【Safety 기능안전】 EDM이란? Safety Contactor 피드백 접점을 확인하는 이유

【통신 실무】 CAN Bus-Off란? Error Active, Error Passive까지 쉽게 이해하기

【회로-전장 실무】 24V Digital Input 회로는 어떻게 설계할까? | PLC, 포토커플러, 입력저항

AMR이나 산업용 로봇의 Safety 회로를 설계하다 보면 EDM이라는 용어를 자주 접하게 된다.

특히 Safety Relay나 Safety PLC의 Output으로 Contactor를 제어하는 회로를 보면 Contactor의 보조접점이 다시 Safety PLC Input으로 돌아오는 구조가 있다.

처음 보면 이런 의문이 생긴다.

Contactor를 이미 OFF했는데 왜 접점 상태를 다시 확인해야 할까?

그 이유는 Safety Controller가 OFF 명령을 내렸다고 해서 실제 Power Contact가 반드시 열렸다고 보장할 수는 없기 때문이다.

핵심 EDM은 Safety PLC가 Contactor나 Relay에 OFF 명령을 내린 뒤, 실제로 외부 Switching Device가 안전한 상태로 돌아왔는지를 Feedback 접점을 통해 확인하는 기능이다.

EDM이란?

EDM은 External Device Monitoring의 약자다.

Safety PLC나 Safety Relay 외부에 연결된 Contactor, Relay와 같은 Switching Device가 정상적으로 동작했는지를 감시하는 기능이다.

대표적인 구조는 다음과 같다.

Safety PLC → Safety Output → Contactor → Motor Power 차단

그리고 Contactor의 상태는 다시 Safety PLC로 돌아온다.

Contactor NC Feedback → EDM Input → Safety PLC 상태 확인

즉 Safety PLC는 단순히 명령만 보내는 것이 아니라 명령대로 외부 장치가 실제 동작했는지까지 확인한다.

왜 Contactor의 상태를 다시 확인할까?

Contactor는 전기적으로 Coil을 OFF하면 Main Contact가 열려야 한다.

하지만 실제 장비에서는 고장이 발생할 수 있다.

Contactor에서 발생할 수 있는 대표적인 고장

✅Main Contact 용착

✅기계적 Sticking

✅Auxiliary Contact 이상

✅배선 Short 또는 오배선

예를 들어 Safety PLC가 Contactor Coil을 OFF했지만 Main Contact가 용착되어 계속 붙어 있다면 Motor Power는 차단되지 않을 수 있다.

Safety PLC가 Output 상태만 보고 판단한다면 이 고장을 알아차리기 어렵다.

그래서 Contactor의 Feedback Contact를 다시 받아 실제 상태를 확인한다.

EDM은 어떤 접점을 사용할까?

일반적으로 Contactor의 NC Auxiliary Contact를 Feedback으로 사용한다.

Contactor 상태	Main Contact	NC Feedback
Coil OFF	Open	Closed
Coil ON	Closed	Open

Safety System이 정지상태라면 Contactor Coil은 OFF되고, NC Feedback Contact는 다시 Closed 상태로 돌아와야 한다.

Safety PLC는 이 Feedback을 확인한 뒤 다음 Reset이나 Restart를 허용할 수 있다.

중요
단순한 일반 보조접점보다 Main Contact의 상태와 기계적으로 연계된 Mirror Contact 또는 제조사가 Safety Feedback 용도로 지정한 접점을 사용하는 것이 중요하다. 실제 적용 가능 여부는 Contactor 데이터시트를 확인해야 한다.

접점이 용착되면 어떻게 검출할까?

정상적인 경우 Safety Stop이 발생하면 다음과 같이 동작한다.

Safety Stop → Contactor Coil OFF → Main Contact Open → NC Feedback Closed

하지만 Main Contact가 용착되어 정상적으로 복귀하지 않았다면 Feedback Contact도 정상적인 상태로 돌아오지 않을 수 있다.

Safety PLC는 EDM Input 상태가 기대값과 다르다는 것을 확인하고 Fault 상태로 유지하며 Restart를 허용하지 않는다.

즉 EDM의 목적은 운전 중 Contactor를 계속 감시한다기보다, Safety Output을 차단한 뒤 다음 운전을 시작하기 전에 실제 차단장치가 정상상태로 복귀했는지 확인하는 것에 가깝다.

EDM과 Reset은 어떤 관계가 있을까?

EDM은 Safety Reset과 함께 보면 이해하기 쉽다.

예를 들어 E-STOP이 눌렸다고 가정해보자.

E-STOP → Safety Output OFF → Contactor OFF → EDM 확인 → Reset 가능

Contactor가 정상적으로 Open되고 Feedback도 정상으로 돌아왔다면 Safety PLC는 Reset 조건을 만족시킬 수 있다.

반대로 EDM 상태가 정상으로 복귀하지 않았다면 E-STOP을 해제하고 Reset 버튼을 눌러도 Safety Output이 다시 켜지지 않도록 설계할 수 있다.

Safety Reset은 단순히 Fault를 지우는 버튼이 아니라, Safety System이 다시 운전 가능한 조건인지 확인한 뒤 복귀시키는 과정이다.

Contactor를 2개 사용하면 EDM도 2개 확인해야 할까?

PL d나 Category 3 구조에서는 위험한 Energy를 차단하기 위해 두 개의 Contactor를 직렬로 사용하는 경우가 있다.

예를 들면 다음과 같다.

Battery / Power → K1 → K2 → Motor Drive

이 경우 K1과 K2 중 하나가 용착되더라도 다른 하나가 Power를 차단할 수 있도록 구성한다.

하지만 한쪽 Contactor가 이미 고장난 상태를 계속 방치하면 다음 고장에서는 Safety Function이 상실될 수 있다.

따라서 두 Contactor의 Feedback 상태를 모두 감시하여 한쪽에 Fault가 발생했을 때 이를 검출하는 것이 중요하다.

K1	K2	판단 예
정상 복귀	정상 복귀	Reset 가능
복귀 안 됨	정상	Fault
정상	복귀 안 됨	Fault

Feedback Contact를 직렬로 연결해도 될까?

실무에서는 두 Contactor의 NC Feedback Contact를 직렬로 연결하여 하나의 EDM Input으로 사용하는 구조도 볼 수 있다.

24V → K1 NC → K2 NC → EDM Input

두 Contactor가 모두 정상적으로 OFF 상태로 복귀해야 회로가 Closed되므로 구조가 단순하다는 장점이 있다.

하지만 이 방식에서는 어느 Contactor에서 문제가 발생했는지를 PLC가 개별적으로 구분하기 어렵다.

Safety PLC의 Input 수가 충분하다면 K1과 K2 Feedback을 각각 입력받아 진단정보를 명확하게 관리하는 방법도 검토할 수 있다.

어떤 방식을 사용할지는 Safety PLC의 기능, 필요한 Performance Level, Diagnostic 요구사항과 제조사 권장회로를 기준으로 판단해야 한다.

STO가 있으면 EDM은 필요 없을까?

최근 Motor Drive에는 STO 기능이 내장되어 있는 경우가 많다.

이 때문에 Main Power Contactor 없이 STO만 이용하여 Torque를 차단하는 Safety Architecture도 가능하다.

이 경우 외부 Contactor 자체가 없다면 그 Contactor를 감시하기 위한 EDM도 필요하지 않을 수 있다.

하지만 이것을

STO가 있으면 EDM은 항상 필요 없다.

라고 일반화하면 안 된다.

실제 시스템에는 Brake Relay, Main Contactor, Charger Contactor 또는 다른 외부 Safety Switching Device가 있을 수 있기 때문이다.

구조	EDM 검토
Drive STO만 사용	Drive 내부 진단 및 Safety 인증 확인
외부 Safety Contactor 사용	Contactor Feedback 감시 검토
STO + Contactor 사용	각 Safety Channel 역할과 진단방법 검토

실무에서 주의할 부분
EDM 적용 여부는 Contactor가 있다는 이유만으로 결정하는 것도 아니고, STO가 있다는 이유로 무조건 제외하는 것도 아니다. Risk Assessment에서 정의한 Safety Function과 실제 차단 Architecture를 기준으로 판단해야 한다.

 

Safety PLC에서 EDM은 어떻게 구현할까?

Safety PLC에서는 제조사에 따라 EDM, External Device Monitoring, Contactor Monitoring 등의 전용 Function Block을 제공하는 경우가 있다.

일반적으로 다음과 같은 조건을 확인한다.

EDM Logic에서 확인하는 대표 조건

✅Safety Output OFF 후 Feedback이 정상상태로 복귀했는가

✅정해진 시간 안에 Feedback이 변경되었는가

✅Safety Output ON 전에 EDM 상태가 정상인가

✅Contactor 상태와 명령이 서로 모순되지 않는가

특히 Monitoring Time 설정이 중요하다.

Contactor는 Coil을 OFF했다고 Main Contact와 Auxiliary Contact가 즉시 변경되는 것이 아니다. 기계적인 동작시간이 있기 때문에 제조사 Specification을 확인하여 적절한 Monitoring Time을 설정해야 한다.

EDM I/O Check에서는 무엇을 시험해야 할까?

Safety 회로가 완성됐다면 정상동작만 확인하지 말고 실제 Fault를 만들어보는 것이 좋다.

EDM Commissioning Checklist

✅Safety Output ON 시 Contactor가 정상적으로 동작하는가

✅Safety Output OFF 후 Feedback이 정상 복귀하는가

✅K1 Feedback Fault 시 Restart가 차단되는가

✅K2 Feedback Fault 시 Restart가 차단되는가

✅Feedback Input이 고정된 상태에서 Fault가 검출되는가

✅Fault 제거 후 정상 Reset 절차로만 복귀하는가

✅Monitoring Time 설정이 실제 Contactor 동작시간과 맞는가

가능하다면 실제 Contactor의 접점을 강제로 용착시키는 시험보다는 Feedback 신호를 의도적으로 비정상 상태로 만들어 Safety Logic이 제대로 Fault를 검출하는지 확인하는 방식으로 시험할 수 있다.

EDM을 이해할 때 가장 중요한 부분

EDM의 핵심은 단순히 Auxiliary Contact 하나를 PLC Input에 연결하는 것이 아니다.

Safety 명령 → 외부 장치 동작 → 실제 상태 확인 → Fault 판단 → Restart 허용

즉 Safety Controller가 자신이 내린 명령이 실제 장치에서도 수행되었는지를 확인하는 Closed-loop Safety Monitoring이라고 이해하면 쉽다.

마무리

EDM은 로봇 Safety 회로에서 눈에 잘 띄지 않지만 중요한 역할을 한다.

Safety PLC가 Contactor를 OFF했다고 해서 실제 Main Contact까지 열렸다고 단정할 수 없기 때문에, Feedback Contact를 이용해 외부 Switching Device의 실제 상태를 확인한다.

특히 2개의 Contactor를 사용하는 Safety Architecture에서는 한쪽 접점이 용착된 상태를 검출하지 못하면 다음 고장에서 Safety Function이 상실될 수 있다.

한 문장으로 정리하면
EDM은 "Safety PLC가 OFF 명령을 보냈는가"를 확인하는 기능이 아니라, "외부 차단장치가 실제로 안전한 상태가 되었는가"를 확인하는 기능이다.

로봇 Safety에서는 Input부터 Logic, Output까지 모두 중요하지만 실제 위험원을 차단하는 최종 장치가 제대로 동작했는지 확인하는 과정까지 포함해야 완성도 높은 Safety Function을 만들 수 있다.

관련 규격

ISO 13849-1
Safety-related parts of control systems의 설계와 Performance Level 평가

IEC 60204-1
기계의 전기장비와 Control Circuit 관련 요구사항

IEC 60947-4-1
Contactor와 Motor Starter 관련 요구사항 및 Mirror Contact 개념 확인 시 참고

ISO 3691-4
AMR, AGV와 같은 Driverless Industrial Truck의 Safety 요구사항

PILLAR 01 / FUNCTIONAL SAFETY

Safety Output은 OFF 명령만 보내면 끝일까?

Contactor나 Relay가 실제로 차단됐는지 확인하지 않으면 Output Fault를 놓칠 수 있습니다. EDM과 Feedback을 포함한 AMR 전체 Safety Architecture를 정리했습니다.

AMR Functional Safety 전체 가이드 보기 →