시스템 구조도, 계산 결과, 부품 인증서, 소프트웨어 기록, 검토 보고서, 시험 절차, 시험 결과, 잔여 위험 평가, 운용 설명서, 유지보수 요구사항 및 구성 기준선을 포함한다. 문서는 단순히 인증서를 모으는 것이 아니라 설계 논리를 설명해야 한다.

인증된 부품(Component Certification)은 개발 부담을 줄일 수 있지만 적용 범위와 전제를 반드시 확인해야 한다. 스캐너, 안전 PLC, 드라이브, 엔코더, 컨택터는 특정 시스템 구조, 환경 조건, 증명 시험 주기, 응답 시간, 진단 연결을 전제로 인증되었을 수 있다. 시스템 통합자는 이를 올바르게 적용할 책임을 가진다. 인증된 부품만 모아 놓았다고 해서 완성된 AMR이 기능 안전 표준을 만족하는 것은 아니다.

제품 인증(Certification)은 ISO가 직접 수행하는 것이 아니라 적합성 평가 기관(Conformity Assessment Organization)이 수행한다. ISO는 표준을 개발하지만 제품 인증서는 발급하지 않는다. 시장과 법적 요구사항에 따라 제3자 인증이 의무일 수도 있고 계약이나 고객 요구에 의해 수행될 수도 있다. 그러나 인증이 제조사의 설계 책임을 대신하지는 않으며 자체적인 기술 검증을 대체해서도 안 된다.

적합성 평가(Conformity Assessment)는 라이프사이클 관리, 기술 문서, 계산 결과, 소프트웨어 개발 절차, 부품 인증 자료, 생산 관리, 검증 결과 등을 평가할 수 있다. 평가 기관은 실제 시험을 입회하거나 추가적인 고장 시나리오를 요구할 수도 있다. 프로젝트 초기에 협의하면 설계 완료 후 근본적인 구조 변경을 피할 수 있다.

표준 준수는 최초 출시 이후에도 계속 유지되어야 한다. 제조 변경, 공급업체 변경, 펌웨어 업데이트, 새로운 적재물, 브레이크 설정 변경, 다른 타이어, 스캐너 영역 변경, 운용 환경 확대는 기존의 안전 근거를 무효화할 수 있다. 따라서 변경 관리 절차에서는 위험 분석, 요구사항, 계산, 공통 원인 가정, 소프트웨어, 문서 및 검증에 미치는 영향을 반드시 평가해야 한다.

현장 운용(Field Operation)은 이론적 분석만으로는 알 수 없는 정보를 제공한다. 안전 정지 발생 빈도, 정지 거리 변화, 브레이크 응답 시간, 통신 오류, 센서 오염, 커넥터 고장, 우회 시도, 유지보수 기록 등을 지속적으로 분석해야 한다. 반복되는 현상은 잘못된 가정이나 새로운 고장 메커니즘을 나타낼 수 있다. 따라서 기능 안전 관리에는 지속적인 피드백과 개선이 포함되어야 한다.

자동 진단으로 발견할 수 없는 위험한 잠재 고장은 정기 증명 시험(Periodic Proof Test)을 통해 확인해야 한다. 비상 정지 장치, 범퍼, 스캐너 보호 영역, 브레이크, 컨택터, 피드백 루프, 경고 장치, 서비스 차단 장치, 충전 인터록 등을 적절한 주기로 시험해야 한다. 시험 절차에는 시험 조건, 기대 결과, 필요한 장비, 승인 기준, 고장 처리 방법 및 기록 보존 절차가 포함되어야 한다.

유지보수 담당자도 적절한 교육과 통제된 절차가 필요하다. 안전 부품을 일반 부품으로 교체하거나, 스캐너 영역을 변경하거나, 피드백 접점을 우회하거나, 이중화 배선을 하나로 묶으면 안전 구조가 무효화될 수 있다. 따라서 예비부품 관리, 소프트웨어 접근 권한, 파라미터 변경, 우회 기능 및 유지보수 후 시험도 모두 안전 활동으로 관리해야 한다.

지역별 법규(Regional Legislation)는 국제 표준의 법적 적용 방법을 결정한다. 국제 표준은 국가 표준으로 채택되거나 법규에서 인용되거나 적합성 입증 수단으로 사용되거나 고객과 보험사의 요구사항이 될 수 있다. 프로젝트에서는 목표 시장과 적용되는 법적 체계를 정확히 확인해야 하며 하나의 국제 인증이 모든 국가에서 자동으로 인정된다고 가정해서는 안 된다. 계약이나 설치 현장의 요구사항은 국제 표준보다 더 엄격할 수도 있다.

기능 안전은 시스템 공학(System Engineering)의 초기 단계부터 통합되어야 한다. 기계 구조, 전기 설계, 제동 성능, 센서, 컴퓨팅, 사이버보안, 진단, 생산 및 유지보수 전략 모두 달성 가능한 안전 무결성에 영향을 준다. 기계 설계가 완료된 이후에 기능 안전을 추가하려 하면 공간, 배선, 전원, 프로세서, 브레이크, 커넥터, 소프트웨어 구조를 다시 설계해야 하는 경우가 많다.

가장 효과적인 표준 적용 전략은 위험에서 증거(Evidence)까지 이어지는 명확한 연결 구조를 만드는 것이다. 위험을 식별하고 필요한 위험 감소 수준을 결정한 뒤 안전 기능을 정의하고, 적절한 SIL 또는 PL을 부여하며, 적절한 구조와 부품을 선택하고, 체계적인 개발 절차를 적용한 후 검증과 유효성 확인을 수행한다. 모든 안전 주장은 추적 가능한 분석, 시험 결과 및 구성 관리로 입증되어야 한다.

기능 안전 표준은 어떠한 사고도 절대로 발생하지 않는다는 보장을 제공하지는 않는다. 대신 위험을 허용 가능한 수준으로 감소시키고, 정의된 조건에서 안전 관련 시스템이 신뢰성 있게 동작함을 입증하기 위한 체계적인 방법을 제공한다. 이러한 표준의 가장 큰 가치는 모든 가정을 명확하게 만들고, 측정 가능한 요구사항을 정의하며, 숨은 의존성을 드러내고, 직관이나 경험이 아닌 객관적인 증거를 요구한다는 점에 있다.

자율이동로봇에서 기능 안전 표준을 올바르게 적용하면 단순히 규정을 만족하는 제어반(Control Cabinet)을 만드는 것이 아니다. 보호 감지, 속도 감시, 정지, 제동, 전원 절연, 통신, 소프트웨어, 진단, 유지보수 및 변경 관리가 하나의 검증된 안전 시스템으로 통합되는 전체 라이프사이클을 구축하게 된다. 이러한 체계를 일관되게 적용할 때 AMR은 지능과 복잡성이 증가하더라도 사람, 설비 및 주변 환경에 대한 보호 수준을 유지하면서 신뢰성 있는 자율성을 실현할 수 있다.

12.07 Fail Safe Operation

고장 안전 운전(Fail-Safe Operation)은 고장, 비정상 사건, 제어 상실 또는 예상하지 못한 환경 조건이 발생했을 때 자율이동로봇(Autonomous Mobile Robot, AMR)이 정의된 안전 상태로 전환할 수 있는 능력을 의미한다. 이 원칙은 모든 고장 이후에도 로봇이 임무를 계속 수행해야 한다는 뜻이 아니다. 대신 고장을 감지하고, 위험 에너지를 제어하며, 움직임을 제한하거나 정지시키고, 사람, 설비, 적재물 및 주변 환경이 보호되는 상태로 시스템을 전환해야 한다는 의미이다.

고장 안전 설계는 각 운전 조건에서 무엇이 "안전"한지를 정의하는 것부터 시작한다. 평탄한 공장 바닥을 주행하는 로봇의 안전 상태는 제어 감속 후 브레이크 체결과 토크 차단일 수 있다. 그러나 경사면에서는 단순히 모터 토크만 제거하면 로봇이 통제되지 않은 상태로 구를 수 있으므로, 검증된 기계적 유지 기능까지 포함해야 한다. 승강 작업 중에는 즉각적인 전원 절연보다 하중 유지가 더 중요할 수 있다. 따라서 안전 상태는 기능과 상황에 따라 달라진다.

고장 안전 운전은 고장 허용(Fault Tolerance)과 구별된다. 고장 허용은 고장이 발생해도 시스템이 계속 운전할 수 있도록 하는 개념이고, 고장 안전 운전은 비위험 상태로의 전환을 우선한다. 일부 AMR은 두 개념을 함께 사용한다. 이중화된 조향 센서가 하나 고장나면 제한적으로 운전을 계속할 수 있지만, 남은 채널마저 신뢰할 수 없게 되면 로봇은 안전하게 정지해야 한다. 설계에서는 언제 계속 운전이 허용되고 언제 안전 정지가 의무적인지를 명확히 정의해야 한다.

안전 상태는 운용 편의에 따라 결정하는 것이 아니라 위험 분석(Hazard Analysis)을 통해 도출해야 한다. 엔지니어는 협착, 충돌, 전복, 폭주, 적재물 낙하, 배터리 고장, 감전, 화재, 불안정한 제동, 비상 통로 차단, 다른 설비와의 상호작용을 고려해야 한다. 한 위험에 안전한 상태가 다른 위험을 증가시킬 수도 있다. 즉시 정지는 충돌을 막을 수 있지만 높은 적재물을 불안정하게 만들 수 있고, 완만한 정지는 안정성을 유지하지만 이동 거리를 증가시킬 수 있다.

고장 안전 동작은 완전한 시스템 구조(System Architecture) 안에 구축되어야 한다. 센서는 위험 상태를 감지하고, 안전 논리는 이를 평가하며, 통신 경로는 명령을 전달하고, 액추에이터는 움직임을 감소시키며, 브레이크는 로봇을 고정하고, 필요한 경우 전원 스위칭 장치는 에너지를 절연한다. 이 중 하나라도 누락되면 로봇이 고장을 보고하더라도 실제로 안전 상태에 도달하지 못할 수 있다. 따라서 감지에서 물리적 결과까지 전체 체인을 검증해야 한다.

기본 원칙 중 하나는 전원 상실이 통제되지 않은 위험 움직임을 발생시키지 않아야 한다는 것이다. 전기적으로 해제되고 스프링 힘으로 체결되는 브레이크(Spring-Applied, Electrically Released Brake)는 전원이 제거되면 자동으로 작동하기 때문에 자주 사용된다. 상시폐쇄 안전 접점(Normally Closed Safety Contact)은 배선이 끊어지면 개방되고, 안전 출력은 제어 전원이 상실되면 최종 장치를 비활성화한다. 이러한 구조는 고장 안전 동작을 지원하지만 실제 기계적·전기적 효과는 현실적인 조건에서 검증되어야 한다.

고장 안전은 항상 즉각적인 무전원화를 의미하지 않는다. 전원을 갑자기 제거하면 조향 기능이 사라지거나, 적재물이 해제되거나, 조명이 꺼지거나, 기계식 브레이크가 체결되기 전에 능동 제동이 중단되어 2차 위험이 발생할 수 있다. 안전 정지는 속도를 줄이고, 조향을 유지하며, 브레이크를 체결하고, 정지 상태를 확인한 다음, 토크를 제거하고, 고에너지 회로를 절연하는 제어된 순서를 요구할 수 있다.

정지 카테고리(Stopping Category)는 위험 특성에 맞아야 한다. 일부 경우에는 즉시 전원 제거를 통한 비제어 정지가 허용될 수 있다. 다른 경우에는 제어 정지 후 전원을 제거해야 한다. 어떤 시스템은 움직임이 정지된 이후에도 진단, 통신 또는 기계적 유지 기능을 위해 제어 회로 전원을 유지할 수 있다. 안전 상태 정의에는 어떤 에너지원이 계속 활성 상태로 남는지와 그것이 허용 가능한 이유가 포함되어야 한다.

고장 안전 운전은 신뢰성 있는 고장 감지(Fault Detection)에 의존한다. 로봇은 센서, 프로세서 상태, 통신 타이밍, 모터 드라이브, 브레이크, 조향, 전원 공급 장치, 배터리 상태, 열 상태, 위치추정 품질, 안전 출력을 감시해야 한다. 감지되지 않은 고장은 안전 대응을 유발할 수 없다. 따라서 진단 기능은 완전한 고장뿐 아니라 안전 가정을 무효화할 수 있는 점진적인 열화도 감지해야 한다.

고장 감지는 안전 중요 고장과 비중요 고장을 구분해야 한다. 장식용 디스플레이의 상실은 정지를 요구하지 않을 수 있지만 속도 피드백, 보호 감지, 브레이크 확인, 조향 제어의 상실은 즉각적인 대응이 필요할 수 있다. 고장 분류(Fault Classification)는 불필요한 정지를 줄이면서 위험한 고장에 적절히 대응하도록 한다. 이러한 분류는 운용 편의가 아니라 위험 분석을 기준으로 해야 한다.

안전 관련 진단은 가능한 경우 일반 임무 소프트웨어와 독립되어야 한다. 주 자율주행 컴퓨터가 많은 고장을 감지할 수 있지만, 그 자체가 정지하거나 충돌하거나 손상될 수 있다. 안전 PLC(Safety PLC), 안전 제어기(Safety Controller), 드라이브 안전 기능 또는 하드웨어 워치독(Hardware Watchdog)이 핵심 조건을 독립적으로 감시해야 한다. 일반 소프트웨어는 안전 정지를 요청할 수 있지만, 위험 움직임을 제거하는 최종 권한은 감시 대상과 동일한 소프트웨어에 의존해서는 안 된다.

워치독 감시(Watchdog Supervision)는 대표적인 고장 안전 메커니즘이다. 워치독은 프로세서, 태스크 또는 통신 경로가 정상적으로 동작하고 있다는 주기적인 확인 신호를 기대한다. 확인 신호가 늦거나 없거나 유효하지 않으면 미리 정의된 대응을 시작한다. 타임아웃은 정상적인 부하 변동에서 불필요한 정지를 일으키지 않을 만큼 길어야 하지만, 위험한 무제어 운전을 막을 수 있을 만큼 짧아야 한다. 최악 조건의 실행 시간과 통신 지연은 가정이 아니라 측정을 통해 결정해야 한다.

프로세서 감시에는 이중 실행, 메모리 검사, 프로그램 흐름 감시, 입력 타당성 검사, 클록 감시, 출력 피드백이 포함될 수 있다. 두 프로세서가 서로 다른 안전 결과를 계산한 경우 시스템은 어느 결과가 맞는지 추측해서는 안 된다. 대신 안전 상태로 전환해야 한다. 내부 진단은 출력이 마지막 상태에 고정되는 고장도 감지해야 한다.

분산형 AMR에서 통신 상실은 중요한 위험 요인이다. 안전 센서, 제어기, 드라이브, 원격 입출력, 충전 스테이션, 플릿 시스템은 네트워크를 통해 중요한 데이터를 교환할 수 있다. 메시지가 상실되거나, 지연되거나, 반복되거나, 손상될 때의 고장 안전 대응은 모든 인터페이스에 대해 정의되어야 한다. 안전 중요 움직임이 오래된 명령이나 갱신되지 않은 센서 정보를 사용하여 계속되어서는 안 된다.

네트워크 타임아웃 동작은 남아 있는 로컬 기능을 고려해야 한다. 온보드 안전 제어기가 유효한 보호 감지와 모션 제어 기능을 계속 보유하고 있다면 플릿 연결 상실 시 안전한 위치로 이동한 후 정지할 수 있다. 그러나 상실된 네트워크가 핵심 보호 데이터를 전달하는 경우 즉시 정지가 필요할 수 있다. 안전 영향이 서로 다른 통신 고장을 모두 동일하게 처리해서는 안 된다.

무선 통신은 즉각적인 로컬 안전 동작을 위한 유일한 기반이 되어서는 안 된다. 무선 범위, 간섭, 혼잡, 액세스 포인트 고장, 사이버보안 사건으로 연결이 끊길 수 있다. 로컬 보호 정지, 비상 정지, 제동, 전원 절연은 클라우드나 플릿 통신 없이도 동작해야 한다. 원격 시스템은 감시, 조정, 정지 요청을 수행할 수 있지만, 로컬 안전은 독립적으로 유지되어야 한다.

위치추정 실패(Localization Failure)는 내비게이션이 위치와 방향 정보에 의존하는 AMR에서 특히 중요하다. 센서 차폐, 환경 변화, 지도 불일치, 반사 표면, 위성항법시스템(GNSS) 저하, 휠 슬립, 연산 장애로 위치추정을 잃을 수 있다. 고장 안전 대응에는 감속, 정지, 브레이크 유지, 작업자 지원 요청이 포함될 수 있다. 위치가 검증되지 않은 상태에서 정상 속도로 계속 운전하면 보호 영역 선택과 경로 가정이 무효화될 수 있다.

위치추정 열화에 대한 대응은 단계적으로 구성할 수 있다. 작은 불확실성은 감속과 보호 영역 확대를 유발할 수 있다. 더 큰 불확실성은 제어된 복구 동작만 허용할 수 있다. 완전한 위치추정 상실은 정지와 브레이크 체결을 요구할 수 있다. 이러한 단계는 남은 센서와 안전 여유가 지원하는 수준을 넘어 추정 위치에 의존하지 않도록 검증되어야 한다.

속도 피드백 고장(Speed Feedback Failure)에도 명확한 안전 대응이 필요하다. 제어기가 실제 속도를 확인할 수 없다면 정지 거리, 안전 제한 속도, 정지 상태를 검증할 수 없다. 이중 엔코더, 독립 휠 센싱, 모터 피드백, 드라이브 통합 안전 기능을 통해 감시를 계속할 수 있다. 유효한 속도 정보가 없는 경우 로봇은 정지하고 고장이 해소될 때까지 재시작을 방지해야 한다.

조향 고장(Steering Fault)은 즉각적인 대응보다 제어된 대응이 필요할 수 있다. 고속 차량에서 조향 전원을 즉시 제거하면 감속 중 예측할 수 없는 방향 이탈이 발생할 수 있다. 안전 전략은 구동 토크를 줄이는 동안 제한적인 조향 능력을 유지할 수 있다. 저속 차동구동 로봇에서는 한쪽 구동 채널의 상실이 회전이나 편향을 유발할 수 있으므로 토크 제거와 브레이크 체결을 조정해야 한다.

브레이크 고장(Brake Failure)은 전기적 사건과 기계적 사건으로 모두 다루어야 한다. 브레이크가 올바른 명령을 받더라도 마모, 오염, 조정 불량, 링크 손상, 부족한 유지 토크로 인해 체결되지 않을 수 있다. 브레이크 전류, 스위치 상태, 액추에이터 위치, 실제 로봇 움직임은 서로 다른 형태의 확인 수단이 될 수 있다. 고장 안전 운전은 제어 비트의 변화가 아니라 차량이 실제로 고정되었다는 증거를 요구한다.

경사면에서는 드라이브 토크를 제거하기 전에 로봇이 유지될 수 있는지를 확인해야 한다. 기계식 브레이크가 하중을 유지하지 못하면 일시적으로 제어 모터 토크를 유지하거나, 더 안전한 방향으로 이동하거나, 추가 고정 장치를 배치하거나, 긴급 경보를 발생시켜야 할 수 있다. 대체 수단은 불안정하거나 과열될 수 있는 액추에이터에 무기한 의존해서는 안 된다. 시간 제한과 열 제한을 정의해야 한다.

적재물 동작(Payload Behavior)도 고장 안전 계획에 포함되어야 한다. 액체, 현수 화물, 불안정한 물품, 위험 화학물질, 높은 적재물을 운반하는 로봇은 2차 위험을 방지하기 위해 더 낮은 감속이 필요할 수 있다. 승강 장치는 통제되지 않은 하강을 막아야 하며, 클램프나 포크는 전원 상실 시에도 적재물을 유지해야 한다. 이동 베이스와 적재물의 안전 기능은 하나의 통합 시스템으로 조정되어야 한다.

이동형 매니퓰레이터(Mobile Manipulator)는 추가적인 고장 안전 복잡성을 가진다. 로봇 팔은 차량 외곽으로 돌출되거나, 무게 중심을 변화시키거나, 기계 에너지를 저장할 수 있다. 베이스만 정지하더라도 매니퓰레이터가 계속 움직이면 충분하지 않다. 공통 비상 기능은 팔 정지, 베이스 제동, 적재물 유지, 안정성을 함께 조정해야 한다. 경우에 따라 로봇 팔을 안전 자세로 복귀시킬 수 있지만, 그 움직임 자체가 비위험하다고 검증된 경우에만 허용해야 한다.

배터리 고장(Battery Fault)은 상태에 따라 다른 대응을 요구한다. 낮은 충전 상태는 제어된 충전 복귀를 허용할 수 있지만, 셀 과열, 절연 고장, 급격한 전압 저하, 연기 감지, 내부 단락 징후는 즉각적인 정지와 전기적 절연을 요구할 수 있다. 배터리 상태가 악화되는 동안 로봇이 좁거나 사람이 많은 구역에 진입하지 않도록 해야 하며, 가능한 경우 핵심 안전 제어에 필요한 전원을 보존해야 한다.

고장 안전 배터리 대응에서는 주 컨택터(Main Contactor)를 개방해도 모든 전압이 즉시 제거되지 않을 수 있다는 점을 고려해야 한다. 커패시터, 보조 전원, 회생 에너지, 병렬 전원 경로가 계속 활성 상태로 남을 수 있다. 방전 회로, 전압 감시, 컨택터 피드백, 서비스 차단 장치를 통해 실제 에너지 상태를 확인해야 한다. 저장 에너지는 논리 상태가 아니라 물리적 위험으로 취급해야 한다.

열 고장(Thermal Fault)은 점진적이거나 급격하게 발생할 수 있다. 모터, 드라이브, 브레이크, 배터리, 전력 변환기, 배선, 프로세서는 과부하, 냉각 차단, 높은 주변 온도, 기계 저항, 부품 고장으로 과열될 수 있다. 대응에는 출력 제한, 감속, 제어 정지, 팬 작동, 전원 절연, 대피가 포함될 수 있다. 온도 센서는 설치가 편리한 위치가 아니라 실제 위험을 의미 있게 감지할 수 있는 위치에 배치해야 한다.

화재와 연기 조건에서는 특별한 안전 상태가 필요할 수 있다. 복도, 가연성 물질 근처, 사람이 탑승한 엘리베이터 내부에서 즉시 정지하면 위험이 더 커질 수 있다. 정당한 근거가 있는 경우 로봇은 미리 정의된 비상 구역까지 짧은 거리를 이동할 수 있지만, 구동과 감지 기능이 여전히 신뢰할 수 있을 때만 가능하다. 배터리 화재 가능성이 있는 상황에서 계속 이동하면 위험이 확산될 수 있으므로 이러한 동작은 엄격하게 제한되어야 한다.

전원 공급 장치 고장(Power Supply Failure)은 위험 에너지가 제어되기 전에 안전 논리를 비활성화해서는 안 된다. 안전 제어기, 브레이크, 컨택터 코일, 핵심 센서는 유지 에너지, 이중화 컨버터 또는 전용 보조 전원이 필요할 수 있다. 메인 버스 전압이 붕괴할 때 출력이 통제되지 않은 중간 상태에 남지 않도록 해야 한다. 부분적인 저전압은 완전한 전원 차단보다 예측하기 어려울 수 있으므로 브라운아웃(Brownout) 동작을 시험해야 한다.

고장 안전 입력 설계에는 상시폐쇄 접점, 테스트 펄스, 이중 채널, 타당성 감시가 자주 사용된다. 배선 단선, 커넥터 분리, 단락, 채널 간 단락, 외부 전압 주입을 필요한 경우 감지해야 한다. 안전 입력은 모든 전기적 고장을 정상 상태로 해석해서는 안 된다. 일반적인 고장이 정지 요청이나 래치형 진단을 발생시키도록 회로를 설계해야 한다.

출력 회로도 유사한 감시가 필요하다. 안전 출력은 STO 입력, 브레이크 밸브, 릴레이, 컨택터를 제어할 수 있다. 피드백 접점, 전류 감지, 테스트 펄스, 출력 비교를 통해 명령이 의도한 상태를 만들었는지 확인해야 한다. 컨택터가 용착되거나 출력이 계속 활성 상태에 남더라도 남아 있는 독립 채널이 위험 에너지를 제거하고 재시작을 방지할 수 있어야 한다.

이중화(Redundancy)는 하나의 고장을 허용해야 할 때 고장 안전 능력을 향상시킨다. 두 채널이 동일한 비상 정지를 감시하고, 두 프로세서가 논리 결과를 비교하며, 두 컨택터가 직렬로 전원을 차단할 수 있다. 그러나 두 채널이 동일한 취약 배선, 커넥터, 전원 공급 장치, 소프트웨어 오류, 환경 노출을 공유하면 이중화 효과가 사라진다. 따라서 공통 원인 고장 분석(Common-Cause Failure Analysis)이 필수적이다.

다양성(Diversity)은 서로 다른 물리 원리를 사용하여 고장 안전 기능을 강화할 수 있다. 전자식 장애물 감지를 기계식 범퍼가 보완하고, 모터 속도를 휠 속도와 비교하며, 제어 전기 제동을 스프링 작동식 기계 브레이크가 보완할 수 있다. 서로 다른 메커니즘은 하나의 기술에 대한 의존성을 줄이지만 응답 시간과 고장 모드가 다르므로 신중한 조정이 필요하다.

고장 안전 소프트웨어는 명시적인 상태 기계(State Machine)를 사용해야 한다. 상태에는 초기화, 정상 운전, 열화 운전, 제어 정지, 비상 정지, 안전 셧다운, 고장 래치, 유지보수, 재시작 검증이 포함될 수 있다. 상태 전이는 명확한 조건, 우선순위, 타임아웃, 출력 동작을 가져야 한다. 여러 소프트웨어 모듈에 분산된 암묵적인 논리는 분석하기 어렵고 고장 상황에서 상충되는 명령을 만들 수 있다.

중요 사건이 발생한 동안 안전 상태 전이는 단조롭게 진행되어야 한다. 심각한 고장이 안전 정지를 시작한 이후에는 신호가 일시적으로 정상으로 돌아오더라도 낮은 우선순위의 소프트웨어가 정지 동작을 취소해서는 안 된다. 간헐적인 연결과 불안정한 센서는 정상과 고장 상태를 반복할 수 있다. 래칭(Latching)은 이러한 진동을 방지하고 재운전 전에 점검이나 의도적인 리셋이 이루어지도록 한다.

리셋(Reset)은 재시작(Restart)과 동일하지 않다. 리셋은 안전 고장이 확인되었고 필요한 조건이 정상으로 돌아왔음을 인정하는 절차이다. 재시작은 움직임을 허가하는 절차이다. 두 기능을 분리하면 센서가 정상으로 돌아오거나, 전원이 복구되거나, 통신 링크가 다시 연결될 때 예상하지 못한 움직임을 방지할 수 있다. 위험 구역을 자동으로 확인할 수 없는 경우 수동 개입이 필요할 수 있다.

기동(Startup) 자체도 고장 안전 동작이어야 한다. 전원이 인가되면 자가 시험, 센서 검사, 통신 확인, 브레이크 상태, 드라이브 준비 상태, 구성 검증, 보호 영역 선택이 완료될 때까지 출력은 안전 상태에 머물러야 한다. 일반 소프트웨어가 실행되었다는 이유만으로 로봇이 움직여서는 안 된다. 구동을 활성화하기 전에 안전 준비 상태를 명확히 확인해야 한다.

예기치 않은 전원 복구가 자동적인 위험 움직임을 발생시켜서는 안 된다. 배터리 연결, 충전기 해제, 브라운아웃 복구, 비상 정지 리셋 이후에는 제어된 재시작 순서가 필요하다. 이전 임무 명령은 자동으로 이어서 실행하는 것이 아니라 다시 검증해야 한다. 시스템이 정지한 동안 환경이 바뀌거나 사람이 경로에 들어왔을 수 있기 때문이다.

운전 모드 선택(Mode Selection)은 고장 안전 동작에 영향을 준다. 자동, 수동, 유지보수, 견인, 교정, 충전, 복구 모드는 서로 다른 보호 기능과 속도 제한을 가질 수 있다. 현재 모드는 명확하게 표시되고 통제된 방법으로 선택되어야 한다. 모드 선택기 고장이나 시스템 간 불일치가 발생하면 가장 제한적인 안전 모드를 적용해야 한다.

유지보수 모드(Maintenance Mode)는 대체 보호 없이 안전 기능을 비활성화해서는 안 된다. 기술자는 진단을 위해 제한된 움직임이 필요할 수 있지만 속도, 힘, 이동 거리, 접근 범위를 제한해야 한다. 홀드 투 런(Hold-to-Run) 제어, 인에이블링 장치(Enabling Device), 로컬 감독, 제한 구역, 임시 장벽이 필요할 수 있다. 우회 기능은 시간 제한, 로그 기록, 명확한 표시가 있어야 하며 유지보수가 끝나면 자동으로 제거되어야 한다.

인간-기계 인터페이스(Human-Machine Interface)는 고장 안전 상태를 명확하게 전달해야 한다. 작업자는 로봇이 장애물 감지, 위치추정 상실, 브레이크 고장, 네트워크 타임아웃, 비상 정지, 배터리 부족, 열 위험 중 어떤 이유로 정지했는지 알아야 한다. 일반적인 오류 메시지는 안전하지 않은 반복 리셋을 유도할 수 있다. 명확한 진단은 비전문 사용자에게 불필요한 기술적 복잡성을 노출하지 않으면서 올바른 복구를 지원한다.

가청 및 시각 경고는 고장 중에도 필요한 경우 계속 사용할 수 있어야 한다. 구동 전원을 잃은 로봇도 조명, 경고음, 디스플레이, 무선 보고 기능이 필요할 수 있다. 따라서 핵심 경고 회로는 별도 전원이나 에너지 저장 장치를 사용할 수 있다. 경고 장치는 1차 보호 수단을 대신할 수 없지만 열화 또는 정지 상태에서 2차 위험을 줄이는 데 도움을 준다.

원격 감시(Remote Supervision)는 플릿 수준의 상황 인식을 제공하여 고장 안전 운전을 향상시킬 수 있다. 제어 시스템은 차단된 경로, 여러 대의 정지 로봇, 충전기 고장, 환경 위험을 식별할 수 있다. 그러나 원격 명령이 로컬 안전 논리를 무시해서는 안 된다. 플릿 시스템은 감속이나 정지를 요청할 수 있지만 로컬 안전 기능은 위험한 움직임 명령을 거부할 권한을 유지해야 한다.

로봇 간 상호작용은 조정된 대체 동작을 요구한다. 한 로봇의 갑작스러운 정지는 다른 로봇을 방해하거나 정체를 만들거나 비상 통로를 차단할 수 있다. 플릿 논리는 안전거리를 유지하고 다른 차량을 우회시켜야 하지만 각 로봇은 독립적으로 안전 정지할 수 있어야 한다. 시스템 수준 고장 안전 계획은 교차로, 좁은 통로, 엘리베이터, 공용 충전 구역을 고려해야 한다.

엘리베이터 운용은 특별한 고장 안전 조건을 가진다. 통신 상실, 층 불일치, 도어 움직임, 위치추정 불확실성, 엘리베이터 고장은 로봇을 고립시키거나 충돌 위험을 만들 수 있다. 로봇은 주행 전에 엘리베이터 객실 존재, 문 상태, 층 정렬, 이동 허가를 확인해야 한다. 조건 중 하나라도 무효화되면 구동을 비활성화하고 문 동작을 방해하지 않아야 한다.

충전 인터페이스(Charging Interface)도 안전한 대체 동작을 요구한다. 정렬 불량, 통신 상실, 과전류, 커넥터 과열, 절연 고장, 예상하지 못한 차량 이동, 충전기 고장은 에너지 전달을 중단하고 구동을 방지해야 한다. 물리적으로 충전 연결이 체결된 상태에서는 제어된 분리 동작을 위해 특별히 설계된 경우가 아니라면 로봇이 움직여서는 안 된다. 충전기와 로봇은 각각 독립적으로 비정상 조건을 감지해야 한다.

실외 AMR은 비, 안개, 눈, 얼음, 진흙, 낮은 마찰력, 경사, 바람, GNSS 상실, 예측하기 어려운 사람과의 상호작용으로 인해 추가적인 고장 안전 과제를 가진다. 정지 위치가 교통, 침수, 불안정성에 노출된다면 제자리 정지가 항상 안전한 상태는 아니다. 환경 감지와 경로 계획은 안전 대피 지점을 식별해야 하지만, 경로 계획이 고장난 경우에도 로컬 비상 보호는 유지되어야 한다.

낮은 접지력은 정지 성능 가정을 변화시킨다. 휠 슬립, 젖은 표면, 자갈, 얼음, 마모된 타이어, 과도한 적재물은 제동 거리를 늘리거나 방향 안정성을 저하시킬 수 있다. 로봇은 휠 정보와 관성 데이터를 이용해 마찰력을 추정하고 위험해지기 전에 속도를 줄일 수 있다. 신뢰할 수 있는 정지 성능을 유지할 수 없다면 해당 구역으로 진입하지 않거나 안정된 위치에서 정지해야 한다.

기계적 안정성(Mechanical Stability)도 감시해야 한다. 과도한 기울기, 서스펜션 고장, 적재물 이동, 타이어 손상, 지반 붕괴는 전복 위험을 만들 수 있다. 기울기 센서, 서스펜션 피드백, 하중 추정, 속도 제한은 조기 대응을 지원한다. 안정성 여유가 불확실해지면 상황을 악화시키지 않도록 조향과 가속 변화가 최소화된 상태로 정지해야 한다.

고장 안전 설계는 예측 가능한 오용(Foreseeable Misuse)을 포함해야 한다. 작업자는 과적, 센서 차단, 수동 이동, 비상 정지 위에 물체 적재, 스캐너 영역 변경, 인터록 우회, 원인 조사 없이 반복 재시작을 시도할 수 있다. 시스템은 위험한 오용을 어렵게 만들고 비정상 구성을 감지하며 명확한 경고를 제공해야 한다. 물리적 또는 소프트웨어 제어로 합리적으로 방지할 수 있는 오용을 절차에만 의존해서는 안 된다.

사이버보안 고장(Cybersecurity Failure)은 공격자나 비인가 사용자가 안전 파라미터를 변경하거나, 통신을 차단하거나, 센서 데이터를 위조하거나, 업데이트를 비활성화할 때 고장 안전 동작에 영향을 줄 수 있다. 안전 기능은 보호된 설정, 인증된 유지보수 접근, 서명된 펌웨어, 보안 부팅, 감사 로그를 사용해야 한다. 그러나 상위 사이버보안 서비스가 사용할 수 없는 경우에도 비상 정지와 로컬 위험 제어는 유지되어야 한다.

구성 무결성(Configuration Integrity)은 기술적으로 정상인 시스템도 잘못된 파라미터 때문에 위험해질 수 있으므로 중요하다. 잘못된 휠 직경, 제동 한계, 적재 정보, 스캐너 영역, 타임아웃, 드라이브 설정은 정지 거리 계산을 무효화할 수 있다. 안전 관련 구성은 버전 관리, 보호, 기동 시 검사, 정확한 하드웨어 개정과의 연결이 필요하다. 비인가 또는 불일치 구성이 발견되면 정상 운전을 차단해야 한다.

고장 안전 운전은 고장 주입(Fault Injection)을 통해 검증해야 한다. 센서 분리, 배선 단선, 채널 단락, 통신 상실, 프로세서 정지, 출력 고장, 컨택터 용착, 전원 전압 저하, 브레이크 차단, 엔코더 신호 변경, 위치추정 오류를 시험해야 한다. 시험은 로봇이 정의된 안전 상태에 도달하고 유효한 복구 조건이 충족될 때까지 그 상태를 유지할 때 성공한 것으로 판단해야 한다.

단일 고장 시험은 필요한 경우 현실적인 고장 조합까지 확장해야 한다. 통신 고장은 제동 중 발생할 수 있고, 센서는 배터리가 낮은 상태에서 고장날 수 있으며, 브레이크 고장은 경사면에서 나타날 수 있다. 표준이 정해진 수의 고장 허용만 요구하더라도 실제 운용에서는 연속적이고 상호 의존적인 사건이 발생할 수 있다. 시험은 의도한 대체 경로를 무력화할 가능성이 있는 조합에 집중해야 한다.

정지 성능은 최악 조건에서 측정해야 한다. 최대 속도, 적재량, 경사, 배터리 전압, 브레이크 온도, 타이어 마모, 낮은 마찰력, 통신 지연, 프로세서 부하, 액추에이터 허용오차가 모두 결과에 영향을 줄 수 있다. 분석적인 응답 시간 계산은 실제 시험과 비교해야 한다. 안전 여유는 제조 편차와 사용 수명 동안의 열화를 포함해야 한다.

자동 진단으로 감지할 수 없는 고장에는 증명 시험(Proof Test)이 필요하다. 비상 정지, 범퍼, 브레이크, 컨택터, 조향 구속 장치, 보호 영역, 서비스 차단기, 경고 장치, 유지 장치를 주기적으로 시험해야 한다. 시험 주기는 부품 특성, 사용 빈도, 환경 노출, 진단 범위, 숨은 고장의 결과를 고려하여 결정해야 한다.

이벤트 기록(Event Logging)은 복구와 지속적인 개선을 모두 지원한다. 유용한 기록에는 최초 고장, 센서 상태, 속도, 위치, 운전 모드, 안전 제어기 상태, 출력 명령, 브레이크 타이밍, 네트워크 상태, 배터리 조건, 리셋 시도, 최종 안전 상태가 포함된다. 간헐적 또는 연쇄적 고장을 이해할 수 있도록 동기화된 타임스탬프로 사건 순서를 보존해야 한다.

플릿 데이터(Fleet Data)는 진행 중인 고장 안전 약점을 발견할 수 있다. 반복되는 브레이크 지연, 특정 구역의 위치추정 상실, 특정 온도에서의 커넥터 고장, 펌웨어 변경 후 불필요한 정지는 시스템 문제를 나타낼 수 있다. 통계 분석은 설계, 유지보수, 운용 한계 개선에 사용해야 한다. 그러나 예측 분석은 결정론적 안전 메커니즘을 대체하는 것이 아니라 보완해야 한다.

유지보수와 수리는 고장 안전 구조를 보존해야 한다. 부품을 인증되지 않은 대체품으로 교체하거나, 배선 경로를 변경하거나, 피드백을 비활성화하거나, 브레이크 조정을 바꾸거나, 진단을 우회하면 안전 가정이 무효화될 수 있다. 통제된 예비부품, 문서화된 절차, 접근 제한, 유지보수 후 검증이 필요하다. 수리된 로봇은 핵심 안전 기능이 확인되기 전까지 다시 운용해서는 안 된다.

변경 관리(Change Management)는 움직임, 감지, 전원, 소프트웨어, 적재물, 타이어, 브레이크, 네트워크 타이밍, 운용 환경에 영향을 주는 모든 수정을 평가해야 한다. 작은 소프트웨어 업데이트도 프로세서 부하와 안전 응답 시간을 바꿀 수 있으며 새로운 적재물은 정지 거리와 안정성에 영향을 줄 수 있다. 기존 검증 근거가 계속 유효하다고 가정하지 말고 필요한 경우 재검토와 재시험을 수행해야 한다.

고장 안전 설계는 안전 상태로부터의 복구도 고려해야 한다. 로봇은 현장 점검, 원격 진단, 수동 견인, 배터리 절연, 적재물 제거, 제어된 재부팅이 필요할 수 있다. 복구 절차는 작업자를 저장 에너지나 예상하지 못한 움직임에 노출시키지 않아야 한다. 견인과 수동 해제 장치에는 구름과 브레이크의 통제되지 않은 해제를 방지하는 보호 수단이 포함되어야 한다.

고장 후 수동 이동에는 특별한 제어가 필요하다. 스프링 작동 브레이크를 해제하면 특히 경사면에서 로봇이 구를 수 있다. 기계식 고임목, 견인봉, 로컬 홀드 투 릴리스(Hold-to-Release) 제어, 속도 제한, 교육받은 작업자가 필요할 수 있다. 수동 복구 방법은 비공식적인 정비 작업이 아니라 위험 분석과 검증 대상에 포함되어야 한다.

가장 안전한 대응이 항상 가장 큰 운용 중단을 의미하는 것은 아니다. 모든 작은 진단 이상에 대해 로봇이 급정지하면 생산성이 저하되고 정체가 발생하며 작업자가 안전 기능을 우회하려는 유인이 생길 수 있다. 잘 설계된 고장 안전 운전은 경고, 출력 제한, 감속, 제어 정지, 즉시 절연과 같은 단계적 대응을 사용한다. 각 단계의 잔여 위험은 이해되고 문서화되어야 한다.

점진적 성능 저하(Graceful Degradation)는 요구 안전 무결성의 상실을 숨겨서는 안 된다. 하나의 이중화 채널이 사용할 수 없는 상태에서 계속 운전하는 경우 운전 시간, 속도, 구역, 허용 기능을 엄격히 제한해야 한다. 열화 상태는 명확히 표시되고 기록되어야 한다. 두 번째로 예상 가능한 고장이 남은 보호 기능을 제거하기 전에 계속 운전을 종료해야 한다.

고장 안전 운전은 고급 인공지능(Artificial Intelligence)이 내비게이션이나 작업 계획을 제어하더라도 결정론적으로 유지되어야 한다. 인공지능은 객체 분류, 위험 예측, 경로 최적화, 복구 동작 추천을 수행할 수 있지만 최종 보호 대응이 불확실한 추론에만 의존해서는 안 된다. 안전 중요 임계값, 정지 명령, 브레이크 체결, 전원 절연은 검증된 논리와 제한된 인터페이스에 의해 제어되어야 한다.

미래의 AMR은 고장이 발생하기 전에 열화를 식별하는 예측 안전(Predictive Safety)을 사용할 수 있다. 브레이크 응답 추세, 모터 전류, 진동, 센서 오염, 배터리 임피던스, 커넥터 저항, 네트워크 오류는 발생 중인 문제를 나타낼 수 있다. 예측 감시는 조기 유지보수나 출력 제한을 유발할 수 있지만, 예측이 틀리거나 사용할 수 없는 경우에도 즉각적인 고장 안전 대응을 약화시켜서는 안 된다.

성공적인 고장 안전 구조는 위험 평가, 하드웨어 설계, 소프트웨어 논리, 진단, 안전 모션, 제동, 전원 제어, 통신, 검증, 유지보수, 운용 절차를 하나로 연결한다. 각 요소는 정의된 안전 상태를 지원해야 하며 다른 하위 시스템에 대한 검증되지 않은 가정에 의존해서는 안 된다. 설계는 완전한 물리적·논리적 체인으로 이해되어야 한다.

고장 안전 운전은 궁극적으로 자율이동로봇이 불확실성을 통제되지 않은 행동으로 전환하지 않도록 하는 것이다. 감지가 신뢰할 수 없게 되고, 통신이 상실되고, 소프트웨어가 고장나고, 전원이 저하되고, 브레이크가 오동작하고, 환경이 검증된 한계를 초과할 때 로봇은 예측 가능하고 검증된 방식으로 대응해야 한다. 고장을 조기에 감지하고, 에너지를 제어하며, 안정성을 유지하고, 안전하지 않은 재시작을 방지함으로써 정상적인 자율성이 더 이상 가능하지 않은 상황에서도 보호 기능을 유지할 수 있다.

12.08 Safety Circuit Validation

안전 회로 검증(Safety Circuit Validation)은 모든 안전 관련 제어 기능이 올바르게 구현되었으며, 자율이동로봇(Autonomous Mobile Robot, AMR) 전체가 정상 상태, 비정상 상태 및 고장 상태에서 의도된 안전 상태에 도달함을 체계적으로 입증하는 과정이다. 검증은 단순히 배선의 연속성을 확인하거나 개별 부품이 인증되었는지를 확인하는 수준을 넘어선다. 위험 감지부터 논리 처리, 통신, 출력 스위칭, 제동, 에너지 절연, 그리고 실제 기계의 물리적 반응까지 전체 안전 체인을 검증하는 것이 목적이다.

검증 과정은 명확하게 정의된 안전 요구사항(Safety Requirement)에서 시작된다. 각각의 안전 기능은 작동 조건, 운전 모드, 요구되는 응답, 최대 응답 시간, 목표 안전 무결성(Safety Integrity), 최종 안전 상태, 리셋 동작 및 적용 가능한 환경 조건을 명확히 정의해야 한다. 예를 들어 "장애물이 감지되면 로봇을 정지시킨다."라는 요구사항만으로는 충분하지 않으며, 감지 영역, 최대 속도, 제동 거리, 적재 조건, 경사, 감지 이후 허용되는 움직임 및 재시작 제한까지 함께 정의되어야 한다.

검증(Validation)은 확인(Verification)과 밀접하게 관련되어 있지만 서로 다른 활동이다. 확인은 설계 결과가 입력 요구사항을 정확히 만족하는지를 검토하는 과정이며, 예를 들어 전기 회로도가 안전 구조와 일치하는지, 소프트웨어가 요구된 논리를 구현했는지를 확인한다. 반면 검증은 완성된 로봇이 실제 운용 환경에서 요구된 위험 감소 기능을 수행하는지를 입증한다. 즉 회로가 설계도대로 제작되었더라도 실제 로봇이 안전 거리 안에서 정지하지 못한다면 검증은 실패한 것이다.

검증 계획(Validation Plan)은 하드웨어 통합이 완료된 이후가 아니라 개발 초기부터 수립되어야 한다. 초기 계획을 통해 어떤 신호를 측정할 수 있어야 하는지, 어떤 고장을 주입해야 하는지, 어떤 계측 장비가 필요한지, 어떤 시험 인터페이스를 로봇에 미리 설계해야 하는지를 결정할 수 있다. 이러한 준비가 부족하면 중요한 고장 모드를 재현하기 어려워지고, 시험을 위해 배선이나 소프트웨어를 다시 수정해야 하는 상황이 발생할 수 있다.

검증 계획에는 안전 기능, 적용 표준, 책임자, 요구되는 독립성, 시험 방법, 시험 장비, 환경 조건, 합격 기준, 필요한 증거 및 시험 대상 구성을 포함해야 한다. 또한 시험 중 발생한 편차를 어떻게 기록하고 해결할 것인지도 정의해야 한다. 이 계획은 안전 요구사항과 시험 기록을 연결하는 기준 문서가 되며, 중요한 시험 항목이 누락되는 것을 방지한다.

검증 팀은 원래 설계를 수행한 조직으로부터 충분한 독립성을 가져야 한다. 설계자는 시스템을 가장 잘 이해하지만 자신의 설계가 예상대로 동작하는지만 확인하려는 무의식적인 편향을 가질 수 있다. 반면 독립 검토자는 설계 가정을 의심하고, 불완전한 요구사항을 발견하며, 예상하지 못한 상호작용을 확인할 가능성이 높다. 요구되는 독립성 수준은 시스템의 복잡성과 안전 무결성 수준에 따라 결정되어야 한다.

검증에는 높은 수준의 전문성이 요구된다. 전기 회로, 기계 동역학, 제어 소프트웨어, 통신, 제동 시스템, 배터리 시스템, 센서, 관련 표준 및 실제 운용 환경에 대한 충분한 이해가 필요하다. 시험자는 절차를 수행하는 방법뿐 아니라 어떤 결과가 위험한지를 이해해야 한다. 교육 기록, 실무 경험, 역할 분담 및 기술 검토를 통해 검증 담당자의 역량을 입증해야 한다.

첫 번째 검증 활동은 일반적으로 문서 검토(Document Review)이다. 위험 분석, 안전 요구사항 명세, 시스템 구조도, 회로도, 소프트웨어 명세, 입출력 목록, 부품 인증서, 고장 분석, 응답 시간 계산, 운용 설명서를 검토한다. 이를 통해 모든 위험이 적절한 보호 기능과 연결되어 있으며 실제 시험 이전에 충분한 설계 근거가 확보되었는지를 확인한다.

추적성(Traceability)은 위험을 안전 기능과 연결하고, 안전 기능을 시험 항목과 연결해야 한다. 각각의 시험 기록은 어떤 요구사항을 검증하는지 명확하게 표시해야 한다. 이러한 구조를 통해 모든 요구사항이 시험되었는지 확인할 수 있으며, 변경 관리 시 어떤 분석과 시험을 다시 수행해야 하는지도 쉽게 판단할 수 있다.

검증은 명확하게 정의된 시스템 구성(Configuration)에서 수행되어야 한다. 하드웨어 버전, 안전 제어기 펌웨어, 응용 소프트웨어, 안전 논리 버전, 드라이브 파라미터, 센서 펌웨어, 브레이크 설정, 타이어 종류, 적재 구성, 배터리 종류 및 네트워크 설정을 모두 기록해야 한다. 임시 또는 확인되지 않은 구성에서 수행한 시험은 실제 생산 제품과 동일한 동작을 보장하지 못하므로 검증 근거로 충분하지 않다.

구성 관리(Configuration Control)는 검증 중 승인되지 않은 변경을 방지해야 한다. 파라미터 파일, 안전 프로그램, 스캐너 보호 영역, 드라이브 설정 및 배선 변경은 모두 버전 관리되고 보호되어야 한다. 시험 중 변경이 필요한 경우 변경 이유와 영향을 기록하고 관련 시험을 다시 수행해야 한다. 최종 안전 근거는 생산 또는 배포되는 구성과 정확히 일치해야 한다.

육안 검사(Visual Inspection)는 중요한 시작 단계이다. 검증자는 부품이 승인된 부품 목록과 일치하는지, 안전 장치가 올바른 위치에 설치되었는지, 배선이 적절히 보호되었는지, 커넥터가 확실히 고정되었는지, 라벨이 정확한지, 이중화 채널 간 물리적 분리가 유지되는지를 확인한다. 또한 배선 경로 오류, 센서 방향 오류, 기계적 보호 부족, 접근하기 어려운 비상 정지 버튼과 같이 전기 시험으로 발견하기 어려운 문제도 찾아낼 수 있다.

전기 검사(Electrical Inspection)는 전선 굵기, 보호 접지, 퓨즈 용량, 절연, 단자 연결, 차폐, 접지, 전원 분배 및 안전 회로와 일반 회로의 분리를 확인한다. 실제 제작된 로봇을 승인된 회로도와 비교해야 하며, 제조 과정이 회로도를 그대로 따랐다고 가정해서는 안 된다. 현장 수정, 기록되지 않은 배선 연결 및 대체 부품은 안전성을 약화시키는 주요 원인이 될 수 있다.

연속성 및 절연 시험(Continuity and Insulation Test)은 회로의 기본적인 무결성을 확인한다. 안전 채널은 올바른 연결, 의도하지 않은 교차 연결, 전원 또는 접지와의 단락, 다른 회로와의 절연 상태를 점검해야 한다. 필요한 경우 절연 저항과 내전압 시험도 수행한다. 단, 이러한 시험은 민감한 전자 부품을 손상시키거나 인증 조건을 무효화하지 않는 적절한 방법으로 수행해야 한다.

안전 입력(Safety Input) 검증은 각 장치를 개별적으로 동작시키는 것부터 시작한다. 비상 정지, 범퍼, 가드 스위치, 인에이블링 장치(Enabling Device), 스캐너 출력, 압력 감지 엣지 및 운전 모드 선택기는 예상된 입력 상태를 생성해야 한다. 안전 제어기는 해당 입력을 감지하고, 올바른 진단을 기록하며, 요구된 안전 동작을 수행하고, 안전하지 않은 재시작을 방지해야 한다. 전체 장치만 시험하는 것이 아니라 각 입력 채널을 개별적으로 확인해야 한다.

이중 채널 입력(Dual-Channel Input)은 개별 고장 시험이 필요하다. 한 채널만 개방한 상태에서 다른 채널을 정상으로 유지하거나, 두 채널을 서로 다른 시점에 동작시키거나, 불일치 상태를 설정된 허용 시간 이상 유지해야 한다. 안전 제어기는 이러한 불일치를 감지하고 고장을 래치(Latch)해야 한다. 이후 두 채널이 정상으로 돌아와도 요구된 리셋 절차 없이는 자동으로 복구되지 않아야 한다.

교차 단락(Cross-Short) 감지는 해당 진단 기능을 설계에서 주장하는 경우 반드시 시험해야 한다. 엔지니어는 두 입력 채널을 연결하거나, 한 채널을 외부 전압에 단락시키거나, 접점을 의도적으로 브리지하여 시험할 수 있다. 안전 제어기는 비정상적인 펄스 패턴이나 고정 상태를 감지해야 한다. 특정 고장을 감지할 수 없는 경우에는 설계 분석을 통해 잔여 위험이 허용 가능한 수준임을 입증해야 한다.

전자식 센서와 안전 출력에 대해서는 테스트 펄스(Test Pulse)의 호환성을 확인해야 한다. 일부 장치는 자체 진단 펄스를 발생시키며, 안전 제어기는 단락 감지를 위해 테스트 펄스를 출력하기도 한다. 펄스 타이밍이 호환되지 않으면 불필요한 고장 경보가 발생하거나, 더 심각하게는 위험한 상태를 감지하지 못할 수 있다. 적절한 계측 장비를 이용하여 신호를 관찰하고 인증된 인터페이스 조건과 일치하는지 확인해야 한다.

안전 레이저 스캐너(Safety Laser Scanner) 검증에서는 실제 보호 영역을 물리적으로 측정해야 한다. 설정된 경고 영역과 보호 영역이 의도된 기하학적 형태와 일치하는지 확인하고, 규정된 크기와 반사율을 가진 시험 물체를 보호 영역 경계, 모서리, 낮은 높이 및 차체 주변에 배치하여 시험해야 한다. 로봇은 검증된 감지 영역 안에서 접근 방향과 관계없이 올바르게 반응해야 한다.

스캐너의 설치 위치와 정렬은 매우 중요하다. 높이, 기울기, 회전 또는 차체에 의한 차폐가 조금만 달라져도 보호 영역에 숨은 사각지대가 생길 수 있다. 바퀴, 포크, 적재 구조물, 머드가드 또는 부속 장치가 감지 평면을 가리지 않는지 확인해야 하며, 진동이나 적재 상태에서도 설치 각도가 유지되는지를 검증해야 한다.

보호 영역 전환(Protective Field Switching)은 모든 관련 운전 상태에서 시험해야 한다. AMR은 진행 방향, 속도, 조향각, 적재 상태 및 운전 모드에 따라 서로 다른 보호 영역을 선택할 수 있다. 검증자는 해당 움직임이 허용되기 전에 올바른 보호 영역이 활성화되는지를 확인해야 한다. 잘못된 보호 영역 선택, 전환 지연 또는 이동 방향과 보호 영역의 불일치는 안전 대응을 유발해야 한다.

사각지대(Blind Zone)와 전환 영역(Transition Zone)은 특별한 주의가 필요하다. 전후좌우에 여러 개의 스캐너가 설치되어 있더라도 조향이나 보호 영역 전환 중에는 작은 빈 공간이 생길 수 있다. 실제 시험 물체를 이용하여 이러한 영역을 확인해야 하며, 단순한 소프트웨어 화면만으로는 실제 설치 오차와 차체 형상을 반영할 수 없다.

범퍼(Bumper)와 접촉 센서(Contact Sensor)는 작동 힘, 이동 거리, 감지 범위 및 리셋 동작을 검증해야 한다. 서로 다른 위치와 각도에서 충돌을 발생시켜도 요구된 정지가 이루어져야 하며, 범퍼가 변형된 상태에서 복구되지 않거나 감지되지 않는 위치에 고정되어서는 안 된다. 낮은 장애물, 좁은 물체 및 기계적 연결부 근처도 함께 시험해야 한다.

비상 정지(Emergency Stop)는 설치된 모든 장치와 모든 운전 모드에서 검증해야 한다. 어떤 비상 정지 버튼을 누르더라도 일반 제어 명령을 무시하고 정의된 정지 절차를 시작해야 하며, 의도적인 리셋과 재시작 조건이 충족되기 전까지 움직임이 허용되어서는 안 된다. 필요한 경우 전원 재인가 이후에도 비상 정지 상태가 유지되는지를 확인해야 하며, 하나의 비상 정지가 다른 제어 기능에 의해 우회되어서는 안 된다.

비상 정지 장치의 위치와 접근성도 함께 검증해야 한다. 전기적으로 올바르게 동작하더라도 작업자가 접근하기 어려운 위치에 설치되어 있다면 충분한 보호 기능을 제공하지 못한다. 작업자, 유지보수 담당자, 주변 사람 및 원격 조작자의 위치를 고려하여 비상 정지 장치가 쉽게 식별되고 접근 가능하며 위험에 가까이 가지 않고도 조작할 수 있는지를 확인해야 한다.

안전 논리(Safety Logic) 검증에서는 정상 상태, 상태 전이, 우선순위, 타임아웃, 고장 래치, 리셋 논리 및 여러 기능 간 상호작용을 시험한다. 높은 우선순위의 안전 명령이 낮은 우선순위 소프트웨어에 의해 취소되지 않아야 한다. 보호 정지, 비상 정지, 배터리 부족, 충전 인터록 및 브레이크 고장이 동시에 발생해도 시스템은 충돌하는 명령이 아니라 하나의 결정론적 안전 상태를 유지해야 한다.

안전 상태 기계(Safety State Machine)는 허용된 모든 상태 전이와 주요 금지 전이를 시험해야 한다. 초기화, 정상 운전, 저속 운전, 제어 정지, 비상 정지, 안전 셧다운, 유지보수, 고장 래치 상태 및 재시작 검증을 모두 수행해야 한다. 필요한 상태를 건너뛰거나 잘못된 순서로 명령을 실행하려는 시도는 안전하게 거부되어야 한다.

기동(Startup) 검증에서는 필요한 모든 점검이 완료될 때까지 위험 출력이 비활성 상태를 유지하는지를 확인한다. 안전 입력, 통신 연결, 드라이브 상태, 브레이크 상태, 센서 설정, 운전 모드, 제어기 자가 진단이 완료되기 전에는 움직임이 허용되어서는 안 된다. 메인 자율주행 컴퓨터가 부팅되었거나 이전 임무가 남아 있다는 이유만으로 로봇이 움직여서는 안 된다.

예기치 않은 재시작(Unexpected Restart) 시험은 필수적이다. 주행 중, 충전 중, 고장 상태 및 비상 정지 상태에서 전원을 차단하고 다시 인가해야 한다. 전원이 복구되어도 로봇은 자동으로 위험한 움직임을 시작해서는 안 된다. 이전 명령은 삭제하거나 다시 검증해야 하며, 필요한 경우 작업자 또는 상위 제어 시스템의 명시적인 승인 후에만 재운전이 가능해야 한다.

리셋(Reset) 검증에서는 리셋이 직접 움직임을 발생시키지 않는지를 확인해야 한다. 최초의 안전 조건이 제거되고, 모든 안전 채널이 정상 상태로 돌아오며, 외부 피드백이 올바르고, 리셋이 의도적인 조작으로 수행되어야 한다. 리셋 버튼이 눌린 상태로 고정되어 있거나, 원격 명령 또는 전원 재인가만으로 안전 절차가 우회되어서는 안 된다.

안전 출력(Safety Output) 검증은 안전 제어기의 명령이 기대한 전기적·기계적 동작을 실제로 수행하는지를 확인한다. 출력은 컨택터, STO 입력, 브레이크 밸브, 유지 장치, 경고 장치 또는 전원 절연을 제어할 수 있다. 각 출력은 개별적으로 동작시키면서 전압, 전류, 피드백 및 실제 기계적 동작을 동시에 확인해야 한다.

이중 출력 채널(Redundant Output Channel)은 단일 고장 시험이 필요하다. 두 개의 직렬 컨택터 중 하나를 강제로 닫힌 상태로 유지한 뒤 다른 컨택터를 개방하도록 명령하여도 위험 전원이 제거되어야 한다. 피드백 회로는 고장을 감지하고 재시작을 차단해야 한다. 이후 반대쪽 컨택터에도 동일한 시험을 수행하여 독립성을 확인해야 한다.

컨택터 피드백(Contactor Feedback)은 정상 동작뿐 아니라 비정상 상태에서도 검증해야 한다. 보조 접점은 코일 전원이 제거된 후 지정된 시간 안에 상태가 바뀌어야 한다. 지연되거나, 응답하지 않거나, 일치하지 않는 피드백은 고장으로 처리되어야 한다. 필요한 경우 보조 접점이 단순히 코일 전압을 감지하는 것이 아니라 실제 전력 접점과 기계적으로 연결되어 있는지도 확인해야 한다.

안전 토크 차단(Safe Torque Off, STO)은 각 채널이 독립적으로 모터 토크를 제거하는지를 검증해야 한다. 한 채널만 차단하거나 두 채널을 모두 차단하는 시험과 배선 고장 시험을 수행해야 한다. 드라이브는 올바른 안전 상태를 보고하고 채널 고장이 발생하면 재시작을 허용하지 않아야 한다. 단순한 드라이브 진단만 보는 것이 아니라 실제 모터 토크와 바퀴 움직임도 확인해야 한다.

STO는 기계적인 완전 정지를 보장하지 않으므로 추가 검증이 필요하다. 특히 고속 주행이나 경사면에서는 토크 제거 이후에도 관성으로 움직일 수 있다. 정지 거리, 잔여 움직임 및 최종 유지 상태를 측정해야 하며, 브레이크가 필요한 경우 동일한 안전 기능 안에서 브레이크 타이밍과 유지 능력까지 함께 검증해야 한다.

브레이크 검증은 명령 응답, 체결 시간, 해제 시간, 유지 토크, 마모 상태 및 피드백을 포함해야 한다. 최대 검증 경사와 최대 적재 조건에서 시험을 수행해야 한다. 브레이크 상태 스위치만으로는 차량이 실제로 유지되고 있는지를 증명할 수 없으므로, 구동 토크 제거 이후 실제 움직임도 함께 측정해야 한다.

제어 정지(Control Stop) 시험에서는 안전 사건 발생부터 최종 정지까지 전체 응답 시간을 측정해야 한다. 센서 응답, 통신 지연, 제어기 처리 시간, 출력 전환, 드라이브 감속, 브레이크 체결 및 기계적 안정화 시간이 모두 포함된다. 전체 응답이 안전 요구사항을 만족하는지 확인하기 위해 고해상도 동기 계측이 필요하다.

정지 거리(Stopping Distance)는 최대 속도, 최대 적재량, 배터리 상태, 브레이크 온도, 노면 마찰, 경사, 타이어 마모, 조향각 및 이동 방향을 포함한 최악 조건에서 검증해야 한다. 제동 성능은 반복마다 달라질 수 있으므로 여러 차례 반복 시험이 필요하다. 합격 기준은 제조 편차, 노후화, 환경 변화 및 측정 오차를 고려한 충분한 안전 여유를 포함해야 한다.

직선 주행만 시험하는 것으로는 충분하지 않다. 회전 주행, 제자리 회전, 후진, 차동 속도 및 조향 차량은 서로 다른 정지 경로를 만들 수 있다. 따라서 대표적인 회전 동작에서도 보호 영역과 정지 거리를 검증해야 한다. 로봇이 전방 정지 거리는 만족하더라도 회전하면서 측면 위험 영역을 만들 수 있기 때문이다.

속도 제한 기능(Speed Limiting Function)은 실제 속도를 독립적으로 측정하여 검증해야 한다. 제한을 수행하는 동일한 제어기의 표시값만 신뢰해서는 안 된다. 외부 계측기, 보조 엔코더 또는 보정된 측정 장치를 이용하여 가속, 내리막 주행, 휠 슬립, 통신 지연 및 파라미터 변경 상황에서도 안전 제한 속도를 초과하지 않는지를 확인해야 한다.

안전 방향 기능(Safe Direction Function)은 허용된 방향과 금지된 방향 모두를 시험해야 한다. 열화 모드에서 후진이 금지된 경우 후진 토크나 구름이 발생하면 정의된 안전 대응이 이루어져야 한다. 방향 감시는 엔코더 고장, 배선 변경 또는 드라이브 교체 이후에도 계속 유효해야 하며 실제 기계 움직임으로 결과를 확인해야 한다.

정지 상태 감시(Standstill Monitoring)는 일반 내비게이션이 무시하는 매우 작은 움직임까지 감지해야 한다. 로봇은 정의된 정지 상태가 확인되기 전까지 브레이크를 해제하거나, 가드를 개방하거나, 충전을 시작하거나, 사람이 접근하도록 허용해서는 안 된다. 아주 느린 구름, 진동, 엔코더 노이즈 및 경사면에서의 미끄러짐도 시험하여 적절한 감시 임계값을 결정해야 한다.

전원 절연(Power Isolation) 검증은 요구된 경우 위험 에너지가 실제로 제거되는지를 확인해야 한다. 메인 컨택터 상태, 버스 전압, 잔류 커패시터 전압, 보조 전원, 회생 경로 및 역전원 공급을 측정해야 한다. 소프트웨어가 "전원 차단"을 표시하더라도 드라이브 단자에 위험 전압이 남아 있다면 충분하지 않다.

전원 절연 이후 방전 시간(Discharge Time)도 측정해야 한다. 커패시터와 필터는 수초 또는 수분 동안 전압을 유지할 수 있다. 안전 요구사항에는 허용 가능한 잔류 전압과 최대 방전 시간이 정의되어야 한다. 경고 라벨과 유지보수 절차도 실제 측정된 에너지 상태를 기준으로 해야 한다.

배터리 안전 기능(Battery Safety Function)은 과열, 저전압, 과전류, 절연 고장, 통신 상실 및 컨택터 피드백을 시험해야 한다. 일부 조건은 제어 정지를 요구하고, 일부는 즉각적인 전원 절연을 요구한다. 배터리 전압이 급격히 감소하는 상황에서도 안전 제어와 경고 기능이 필요한 시간 동안 유지되는지를 확인해야 한다.

충전 인터록(Charging Interlock)은 로봇과 충전기 양쪽에서 검증해야 한다. 물리적 충전 연결이 유지되거나 에너지 전달이 진행되는 동안 구동이 허용되어서는 안 된다. 정렬 불량, 통신 상실, 커넥터 과열, 접지 고장, 예상하지 못한 움직임 및 비상 정지는 안전하게 충전을 중단해야 한다. 어느 한쪽 장치의 상태 정보만 신뢰해서는 안 된다.

통신 기반 안전 기능(Communication-Based Safety Function)은 네트워크 수준의 고장 시험이 필요하다. 케이블 분리, 스위치 전원 차단, 메시지 지연, 장치 재시작, 주소 변경 및 주행 중 통신 단절을 시험해야 한다. 시스템은 지정된 시간 안에 타임아웃 또는 잘못된 데이터를 감지하고 올바른 안전 상태로 전환해야 한다. 통신이 안정적으로 복구되고 다시 검증되기 전에는 자동 복구되어서는 안 된다.

이중 통신 경로(Redundant Communication Path)는 각각 독립적으로 시험해야 한다. 하나의 네트워크가 고장나더라도 다른 경로가 요구된 안전 무결성을 만족하는 경우에만 제한적으로 운전이 허용될 수 있다. 한 경로의 상실은 반드시 감지되고 보고되어야 하며, 두 경로를 모두 차단하여 최종 안전 대응도 확인해야 한다.

무선 및 플릿 통신(Wireless and Fleet Communication)은 로컬 안전 통신과 별도로 취급해야 한다. 클라우드나 플릿 연결이 끊겨도 로컬 안전 정지 또는 제한된 자율 기능은 유지될 수 있지만, 온보드 비상 기능이 비활성화되어서는 안 된다. 무선 상실, 액세스 포인트 전환, 혼잡 및 원격 명령 지연을 시험하면서도 로컬 안전 기능이 계속 동작하는지를 확인해야 한다.

위치추정 관련 안전 기능(Localization-Related Safety Function)은 열화된 센서 조건에서 시험해야 한다. 지도 변경, 특징점 제거, GNSS 차단, 반사체 제거, 휠 슬립, 센서 오염 등을 인위적으로 발생시켜 감속, 안전 여유 확대, 이동 제한 또는 정지가 정의된 단계대로 수행되는지를 확인해야 한다. 보호 영역 선택이 검증되지 않은 위치나 방향 정보에 의존해서는 안 된다.

센서 타당성 검사(Sensor Plausibility Check)는 서로 일치하지 않는 데이터를 이용하여 검증해야 한다. 모터 엔코더 속도와 휠 속도, 조향 명령과 실제 조향각, 관성 가속도와 예상 움직임을 비교하여 비정상 조합을 감지해야 한다. 임계값은 정상적인 변동은 허용하면서도 실제 고장은 감지할 수 있도록 설정되어야 한다.

공통 원인 고장(Common-Cause Failure)은 안전 회로 검증에서 매우 중요하다. 이중화 채널도 동일한 커넥터, 전원 공급 장치, 접지, 배선 경로, 소프트웨어 설정 또는 환경 영향을 공유하면 동시에 고장날 수 있다. 공통 전원 차단, 전기적 간섭 주입, 인접 부품 가열, 공용 커넥터 오염 및 잘못된 유지보수를 모의하여 숨겨진 의존성을 확인해야 한다.

전원 공급 장치(Power Supply)는 완전 정전, 저전압, 과전압, 순간 정전, 브라운아웃(Brownout) 및 복구 상황을 시험해야 한다. 부분적인 전압 저하는 제어기, 릴레이 및 센서가 예측하기 어려운 동작을 할 수 있다. 안전 출력은 결정론적으로 전환되어야 하며 브레이크도 의도대로 체결되어야 하고, 출력이 반복적으로 활성·비활성 상태를 오가서는 안 된다.

전자파 적합성(Electromagnetic Compatibility, EMC) 시험은 간섭으로 인해 잘못된 입력, 통신 오류, 프로세서 리셋 또는 출력 고정이 발생할 수 있으므로 안전 회로 검증을 지원한다. 정전기, 방사 전자파, 전도성 간섭, 빠른 과도현상 및 서지를 실제 환경 수준에서 인가하여 시험해야 한다. 목표는 정상 운전만이 아니라 간섭 발생 시에도 올바른 안전 동작이 이루어지는지를 확인하는 것이다.

환경 검증(Environmental Validation)은 온도, 습도, 결로, 먼지, 물, 진동, 충격, 부식 및 예상되는 오염 조건을 포함해야 한다. 실험실에서는 정상 동작하던 안전 회로가 실제 현장에서는 간헐적인 고장을 일으킬 수 있다. 커넥터, 센서, 브레이크, 컨택터 및 배선은 실제 운용 및 보관 환경 전체에서 평가해야 한다.

기계 진동(Mechanical Vibration)은 단자 풀림, 접점 바운스, 케이블 손상 및 센서 정렬 변화를 유발할 수 있다. 진동 전후 또는 진동 중에도 안전 기능이 유지되는지를 확인해야 한다. 간헐적 고장은 정지 상태에서는 나타나지 않을 수 있으므로 충분한 로그 기록이 필요하다.

소프트웨어 검증(Software Validation)은 단순 기능 시험 이상을 포함한다. 코드 리뷰, 정적 분석, 경계값 시험, 타이밍 분석, 상태 전이 시험 및 오류 처리 시험을 수행해야 한다. 입력이 빠르게 변하거나, 타이머가 오버플로우하거나, 통신 프레임이 지연되거나, 일반 소프트웨어가 잘못된 요청을 보내는 상황에서도 안전 프로그램은 올바르게 동작해야 한다.

안전 파라미터(Safety Parameter)는 허용 한계에서 시험해야 한다. 불일치 시간, 타임아웃, 속도 한계, 브레이크 지연, 스캐너 보호 영역 전환, 엔코더 허용오차 및 리셋 조건을 경계값 바로 안팎에서 시험해야 한다. 이러한 경계 시험은 정상 운전 시험으로 발견하기 어려운 오류를 찾아낼 수 있다.

소프트웨어 및 하드웨어 워치독(Watchdog)은 태스크 중단, 주기 지연, 통신 정지, 하트비트 오류 및 프로세서 과부하를 통해 검증해야 한다. 워치독은 지정된 시간 안에 고장을 감지하고 올바른 안전 대응을 수행해야 한다. 또한 출력이 반복적으로 활성화와 비활성화를 반복하는 리셋 루프를 만들지 않아야 한다.

진단 메시지(Diagnostic Message)는 실제 고장을 정확히 식별해야 한다. 작업자는 안전 장치 작동, 채널 고장, 통신 타임아웃, 브레이크 고장 및 제어기 내부 오류를 명확히 구분할 수 있어야 한다. 메시지, 표시등, 고장 코드 및 원격 보고가 실제 상태와 일치하는지를 확인해야 한다.

고장 래치(Fault Latching)는 간헐적인 신호에서도 시험해야 한다. 채널 고장, 컨택터 피드백 불일치 또는 통신 오류가 잠시 발생했다가 사라지더라도 안전 요구사항이 래치를 요구한다면 조사 전까지 고장 상태가 유지되어야 한다. 정의된 리셋 또는 유지보수 절차가 완료될 때까지 재시작이 허용되어서는 안 된다.

열화 운전 모드(Degraded Operation Mode)는 별도의 검증이 필요하다. 하나의 센서나 통신 경로를 상실한 상태에서도 제한적으로 운전이 허용된다면, 남아 있는 보호 기능을 그 상태에서 실제로 시험해야 한다. 속도, 방향, 운전 구역, 운전 시간 및 허용 임무가 위험 분석에서 정의된 제한과 일치해야 한다.

열화 운전이 반복 리셋이나 경고 무시를 통해 영구적으로 유지되어서는 안 된다. 시간 제한, 유지보수 요구, 고장 횟수 제한 및 운전 제한이 실제로 적용되는지를 확인해야 한다. 두 번째 관련 고장이 발생하면 위험 분석에서 정의한 상위 안전 대응, 일반적으로 제어 정지 또는 완전 셧다운으로 전환되어야 한다.

유지보수 및 우회 모드(Maintenance and Bypass Mode)는 정상적인 보호 기능을 의도적으로 변경하기 때문에 엄격한 시험이 필요하다. 우회 승인, 시간 제한, 명확한 표시, 로그 기록, 제한 속도, 홀드 투 런 제어 및 자동 해제가 모두 확인되어야 한다. 우회가 활성화된 상태에서는 자동 운전으로 복귀할 수 없어야 한다.

수동 복구 절차(Manual Recovery Procedure)도 검증 대상이다. 브레이크 해제, 견인, 밀기, 들어 올리기, 배터리 절연 및 적재물 제거 과정은 작업자를 저장 에너지나 통제되지 않은 움직임에 노출시킬 수 있다. 절차, 기계적 고정 장치, 로컬 제어 장치 및 경고 표시가 실제 유지보수 상황에서도 안전한 복구를 지원하는지를 확인해야 한다.

검증에는 예측 가능한 오용(Foreseeable Misuse)도 포함되어야 한다. 센서를 가리거나, 적재 한계를 초과하거나, 비상 정지 버튼을 비정상적으로 사용하거나, 커넥터를 불완전하게 삽입하거나, 스캐너 영역을 변경하거나, 리셋 버튼을 계속 누르는 상황을 시험해야 한다. 설계는 이러한 오용을 방지하거나 감지하거나, 최소한 안전성을 유지해야 한다.

인적 요소(Human Factors)도 안전 회로 검증에 영향을 준다. 작업자는 표시를 오해하거나, 잘못된 리셋을 누르거나, 보호되지 않은 방향에서 접근하거나, 정지한 로봇이 완전히 무전원 상태라고 오해할 수 있다. 실제 사용자를 고려한 시험을 통해 조작 장치, 표시, 경보 및 복구 절차가 안전한 행동을 지원하는지를 확인해야 한다.

외부 설비와의 인터페이스도 검증해야 한다. 문, 엘리베이터, 컨베이어, 충전기, 적재 스테이션 및 교통 제어 장치는 AMR과 허가 신호 및 상태 신호를 교환할 수 있다. 어느 한쪽에서 신호가 사라지거나, 일치하지 않거나, 지연되더라도 양측 모두 안전하게 대응해야 한다. 하나의 통신 비트만으로 외부 설비가 안전하다고 가정해서는 안 된다.

다중 로봇 시스템(Multi-Robot System)은 공유 위험을 검증해야 한다. 한 로봇이 교차로에서 정지하거나 비상 통로를 막거나 뒤따르는 차량과 충돌 위험을 만들 수 있다. 플릿 제어는 다른 로봇을 우회시키거나 정지시켜야 하지만, 각 로봇은 독립적으로 로컬 안전 기능을 유지해야 한다. 통신 상실, 동시 고장, 정체 및 시스템 전체 복구 상황도 함께 시험해야 한다.

이벤트 기록(Event Recording)은 중요한 검증 도구이다. 안전 입력, 제어기 상태, 출력 명령, 드라이브 상태, 브레이크 피드백, 속도, 위치, 네트워크 사건, 배터리 상태 및 리셋 동작을 동기화된 로그로 기록해야 한다. 정확한 시간 정보는 실제 응답 시간을 요구사항과 비교하고 사건 순서를 재구성하는 데 필수적이다.

계측 장비(Measuring Equipment)는 교정되어 있어야 하며 필요한 정확도를 만족해야 한다. 고속 사건 측정을 위해 데이터 수집 장치, 논리 분석기, 오실로스코프, 속도 센서, 거리 측정 장치, 힘 센서, 온도 센서 및 동기화된 비디오가 필요할 수 있다. 측정 불확실성도 합격 여부 판단에 포함되어야 한다.

시험 장치(Test Fixture)와 고장 주입 도구도 통제되어야 한다. 임시 점퍼, 스위치, 소프트웨어 시뮬레이터 및 네트워크 도구는 의도하지 않은 위험이나 회로 동작 변화를 만들 수 있다. 사용 방법과 제거 절차를 기록해야 하며 시험 종료 후 우회 배선이나 임시 장치가 남아 있지 않은지를 확인해야 한다.

시험 수행(Test Execution)은 승인된 절차를 따라야 하지만 예상하지 못한 결과도 충분히 조사해야 한다. 결과가 예상과 다르면 단순히 반복 시험을 수행하기보다 로그를 보존하고 원인을 분석해야 한다. 이러한 현상은 불완전한 요구사항, 숨은 의존성, 타이밍 문제 또는 잘못된 설계 가정을 나타낼 수 있다.

검증 실패(Failed Validation Test)는 공식적인 부적합 기록(Nonconformance Record)을 생성해야 한다. 요구사항, 실제 결과, 시험 구성, 환경 조건, 증거, 즉각적인 안전 영향, 수정 조치 및 재시험 계획을 모두 기록해야 한다. 추적성이 없는 비공식 수정은 안전성을 약화시키고 동일한 문제가 다른 곳에 남아 있게 만들 수 있다.

수정 조치(Corrective Action)는 시험에서 나타난 현상만이 아니라 근본 원인을 해결해야 한다. 타임아웃을 늘리면 불필요한 경보는 줄일 수 있지만 진단 능력이 저하될 수 있다. 스캐너 보호 영역을 확대하면 제동 편차는 보완할 수 있지만 운용 효율성이 감소할 수 있다. 따라서 모든 변경은 전체 위험 분석과 함께 다시 검토해야 한다.

회귀 검증(Regression Validation)은 수정이 기존 안전 기능을 손상시키지 않았는지를 확인한다. 안전 논리, 드라이브 설정, 배선 또는 네트워크 타이밍을 변경하면 여러 안전 기능에 동시에 영향을 줄 수 있다. 따라서 어떤 시험을 다시 수행해야 하는지와 기존 위험 분석이 여전히 유효한지를 함께 검토해야 한다.

생산 검증(Production Validation)은 설계 검증과 다르다. 설계는 완전히 검증되었더라도 생산 과정에서는 배선 오류, 잘못된 파라미터, 대체 부품, 느슨한 연결 또는 센서 정렬 오류가 발생할 수 있다. 출하 전 시험에서는 모든 로봇 또는 적절한 샘플링을 통해 핵심 안전 기능을 확인해야 한다.

생산 시험에는 부품 확인, 소프트웨어 체크섬 검증, 안전 파라미터 비교, 입출력 시험, 비상 정지, 브레이크 점검, 스캐너 보호 영역 확인, 컨택터 피드백 및 기본 정지 성능 시험이 포함될 수 있다. 시험 깊이는 제조 공정만으로 보장할 수 없는 특성을 기준으로 결정해야 한다.

설치 검증(Installation Validation)은 실제 설치 환경이 안전성에 영향을 미치므로 필수적이다. 바닥 상태, 경사, 조명, 반사 표면, 통로 폭, 보행자 경로, 충전 위치, 엘리베이터, 문, 무선 통신 범위 및 외부 설비 인터페이스는 개발 환경과 다를 수 있다. 현장 인수 시험을 통해 검증 당시의 안전 가정이 실제 환경에서도 유지되는지를 확인해야 한다.

보호 영역과 속도 제한은 현장에 맞게 설정될 수 있지만 승인된 설계 범위를 벗어나서는 안 된다. 생산성을 높이기 위해 안전 여유를 줄여서는 안 되며, 모든 현장 설정은 문서화되고 검토되며 무단 변경으로부터 보호되어야 한다.

주기적 증명 시험(Periodic Proof Test)은 운용 중에도 안전 기능이 유지되는지를 확인한다. 비상 정지, 범퍼, 브레이크, 컨택터, 보호 영역, 경고 장치, 서비스 차단 장치, 충전 인터록 및 피드백 회로를 일정한 주기로 시험해야 한다. 시험 주기는 진단 범위, 부품 마모, 환경 노출, 사용 빈도 및 숨은 고장의 결과를 고려하여 결정해야 한다.

증명 시험 절차에는 수행 방법, 기대 결과, 필요한 장비, 허용 기준, 고장 처리 및 기록 보관 방법이 명확히 정의되어야 한다. 단순히 "로봇이 정지했다."는 수준의 확인만으로는 제동 거리 증가, 채널 고장, 브레이크 열화 또는 잘못된 진단을 발견할 수 없다.

현장 데이터(Field Data)는 검증 가정을 지속적으로 개선하는 데 활용되어야 한다. 정지 거리 변화, 브레이크 응답 시간, 센서 오염, 커넥터 고장, 네트워크 중단, 열 경보 및 작업자의 리셋 행동을 분석하면 개발 단계에서 충분히 고려되지 않았던 새로운 고장 메커니즘을 발견할 수 있다. 플릿 수준의 데이터는 유지보수 주기와 검증 시나리오를 개선하는 근거가 된다.

출시 이후 변경(Change After Release)이 발생하면 반드시 영향 분석을 수행해야 한다. 새로운 적재물, 타이어, 모터, 브레이크, 배터리, 센서, 펌웨어, 스캐너 영역, 네트워크 장치 또는 운용 환경 변화는 안전 기능에 영향을 줄 수 있다. 제조사는 문서 검토만으로 충분한지, 계산 갱신이 필요한지, 부분 검증 또는 전체 재검증이 필요한지를 결정해야 한다.

사이버보안 관련 변경(Cybersecurity Change)도 함께 평가해야 한다. 보안 패치, 접근 제어 변경, 네트워크 분리, 인증서 갱신 및 통신 필터링은 응답 시간과 시스템 가용성에 영향을 줄 수 있다. 반대로 보호되지 않은 구성 접근은 안전 파라미터가 무단 변경되는 원인이 될 수 있다. 검증에서는 안전한 접근 제어와 로컬 안전 기능이 동시에 유지되는지를 확인해야 한다.

최종 검증 보고서(Final Validation Report)는 명확하고 추적 가능한 결론을 제공해야 한다. 검증된 시스템 구성, 적용 표준, 안전 기능, 시험 절차, 시험 결과, 편차, 수정 조치, 잔여 제한 사항 및 승인 상태를 포함해야 한다. 또한 다른 숙련된 엔지니어가 동일한 결론에 도달할 수 있도록 관련 기록과 근거를 충분히 연결해야 한다.

성공적인 검증 보고서는 단순히 "시험을 통과했다."고 기록하는 것이 아니라 각각의 안전 기능이 요구사항을 만족한다는 근거를 설명해야 한다. 또한 안전성을 유지하기 위해 필요한 운용 제한이나 유지보수 의무가 있다면 이를 명확히 기록해야 하며, 조건부 승인이라면 해결되지 않은 안전 문제를 숨겨서는 안 된다.

안전 회로 검증은 실제 로봇, 설치된 소프트웨어, 문서화된 구성, 운용 환경 및 라이프사이클 관리가 동일한 안전 주장을 함께 뒷받침할 때 비로소 완료된다. 부품 인증서, 계산 결과, 시험 기록, 생산 관리, 현장 검증, 유지보수 절차 및 변경 관리는 하나의 일관된 안전 근거를 형성해야 한다.

검증의 목적은 고장이 절대로 발생하지 않는다는 것을 증명하는 것이 아니다. 예상 가능한 고장이 감지되고 제어되며, 로봇이 예측 가능한 안전 상태에 도달하고, 안전하지 않은 재시작이 방지된다는 것을 입증하는 것이다. 실제 고장 조건을 포함한 전체 시스템 시험을 통해 안전 구조는 단순한 설계 개념이 아니라 검증된 물리적 동작으로 전환된다.

자율이동로봇에서 효과적인 안전 회로 검증은 보호 센서, 안전 논리, 통신, 드라이브, 브레이크, 전원 절연, 진단 기능, 리셋 기능 및 복구 절차가 하나의 통합된 안전 시스템으로 동작함을 확인하는 과정이다. 이러한 검증이 엄격하게 수행되고 전체 라이프사이클 동안 지속적으로 유지될 때, AMR은 부품 고장, 환경 변화, 소프트웨어 수정 및 장기간 운용으로 인한 열화가 발생하더라도 신뢰할 수 있는 안전 보호 수준을 지속적으로 제공할 수 있다.