『ROBOT 이론/실무 정리』

 

내 장비가 주변 장비를 방해하지 않아야 하고, 주변에서 전자파가 들어와도 내 장비가 정상적으로 동작해야 한다.

이 두 가지를 모두 확인하는 것이 EMC의 핵심이다.

특히 로봇과 AMR에는 모터 드라이브, DC/DC Converter, Controller, 센서, 통신장치 등 여러 전기전자 부품이 동시에 들어가기 때문에 EMC를 제품 설계 단계부터 고려하는 것이 중요하다.

EMC란 무엇일까?

EMC는 Electromagnetic Compatibility, 전자기 적합성을 의미한다.

쉽게 말하면 전자파가 존재하는 환경에서도 여러 전기전자 장치가 서로 문제없이 함께 동작할 수 있는 능력이다.

실무에서는 EMC 시험을 크게 두 방향으로 나눠 이해하면 쉽다.

구분의미쉽게 표현하면

Emission	장비에서 발생하는 전자파	다른 장비를 방해하지 않는가?
Immunity	외부 전자파에 대한 내성	전자파를 받아도 정상 동작하는가?

국내에서는 흔히 방출 관련 시험을 EMI, 내성 관련 시험을 EMS라고 부르기도 한다.

따라서 처음 EMC를 접한다면 다음처럼 이해하면 된다.

EMC = 전자파를 너무 많이 내보내지 않는 것 + 외부 전자파에도 버티는 것

 

로봇에서 EMC가 중요한 이유

일반적인 전자제품과 비교하면 로봇에는 전자파를 발생시키거나 영향을 받을 수 있는 장치가 상당히 많다.

예를 들어 모터가 회전하면 Motor Driver에서 높은 주파수의 Switching이 발생한다.

DC/DC Converter와 Switching Power Supply에서도 고속 Switching이 발생한다.

여기에 산업용 Controller, Ethernet, CAN, 센서, Encoder, Safety 회로 등이 동시에 연결된다.

즉 하나의 로봇 내부에서

전자파를 만드는 장치

와

전자파에 영향을 받을 수 있는 장치

가 함께 존재한다.

예를 들어 Motor Driver에서 발생한 Noise가 센서 신호선으로 유입됐다고 생각해보자.

단순한 센서 값의 흔들림으로 끝날 수도 있지만 상황에 따라서는 통신 오류, Controller Reset, 잘못된 Input 인식 등으로 이어질 수도 있다.

Safety와 연결된 신호라면 더욱 중요하다.

EMC 시험의 목적은 단순히 인증서 한 장을 받는 것이 아니라 실제 산업환경에서 전자파 때문에 로봇이 예상하지 못한 동작을 하지 않는지 확인하는 것이다.

AMR에서는 어떤 EMC 규격을 봐야 할까?

AMR의 EMC를 검토할 때는 먼저 제품에 적용되는 전용 규격이 있는지 확인하는 것이 중요하다.

산업용 이동장비에서는 대표적으로 EN 12895를 검토할 수 있다.

현재 EN 12895:2015+A1:2019는 Industrial Truck과 그 전기전자 시스템의 전자파 방출과 외부 전자기장에 대한 내성 요구사항, 시험 절차를 규정하고 있다. (BSI Knowledge)

규격주요 역할

EN 12895:2015+A1:2019	Industrial Truck의 EMC 시험
ISO 3691-4:2023	AMR을 포함한 무인 산업차량의 Safety 요구사항
IEC 61000-6-2:2016	산업환경의 일반 EMC Immunity 규격
IEC 61000-6-4:2018	산업환경의 일반 EMC Emission 규격

ISO 3691-4:2023은 Driverless Industrial Truck의 예시로 AGV와 AMR을 명시하고 있는 Safety 규격이다. 따라서 AMR의 전체적인 안전 요구사항을 검토할 때 함께 확인하게 된다. (ISO)

IEC 61000-6-2와 IEC 61000-6-4는 산업환경에서 사용하는 일반 EMC 규격이다. 다만 두 규격 모두 해당 제품에 적용되는 전용 EMC 규격이 없는 경우 사용하는 Generic Standard라는 점이 중요하다. (IEC Webstore)

 

EN 12895와 IEC 61000 규격을 전부 시험해야 할까?

여기서 많이 헷갈릴 수 있다.

EN 12895도 있고 IEC 61000-6-2와 IEC 61000-6-4도 있으니 세 규격을 모두 시험해야 하는 것처럼 보인다.

하지만 반드시 그런 것은 아니다.

제품 전용 EMC 규격이 있다면 일반적으로 해당 제품 규격을 우선 검토하고, Generic Standard가 추가로 필요한지는 제품의 적용 범위와 인증 요구사항을 확인해야 한다.

따라서 시험소에 단순히

"EMC 시험해주세요."

라고 요청하기보다

제품 분류가 무엇인지

사용환경이 산업환경인지

어떤 Directive 또는 인증을 목적으로 하는지

적용하려는 EMC 규격이 무엇인지

를 먼저 정리해두는 것이 좋다.

로봇에서 진행하는 대표적인 EMC 시험

실제 시험 항목은 적용 규격과 제품의 Power Port, Signal Port 구성에 따라 달라진다.

하지만 로봇과 산업장비에서 자주 확인하는 시험을 정리하면 다음과 같다.

시험목적

Radiated Emission	로봇에서 방사되는 전자파 측정
Conducted Emission	전원선 등을 통해 전달되는 Noise 측정
Radiated RF Immunity	외부 RF 전자파를 받아도 정상 동작하는지 확인
ESD	정전기 방전에 대한 내성 확인
EFT / Burst	빠른 과도성 전기 Noise에 대한 내성 확인
Surge	순간적인 고전압 Surge에 대한 내성 확인
Conducted RF Immunity	케이블로 유입되는 RF Noise에 대한 내성 확인
Magnetic Field Immunity	외부 자기장에 대한 내성 확인

모든 AMR이 위 시험을 전부 동일하게 받는 것은 아니다.

예를 들어 Battery로만 동작하는 장비와 AC 전원을 직접 연결해서 운전하는 장비는 시험해야 하는 Port가 달라질 수 있다.

따라서 최종 시험 항목과 Level은 반드시 적용 규격과 실제 제품 구성을 기준으로 결정해야 한다.

 

가장 먼저 보는 시험, Radiated Emission

Radiated Emission은 장비에서 공기 중으로 방사되는 전자파를 측정하는 시험이다.

쉽게 말하면

우리 로봇이 주변에 전자파를 얼마나 뿌리고 있는가?

를 확인하는 것이다.

로봇에서는 특히 다음과 같은 장치가 Noise Source가 될 수 있다.

Motor Driver, DC/DC Converter, Switching Power Supply, 고속 Digital Circuit, 통신 Cable 등이 대표적이다.

특히 Motor Cable은 길이가 길어질수록 안테나처럼 작용할 수 있기 때문에 Cable Shield와 Grounding 방식도 EMC 성능에 영향을 줄 수 있다.

 

Radiated Immunity는 반대 방향의 시험이다

이번에는 반대로 외부에서 강한 RF 전자파를 로봇에 인가한다.

그리고 로봇이 정상적으로 동작하는지 확인한다.

이것이 Radiated RF Immunity 시험이다.

EN 12895는 Industrial Truck에 대해 외부 전자기장에 대한 Immunity 요구사항과 시험 절차를 규정하고 있다. (TheITEH Standards)

시험 중에는 단순히 Controller가 살아 있는지만 보면 안 된다.

예를 들어 다음과 같은 상태를 함께 확인해야 한다.

확인 대상확인 내용

주행	의도하지 않은 구동이나 속도 변화가 없는가
조향	조향 상태에 이상이 없는가
Safety	Safety Input과 Output이 정상인가
Controller	Reset이나 Hang이 발생하지 않는가
통신	CAN, Ethernet 등의 이상이 없는가
센서	비정상적인 값이나 오검출이 없는가

특히 로봇에서는 예상하지 못한 움직임이 발생하는지를 중요하게 확인해야 한다.

 

ESD 시험은 왜 필요할까?

겨울철에 문손잡이를 만졌을 때 손끝에서 따끔하게 방전되는 경험을 한 적이 있을 것이다.

이것이 정전기 방전, ESD다.

작업자가 로봇의 HMI, Button, 외함 등에 접촉하면서 정전기가 방전될 수 있다.

이때 Controller가 Reset되거나 통신이 끊어지면 문제가 된다.

ESD 시험은 실제 사람이 장비에 접촉하면서 발생할 수 있는 정전기 환경을 재현하여 장비가 정상적으로 견디는지를 확인한다.

IEC 61000-4-2는 이러한 ESD Immunity 시험 방법을 규정하고 있으며 현재 IEC 61000-4-2:2025가 발행되어 있다. (IEC Webstore)

 

AMR은 완성차 상태에서 시험할까?

이 부분도 실무에서 중요하다.

EN 12895에서는 완성된 Industrial Truck 자체를 시험하거나 실제 차량과 동일한 Configuration을 가진 전기전자 시스템을 대상으로 평가하는 접근이 가능하다. (BSI Knowledge)

완성된 AMR을 시험한다면 단순히 전원만 켜놓고 시험하는 것이 아니다.

EN 12895의 시험 구성에는 주행 시스템, Load Handling System, Electric Power Steering, Auxiliary Electrical Equipment 등의 동작 조건이 포함되어 있다. (TheITEH Standards)

즉 실제 사용상태를 대표할 수 있는 Operating Mode를 만드는 것이 중요하다.

 

시험실에서는 AMR을 어떻게 동작시킬까?

AMR이 최고속도로 시험실을 돌아다니면서 EMC 시험을 하는 것은 현실적으로 어렵다.

그래서 시험 전에 시험소와 Operating Mode를 협의해야 한다.

예를 들어 주행 Motor를 일정한 회전수로 동작시키고, Steering을 동작시키며, Controller와 센서 및 통신장치를 모두 활성화하는 방식으로 실제 운전조건을 재현할 수 있다.

리프트와 같은 별도의 구동장치가 있다면 해당 장치의 동작상태도 고려할 수 있다.

여기에서 중요한 점은

EMC가 가장 불리할 가능성이 높은 상태를 시험해야 한다는 것이다.

EU EMC Directive에서도 여러 Configuration을 가지는 제품은 정상적인 사용을 대표하면서 가장 큰 Disturbance를 발생시키거나 Disturbance에 가장 민감할 수 있는 Configuration을 고려하도록 요구한다. (Eur-Lex)

시험 전에 반드시 확인해야 하는 것

EMC 시험에서 의외로 많이 발생하는 문제가 있다.

시험을 진행한 뒤 Cable이나 Ground 구조를 다시 변경하는 것이다.

EMC는 부품 하나만으로 결정되지 않는다.

제품 전체의 Wiring과 Mechanical 구조도 영향을 준다.

따라서 인증시험 전에 다음 항목은 가급적 확정되어 있는 것이 좋다.

항목확인할 내용

Cable	실제 양산 길이와 Routing을 반영했는가
Shield	Shield 처리 방법이 확정됐는가
Ground	Chassis Ground와 Bonding 구조가 확정됐는가
외함	실제 Cover와 Panel이 장착되어 있는가
Software	시험용 Operating Mode가 준비되어 있는가
부품	Motor Driver, DC/DC 등의 주요 부품이 최종품인가
Monitoring	통신, Safety I/O, Controller 상태를 확인할 수 있는가

특히 EMC 시험을 통과한 후 Motor Cable, Filter, Shield, Ground 구조를 크게 변경하면 기존 시험 결과와 제품 Configuration이 달라질 수 있으므로 주의해야 한다.

 

EMC 시험에서 자주 발생하는 문제

로봇 EMC 시험에서 문제가 발생하면 무조건 PCB를 다시 설계해야 하는 것은 아니다.

원인이 Cable이나 Grounding인 경우도 상당히 많다.

예를 들어 Radiated Emission이 높다면 Motor Cable, DC/DC Converter, Switching 주파수, Shield, Chassis Bonding 등을 확인할 수 있다.

Immunity 시험에서 Controller Reset이 발생한다면 Power Line Filter, Ground, Cable Routing, I/O Isolation 등을 다시 검토할 수 있다.

즉 EMC는 시험소에서 마지막에 한 번 확인하는 작업보다 설계 단계부터 관리해야 하는 항목에 가깝다.

 

EN 12895에도 적용되지 않는 영역이 있다

EN 12895가 Industrial Truck의 EMC를 다룬다고 해서 차량에 들어가는 모든 기능을 전부 포함하는 것은 아니다.

예를 들어 Driverless Industrial Truck의 Positioning System, 차량 내부 시스템 간 Interaction, On-board Radio Equipment에 대한 간섭 등은 EN 12895의 적용범위에서 제외되어 있다.

또 장비가 운전하지 않는 상태에서만 AC 전원에 연결되는 장치도 별도로 검토해야 할 수 있다. (BSI Knowledge)

따라서 AMR 하나에 EN 12895만 적용하면 모든 전자파 요구사항이 자동으로 해결된다고 생각해서는 안 된다.

 

CE 인증에서는 EMC가 왜 중요할까?

유럽의 EMC Directive 2014/30/EU에서는 전기전자 장비가 발생시키는 전자기 Disturbance가 다른 장비의 정상 동작을 방해하지 않아야 하고, 예상되는 전자기 환경에서도 허용할 수 없는 성능 저하 없이 동작할 수 있는 수준의 Immunity를 가져야 한다고 요구한다. (Eur-Lex)

결국 CE를 준비하는 로봇이라면

기계적인 Safety

뿐만 아니라

전자파 환경에서의 정상 동작

도 함께 검토해야 한다.

시험성적서는 이후 Technical Documentation과 DoC를 준비할 때 중요한 적합성 근거 자료가 된다.

 

가장 쉽게 정리하면

로봇의 EMC 시험은 어렵게 생각할 필요가 없다.

핵심은 두 가지다.

첫 번째, 우리 로봇이 주변 장비를 방해할 만큼 강한 전자파를 발생시키지 않는가?

두 번째, 외부에서 전자파나 정전기가 들어와도 로봇이 위험하거나 비정상적인 동작을 하지 않는가?

이 두 가지를 검증하는 것이 EMC 시험이다.

 

정리

로봇과 AMR은 모터, Motor Driver, DC/DC Converter, Controller, 센서, 통신장치 등 많은 전기전자 장치가 하나의 시스템으로 구성된다.

따라서 EMC 문제는 단순한 통신 Noise에서 끝나는 것이 아니라 주행, 조향, 센서, Safety 기능의 이상으로 이어질 수도 있다.

산업용 이동장비의 경우 EN 12895와 같은 제품군 EMC 규격을 우선 확인하고 필요에 따라 IEC 61000-6-2, IEC 61000-6-4와 같은 산업환경 Generic Standard를 검토할 수 있다.

그리고 EMC 시험을 진행할 때 가장 중요한 것은 시험 직전에 Filter를 추가하는 것이 아니다.

Cable Routing, Shield, Grounding, 전원 구조, Operating Mode를 실제 제품과 동일하게 구성한 상태에서 시험하는 것이 중요하다.

결국 EMC는 인증 마지막 단계에서 해결하는 문제가 아니라

전장 설계 단계부터 고려해야 하는 로봇의 기본 설계 요구사항

이라고 보는 것이 맞다.

 

참고 규격

EN 12895:2015+A1:2019
Industrial trucks - Electromagnetic compatibility

ISO 3691-4:2023
Industrial trucks - Safety requirements and verification - Part 4: Driverless industrial trucks and their systems

IEC 61000-6-2:2016
Electromagnetic compatibility - Part 6-2: Generic standards - Immunity standard for industrial environments

IEC 61000-6-4:2018
Electromagnetic compatibility - Part 6-4: Generic standards - Emission standard for industrial environments

Directive 2014/30/EU
Electromagnetic Compatibility Directive

 

 

CE 인증을 준비하다 보면 DoC와 CoC라는 용어를 자주 접하게 된다.

둘 다 인증 관련 문서처럼 보이지만 의미는 다르다.

DoC는 제조자가 직접 작성하는 적합성 선언서이고, CoC는 제3자 기관이 발행하는 적합성 인증서에 가깝다.

DoC란?

DoC는 Declaration of Conformity의 약자다.

보통 EU Declaration of Conformity라고 부른다.

제품이 적용되는 EU Directive나 Regulation, Harmonised Standard 등의 요구사항을 만족한다는 것을 제조자가 공식적으로 선언하는 문서다.

쉽게 말하면 다음과 같다.

"이 제품은 적용되는 CE 요구사항을 만족하도록 설계하고 평가했으며, 이에 대한 책임은 제조자가 집니다."

DoC에는 일반적으로 다음 내용이 포함된다.

항목내용

제조자	회사명과 주소
제품	제품명, 모델명
적용 법령	해당 Directive 또는 Regulation
적용 규격	EN, ISO, IEC 등의 적용 규격
서명자	책임자 이름과 직책
발행일	선언일

CE Marking을 하는 제품에서 DoC는 매우 중요한 법적 문서다.

 

CoC란?

CoC는 일반적으로 Certificate of Conformity 또는 Certificate of Compliance를 의미한다.

시험기관이나 인증기관이 제품이나 시험 결과를 검토한 뒤

특정 규격 또는 요구사항에 적합하다고 확인해주는 문서라고 이해하면 쉽다.

즉 제조자가 직접 선언하는 DoC와 달리 제3자 기관에서 발행하는 경우가 많다.

다만 CE에서는 모든 제품에 CoC가 반드시 필요한 것은 아니다.

제품에 적용되는 법령과 적합성 평가 절차에 따라 제조자가 스스로 적합성을 평가하고 DoC를 작성할 수 있는 경우도 있고, Notified Body가 참여해야 하는 경우도 있다.

DoC와 CoC 차이

명칭	Declaration of Conformity	Certificate of Conformity
작성 주체	제조자 (우리)	시험기관 또는 인증기관 (SGS, TUV, UL, CSA 등)
의미	제조자가 적합성을 선언	제3자가 적합성을 확인
CE에서 중요도	필수 핵심 문서	제품과 인증 절차에 따라 다름
책임	제조자	인증 결과는 기관이 발행하지만 제품 적합성 책임은 기본적으로 제조자에게 있음

가장 쉽게 구분하면

DoC = 우리가 선언하는 문서

 

CoC = 기관이 확인해주는 문서

CE 인증을 처음 준비하면 CoC만 있으면 CE 인증이 끝났다고 생각하기 쉽다.

하지만 실제로는 시험성적서나 인증기관의 문서가 있더라도, CE Marking 대상 제품이라면 최종적으로 제조자가 적용 법령에 대한 적합성을 선언하는 DoC가 중요하다.

정리

CE 인증에서 DoC와 CoC는 비슷해 보이지만 역할이 다르다.

DoC는 제조자의 공식적인 적합성 선언서이고, CoC는 시험기관이나 인증기관에서 발행하는 적합성 확인 문서다.

CE를 준비할 때는 단순히 인증서 한 장을 받는 것보다

적용 법령 확인 → 시험 및 평가 → 기술문서 작성 → DoC 작성 → CE Marking

이라는 전체 절차로 이해하는 것이 좋다.

PL d

Safety PLC, 안전센서, STO가 적용된 모터 드라이브 등의 사양에서도 PL d라는 표현을 쉽게 볼 수 있다.

그렇다면 궁금해진다.

왜 로봇은 PL d를 만족해야 할까?

PL c 정도면 부족한 것일까?

반대로 가장 높은 PL e까지 적용하면 더 안전한 것 아닐까?

결론부터 말하면 모든 로봇이 무조건 PL d를 만족해야 한다는 의미는 아니다.

조금 더 정확하게 표현하면 다음과 같다.

로봇 전체에 PL d라는 등급을 붙이는 것이 아니라, 사람의 안전과 관련된 각각의 Safety Function에 필요한 PLr을 결정하고 그 요구 수준 이상의 PL을 만족하도록 설계한다.

다만 로봇은 사람과 충돌하거나 끼이는 경우 심각한 사고로 이어질 가능성이 있기 때문에 실제 Safety Function에서 PL d가 요구되는 경우가 많다.

이번 글에서는 ISO 13849-1을 처음 접하는 사람도 이해할 수 있도록 PL d가 무엇인지부터 하나씩 알아보려고 한다.

PL은 무엇일까?

PL은 Performance Level의 약자다.

 

쉽게 표현하면,

Safety Function이 위험한 방향으로 고장날 가능성을 얼마나 낮게 관리하고 있는지를 나타내는 안전 성능 수준이다.

ISO 13849-1에서는 PL을 다음 다섯 단계로 구분한다.

 

PL a	낮음	상대적으로 높음
PL b	↓	↓
PL c	중간	중간
PL d	높음	낮음
PL e	가장 높음	가장 낮음

 

즉,

PL a → PL b → PL c → PL d → PL e

순서로 안전 성능 요구가 높아진다.

여기까지만 보면 PL d는 단순히 안전등급처럼 보인다.

하지만 실제로는 조금 더 복잡하다.

PL d는 부품 하나의 등급이 아니다

예를 들어 사람이 로봇 앞에 나타났을 때 자동으로 정지하는 기능을 생각해보자.

전체 구조는 다음처럼 구성될 수 있다.

안전센서

↓

Safety Controller

↓

Safety Output

↓

STO 또는 안전 차단장치

↓

모터 정지

이 전체 과정이 하나의 Safety Function이다.

안전센서 하나만 PL d를 지원한다고 해서 전체 기능이 PL d가 되는 것은 아니다.

Safety Controller도 확인해야 하고, 최종적으로 모터를 정지시키는 출력 부분도 확인해야 한다.

즉 Safety에서는 항상 다음 세 부분을 함께 본다.

구분의미예시

Input	위험을 감지	E-STOP, 안전센서, 범퍼
Logic	안전 신호 판단	Safety PLC, Safety Controller
Output	실제 위험 제거	STO, 접촉기, 브레이크

이것을 간단히

Input → Logic → Output

구조라고 생각하면 이해하기 쉽다.

 

로봇 전체가 PL d라는 의미는 아니다

실무에서는 편의상

"이 로봇은 PL d입니다."

라고 표현하기도 한다.

하지만 ISO 13849-1 관점에서는 조금 더 정확하게 구분할 필요가 있다.

PL은 기본적으로 Safety Function 단위로 평가한다.

예를 들어 이동형 로봇에는 다음과 같은 Safety Function이 있을 수 있다.

Safety Function기능

비상정지	E-STOP 동작 시 위험한 움직임 정지
사람 감지 정지	보호영역에 사람이 들어오면 정지
범퍼 정지	충돌 감지 시 정지
안전 속도 제한	특정 상황에서 속도 제한
STO	모터가 위험한 토크를 발생하지 못하도록 제어
브레이크 제어	정지 후 차량 움직임 방지

각 기능마다 위험도가 다를 수 있다.

따라서 모든 Safety Function에 동일한 PL을 적용하는 것이 아니라 각 Safety Function에 필요한 수준을 결정하는 과정이 필요하다.

여기서 PLr이라는 개념이 나온다

PL과 함께 반드시 알아야 하는 용어가 있다.

PLr

PLr은 Required Performance Level이다.

쉽게 말하면

이 Safety Function은 최소 어느 정도의 PL이 필요한가?

를 의미한다.

예를 들어 위험성 평가 결과 어떤 비상정지 기능에 PL d 수준의 안전성능이 필요하다고 판단했다고 하자.

그러면

PLr = d

가 된다.

이제 실제 Safety 회로를 설계한다.

설계 결과 실제 성능이

PL = d

라면 요구사항을 만족한다.

반대로 실제 결과가

PL = c

라면 요구사항을 만족하지 못한다.

핵심은 이것이다

실제 PL ≥ 요구 PLr

Functional Safety 설계의 목표는 무조건 가장 높은 PL e를 만드는 것이 아니다.

위험성 평가에서 요구된 PLr 이상을 만족하도록 설계하는 것이 목적이다.

그렇다면 PLr은 어떻게 결정할까?

ISO 13849-1에서는 위험성을 평가할 때 대표적으로 세 가지 요소를 검토한다.

처음 보면 어려워 보이지만 각각의 의미는 단순하다.

항목의미쉽게 생각하면

S	Severity	사고가 발생하면 얼마나 크게 다치는가?
F	Frequency	위험에 얼마나 자주 노출되는가?
P	Possibility of avoidance	위험한 상황에서 피할 수 있는가?

즉 다음 세 가지 질문을 하는 것이다.

사고가 발생하면 얼마나 위험한가?

사람이 그 위험에 얼마나 자주 노출되는가?

위험이 발생했을 때 사람이 피할 수 있는가?

이 세 가지를 기준으로 필요한 PLr을 결정한다.

S는 사고의 심각성이다

S는 Severity다.

사고가 발생했을 때 부상의 정도를 평가한다.

크게 S1과 S2로 구분해서 생각할 수 있다.

구분의미

S1	일반적으로 회복 가능한 비교적 가벼운 부상
S2	심각한 부상 또는 사망 가능성

예를 들어 몇백 kg의 이동형 로봇과 사람이 충돌한다고 생각해보자.

단순히 살짝 부딪히고 끝날 수도 있지만,

사람이 로봇과 벽 사이에 끼이거나 발이 바퀴 아래에 들어간다면 심각한 사고로 이어질 수 있다.

따라서 특정 위험에서는 S2로 평가될 가능성이 높다.

이것이 로봇 Safety에서 PL d가 자주 등장하는 첫 번째 이유다.

F는 위험에 노출되는 빈도다

F는 Frequency다.

사람이 위험한 상황에 얼마나 자주 노출되는지를 본다.

구분의미

F1	위험에 노출되는 빈도가 낮거나 시간이 짧음
F2	위험에 자주 노출되거나 노출시간이 김

예를 들어 완전히 Fence 내부에 있는 장비라면 사람이 위험영역에 들어가는 경우가 많지 않을 수 있다.

하지만 AMR은 다르다.

사람이 이동하는 통로에서 함께 움직일 수도 있고 작업자가 로봇 옆을 지나가는 상황도 발생한다.

이 경우 위험에 노출되는 빈도가 높아질 수 있다.

따라서 특정 Hazard에서는 F2가 적용될 가능성이 있다.

P는 위험을 피할 수 있는지를 본다

P는 Possibility of avoidance다.

위험한 상황이 발생했을 때 사람이 피할 수 있는지를 판단한다.

구분의미

P1	특정 조건에서는 위험을 피할 가능성이 있음
P2	위험을 피하기 어렵거나 거의 불가능함

예를 들어 로봇이 매우 느리게 움직이고 접근하는 것을 쉽게 확인할 수 있으며 주변 공간도 충분하다면 사람이 피할 가능성이 높다.

반대로 다음 상황을 생각해보자.

• 뒤쪽에서 로봇이 접근한다
• 통로가 좁다
• 적재물 때문에 시야가 가려진다
• 사람과 벽 사이에 끼일 수 있다
• 로봇 속도가 빠르다
• 위험을 인지하고 피할 시간이 부족하다

이런 경우라면 위험을 회피하기 어려워진다.

따라서 P2로 평가될 가능성도 있다.

그래서 로봇에서 PL d가 자주 등장한다

예를 들어 어떤 Safety Function을 다음처럼 평가했다고 생각해보자.

위험 평가결과

Severity	S2
Frequency	F2
Avoidance	P1

이런 조건에서는 Risk Graph를 통해 PLr d 수준이 도출될 수 있다.

즉 PL d가 필요한 이유는

"로봇이기 때문에"

가 아니다.

보다 정확하게는

로봇의 위험 특성을 평가했을 때 사고가 심각할 수 있고 사람이 위험에 자주 노출되며 회피도 쉽지 않은 Safety Function이 많기 때문이다.

이렇게 이해하는 것이 맞다.

그렇다면 PL e가 더 안전한 것 아닐까?

맞다.

PL e는 PL d보다 높은 안전 성능 수준이다.

하지만 Functional Safety에서는 무조건 높은 등급을 적용하는 것이 목표가 아니다.

예를 들어 위험성 평가 결과

PLr = d

가 필요한 기능을 PL e로 설계하는 것은 가능하다.

하지만 안전등급을 높일수록 일반적으로 다음 요구사항도 함께 증가한다.

• 회로 복잡도
• 진단 기능
• 부품 신뢰성
• 고장 검출
• 이중화
• 개발 비용
• Validation
• 문서화

필요 이상의 안전구조를 적용하면 시스템이 불필요하게 복잡해질 수 있다.

따라서 중요한 것은

가장 높은 PL을 만드는 것

이 아니라

필요한 PLr을 정확하게 결정하고 이를 만족하는 것

이다.

PL d와 Category 3는 같은 것일까?

이 부분은 실무에서 특히 많이 헷갈린다.

결론부터 말하면

Category 3 = PL d는 아니다.

Category는 시스템의 구조를 나타내는 개념이고 PL은 Safety Function의 최종 안전성능을 나타내는 개념에 가깝다.

간단하게 비교하면 다음과 같다.

구분CategoryPL

의미	안전회로 구조	최종 안전성능
대표 기준	고장 내성	위험한 고장 가능성
단계	B, 1, 2, 3, 4	a, b, c, d, e
단독 판단 가능 여부	PL 결정 요소 중 하나	여러 조건을 종합해 결정

Category 3의 핵심은

하나의 고장이 발생하더라도 Safety Function이 바로 상실되지 않아야 한다.

는 것이다.

그래서 일반적으로 2채널 구조를 많이 사용한다.

하지만 Category 3 구조라고 해서 자동으로 PL d가 되는 것은 아니다.

 

왜 PL d와 Category 3가 같이 많이 보일까?

Safety 제품의 데이터시트를 보면 다음 표현을 자주 볼 수 있다.

Category 3 / PL d

그래서 두 개가 같은 의미처럼 느껴지기도 한다.

실제로 PL d 수준의 Safety Function을 설계할 때 Category 3 구조가 많이 사용되는 것은 맞다.

예를 들어 모터 전원을 차단하는 장치를 생각해보자.

출력 하나만 존재한다.

그리고 그 출력이 고장났다.

그러면 모터 전원을 차단하지 못할 수 있다.

반면 두 개의 독립적인 출력 경로를 구성하면 하나가 고장나도 나머지 출력이 위험한 에너지를 차단할 수 있다.

이것이 Single Fault Tolerance의 기본적인 개념이다.

하지만 이것만으로 PL d가 완성되는 것은 아니다.

 

접촉기 두 개를 달면 PL d가 될까?

간단한 예를 들어보자.

모터 전원을 차단하기 위해 접촉기 두 개를 직렬로 사용한다고 가정한다.

Safety Controller

↓

접촉기 1

↓

접촉기 2

↓

Motor Power

접촉기 1이 용착되어도 접촉기 2가 정상적으로 OFF된다면 전원을 차단할 수 있다.

여기까지만 보면 이중화가 되어 있다.

하지만 Functional Safety에서는 추가로 질문한다.

접촉기 하나가 고장난 사실을 시스템이 알 수 있는가?

두 접촉기가 같은 원인으로 동시에 고장날 가능성은 없는가?

접촉기의 위험 고장 확률은 충분히 낮은가?

한 채널이 고장난 상태에서 장비가 다시 동작하지 않는가?

이 질문에 답하기 위해 등장하는 개념이

MTTFd

DCavg

CCF

등이다.

PL d는 어떻게 결정될까?

ISO 13849-1에서 PL을 평가할 때는 Category 하나만 보는 것이 아니다.

대표적으로 다음 항목을 함께 확인한다.

항목쉽게 이해하면

Category	고장이 발생해도 안전기능을 유지할 수 있는 구조인가
MTTFd	위험한 고장이 얼마나 자주 발생할 수 있는가
DCavg	발생한 고장을 얼마나 잘 찾아낼 수 있는가
CCF	하나의 원인으로 두 채널이 같이 고장나지 않는가

조금 복잡해 보이지만 핵심은 간단하다.

고장이 잘 발생하지 않아야 하고, 고장이 발생해도 안전해야 하며, 가능하면 그 고장을 찾아낼 수 있어야 한다.

이 세 가지를 만족시키는 것이 Functional Safety 설계에서 중요한 부분이다.

Safety PLC가 PL e면 전체 로봇도 PL e일까?

아니다.

예를 들어 Safety Controller 자체가 PL e까지 지원한다고 가정해보자.

하지만 앞쪽 센서가 고장났을 때 사람을 검출하지 못한다면 어떻게 될까?

또 Safety Controller가 정상적으로 OFF 신호를 출력했지만 마지막 접촉기가 용착됐다면 어떻게 될까?

Safety Controller 하나만 높은 등급이어도 전체 Safety Function이 동일한 PL을 만족한다고 할 수 없다.

다시 한 번 중요한 구조는 이것이다.

Input

↓

Logic

↓

Output

전체가 하나의 Safety Function이다.

AMR에서는 왜 더 중요할까?

고정형 산업장비는 Fence나 Guard를 이용해 사람과 위험원을 물리적으로 분리할 수 있는 경우가 많다.

하지만 AMR은 이동해야 한다.

사람이 있는 공간과 로봇이 움직이는 공간이 겹칠 수 있다.

그래서 다음과 같은 위험이 발생한다.

위험상황

충돌	사람이 로봇 주행경로에 들어옴
끼임	사람과 구조물 사이로 로봇이 이동
제동 실패	정지 명령 후 충분히 멈추지 못함
센서 고장	사람을 감지하지 못함
예상하지 못한 주행	제어 이상으로 의도하지 않은 움직임 발생

이 때문에 AMR에서는 단순히

센서가 사람을 잘 찾는가

보다

센서 고장이 발생해도 위험한 움직임을 막을 수 있는가

가 훨씬 중요하다.

일반 제어와 Safety 제어가 다른 이유

로봇에는 일반 제어 시스템도 필요하다.

예를 들어 일반 Controller에서는 다음과 같은 기능을 수행할 수 있다.

• 현재 위치 계산
• 경로 생성
• 목적지 이동
• 장애물 회피
• 상위 시스템 통신
• 배터리 상태 관리

이것은 로봇을 어떻게 움직일 것인가를 결정한다.

반면 Safety System은 다른 질문을 한다.

지금 움직여도 안전한가?

즉 역할을 간단히 나누면 다음과 같다.

일반 제어Safety 제어

어떻게 움직일 것인가	움직여도 안전한가
경로 계산	위험 감시
주행 명령	Safety Stop
작업 수행	사람 보호

일반 Controller에 오류가 발생하더라도 별도의 Safety System이 위험한 움직임을 정지시킬 수 있도록 설계하는 이유다.

모든 기능을 PL d로 만들 필요는 없다

이 부분도 중요하다.

로봇의 모든 기능을 Safety Function으로 만들 필요는 없다.

예를 들어 다음과 같은 기능이 고장났다고 생각해보자.

• 배터리 잔량 표시
• 화면 표시
• 작업 수량 표시
• 일반 상태 LED
• 일반 로그 저장

불편할 수는 있지만 바로 사람의 부상으로 이어지는 기능은 아닐 가능성이 높다.

반면 다음 기능은 다르다.

• E-STOP
• 사람 감지
• 위험한 주행 정지
• 범퍼 정지
• 안전 제동
• STO
• 안전 속도 제한

이 기능들이 고장나면 사람이 직접 위험해질 수 있다.

결국 Safety Function을 판단할 때 가장 먼저 물어볼 질문은 이것이다.

이 기능이 고장났을 때 사람의 위험이 증가하는가?

로봇에서 PL d가 필요한 이유를 한 번에 정리하면

지금까지 내용을 간단히 정리하면 다음과 같다.

질문답

모든 로봇이 PL d인가?	아니다
PL은 무엇에 적용하는가?	Safety Function
PLr은 무엇인가?	해당 기능에 요구되는 PL
왜 로봇에서 PL d가 자주 나오는가?	충돌과 끼임 시 심각한 부상 가능성이 있기 때문
Category 3이면 PL d인가?	자동으로 결정되지 않는다
Safety PLC가 PL e면 전체도 PL e인가?	아니다
무엇을 함께 평가해야 하나?	Input + Logic + Output 전체

Functional Safety 설계 순서

ISO 13849-1을 처음 공부한다면 모든 용어를 한 번에 외우려고 하지 않는 것이 좋다.

다음 순서만 기억하면 된다.

1. 어떤 위험이 있는가?

↓

2. 어떤 Safety Function이 필요한가?

↓

3. 그 기능의 PLr은 얼마인가?

↓

4. Input, Logic, Output을 어떻게 구성할 것인가?

↓

5. Category는 어떤 구조인가?

↓

6. MTTFd, DCavg, CCF는 적절한가?

↓

7. 실제 PL이 PLr 이상인가?

↓

8. 고장 상황에서도 정상적으로 안전한가?

마지막 단계가 실제 시험과 Validation으로 이어진다.

가장 중요한 것은 PL d라는 글자가 아니다

Safety 제품 사양을 보다 보면

PL d

Category 3

SIL 2

같은 등급에 먼저 눈이 간다.

하지만 실제 안전설계에서는 등급 자체보다 더 중요한 것이 있다.

한 개의 고장이 발생했을 때도 사람이 안전한가?

예를 들어 안전센서가 고장났을 때,

접촉기가 용착됐을 때,

배선 하나가 끊어졌을 때,

Safety 출력 하나가 고장났을 때,

그래도 위험한 움직임을 정지할 수 있는가를 확인해야 한다.

이 질문을 하나씩 확인하는 것이 Functional Safety 설계의 핵심이다.

정리

로봇 Safety에서 PL d가 자주 등장하는 이유는 단순히 로봇 관련 규격에서 높은 안전등급을 요구하기 때문만은 아니다.

로봇은 움직이는 에너지를 가지고 있으며 사람과 충돌하거나 끼일 경우 심각한 부상으로 이어질 수 있다.

또 사람과 같은 공간에서 동작하는 로봇이라면 위험에 노출되는 빈도도 높아질 수 있다.

그 결과 위험성 평가 또는 해당 장비의 개별 안전규격에서 주요 Safety Function에 PLr d가 요구되는 경우가 많다.

하지만 반드시 기억해야 할 것이 있다.

로봇 전체 = PL d가 아니다.

정확한 개념은

Safety Function의 PL ≥ 해당 Safety Function의 PLr

이다.

그리고 PL d를 만족하기 위해서는 Safety PLC 하나만 보는 것이 아니라

Input → Logic → Output

전체 Safety Function을 평가해야 한다.

앞으로 ISO 13849-1을 공부할 때도 PL d라는 결과부터 외우기보다는

위험성 평가 → Safety Function → PLr → Category → PL

순서로 이해하면 훨씬 쉽게 접근할 수 있다.

참고 규격

ISO 13849-1:2023
Safety of machinery - Safety-related parts of control systems - Part 1: General principles for design

ISO 3691-4:2023
Industrial trucks - Safety requirements and verification - Part 4: Driverless industrial trucks and their systems

ISO 12100:2010
Safety of machinery - General principles for design - Risk assessment and risk reduction