멈추는 방법과 감시하는 대상이 서로 다르다
IEC 61800-5-2의 Safe Motion 기능을 AMR, Robot, Servo Axis 관점에서 비교하고 어떤 위험에 어떤 기능을 쓰는지 정리한다.
Functional Safety를 처음 보면 STO, SS1, SLS, SOS가 비슷해 보인다. 모두 Motor와 관련된 Safety Function이고 Fault가 나면 결국 멈추는 것처럼 보이기 때문이다.
하지만 설계에서는 "정지한다" 한 단어로 묶으면 안 된다. 어떤 기능은 Torque를 제거하고, 어떤 기능은 먼저 감속한 뒤 Torque를 제거하며, 어떤 기능은 Motor가 움직이지 않는 상태를 감시하고, 어떤 기능은 속도가 Limit를 넘지 않는지 감시한다.
SS1 = 제어감속 후 안전정지
SS2 = 제어감속 후 Torque를 유지한 정지상태 감시
SOS = 정지 위치 유지 감시
SLS = 제한속도 이하 감시
1. STO는 Safe Torque Off다
STO는 Drive가 Motor에 Torque를 만들 수 있는 Energy 전달을 안전하게 억제하는 기능이다. Control Power와 Communication이 살아 있어도 STO가 동작할 수 있다.
즉 Main Contactor를 끊는 것과 같은 개념이 아니다. Drive 내부 Power Stage의 Torque 생성경로를 Safety Circuit으로 차단한다.
2. STO는 Motor를 적극적으로 감속시키지 않는다
STO를 바로 걸면 Motor는 Torque를 더 이상 만들지 못하지만, 이미 회전 중인 Load는 관성으로 계속 움직일 수 있다.
관성이 크거나 Vertical Axis라면 Brake와 Controlled Stop Strategy를 별도로 검토해야 한다.
3. SS1은 먼저 감속한 뒤 Safe State로 간다
SS1은 일반적으로 Drive가 제어된 감속을 수행한 뒤 STO 같은 Torque-off 상태로 전환되는 기능이다.
위험영역에 접근했을 때 즉시 Coast Stop보다 제어감속이 더 안전하거나 기계적으로 유리한 장비에서 의미가 크다.
4. SS2는 감속 후 Torque를 바로 없애지 않는다
SS2는 Controlled Stop 후 SOS 상태로 전환되어 Motor가 Position을 유지하도록 Torque 생성능력을 남기는 구조다.
따라서 축을 특정 위치에 유지해야 하는 Application에서 사용할 수 있지만 STO와 달리 Power Stage가 Torque를 만들 수 있으므로 Safety Monitoring이 핵심이다.
5. SOS는 Safe Operating Stop이다
SOS는 Motor가 정지상태를 유지하는지 안전하게 감시한다. Torque를 제거하는 기능이 아니라 허용된 Position 변화범위를 벗어나지 않는지 본다.
작업자가 Robot Cell 안에서 Setup을 하는 동안 축이 지정 위치를 유지해야 하는 경우 같은 Application을 생각할 수 있다.
6. SLS는 Safe Limited Speed다
SLS는 Motor 또는 Machine Speed가 설정한 Safe Limit를 넘지 않는지 감시한다.
Maintenance Mode나 Teach Mode에서 완전정지 대신 저속이 허용되는 장비에 사용할 수 있다.
7. SLS는 반드시 Safety Encoder가 있어야 할까?
Drive 내부 SLS는 Safety Encoder나 Certified Sensor Feedback을 이용하는 경우가 많다. 하지만 Architecture에 따라 외부 Independent Sensor로 Speed Threshold를 감시하는 방법도 가능하다.
실제 장비에서 Safety Encoder 대신 두 개의 독립적인 Sensor와 Rotating Target을 이용해 Speed Threshold를 감시하고, Limit 초과 시 Safety Controller가 Motor Power Path를 차단하도록 구성한 경험도 있었다.
두 Sensor를 썼다는 이유만으로 PL d나 SIL2가 되는 것은 아니다. Sensor Failure, Target Failure, Diagnostic Coverage, MTTFd, CCF, Logic, Output과 Validation을 전체 Safety Function으로 평가해야 한다.
8. SDI는 Safe Direction이다
SDI는 Motor가 허용된 방향으로만 움직이는지 감시한다. 예를 들어 Maintenance 중에는 정방향 Jog만 허용하고 역방향 Motion은 위험한 Machine에서 사용할 수 있다.
9. SSM은 Safe Speed Monitor다
SSM은 Speed가 정해진 Threshold 아래인지 Safety-related Signal로 알려주는 기능이다.
이 Signal을 이용해 Guard Unlock, Mode Change 같은 다른 Safety Logic을 조건부로 허용할 수 있다.
10. SLP, SLA 같은 기능도 있다
IEC 61800-5-2 계열 Safe Motion에는 Safe Limited Position, Safe Limited Acceleration처럼 Position과 Acceleration을 제한하거나 감시하는 기능도 있다.
하지만 모든 Drive가 모든 기능을 지원하는 것은 아니다. Drive Safety Manual에서 Certified Function과 PL/SIL Capability를 확인해야 한다.
11. 기능을 한 표로 비교하면
| 기능 | 무엇을 안전하게 하는가 | 대표 목적 |
|---|---|---|
| STO | Torque 생성 방지 | Unexpected Start 방지, Torque Off |
| SS1 | Controlled Stop 후 STO | 움직이는 축을 먼저 감속 |
| SS2 | Controlled Stop 후 SOS | Position 유지가 필요한 Stop |
| SOS | 정지상태 감시 | Torque 유지 상태에서 Movement 제한 |
| SLS | 속도 Limit 감시 | Teach, Maintenance Low Speed |
| SDI | 방향 감시 | 허용방향만 Motion |
| SSM | Speed Threshold 상태 | 다른 Safety Logic의 조건 |
12. AMR에서는 STO만으로 주행정지가 완성되지 않을 수 있다
AMR이 1m/s로 주행 중 Safety Event가 발생했다고 가정해 보자. STO만 즉시 걸면 Motor Torque가 사라지고 Robot은 관성으로 굴러갈 수 있다.
그래서 요구 Stop Distance와 Brake 구조에 따라 Controlled Deceleration, Brake Activation과 Torque-off 순서를 함께 설계한다.
13. Holding Brake는 Safe Motion Function과 같은 것이 아니다
Motor Brake는 Mechanical Component이고 STO, SS1은 Drive Safety Function이다.
Vertical Axis에서는 STO 후 Load가 떨어지지 않도록 Brake가 필요할 수 있고, AMR에서는 Parking Brake와 Service Stop 역할을 분리해야 할 수 있다.
14. Safety PLC를 쓰면 Safe Motion이 자동으로 구현되는가?
Safety PLC는 Logic을 Safety-rated하게 처리할 수 있지만 Motor Speed나 Position을 감시하려면 적절한 Safety Input과 Sensor가 필요하다.
일반 Encoder를 일반 PLC로 읽어 Speed를 계산한 값을 Safety PLC에 Bit 하나로 전달한다고 Safe Speed Monitoring이 되는 것은 아니다.
15. Cat.3과 PL d는 기능별로 평가한다
AMR 전체에 "PL d 장비"라는 Label 하나를 붙이는 것보다 E-stop, Bumper, Speed Monitoring, Brake Control 같은 Safety Function별로 PLr을 정의하고 Architecture를 평가하는 것이 맞다.
각 Function의 Input, Logic, Output 전체가 요구 Performance Level을 만족해야 한다.
16. RA가 먼저인 이유
어떤 Machine에 SLS가 필요한지는 Risk Assessment에서 결정된다. 사람 접근 중 완전정지가 필요한지, 제한속도로 작업이 가능한지, Brake가 필요한지를 Hazard와 Use Case에 따라 정한다.
- Hazard와 Operating Mode 정의
- PLr 또는 SIL 요구 결정
- 필요 Safe Motion Function 선택
- Sensor Architecture 정의
- Safety Logic과 Output 정의
- Stop Category와 Brake Sequence 정의
- Fault Reaction 정의
- SISTEMA 또는 정량평가
- Validation Test
- Safety Manual과 Parameter 관리
17. Safe Motion Parameter는 변경관리 대상이다
SLS Limit, SS1 Deceleration Time, Stop Monitoring Delay 같은 값은 Safety Function의 일부다.
Commissioning 이후 일반 User가 마음대로 바꾸지 못하도록 Access Level과 Change Log를 관리해야 한다.
18. 실제 Validation은 Fault를 넣어봐야 한다
정상상태에서 잘 멈추는지만 보는 것으로 부족하다. Sensor 한 Channel 단선, Feedback Loss, Output Stuck, Communication Loss 같은 Fault를 넣고 요구 Safety Reaction이 나오는지 확인해야 한다.
STO, SS1, SLS, SOS는 비슷한 Stop 기능이 아니다. 각각 Torque, 감속, 정지상태, 속도를 서로 다른 방식으로 안전하게 다룬다. 먼저 Risk Assessment에서 필요한 행동을 정하고, Sensor부터 Drive와 Brake까지 전체 Safety Function으로 설계해야 한다.
