【Safety 기능안전】 E-STOP은 왜 2채널로 연결할까? | Safety PLC 배선, Test Pulse, Reset 실무

【로봇-AMR 실무】 페라이트 코어 선정 방법 | EMC 시험, 주파수, 임피던스, 케이블 직경 비교

【인증】 STO란? 비상정지와 모터 전원 차단은 무엇이 다를까

FUNCTIONAL SAFETY PRACTICE E-STOP을 2채널로 연결하는 이유는 입력을 두 번 읽기 위해서가 아니다

한쪽 접점과 배선에 문제가 생겨도 비상정지 기능을 유지하고,
문제를 검출할 수 있도록 Safety Architecture를 만드는 것이 핵심이다.

AMR이나 산업용 로봇 전장회로를 설계하면 일반 Push Button과 달리 E-STOP에서 NC 접점 2개를 꺼내 Safety PLC의 두 입력 Channel에 연결하는 구조를 자주 보게 된다.

처음 Safety 회로를 보면 “버튼 하나를 읽는데 왜 Input을 두 개나 사용하지?”라는 의문이 생긴다. 일반 PLC라면 접점 하나만으로 버튼이 눌렸는지 확인할 수 있기 때문이다.

Safety 회로는 정상동작만 보는 것이 아니다. 접점 고착, 배선 단선, Short, Channel 불일치 같은 Fault가 생긴 상태에서도 위험한 동작을 막을 수 있는가를 함께 본다.

INPUT2 Channel

CONTACTNC + Direct Opening

DIAGNOSTICTest Pulse

RECOVERYReset ≠ Restart

핵심
E-STOP의 2채널 구성은 버튼 상태를 두 번 확인하려는 것이 아니다. Single Fault가 발생해도 Safety Function을 유지하고, 가능한 Fault를 진단하기 위한 Architecture로 이해하는 것이 좋다.

1. E-STOP은 무엇을 하는 장치인가?

E-STOP은 작업자가 실제 또는 임박한 위험을 발견했을 때 기계의 위험한 동작을 빠르게 멈추도록 요구하는 장치다. AMR에서는 E-STOP 신호를 Safety PLC가 받고, Motor Drive의 STO, Safety Contactor, Brake 등 설계된 Safety Output을 통해 위험동작을 정지시킨다.

E-STOP

›

Safety Input

›

Safety PLC

›

STO / Contactor / Brake

›

Hazard Stop

중요한 점은 E-STOP 버튼 자체가 항상 Motor Power를 직접 차단하는 것은 아니라는 것이다. E-STOP은 Safety Function을 시작시키는 Input Device이고, 실제 위험원 제거는 뒤쪽 Logic과 Output을 포함한 전체 Safety System에서 수행된다.

E-STOP은 Guarding의 대체품이 아니다.
비상정지는 정상적인 위험감소수단을 대신하는 장치가 아니라 비상상황에서 사용하는 보완적인 보호수단이다. Scanner, Guard, Speed Limitation 같은 기본 Risk Reduction을 먼저 설계해야 한다.

2. 왜 일반적으로 NC 접점을 사용할까?

E-STOP 회로에서는 일반적으로 NC 접점을 사용한다. 정상상태에서는 Contact가 Closed이고, E-STOP을 누르면 Contact가 Open된다. 이 방식은 Wire가 끊어진 경우에도 Input이 OFF 방향으로 바뀌기 때문에 단선 Fault를 안전측으로 가져가기 쉽다.

상태	E-STOP Contact	Safety Input 예	시스템 해석
정상	Closed	ON	운전 가능 조건
E-STOP 동작	Open	OFF	비상정지 요구
Wire 단선	Open과 유사	OFF	Fault 또는 Stop

실제 Safety용 E-STOP에서는 단순한 NC Contact만 보는 것이 아니라 Actuator가 눌렸을 때 기계적으로 Contact를 강제로 개방하는 Direct Opening Action을 갖는 Safety Device를 사용한다. Spring 힘에만 의존해 Contact가 열리는 일반 Push Button과 구분할 필요가 있다.

NC라고 해서 모든 Fault가 검출되는 것은 아니다.
예를 들어 Input Wire가 +24V에 Short되어 항상 ON이 되면 단순 NC 1채널 구조는 E-STOP을 눌러도 Stop Request를 놓칠 수 있다. 그래서 2채널과 Diagnostic가 중요해진다.

3. 그렇다면 왜 E-STOP을 2채널로 연결할까?

실무에서는 E-STOP 내부의 두 개 Safety NC Contact를 CH1과 CH2로 분리해 Safety PLC에 연결하는 구성이 많이 사용된다.

예시 구조
Safety Test Output T0 → E-STOP
NC1 → Safety Input I0
Safety Test Output T1 → E-STOP
NC2 → Safety Input I1

정상 : CH1 = ON, CH2 = ON
E-STOP : CH1 = OFF, CH2 = OFF
불일치 : CH1 ≠ CH2 → Fault 판단 가능

두 Channel 중 하나의 Contact가 Closed 상태로 고착되어도 다른 Channel이 Open되면 E-STOP 동작을 감지할 수 있다. 동시에 두 Channel의 상태가 서로 달라지는 Discrepancy를 통해 Fault를 검출할 수 있다.

실무에서 보는 질문
“E-STOP Contact가 하나 고착되면 어떻게 되는가?”
“CH1 Wire가 단선되면 어떻게 되는가?”
“CH1과 CH2가 서로 Short되면 Safety PLC가 알아낼 수 있는가?”

4. 2채널이면 무조건 Category 3, PL d일까?

아니다. 이 부분이 Safety 설계에서 가장 중요한 오해 중 하나다.

2채널 Input은 Category 3 또는 높은 PL을 구현할 때 흔히 사용하는 방법이지만, ISO 13850이 모든 E-STOP을 무조건 2채널로 만들라고 규정한다고 이해하면 안 된다. 필요한 Architecture와 PLr은 Risk Assessment와 해당 Safety Function 요구조건에서 결정해야 한다.

Input
E-STOP

›

Logic
Safety PLC

›

Output
STO / Contactor

Input만 2채널이어도 Output이 Single Fault에 취약하거나, 두 Channel이 동일 Fault에 동시에 영향을 받거나, Diagnostic가 부족하면 전체 Safety Function의 PL은 제한될 수 있다.

2 Channel = PL d 공식은 없다.
Category, MTTFd, DCavg, CCF와 전체 Safety Function의 Fault Behavior를 함께 검토해야 한다.

5. Channel Discrepancy는 어떻게 검출할까?

E-STOP을 누르면 두 Contact가 완벽하게 같은 순간에 Open되지는 않는다. Mechanical Contact 특성 때문에 짧은 시간차가 생길 수 있다.

Safety PLC는 이 짧은 차이는 허용하면서, 한 Channel만 바뀐 상태가 설정된 시간 이상 지속되면 Discrepancy Fault로 판단하도록 구성할 수 있다.

CH1	CH2	예상 해석
ON	ON	정상상태
OFF	OFF	E-STOP 동작
OFF	ON	Contact 또는 Wiring Fault 가능
ON	OFF	Contact 또는 Wiring Fault 가능

Discrepancy Time 값은 Safety PLC와 Device에 따라 다르므로 임의로 고정값을 적용하기보다 Manufacturer Manual과 실제 Contact 동작특성을 기준으로 설정한다.

6. Test Pulse는 무엇을 검출하기 위해 사용할까?

Safety PLC에는 일반 PLC에서 보기 어려운 Test Output 기능이 있다. 각 Channel에 서로 다른 Test Pattern을 공급하고 Safety Input에서 그 응답을 확인하면 일부 Short Fault를 검출할 수 있다.

단선

정상적으로 들어오던 Channel이 사라지므로 비교적 쉽게 검출할 수 있다.

Cross Short

CH1과 CH2가 서로 붙었을 때 서로 다른 Test Pulse를 이용하면 진단 가능성을 높일 수 있다.

Short to 24V

Input이 Test Pattern을 따라오지 않고 High에 고정되는 Fault를 검출할 수 있는 구조가 있다.

Wrong Wiring

잘못된 Test Output과 Input 조합을 Diagnostic로 찾아낼 수 있는 제품도 있다.

Test Pulse는 제조사마다 동작방식이 다르다.
두 Channel을 같은 Test Output에 묶거나 일반 24V 전원을 임의로 공급하면 Cross-circuit Diagnostic 기능이 약해질 수 있다. Safety PLC Wiring Manual에 지정된 연결방식을 따라야 한다.

7. E-STOP을 누르면 무조건 전원을 즉시 끊어야 할까?

E-STOP의 최종 동작은 위험원 특성에 따라 다르다. Motor Torque를 즉시 제거하는 Stop Category 0 방식이 적합한 장비도 있고, 먼저 Controlled Deceleration을 수행한 뒤 Torque를 제거하는 Stop Category 1 방식이 더 안전한 장비도 있다.

구분	개념	AMR에서 생각할 점
Stop Category 0	Actuator Power를 즉시 제거해 Uncontrolled Stop	STO 후 관성주행 거리 확인
Stop Category 1	Controlled Stop 후 Power 제거	SS1 또는 Safety-rated Deceleration 검토

AMR에서 STO만 바로 걸면 Motor Torque는 제거되지만 Robot이 관성으로 이동할 수 있다. 반대로 Brake를 무조건 즉시 체결하면 전도나 Load Shift 같은 다른 위험이 생길 수도 있다. 따라서 E-STOP Sequence는 Risk Assessment와 Stop Distance를 기준으로 정해야 한다.

STO와 Brake는 같은 기능이 아니다.
STO는 Motor가 Torque를 만들지 못하도록 하는 기능이고, Mechanical Brake는 실제 Motion을 유지하거나 정지시키는 장치다. 필요하면 둘을 별도 Safety Function으로 평가한다.

8. Reset과 Restart를 반드시 분리해서 생각하자

E-STOP을 눌렀다가 Mushroom Head를 회전시켜 원상복귀했다고 해서 Robot이 자동으로 다시 움직이면 안 된다.

E-STOP 발생

›

Hazard Stop

›

위험 확인

›

E-STOP 수동 해제

›

Reset / Start 조건

E-STOP Device의 Reset은 비상정지 명령을 해제하고 재기동이 가능한 상태로 준비시키는 동작이다. Reset 자체가 Restart Command가 되어서는 안 된다.

실제 장비에서는 Risk Assessment에 따라 E-STOP 물리적 해제 후 별도의 Safety Reset Button을 사용하기도 한다. 중요한 것은 작업자가 위험이 제거된 것을 확인하고 의도적으로 복귀시키는 절차가 있다는 점이다.

9. AMR에서는 E-STOP을 몇 개 설치해야 할까?

E-STOP 수량을 “AMR에는 2개가 필요하다”처럼 고정 숫자로 외우기보다 작업자가 위험상황에서 빠르게 접근할 수 있는지를 기준으로 판단하는 것이 좋다.

위치 검토 항목

✓Robot 전면과 후면에서 접근 가능한가

✓Load가 올라간 상태에서도 버튼이 가려지지 않는가

✓정비 위치에서 긴급하게 조작할 수 있는가

✓운용 Zone과 작업자의 접근 방향을 반영했는가

✓한쪽 버튼이 장애물에 가려지는 상황을 고려했는가

AMR의 E-STOP 위치와 개수는 Robot Size뿐 아니라 실제 Layout, 운용방법, Maintenance 방식까지 포함한 Risk Assessment에서 정하는 것이 좋다.

10. 회로 설계자가 실제로 확인해야 할 배선 포인트

항목	실무 확인 내용
Contact	Safety용 NC Contact와 Direct Opening 구조 확인
Channel	CH1, CH2가 독립적으로 Safety Input에 연결되는지 확인
Test Output	각 Channel이 제조사 권장 Test Pulse에 연결되는지 확인
Wiring Route	두 Channel이 동일 Damage Point에 과도하게 의존하지 않는지 확인
Connector	한 Connector Fault가 두 Channel을 동시에 무력화할 가능성 검토
Reset	E-STOP 해제와 시스템 Reset 정책 정의
Restart	Reset만으로 자동주행이 시작되지 않도록 Logic 확인
Output	STO, Contactor, Brake의 실제 Stop Sequence 확인

도면 Review에서 자주 놓치는 부분
E-STOP Contact 2개를 그려놓고도 두 Channel을 같은 24V와 같은 Input Logic으로만 읽으면 일부 Cross Short Fault를 진단하기 어렵다. Safety PLC가 제공하는 Test Output과 Diagnostic 기능을 실제 Wiring에 반영했는지 확인해야 한다.

11. I/O Check보다 Fault Injection Test가 더 중요하다

Safety 회로는 정상적으로 눌리고 풀리는지만 확인하면 부족하다. 일부 Fault를 의도적으로 만들어 Safety Function이 예상대로 동작하는지 확인해야 한다.

시험 조건	예상 결과	확인 목적
정상상태	CH1, CH2 정상	Base 상태 확인
E-STOP 누름	두 Channel Stop	정상 E-STOP 기능
CH1 단선	Fault 또는 Stop	Single Wire Fault
CH2 단선	Fault 또는 Stop	반대 Channel 확인
CH1 고정 ON	Discrepancy Fault	Contact Stuck 모사
CH1-CH2 Short	Diagnostic Fault	Cross Circuit 검출
Short to 24V	Diagnostic Fault	Input Stuck High 검출
E-STOP 해제	자동 재기동 금지	Restart Interlock 확인

Fault Injection은 실제 Safety Manual에 맞춰 수행한다.
임의 Short로 Safety PLC 또는 Test Output을 손상시키지 않도록 Manufacturer가 허용한 방법과 Test Procedure를 기준으로 검증해야 한다.

12. 자주 하는 실수 6가지

E-STOP 설계에서 많이 놓치는 부분

12채널이면 자동으로 PL d라고 판단한다.

2Safety NC 대신 일반 NC Contact만 사용한다.

3CH1과 CH2에 같은 Test Output을 넣고 Cross Short 검출을 기대한다.

4E-STOP 해제만으로 Robot이 자동주행을 재개하도록 만든다.

5STO를 걸면 Robot이 즉시 정지한다고 가정한다.

6정상동작 Test만 하고 Single Fault Test를 하지 않는다.

마무리

E-STOP을 2채널로 연결하는 이유는 버튼 상태를 두 번 확인하기 위해서가 아니다. Safety 회로에서는 정상동작보다 한 가지 Fault가 발생했을 때 Safety Function이 어떻게 되는지가 더 중요하다.

실제 설계에서는 E-STOP Contact, Safety PLC Input, Test Pulse, Channel Discrepancy, STO와 Brake Output, Reset과 Restart Logic까지 하나의 Safety Function으로 연결해서 봐야 한다.

특히 AMR에서는 E-STOP 순간의 Torque Off만 볼 것이 아니라 관성주행, Brake 동작, Stop Distance까지 확인해야 한다. 회로도에 2채널을 그리는 것보다 Fault를 넣었을 때도 원하는 안전상태로 전환되는지 실제 장비에서 검증하는 것이 더 중요하다.

참고 규격
ISO 13850:2015, Safety of machinery - Emergency stop function - Principles for design
ISO 13849-1:2023, Safety of machinery - Safety-related parts of control systems - Part 1
IEC 60204-1, Safety of machinery - Electrical equipment of machines
ISO 3691-4, Driverless industrial trucks and their systems - Safety requirements and verification

TerryPack 참고글

ISO 13849 CATEGORY ISO 13849-1 Category 2, 3, 4 차이 쉽게 이해하기 → SAFETY PLC Safety PLC란? 일반 PLC와 무엇이 다를까 →

PILLAR 01 / FUNCTIONAL SAFETY

E-STOP 신호 이후에는 무엇이 동작해야 할까?

E-STOP 2채널은 Safety Function의 시작점입니다. Safety PLC가 신호를 판단하고 STO와 Brake를 동작시키며, Fault와 Feedback까지 확인하는 전체 흐름을 한 번에 정리했습니다.

AMR Functional Safety 전체 가이드 보기 →