【Safety 기능안전】 AMR Functional Safety는 어떻게 설계할까? | STO, Brake, Recovery 실무

【통신 실무】 CAN_H와 CAN_L 전압은 몇 V가 정상일까? | CAN 신호 측정 방법

 

【인증-규격】 AMR 충전단자 절연거리는 몇 mm가 필요할까? UL 3100 기준 이격거리 정리

 

FUNCTIONAL SAFETY PRACTICEAMR Safety는 정지시키는 회로가 아니라 정지 이후 Recovery까지 포함한 시스템 설계다

E-STOP, Bumper, STO, Brake, Reset을 각각 따로 보면 실제 위험 시나리오를 놓치기 쉽다.

AMR Safety 설계를 처음 시작하면 E-STOP이 들어오면 Safety PLC가 Output을 OFF하고 Motor를 멈추게 하면 끝이라고 생각하기 쉽다. 하지만 실제 개발에서는 그 다음 질문이 계속 이어진다.

STO가 동작해도 관성으로 움직이면 어떻게 할지, Brake가 붙어서 사람이 Robot을 빼낼 수 없으면 어떻게 할지, Brake Release를 허용하면 새로운 위험은 없는지까지 검토해야 했다.

INPUTE-STOP / Bumper

LOGICSafety PLC

OUTPUTSTO / Brake

RECOVERYReset / Release

전제
이 글은 특정 AMR 전체가 무조건 PL d여야 한다는 뜻이 아니다. 실제 요구 PLr은 Risk Assessment와 적용 규격에서 Safety Function별로 결정해야 한다. 여기서는 PL d, Category 3 수준을 목표로 검토할 때 어떤 질문을 했는지에 초점을 둔다.

1. 회로도보다 먼저 Safety Function List를 만들었다

Safety 설계의 시작을 부품 선정으로 잡으면 E-STOP은 어떤 Switch, Safety PLC는 어떤 모델을 쓸지부터 보게 된다. 하지만 실제로 더 먼저 정해야 하는 것은 어떤 위험 상황에서 무엇을 멈출 것인가였다.

Safety Function	Trigger	Safe State 예
Emergency Stop	E-STOP	주행 Torque 제거, 필요한 Brake 체결
Bumper Stop	Bumper 2 Channel	주행 정지와 재기동 금지
Scanner Stop	Safety Scanner	위험영역 진입 시 정지
Manual Reduced Speed	Manual Mode	작업자 개입 시 속도 제한

이렇게 Function부터 나누면 각 Input, Logic, Output을 어떤 구조로 만들어야 하는지가 훨씬 명확해진다.

2. Input → Logic → Output 전체 Chain을 하나로 봤다

Safety Sensor

›

Safety Input

›

Safety Logic

›

Safety Output

›

Actuator

E-STOP 2채널만 잘 만들었다고 Category 3이 되는 것이 아니다. Output Relay가 붙었을 때, STO Channel 하나가 고장났을 때, Brake가 Release 상태에 고착됐을 때까지 전체 Chain을 봐야 한다.

Fault Scenario

Safety PLC Output은 OFF됐는데 Relay Contact가 Welding되어 Motor Enable이 남아 있다면? 이 경우 PLC Logic은 정상이어도 Safe State가 만들어지지 않는다.

3. STO가 있으면 끝이라고 생각했지만 관성이 남았다

STO는 Motor가 Torque를 만들지 못하게 하는 기능이지 Robot을 물리적으로 즉시 정지시키는 Brake가 아니다. 주행 중 STO가 들어오면 Torque는 사라져도 Robot은 관성으로 계속 이동할 수 있다.

그래서 실제 검토에서는 Stop Distance, 경사면, Payload, Wheel Friction을 함께 보게 된다. 필요하면 Controlled Stop 이후 STO를 적용하거나 Mechanical Brake를 별도 Safety Function으로 다뤄야 한다.

실무에서 바뀐 생각
Torque가 없어지면 안전하다에서 위험원이 실제로 멈추고 유지되는가로 질문이 바뀌었다.

4. Brake는 STO와 다른 실패모드를 가진다

Fail-safe Brake는 전원이 사라지면 체결되는 구조를 많이 사용한다. 하지만 Relay Welding, Brake Coil 고장, Mechanical Wear처럼 Brake만의 Failure Mode가 있다.

Fault	확인할 것
Brake Relay Welding	Safety Stop 시 Brake가 실제 체결되는가
Brake Coil Open	의도치 않은 Brake 체결이 발생하는가
Brake Feedback 없음	PLC Status가 아니라 실제 상태를 어떻게 확인할 것인가
Mechanical Wear	Holding Torque가 요구조건을 유지하는가

5. Bumper Stop 이후 Brake Release가 새로운 Hazard가 됐다

저상형 AMR이 Bumper에 걸려 완전히 멈췄다고 가정해보자. Brake까지 체결되어 Robot을 손으로 밀 수 없다면 작업자가 장애물에서 Robot을 빼내기 어려울 수 있다.

그래서 조건부 Brake Release 기능이 필요할 수 있다. 하지만 Brake Release를 허용하는 순간 Robot이 경사면에서 움직이거나 작업자의 발 쪽으로 밀리는 새로운 Hazard가 생긴다.

Recovery 기능도 Safety 설계 대상이다.
누가 Release를 허용할 수 있는지, 어떤 Mode에서 가능한지, 속도와 주변 조건을 어떻게 제한할지 별도 Risk Assessment가 필요하다.

6. MCU가 보내는 정상 Bit를 Safety Feedback으로 믿지 않았다

일반 MCU나 PLC가 Motor 정상, Brake 정상 Bit를 보내면 사용하기 편하다. 하지만 Safety Diagnostic에서는 그 Bit가 실제 Hardware 상태를 얼마나 독립적으로 반영하는지가 중요하다.

가능하다면 Contactor Mirror Contact, EDM, Drive의 Safety-rated Status, 독립 Sensor처럼 실제 Actuator 상태를 확인할 수 있는 Feedback을 우선 검토하는 것이 좋다.

실무 질문

MCU Software가 잘못된 값을 보내도 Safety Function은 고장을 검출할 수 있는가? 이 질문에 답할 수 없다면 그 Feedback은 Safety Diagnostic 근거로 사용하기 어렵다.

7. Reset, Restart, Manual Mode를 따로 설계했다

E-STOP을 해제했다고 바로 Robot이 움직이면 안 된다. Safety Reset은 Safety Condition이 정상으로 돌아왔음을 인정하는 동작이고 실제 주행 Start는 별도 조건이어야 한다.

또한 Maintenance나 Recovery를 위해 Manual Mode를 제공한다면 Reduced Speed, Hold-to-run, 작업자 접근조건 같은 제약을 같이 검토해야 한다.

8. 마지막에는 Fault를 실제로 넣어봤다

회로도가 맞는지보다 중요한 것은 Single Fault 상황에서 원하는 Safe State가 유지되는지 확인하는 것이다.

1STO CH1만 단선했을 때 Torque가 차단되는가

2STO CH2만 단선했을 때도 동일한가

3Bumper 한 Channel이 고정 ON일 때 Fault를 검출하는가

4Output Relay가 Welding된 조건을 Diagnostic가 검출하는가

5Brake Release 상태에서 Emergency Stop이 우선되는가

6Reset 이후 자동 Restart가 발생하지 않는가

마무리

AMR Functional Safety는 E-STOP, STO, Brake를 각각 안전부품으로 선택한다고 끝나지 않는다. Input부터 Actuator까지 전체 Chain이 Single Fault에서 어떻게 동작하는지, 그리고 정지 이후 사람이 Robot을 어떻게 복구하는지까지 이어서 봐야 한다.

실제 개발에서 가장 큰 변화는 어떻게 멈출 것인가에서 고장이 있어도 멈추고 멈춘 뒤에도 안전하게 Recovery할 수 있는가로 질문이 바뀐 것이었다.

TerryPack 참고글

ISO 13849ISO 13849-1 Category 2, 3, 4 차이 →SAFETY PLCSafety PLC란? 일반 PLC와 무엇이 다를까? →