Differential Drive, Steer Drive and Omni Drive — Ch.25: Safety and Certification [KR]

STATERA Library · Series 02 · Volume 11 · Chapter 25 · KR
Source: https://github.com/Statera-Library/02_Vol_11_Differential_Drive_Steer_Drive_and_Omni_Drive/blob/main/25_Safety_and_Certification/25_Safety_and_Certification_KR.md

01 Industrial AMR safety standards

1.1 ISO 3691-4: Automated Industrial Truck Safety Requirements

1.2 IEC 62061: Machinery Safety and Safety Integrity Level (SIL)

1.3 ISO 13849-1: Performance Level (PL)

1.1 ISO 3691-4: 무인 산업용 차량 안전 요구사항 (ISO 3691-4: Automated Industrial Truck Safety Requirements)

제조업(Manufacturing), 물류(Logistics), 창고 자동화(Warehouse Automation), 반도체(Semiconductor) 산업에서 자율주행 이동로봇(Autonomous Mobile Robot, AMR)의 도입이 빠르게 확대되면서 국제적으로 인정받는 안전 표준(Safety Standard)의 중요성이 매우 커지고 있다. 기존 산업용 설비는 안전 펜스(Safety Fence) 안에서 동작했지만, AMR은 작업자(Pedestrian), 지게차(Forklift), 수동 운반 장비(Manual Vehicle), 다른 자율주행 로봇과 동일한 공간을 공유한다. 따라서 물리적인 차단 장치만으로는 충분한 안전을 확보할 수 없으며, 차량 자체가 지속적으로 위험(Hazard)을 감지하고, 위험도를 평가하며, 적절한 보호 동작(Protective Action)을 수행해야 한다.

이러한 요구를 충족하기 위해 제정된 대표적인 국제 표준이 ISO 3691-4이다. 이 표준은 무인 산업용 차량(Driverless Industrial Truck)과 산업용 AMR의 설계, 시스템 통합(System Integration), 운용(Operation), 검증(Verification), 유지보수(Maintenance)에 필요한 안전 요구사항을 정의한다. 단순히 특정 부품의 성능만을 규정하는 것이 아니라, 차량 전체를 하나의 시스템(System)으로 바라보는 것이 가장 큰 특징이다. 기계 구조(Mechanical Design), 전기 시스템(Electrical Architecture), 센서(Sensing System), 소프트웨어(Software), 통신(Communication), 자동 충전(Charging Operation), 유지보수 절차, 실제 운용 환경(Operation Environment)을 모두 포함하여 전체적인 안전성을 확보하도록 요구한다.

ISO 3691-4의 핵심 원칙은 체계적인 위험 감소(Systematic Risk Reduction)이다. 모든 AMR은 운용 전에 위험 식별(Hazard Identification) 과정을 수행해야 한다. 사람과의 충돌(Collision), 지게차와의 상호작용(Forklift Interaction), 차량의 비정상 이동(Uncontrolled Motion), 과속(Excessive Speed), 제동 실패(Braking Failure), 충전 중 위험(Charging Hazard), 통신 장애(Communication Failure), 위치추정 오류(Localization Error), 적재물 불안정(Payload Instability), 환경 변화(Environmental Change) 등 다양한 위험 요소를 분석한다. 각 위험은 심각도(Severity), 발생 가능성(Probability), 사람이 회피할 수 있는 가능성(Possibility of Avoidance)을 기준으로 평가되며, 허용 가능한 수준까지 위험을 줄이기 위한 보호 기능을 반드시 구현해야 한다.

가장 중요한 안전 기능 가운데 하나는 환경 인식(Environmental Perception)이다. 안전 LiDAR(Safety Laser Scanner), LiDAR, 카메라(Camera), 초음파 센서(Ultrasonic Sensor), 범퍼 센서(Bumper Sensor), 근접 센서(Proximity Sensor)가 차량 주변을 지속적으로 감시한다. 차량 속도(Vehicle Speed), 이동 방향(Travel Direction), 적재 중량(Payload), 운행 모드(Operation Mode)에 따라 보호 영역(Protective Field)이 자동으로 변경된다. 경고 영역(Warning Zone)에 장애물이 들어오면 차량은 감속하고, 보호 영역에 진입하면 즉시 비상 정지(Emergency Stop)를 수행한다. 이러한 동적 보호 영역(Dynamic Protective Field)은 생산성을 유지하면서도 작업자의 안전을 확보할 수 있도록 설계된다.

ISO 3691-4는 속도 관리(Speed Management)도 매우 중요하게 다룬다. 차량의 최고 속도(Maximum Speed)는 항상 동일해서는 안 되며, 시야 확보(Visibility), 회전 반경(Turning Radius), 작업자 밀도(Pedestrian Density), 주변 환경의 복잡도(Environment Complexity), 적재 하중(Payload Weight), 제동 성능(Braking Capability)에 따라 자동으로 조절되어야 한다. 이러한 지능형 속도 제어(Intelligent Speed Limitation)는 충돌 시 피해를 줄이고 전체적인 안전성을 향상시킨다.

비상 정지(Emergency Stop) 요구사항도 매우 엄격하다. 차량에는 여러 위치에서 쉽게 접근 가능한 비상 정지 버튼이 설치되어야 하며, 비상 정지가 눌리면 소프트웨어 상태나 통신 상태와 관계없이 즉시 위험한 동작을 제거해야 한다. 제동 거리(Stopping Distance), 응답 시간(Response Time), 최대 적재 상태(Maximum Payload)에서의 제동 성능은 실제 산업 환경에서 반드시 검증되어야 한다.

자율주행 기능(Autonomous Navigation)도 높은 신뢰성을 요구한다. 위치추정(Localization), 장애물 인식(Obstacle Detection), 경로 계획(Route Planning), 교통 관리(Traffic Management)는 환경이 변하더라도 안정적으로 동작해야 한다. 만약 위치추정 신뢰도(Localization Confidence)가 낮아지거나 센서 이상(Sensor Failure), 통신 장애, 위치 불일치가 발생하면 차량은 계속 운행해서는 안 되며 미리 정의된 안전 상태(Safe State)로 즉시 전환되어야 한다.

또한 검증(Verification)은 실험실 시험만으로 끝나지 않는다. 작업자, 생산 장비, 교차로, 충전소, 다양한 바닥 상태, 실제 물류 흐름이 존재하는 대표 산업 환경(Representative Industrial Environment)에서 반복적으로 시험을 수행해야 한다. 설계 문서(Design Documentation), 안전 분석(Safety Analysis), 검증 결과(Validation Record), 유지보수 절차, 운용 제한 사항(Operation Limitation)까지 모두 포함하여 표준 적합성을 입증해야 한다.

결국 ISO 3691-4는 단순히 충돌 방지 기능만을 규정하는 표준이 아니라, 위험 분석(Risk Analysis), 환경 인식, 지능형 모션 제어(Intelligent Motion Control), 운용 절차(Operation Procedure), 체계적인 검증(Validation)을 하나의 안전 프레임워크(Safety Framework)로 통합한 산업용 AMR의 대표적인 국제 안전 표준이다.

1.2 IEC 62061: 기계 안전과 안전 무결성 수준 (IEC 62061: Machinery Safety and Safety Integrity Level, SIL)

현대 산업 자동화는 프로그램 가능한 전자 제어 시스템(Programmable Electronic Control System)에 크게 의존하고 있다. 로봇, 자율주행 차량, 협동 로봇, 스마트 생산 설비가 모두 소프트웨어 중심으로 발전하면서 안전 제어 시스템의 신뢰성은 더욱 중요해지고 있다. IEC 62061은 기계 안전을 위한 전기(Electrical), 전자(Electronic), 프로그램 가능한 전자 제어 시스템의 설계, 구현, 검증, 유지보수를 위한 국제 표준이다. 산업용 AMR에서는 기능 안전을 정량적으로 평가하는 대표적인 기준으로 사용된다.

IEC 62061의 핵심 개념은 안전 무결성 수준(Safety Integrity Level, SIL)이다. SIL은 제품의 일반적인 품질을 의미하는 것이 아니라, 안전 기능(Safety Function)이 필요할 때 요구된 보호 동작을 성공적으로 수행할 확률을 의미한다. SIL 등급은 SIL1부터 SIL4까지 있으며 숫자가 높을수록 위험한 고장이 발생할 확률이 낮아지고 안전 수준은 높아진다. 대부분의 산업용 AMR은 위험도 평가(Risk Assessment)에 따라 SIL2 또는 SIL3 수준의 안전 기능을 구현한다.

SIL을 결정하기 위해서는 먼저 위험도 평가를 수행한다. 차량 이동(Motion), 조향(Steering), 제동(Braking), 충전(Charging), 유지보수(Maintenance), 작업자와의 상호작용(Human Interaction), 통신 장애(Communication Failure), 소프트웨어 오류(Software Failure), 센서 성능 저하(Sensor Degradation)와 같은 위험 요소를 모두 분석한다. 이후 사고의 심각도(Severity), 노출 빈도(Frequency of Exposure), 위험 지속 시간(Duration), 사람이 회피할 가능성(Possibility of Avoidance)을 평가하여 필요한 SIL 수준을 결정한다.

산업용 AMR의 대표적인 안전 기능은 STO(Safe Torque Off), Safe Stop, Safe Speed Monitoring, Safe Direction Monitoring, 비상 정지 처리(Emergency Stop Processing), 장애물 감시(Obstacle Detection Supervision), 충전 안전(Charging Safety), 보호 영역 전환(Protective Field Switching) 등이다. 각각의 기능은 독립적으로 요구되는 SIL 목표를 만족하도록 설계되고 검증된다.

하드웨어 구조(Hardware Architecture)는 SIL 달성에 큰 영향을 준다. 이중 센서(Redundant Sensor), 독립적인 처리 채널(Independent Processing Channel), 상호 검증 알고리즘(Cross-checking Algorithm), 고장 검출(Fault Detection), 자기 진단(Diagnostic Monitoring), Fail-safe 출력 구조가 모두 포함된다. 하지만 단순히 이중화만으로 SIL을 만족할 수 있는 것은 아니다. 체계적인 설계 절차(Systematic Design), 검증된 부품 사용(Qualified Component), 문서화된 개발 과정(Documented Engineering Process), 철저한 검증(Comprehensive Verification)이 함께 이루어져야 한다.

소프트웨어 개발도 매우 엄격하게 관리된다. 요구사항 정의(Requirement Specification), 소프트웨어 구조 설계(Software Architecture), 상세 설계(Detailed Design), 구현(Implementation), 코드 리뷰(Code Review), 시험(Test), 검증(Verification), 형상 관리(Configuration Management), 변경 관리(Change Control)가 모두 체계적으로 수행되어야 한다. 위험 요소(Hazard), 안전 요구사항(Safety Requirement), 소프트웨어 구현(Software Implementation), 검증 결과 사이의 추적성(Traceability)도 반드시 확보해야 한다.

IEC 62061은 진단 커버리지(Diagnostic Coverage)도 중요하게 다룬다. 센서 상태(Sensor Status), 통신 품질(Communication Quality), 프로세서 실행(Processor Execution), 메모리 무결성(Memory Integrity), 액추에이터(Actuator), 엔코더 피드백(Encoder Feedback), 전기 출력(Electrical Output)을 지속적으로 감시하여 이상을 조기에 발견한다. 이상이 발생하면 시스템은 미리 정의된 안전 상태(Safe State)로 자동 전환된다.

검증(Validation)은 단순한 기능 시험이 아니다. 통신 장애, 전원 변동(Power Variation), 환경 변화(Environmental Stress), 센서 열화(Sensor Degradation), 하드웨어 고장(Hardware Failure) 등을 의도적으로 발생시켜도 안전 기능이 정상적으로 동작하는지 확인해야 한다. 이러한 객관적인 시험 결과는 인증(Certification)의 근거가 된다.

AMR 개발에서는 IEC 62061을 적용함으로써 기능 안전을 개발 마지막 단계에서 추가하는 것이 아니라, 프로젝트 초기부터 설계 목표로 포함할 수 있다. 이는 재설계 비용을 줄이고 장기적인 제품 신뢰성을 크게 향상시킨다.

결국 IEC 62061은 위험 분석, 하드웨어와 소프트웨어의 체계적 개발, 진단 기능, 정량적 신뢰성 평가, 철저한 검증을 통해 기능 안전을 실제 산업용 AMR에 구현하기 위한 대표적인 국제 표준이라고 할 수 있다.

1.3 ISO 13849-1: 성능 수준 (ISO 13849-1: Performance Level, PL)

산업용 기계의 기능 안전은 여러 국제 표준으로 평가할 수 있다. IEC 62061이 안전 무결성 수준(Safety Integrity Level, SIL)을 사용하는 반면, ISO 13849-1은 성능 수준(Performance Level, PL)이라는 개념을 사용한다. 산업용 AMR에 사용되는 비상 정지(Emergency Stop), 안전 LiDAR(Safety Laser Scanner), 보호 도어(Protective Door), Enable 장치(Enabling Device), 브레이크(Brake), 모션 제어(Motion Control) 등 많은 안전 장치는 ISO 13849-1에 따라 인증되므로, PL 개념을 이해하는 것은 매우 중요하다.

ISO 13849-1은 특정 기술에 국한되지 않는다. 기계(Mechanical Component), 유압(Hydraulic System), 공압(Pneumatic System), 전기(Electrical Hardware), 프로그램 가능한 전자 장치(Programmable Electronics), 통합 안전 제어기(Integrated Safety Controller) 등 다양한 기술을 하나의 안전 기능(Safety Function)으로 평가한다. 즉, 센서 입력(Sensor Input), 논리 처리(Logic Processing), 액추에이터 출력(Actuator Response)까지 전체 안전 기능을 대상으로 한다.

PL은 PLa에서 PLe까지 다섯 단계로 구성된다. PLa는 가장 낮은 안전 수준이며 PLe는 가장 높은 안전 수준이다. 필요한 PL은 위험도 평가를 통해 결정된다. 부상의 심각도(Injury Severity), 위험 노출 빈도(Frequency of Exposure), 사람이 위험을 회피할 가능성(Possibility of Avoidance)을 분석하여 필요한 최소 PL을 결정한다.

PL은 여러 요소에 의해 결정된다. Category는 안전 구조의 형태를 의미하며 단일 채널(Single-channel)부터 고장 허용 구조(Fault-tolerant Redundant Architecture)까지 구분된다. MTTFd(Mean Time To Dangerous Failure)는 위험한 고장이 발생하기까지의 평균 시간을 의미한다. DC(Diagnostic Coverage)는 진단 기능이 얼마나 효과적으로 고장을 검출하는지를 나타낸다. CCF(Common Cause Failure)는 이중화된 시스템이 동일한 원인으로 동시에 고장날 가능성을 평가한다. 이러한 요소를 종합하여 최종 PL이 결정된다.

산업용 AMR에서는 대부분 PLd 또는 PLe 수준의 안전 기능이 요구된다. 안전 LiDAR는 차량 주변의 보호 영역을 지속적으로 감시하며, 비상 정지 회로는 위험 상황이 발생하면 즉시 추진 토크를 제거한다. 안전 제동(Safe Braking)은 통신 장애가 발생해도 차량이 제어 불가능한 상태로 움직이지 않도록 한다. 엔코더 감시(Encoder Monitoring)는 독립적인 위치 정보를 비교하여 이상 동작을 검출한다. 각각의 기능은 전체 시스템에서 차지하는 중요도에 따라 서로 다른 PL을 가질 수 있다.

PL 인증을 받은 안전 부품을 사용하면 시스템 설계가 쉬워진다. STO 기능이 포함된 서보 드라이브, PLd/PLe 인증을 받은 안전 제어기, 안전 LiDAR, 라이트 커튼(Light Curtain), 비상 정지 버튼을 조합하여 안전 시스템을 구성할 수 있다. 그러나 전체 시스템의 PL은 개별 부품이 아니라 전체 안전 기능(Complete Safety Function)을 기준으로 평가된다는 점이 중요하다.

검증을 위해서는 상세한 기술 문서가 필요하다. 안전 블록도(Safety Block Diagram), 신뢰성 계산(Reliability Calculation), 부품 사양(Component Specification), 진단 전략(Diagnostic Strategy), 고장 분석(Fault Analysis), 검증 절차(Validation Procedure)를 모두 문서화해야 한다. 최근에는 ISO 13849 계산을 지원하는 소프트웨어 도구를 이용하여 설계 단계에서 PL을 평가하는 경우도 많다.

유지보수(Maintenance)도 PL 유지에 중요한 요소이다. 정기 점검(Periodic Inspection), 진단 시험(Diagnostic Testing), 센서 교정(Calibration), 부품 교체 주기(Replacement Interval), 소프트웨어 관리(Software Management)를 통해 장기간 동안 동일한 안전 성능을 유지해야 한다. 또한 예지보전(Predictive Maintenance)을 활용하면 갑작스러운 고장을 줄이고 장기적인 신뢰성을 더욱 향상시킬 수 있다.

현대 산업용 AMR은 ISO 13849-1과 IEC 62061을 함께 사용하는 경우가 많다. 안전 제어기, 서보 드라이브, 안전 LiDAR와 같은 장비는 PL과 SIL 인증을 동시에 지원하는 경우가 많기 때문에 시스템 설계자는 적용 환경에 맞는 방법을 선택하여 사용할 수 있다.

결국 ISO 13849-1은 위험도 평가(Risk Assessment), 신뢰성 분석(Reliability Analysis), 안전 구조 설계(Architectural Evaluation), 진단 기능(Diagnostic Monitoring), 체계적인 검증(Systematic Validation)을 통해 산업용 기계와 AMR의 기능 안전을 구현하는 매우 실용적인 국제 표준이다. 이러한 성능 수준(Performance Level, PL) 개념을 통해 산업용 AMR은 복잡한 산업 환경에서도 국제적으로 인정받는 안전성과 신뢰성을 확보할 수 있다.

02 Safety functions

2.1 STO (Safe Torque Off)

2.2 SS1 (Safe Stop 1)

2.3 SS2 (Safe Stop 2)

2.4 SLS (Safely Limited Speed)

2.5 SBC (Safe Brake Control)

2.1 STO (안전 토크 차단, Safe Torque Off)

안전 토크 차단(Safe Torque Off, STO)은 현대 산업용 서보 드라이브(Servo Drive)와 자율주행 이동로봇(Autonomous Mobile Robot, AMR)에서 가장 기본이 되는 기능 안전(Function Safety) 기능이다. STO의 목적은 위험 상황(Hazardous Situation)이 발생했을 때 모터에서 발생하는 구동 토크(Motor Torque)를 즉시 제거하여 더 이상의 동력 구동(Powered Motion)을 방지하는 것이다. 중요한 점은 단순히 전원을 차단하는 것이 아니라, 인버터(Inverter)가 모터 권선(Motor Phase)에 전류를 공급하지 못하도록 하면서도 진단 회로(Diagnostic Electronics), 통신 네트워크(Communication Network), 안전 제어기(Safety Controller), 모니터링 기능(Monitoring Function)은 계속 동작하도록 유지한다는 것이다. 이러한 구조 덕분에 시스템은 완전히 전원을 껐다 켜지 않아도 고장 원인을 분석하고 안전하게 복구할 수 있다.

산업용 AMR에서는 비상 정지 버튼(Emergency Stop)이 눌리거나, 안전 LiDAR(Safety Laser Scanner)의 보호 영역(Protective Field)에 사람이 진입하거나, 안전 제어기와의 통신이 끊기거나, 심각한 하드웨어 이상(Hardware Fault)이 발생했을 때 STO가 활성화된다. 안전 제어기는 다양한 안전 입력(Safety Input)을 지속적으로 감시하다가 위험하다고 판단되면 모든 추진 모터(Propulsion Motor)와 조향 모터(Steering Motor)에 동시에 STO 명령을 전달한다.

STO는 단순한 전원 차단과는 구조적으로 다르다. 최신 서보 드라이브는 이중 안전 채널(Redundant Safety Channel)을 사용하여 인버터의 스위칭 소자(Power Transistor)에 전달되는 게이트 신호(Gate Signal)를 독립적으로 차단한다. 그 결과 소프트웨어 오류나 통신 이상이 발생하더라도 모터에 전류가 공급될 수 없으므로 토크가 생성되지 않는다. 이는 소프트웨어 결함으로 인해 모터가 다시 움직이는 위험을 크게 줄여준다.

4개의 스티어 드라이브(Steer Drive)를 사용하는 산업용 AMR에서는 STO가 모든 구동축에서 동시에 동작해야 한다. 예를 들어 추진 모터 4개와 조향 모터 4개를 사용하는 경우 일부 모터만 정지하고 나머지가 계속 동작하면 차량이 비정상적으로 회전하거나 제어를 잃을 수 있다. 따라서 EtherCAT 기반 FSoE(Functional Safety over EtherCAT)와 같은 분산 안전 통신을 이용하여 모든 축에서 결정론적(Deterministic)으로 STO를 동시에 실행한다.

STO는 기계식 브레이크(Mechanical Brake)와는 다르다. 모터 토크를 제거한다고 해서 차량이 즉시 정지하는 것은 아니다. 특히 1톤 이상의 중량급 AMR은 큰 관성(Inertia)을 가지고 있기 때문에 일정 거리 동안 계속 이동할 수 있다. 따라서 실제 산업용 시스템에서는 STO를 단독으로 사용하기보다는 SS1(Safe Stop 1)이나 기계식 브레이크와 함께 사용하여 먼저 감속한 후 최종적으로 토크를 제거하는 방식이 일반적이다.

STO는 IEC 61800-5-2에서 정의하는 대표적인 드라이브 통합 안전 기능(Drive-integrated Safety Function)이다. 인증을 위해서는 이중화된 하드웨어, 자기 진단(Self-diagnostics), 고장 검출(Fault Detection), 체계적인 설계(Systematic Design)가 요구된다. 현재 대부분의 산업용 서보 제조사는 STO를 기본 기능으로 제공하고 있으며, 이를 통해 시스템 통합(System Integration)이 훨씬 쉬워졌다.

또한 STO는 유지보수에도 유리하다. STO가 동작하더라도 통신과 진단 기능은 계속 유지되므로 엔지니어는 고장 로그(Fault Log), 엔코더 상태(Encoder Status), 네트워크 상태(Network Health), 배터리 상태(Battery Status)를 확인하면서 원인을 분석할 수 있다. 이는 복구 시간을 줄이고 시스템 가동률(System Availability)을 높여준다.

최근에는 사이버 보안(Cybersecurity)도 중요한 요소가 되고 있다. 외부에서 네트워크를 통해 침입하더라도 STO와 같은 안전 기능을 비활성화하거나 우회해서는 안 된다. 이를 위해 일반 제어 명령과 안전 명령은 인증된 안전 프로토콜(Certified Safety Protocol)을 통해 논리적으로 완전히 분리되어 전송된다.

STO의 검증(Validation)은 매우 중요하다. 비상 정지 버튼, 보호 영역 침입, 통신 장애, 드라이브 고장, 안전 채널 이상 등을 다양한 조건에서 시험하며, 최대 적재 하중, 다양한 노면 마찰(Floor Friction), 최고 속도, 실제 산업 환경에서도 동일한 안전 성능을 유지하는지 확인해야 한다.

결론적으로 STO는 산업용 AMR의 모든 기능 안전 구조를 구성하는 가장 기본적인 보호 기능이다. 응용 소프트웨어와 무관하게 인증된 하드웨어를 이용하여 모터 토크를 즉시 제거함으로써 사람과 로봇이 함께 작업하는 산업 환경에서도 매우 높은 수준의 안전성을 제공한다.

2.2 SS1 (안전 정지 1, Safe Stop 1)

안전 정지 1(Safe Stop 1, SS1)은 STO보다 한 단계 발전된 기능 안전 기능이다. STO가 즉시 모터 토크를 제거하는 반면, SS1은 먼저 차량을 제어된 감속(Controlled Deceleration)으로 안전하게 정지시킨 후 마지막 단계에서 STO를 수행한다. 따라서 급격한 토크 제거로 인해 발생할 수 있는 추가적인 위험을 줄일 수 있다.

중량급 AMR은 수백 kg에서 수 톤에 이르는 적재 하중을 운반하기 때문에 큰 운동 에너지(Kinetic Energy)를 가진다. 이러한 차량에서 즉시 STO만 수행하면 적재물이 흔들리거나 차량이 미끄러질 수 있으며, 드라이브트레인(Drivetrain)에 큰 기계적 충격이 발생할 수 있다. SS1은 이러한 문제를 방지하기 위해 감속을 먼저 수행한다.

SS1은 비상 정지, 보호 영역 침입, 통신 장애, 과속, 위치추정 실패 등 위험 상황이 발생하면 시작된다. 안전 제어기는 미리 정의된 감속 프로파일(Deceleration Profile)을 실행하고, 서보 드라이브는 엔코더를 이용하여 실제 감속 속도를 지속적으로 감시한다. 차량이 정상적으로 정지하면 STO를 수행하여 모터 토크를 제거한다.

만약 감속 과정에서 브레이크 이상, 드라이브 고장, 기계적 문제 등으로 정상적인 감속이 이루어지지 않으면 즉시 STO를 수행하여 가능한 최고 수준의 안전을 확보한다.

SS1에는 여러 구현 방식이 존재한다. 시간 기반(Time-monitored SS1)은 정해진 시간 안에 차량이 정지하는지 확인하며, 속도 기반(Velocity-monitored SS1)은 감속 과정 전체를 감시한다. 필요에 따라 위치(Position)까지 함께 감시하는 방식도 사용된다.

특히 자동차 부품, 반도체 웨이퍼, 의료 장비, 정밀 광학 장비와 같은 고가의 화물을 운반하는 경우 SS1은 매우 중요하다. 급정지는 제품 손상과 기계적 충격을 유발할 수 있기 때문에 부드러운 감속이 필수적이다.

SS1은 회생 제동(Regenerative Braking)과 함께 사용할 수도 있다. 감속 과정에서 모터는 발전기처럼 동작하여 운동 에너지를 배터리로 회수하거나 브레이크 저항기(Braking Resistor)를 통해 소산시킬 수 있다. 이를 통해 에너지 효율도 향상된다.

통신 신뢰성도 매우 중요하다. FSoE와 같은 안전 통신은 감속 명령, 속도 정보, 진단 데이터를 모든 드라이브에 동시에 전달하여 차량이 한쪽으로 회전하거나 불안정해지는 것을 방지한다.

또한 SS1은 기계식 브레이크와 함께 사용된다. 차량이 정지하면 스프링 방식의 브레이크(Spring-applied Brake)가 작동하여 경사면에서도 차량이 움직이지 않도록 유지한다.

검증 과정에서는 최대 적재 하중, 낮은 배터리 전압, 노면 마찰 변화, 통신 장애, 최고 속도에서의 비상 정지 등을 반복 시험하여 감속 성능이 항상 일정한지 확인한다.

결국 SS1은 안전성과 생산성을 모두 고려한 기능이다. 단순히 즉시 정지하는 것이 아니라 차량과 적재물의 안정성을 유지하면서도 최종적으로 STO를 수행하여 완전한 안전을 확보한다.

2.3 SS2 (안전 정지 2, Safe Stop 2)

안전 정지 2(Safe Stop 2, SS2)는 SS1과 비슷하게 먼저 제어된 감속을 수행하지만, 가장 큰 차이점은 차량이 정지한 이후에도 모터 제어를 계속 유지한다는 것이다. SS1은 정지 후 STO를 수행하지만, SS2는 서보 제어를 유지하여 정확한 위치(Position)를 계속 유지한다.

이 기능은 정밀 위치 유지가 필요한 작업에서 매우 중요하다. 검사 로봇, 이동형 로봇팔(Mobile Manipulator), 자동 충전(Auto Charging), 자동 적재(Automatic Loading)와 같은 작업에서는 정지한 이후에도 차량이 조금이라도 움직이면 작업 품질이 크게 저하될 수 있다.

예를 들어 고해상도 카메라, 레이저 스캐너, 구조광 센서(Structured Light Sensor)를 이용한 정밀 검사는 수 mm 수준의 위치 반복성(Position Repeatability)이 요구된다. SS2는 차량이 정지한 이후에도 서보 모터가 계속 위치를 유지하기 때문에 외부 충격이나 진동에도 검사 정확도를 유지할 수 있다.

자동 충전에서도 동일한 장점이 있다. 충전 커넥터가 연결된 상태에서 차량 위치가 조금이라도 변하면 접촉 불량이 발생할 수 있다. SS2는 충전 중에도 위치를 지속적으로 유지한다.

SS2에서는 위치 오차(Position Error), 엔코더 상태, 통신 상태를 지속적으로 감시한다. 위치가 허용 오차를 벗어나거나 통신 장애가 발생하면 상위 안전 기능이 즉시 동작한다.

많은 시스템에서는 SS2 이후 안전 운전 정지(Safe Operating Stop, SOS)를 수행한다. 차량은 정지 상태를 계속 유지하면서도 혹시라도 움직임이 발생하는지 지속적으로 감시한다.

SS2는 서보 제어를 계속 유지하므로 전력 소비는 SS1보다 약간 높다. 하지만 정밀 위치 유지가 필요한 산업에서는 이러한 전력 증가보다 위치 안정성이 훨씬 더 중요하다.

기계 구조도 중요한 영향을 미친다. 기어박스 백래시(Gearbox Backlash), 구조 변형(Mechanical Compliance), 무거운 적재물 등은 위치 유지에 영향을 줄 수 있으므로 설계 단계에서 충분히 고려해야 한다.

검증 과정에서는 다양한 적재 하중, 외부 충격, 통신 장애, 장시간 위치 유지, 전원 변동 등을 시험하여 위치 유지 성능과 안전성을 확인한다.

결론적으로 SS2는 단순히 차량을 정지시키는 기능이 아니라, 정지 후에도 정밀한 위치를 유지하여 검사, 도킹, 조작 작업의 정확성을 보장하는 고급 기능 안전 기능이다.

2.4 SLS (안전 제한 속도, Safely Limited Speed)

안전 제한 속도(Safely Limited Speed, SLS)는 차량 속도가 미리 정의된 안전 속도를 초과하지 않도록 보장하는 기능 안전 기능이다. SS1이나 STO가 위험이 발생한 후 대응하는 기능이라면, SLS는 위험이 발생하지 않도록 속도를 미리 제한하는 예방적인 기능이다.

산업 현장에서는 작업자가 가까이 있는 상태에서도 로봇이 계속 움직여야 하는 경우가 많다. 유지보수(Maintenance), 수동 적재(Manual Loading), 협동 작업(Collaborative Assembly), 검사, 티칭(Teaching), 시운전(Commissioning) 등이 대표적인 사례이다. 이러한 경우 매번 차량을 정지시키면 생산성이 크게 저하된다.

SLS는 위험도 분석을 통해 허용 가능한 최대 속도를 결정한다. 이 속도는 차량 무게, 적재 하중, 정지 거리, 작업자 밀도, 작업 환경 등을 고려하여 설정된다. 안전 제어기는 이중 엔코더(Redundant Encoder)를 이용하여 실제 속도를 지속적으로 측정하고 허용 속도를 초과하면 즉시 추가적인 안전 기능을 실행한다.

이중 엔코더는 매우 중요한 역할을 한다. 두 개의 독립적인 속도 측정 결과를 비교하여 센서 이상, 배선 이상, 신호 오류를 조기에 발견할 수 있다.

SLS는 동적 속도 제한(Dynamic Speed Limitation)도 지원한다. 넓은 통로에서는 높은 속도를 허용하지만, 좁은 통로, 교차로, 충전소, 작업자 주변에서는 자동으로 제한 속도를 낮춘다.

안전 LiDAR와 AI 인식 시스템을 함께 사용하면 작업자가 가까워질수록 차량 속도를 자동으로 줄이는 것도 가능하다. 이러한 예측 기반 속도 제어(Predictive Speed Adaptation)는 안전성과 생산성을 동시에 향상시킨다.

드라이브 제어기는 갑작스럽게 STO를 수행하는 것이 아니라 폐루프 속도 제어(Closed-loop Speed Control)를 이용하여 부드럽게 속도를 제한한다. 따라서 적재물의 흔들림과 차량 진동도 감소한다.

플릿 관리 시스템(Fleet Management System)도 특정 구역에 대해 자동으로 속도 제한을 적용할 수 있다. 예를 들어 교차로, 좁은 통로, 작업 구역에서는 모든 AMR이 자동으로 저속 운행하도록 설정할 수 있다.

검증 과정에서는 과속 상황, 엔코더 이상, 통신 장애, 적재 하중 변화, 노면 마찰 변화 등을 시험하여 실제 차량 속도가 항상 안전 기준을 만족하는지 확인한다.

결국 SLS는 생산성을 유지하면서도 작업자와 함께 안전하게 운행하기 위한 매우 중요한 기능 안전 기술이다.

2.5 SBC (안전 브레이크 제어, Safe Brake Control)

안전 브레이크 제어(Safe Brake Control, SBC)는 기계식 브레이크(Mechanical Brake)가 항상 정상적으로 동작하도록 관리하는 기능 안전 기능이다. STO가 모터 토크를 제거하는 기능이라면, SBC는 차량이 실제로 움직이지 않도록 기계식 브레이크를 안전하게 제어한다.

현대 산업용 서보 시스템은 대부분 스프링 작동·전기 해제(Spring-applied, Electrically Released) 방식의 브레이크를 사용한다. 평상시에는 전기를 공급하여 브레이크를 해제하고, 위험 상황이나 정전(Power Failure)이 발생하면 스프링 힘으로 자동으로 브레이크가 체결된다.

SBC는 이러한 브레이크 제어 순서를 관리한다. 모터가 큰 토크를 발생시키는 상태에서 브레이크를 갑자기 체결하면 기어박스나 드라이브트레인에 큰 충격이 발생할 수 있다. 반대로 토크를 먼저 제거하고 브레이크가 늦게 작동하면 차량이 미끄러질 수 있다. SBC는 추진 제어, 회생 제동, 브레이크 체결을 가장 안전한 순서로 수행한다.

1톤 이상의 중량급 AMR에서는 기계식 브레이크가 특히 중요하다. 큰 관성 때문에 STO 이후에도 차량이 계속 움직일 수 있으며, 경사면에서는 중력 때문에 차량이 다시 움직일 수도 있다. SBC는 이러한 상황에서도 차량을 안전하게 유지한다.

브레이크 상태도 지속적으로 감시한다. 브레이크 체결 시간, 해제 시간, 전류(Current), 응답 시간(Response Time), 위치 피드백(Position Feedback)을 분석하여 이상을 조기에 발견한다.

조향 모듈에도 브레이크를 적용할 수 있다. 차량이 정지한 이후 조향각이 변하지 않도록 유지하여 외부 힘에도 차량 자세를 안정적으로 유지한다.

자동 충전에서는 SBC가 매우 중요하다. 충전 중에는 충전 단자(Charging Connector)에 외력이 작용할 수 있으므로 차량이 절대로 움직여서는 안 된다. SBC는 브레이크를 유지하여 정확한 충전 위치를 보장한다.

FSoE와 같은 안전 통신은 모든 브레이크를 동시에 제어하여 차량이 한쪽으로 회전하거나 미끄러지는 것을 방지한다.

브레이크도 시간이 지나면서 마모(Wear)가 발생한다. SBC는 브레이크 작동 횟수, 응답 시간, 유지력을 지속적으로 분석하여 예지보전(Predictive Maintenance)을 지원한다. 이를 통해 갑작스러운 브레이크 고장을 예방할 수 있다.

검증에서는 최대 적재 하중, 경사면, 낮은 배터리 전압, 통신 장애, 반복 제동, 온도 변화 등을 시험하여 브레이크 성능이 항상 유지되는지 확인한다.

결론적으로 SBC는 전자적인 기능 안전을 기계적인 안전과 연결하는 핵심 기능이다. 브레이크를 안전하게 제어하고 지속적으로 감시함으로써 운행, 도킹(Docking), 충전(Charging), 유지보수(Maintenance), 협동 작업(Collaborative Operation) 등 모든 상황에서 산업용 AMR이 안정적으로 정지 상태를 유지하도록 보장한다.

03 Safety architecture design

3.1 Safety Controller Selection

3.2 Safety LiDAR SIL2 Integration

3.3 Hardware Interlock Circuit Design

3.1 안전 제어기 선정 (Safety Controller Selection)

안전 제어기(Safety Controller)는 산업용 자율주행 이동로봇(Autonomous Mobile Robot, AMR)의 기능 안전(Function Safety) 시스템에서 가장 핵심적인 의사결정 장치이다. 추진 제어기(Propulsion Controller), 모션 제어기(Motion Controller), 자율주행 컴퓨터(Navigation Computer), 인공지능 프로세서(AI Processor)가 정상적인 차량 운행을 담당하는 반면, 안전 제어기는 오직 위험 상황을 감지하고 위험을 줄이는 역할만 수행한다. 이러한 운영 제어(Operation Control)와 안전 제어(Safety Control)의 분리는 현대 기능 안전 설계의 가장 중요한 원칙 가운데 하나이다. 안전 제어기는 차량의 운행 상태나 응용 소프트웨어와 관계없이 다양한 안전 장치를 지속적으로 감시하고, 위험 상황을 판단하며, 인증된 보호 동작(Certified Protective Action)을 수행한다.

안전 제어기를 선택할 때는 단순히 CPU 성능이나 통신 속도만 비교해서는 안 된다. 가장 먼저 위험 분석(Hazard Analysis)과 위험도 평가(Risk Assessment)를 통해 필요한 기능 안전 요구사항을 정의해야 한다. 요구되는 안전 무결성 수준(Safety Integrity Level, SIL) 또는 성능 수준(Performance Level, PL), 안전 입출력(Safety I/O)의 수, 통신 인터페이스(Communication Interface), 자기 진단 기능(Diagnostic Capability), 환경 조건(Environmental Specification), 이중화 구조(Redundancy Architecture), 향후 확장성(Future Scalability) 등을 모두 고려해야 한다. 현재 프로젝트의 요구사항을 만족하면서도 향후 하드웨어와 소프트웨어 확장을 지원할 수 있는 제품을 선택하는 것이 가장 바람직하다.

산업용 AMR에는 비상 정지 버튼(Emergency Stop), 안전 LiDAR(Safety LiDAR), 범퍼 센서(Bumper Sensor), 엔코더 감시(Encoder Monitoring), 안전 도어 스위치(Safety Door Switch), 브레이크 피드백(Brake Feedback), 배터리 안전 감시(Battery Safety Monitoring), 조향 진단(Steering Diagnostics), 자동 충전 인터페이스(Charging Interface) 등 다양한 안전 장치가 연결된다. 안전 제어기는 이러한 모든 장치로부터 실시간(Real-time)으로 정보를 수집하고, 인증된 안전 로직(Safety Logic)을 이용하여 일정한 응답 시간 안에 안전 동작을 수행해야 한다. 이를 위해 최신 안전 제어기는 전용 안전 프로세서(Dedicated Safety Processor), 이중 실행 채널(Redundant Execution Channel), 자기 진단(Self-diagnostics), 인증된 실시간 운영체제(Certified Real-time Operating System)를 내장하고 있다.

최근에는 분산 제어 구조(Distributed Control Architecture)가 확대되면서 통신 기능도 매우 중요한 요소가 되었다. FSoE(Functional Safety over EtherCAT), CIP Safety, PROFIsafe와 같은 안전 통신 프로토콜을 이용하면 별도의 안전 배선을 추가하지 않고도 안전 정보를 산업용 Ethernet을 통해 전송할 수 있다. 안전 제어기는 이러한 네트워크의 중심 장치(Network Coordinator) 역할을 수행하며, 서보 드라이브(Servo Drive), 원격 안전 I/O(Remote Safety I/O), 안전 센서(Safety Sensor), 모션 제어기(Motion Controller)와 안전 데이터를 교환한다. 이러한 구조는 배선을 단순화하고 진단 기능도 크게 향상시킨다.

처리 성능(Processing Performance)도 고려 대상이지만, 안전 제어기에서는 CPU 속도보다 결정론적 실행(Deterministic Execution)과 신뢰성(Reliability)이 훨씬 중요하다. 안전 알고리즘은 AI 연산과 달리 논리 판단(Logic), 이중화 검증(Redundancy Verification), 시간 감시(Timing Supervision), 고장 감시(Fault Monitoring)를 수행하기 때문에 예측 가능한 실행 시간과 높은 진단 성능이 우선된다.

안전 제어기의 개발 환경(Development Environment)도 생산성에 큰 영향을 준다. 비상 정지, 보호 영역 전환(Protective Field Switching), STO(Safe Torque Off), SS1(Safe Stop 1), SBC(Safe Brake Control), 속도 감시(Speed Monitoring), 엔코더 감시 등의 기능을 이미 인증된 함수 블록(Certified Function Block) 형태로 제공하면 개발 기간을 크게 단축할 수 있다. 또한 그래픽 기반 프로그래밍(Graphical Programming)은 검증과 유지보수도 쉽게 만들어 준다.

최근에는 사이버 보안(Cybersecurity)도 중요한 선택 기준이다. 기업 네트워크나 클라우드와 연결되는 경우에도 안전 기능은 외부에서 변경하거나 비활성화할 수 없어야 한다. 이를 위해 안전 제어기는 Secure Boot, 인증된 펌웨어 업데이트(Authenticated Firmware Update), 접근 권한 관리(Access Control), 일반 제어와 안전 제어의 논리적 분리(Logical Separation)를 제공한다.

환경 적응성(Environmental Robustness)도 중요하다. 산업 현장의 온도(Temperature), 진동(Vibration), 전자파(EMC), 방진·방수(Ingress Protection), 장기 부품 공급(Long-term Availability)은 모두 시스템 신뢰성에 영향을 준다. 공장이나 물류센터에서 24시간 운행되는 중량급 AMR은 이러한 환경에서도 인증된 안전 성능을 유지해야 한다.

장기적인 유지보수(Lifecycle Support)도 고려해야 한다. 산업 장비는 10년 이상 사용되는 경우가 많기 때문에 장기간의 펌웨어 지원(Firmware Support), 예비 부품 공급(Spare Parts), 엔지니어링 소프트웨어 호환성, 기술 문서(Documentation), 진단 도구(Diagnostic Tool), 제조사의 기술 지원(Technical Support)이 매우 중요하다.

결론적으로 안전 제어기 선정은 단순한 하드웨어 구매가 아니라 전체 기능 안전 시스템의 기반을 결정하는 핵심 설계 과정이다. 안전 제어기는 센서, 통신, 진단, 모션 제어, 보호 동작을 하나의 인증된 안전 시스템으로 통합하며, 현재의 안전 규격뿐 아니라 미래의 산업용 AMR 플랫폼까지 지원할 수 있는 확장성과 신뢰성을 제공해야 한다.

3.2 SIL2 안전 LiDAR 통합 (Safety LiDAR SIL2 Integration)

안전 LiDAR(Safety LiDAR)는 작업자와 함께 운행하는 산업용 AMR에서 가장 중요한 센서 가운데 하나이다. 일반적인 자율주행 LiDAR가 지도 작성(Map Building)과 위치추정(Localization)을 담당하는 반면, 안전 LiDAR는 기능 안전(Function Safety)을 위한 인증된 보호 기능을 수행한다. SIL2(Safety Integrity Level 2) 인증을 받은 안전 LiDAR를 사용하면 차량은 주변 환경을 지속적으로 감시하고, 사람을 인식하며, 위험을 판단하고, 충돌이 발생하기 전에 보호 동작을 수행할 수 있다.

안전 LiDAR의 목적은 단순히 장애물을 피하는 것이 아니라 인증된 위험 감소(Certified Risk Reduction)를 수행하는 것이다. LiDAR가 측정한 모든 데이터는 차량이 계속 움직여도 안전한지를 판단하는 데 사용된다. 안전 제어기는 LiDAR로부터 전달되는 보호 영역(Protective Field) 정보를 차량 속도, 이동 방향, 적재 하중, 조향각, 운행 모드와 함께 분석하여 적절한 보호 동작을 수행한다.

일반적으로 안전 LiDAR는 여러 개의 보호 영역으로 구성된다. 가장 바깥쪽은 감시 영역(Monitoring Area)으로, 접근하는 물체를 감지하지만 차량은 계속 운행한다. 그 안쪽의 경고 영역(Warning Zone)에서는 차량이 자동으로 감속한다. 가장 안쪽의 보호 영역(Protective Field)에 사람이 들어오면 즉시 SS1(Safe Stop 1) 또는 STO(Safe Torque Off)를 수행하여 충돌을 방지한다. 이러한 보호 영역은 차량 속도와 이동 방향에 따라 자동으로 변경되는 동적 보호 영역(Dynamic Protective Field)으로 구성된다.

SIL2 인증을 유지하기 위해서는 안전 LiDAR와 안전 제어기 사이의 결정론적 통신(Deterministic Communication)이 필수적이다. FSoE와 같은 인증된 안전 통신은 메시지 무결성(Message Integrity), 시간 감시(Timing Supervision), 순서 검증(Sequence Verification), 오류 검출(Fault Detection)을 수행한다. 통신 장애나 메시지 오류가 발생하면 차량은 즉시 안전 상태(Safe State)로 전환된다.

센서 설치 위치(Sensor Placement)도 매우 중요하다. 안전 LiDAR는 차량의 진행 방향 전체를 감시해야 하며 사각지대(Blind Zone)를 최소화해야 한다. 대형 산업용 AMR은 전방, 후방, 좌우 모서리에 여러 개의 안전 LiDAR를 설치하여 거의 360도 보호(360-degree Protection)를 구현한다. 일부 영역을 서로 겹치게 배치하면 중복 감시(Redundancy) 효과도 얻을 수 있다.

산업 환경은 다양한 외부 요인으로 인해 측정이 어려울 수 있다. 먼지(Dust), 연기(Smoke), 반사체(Reflective Surface), 햇빛(Sunlight), 물방울(Water Droplet), 투명 재질(Transparent Material)은 LiDAR 측정에 영향을 줄 수 있다. 따라서 안전 LiDAR는 광학 성능(Optical Performance), 스캐너 메커니즘(Scanning Mechanism), 레이저 출력(Laser Output), 통신 상태를 지속적으로 자기 진단(Self-diagnostics)하며, 이상이 발생하면 즉시 안전 제어기에 보고한다.

안전 LiDAR는 모션 제어(Motion Control)와 연동될 때 더욱 효과적이다. 단순히 장애물을 감지하는 것이 아니라 차량 위치(Localization), 속도(Vehicle Velocity), 조향각(Steering Angle), 적재 하중(Payload Weight), 예상 이동 경로(Predicted Trajectory)를 함께 고려하면 불필요한 비상 정지를 줄이고 생산성을 높일 수 있다.

검증(Validation)은 실험실뿐 아니라 실제 산업 환경에서 수행해야 한다. 보호 영역 정확도(Field Accuracy), 정지 거리(Stopping Distance), 응답 시간(Response Time), 사람 검출 성능(Pedestrian Detection), 통신 안정성(Communication Robustness), 최대 적재 상태에서의 성능 등을 모두 시험해야 한다.

유지보수(Maintenance)도 중요하다. 광학 창(Optical Window) 청소, 기능 시험(Function Test), 보정(Calibration), 펌웨어 관리(Firmware Management), 진단 로그(Diagnostic Log)를 주기적으로 점검하여 장기간 동안 인증된 성능을 유지해야 한다. 또한 진단 데이터를 활용한 예지보전(Predictive Maintenance)도 가능하다.

결론적으로 SIL2 안전 LiDAR는 단순한 자율주행 센서가 아니라 기능 안전 시스템의 핵심 구성 요소이다. 안전 제어기와의 긴밀한 연동을 통해 작업자와 함께 안전하게 운행하면서도 높은 생산성을 유지할 수 있도록 지원한다.

3.3 하드웨어 인터록 회로 설계 (Hardware Interlock Circuit Design)

하드웨어 인터록(Hardware Interlock)은 산업용 AMR의 기능 안전에서 가장 신뢰성이 높은 보호 계층 가운데 하나이다. 소프트웨어나 AI 알고리즘에 의존하지 않고 전기 회로(Electrical Circuit)가 직접 위험 에너지를 차단하기 때문에 매우 높은 신뢰성을 제공한다. 산업용 AMR에서는 프로그래머블 안전 제어기(Programmable Safety Controller)를 보완하여 차량이 제어 불능 상태가 되는 것을 방지한다.

하드웨어 인터록의 기본 원칙은 Fail-safe이다. 전원이 끊기거나 배선이 단선되거나 커넥터가 빠지거나 회로가 고장 나더라도 시스템은 자동으로 안전 상태(Safe State)로 전환되어야 한다. 이를 위해 대부분의 안전 회로는 Normally Closed(NC) 구조를 사용한다. 정상 상태에서만 회로가 유지되며, 어느 한 부분이라도 끊어지면 즉시 위험 에너지를 차단한다.

가장 대표적인 예가 비상 정지 회로(Emergency Stop Circuit)이다. 차량 곳곳에 설치된 여러 개의 비상 정지 버튼은 이중 안전 채널(Redundant Safety Channel)로 연결되어 있으며, 어느 하나라도 눌리면 추진 모터, 조향 모터, 브레이크 제어의 Enable 신호를 즉시 차단한다. 이러한 동작은 응용 소프트웨어와 무관하게 수행되므로 메인 컴퓨터가 고장 나더라도 안전성이 유지된다.

또 다른 중요한 회로는 드라이브 Enable 회로(Drive Enable Circuit)이다. 서보 드라이브는 하드웨어 Enable 신호가 있어야만 모터 토크를 발생시킬 수 있다. 안전 릴레이(Safety Relay)나 인증된 반도체 출력(Certified Semiconductor Output)은 모든 안전 조건이 만족될 때만 Enable 신호를 제공한다. 안전 LiDAR가 사람을 감지하거나 통신 장애가 발생하거나 배터리 이상이 발생하면 Enable 신호는 즉시 제거된다.

브레이크 인터록(Brake Interlock)도 매우 중요하다. 브레이크는 추진 토크가 충분히 감소한 이후에 체결되어야 하며, 전원 장애가 발생하면 즉시 차량을 고정해야 한다. 이를 위해 브레이크 상태 피드백(Brake Feedback), 타이밍 회로(Timing Circuit), 이중 브레이크 신호를 이용하여 브레이크가 정상적으로 체결되었는지를 확인한다.

배터리 안전(Battery Safety)도 하드웨어 인터록을 사용한다. 고전류 접촉기(High-voltage Contactor), 프리차지 회로(Pre-charge Circuit), 절연 감시(Isolation Monitoring), 과전류 보호(Overcurrent Protection), 온도 감시(Temperature Monitoring), 비상 차단(Emergency Disconnect)을 이용하여 단락(Short Circuit), 과열(Thermal Event), 유지보수 시 위험 에너지를 안전하게 차단한다.

자동 충전기(Charging Station)도 인터록을 사용한다. 충전 커넥터가 연결되어 있는 동안에는 차량이 절대로 움직일 수 없도록 한다. 충전 단자 감지 스위치(Connector Detection Switch), 충전 접점 피드백(Contact Feedback), 절연 감시, 전력 릴레이를 이용하여 충전이 종료되고 커넥터가 분리된 것이 확인된 이후에만 차량 운행을 허용한다. 이러한 인터록은 자동 적재 장치, 로봇팔, 리프트 시스템에도 동일하게 적용된다.

이중화(Redundancy)는 인터록의 신뢰성을 크게 높여준다. 두 개의 독립적인 회로가 동시에 안전 신호를 감시하고, 안전 릴레이는 시간 관계(Timing Relationship), 접점 상태(Contact Integrity), 단락(Short Circuit), 교차 고장(Cross Fault)을 지속적으로 확인한다. 이러한 구조는 국제 기능 안전 규격에서 요구하는 높은 진단 커버리지(Diagnostic Coverage)를 만족시킨다.

산업 현장은 강한 전자파(EMI)가 존재하기 때문에 전자파 적합성(Electromagnetic Compatibility, EMC)도 반드시 고려해야 한다. 대형 모터, 인버터, 용접 장비, 무선 송신기 등이 발생시키는 노이즈를 줄이기 위해 차폐 케이블(Shielded Cable), 절연(Galvanic Isolation), 서지 보호(Surge Protection), 접지(Grounding), 적절한 배선 설계를 적용한다.

검증 과정에서는 회로 단선(Open Circuit), 단락(Short Circuit), 전원 차단(Power Interruption), 릴레이 수명(Relay Endurance), 커넥터 이상(Connector Failure), 환경 시험(Environmental Stress Test) 등을 수행하여 어떤 상황에서도 차량이 항상 안전 상태로 전환되는지 확인한다.

결론적으로 하드웨어 인터록 회로는 산업용 AMR에서 가장 마지막 독립 보호 계층(Final Independent Protection Layer)이다. 소프트웨어에 의존하지 않고 위험 에너지를 직접 차단함으로써 기능 안전 시스템의 신뢰성을 높이고, 안전 제어기와 함께 다중 보호 계층(Multi-layer Safety Architecture)을 구성하여 현대 산업 환경에서 요구되는 높은 수준의 안전성을 실현한다.

04 Risk assessment

4.1 Risk Assessment Process According to ISO 12100

4.2 Hazard Scenario List for a One-Ton-Class AMR

4.3 Charging Station Safety Design

4.1 ISO 12100 기반 위험도 평가 절차 (Risk Assessment Process According to ISO 12100)

위험도 평가(Risk Assessment)는 모든 산업용 기계 안전(Machine Safety)의 출발점이며, 산업용 자율주행 이동로봇(Autonomous Mobile Robot, AMR)을 안전하게 설계하기 위한 가장 기본적인 과정이다. 기계 구조와 전기 시스템을 모두 설계한 이후에 안전 장치를 추가하는 방식이 아니라, 제품 개발 초기부터 안전을 함께 고려하는 것이 ISO 12100의 핵심 철학이다. 특히 산업용 AMR은 작업자와 동일한 공간에서 자율적으로 이동하기 때문에 기계적 위험뿐 아니라 자율주행 알고리즘, 센서 성능, 소프트웨어, 통신, 환경 변화까지 모두 위험 요소로 고려해야 한다.

ISO 12100은 먼저 기계의 사용 목적(Intended Use)을 명확히 정의하는 것부터 시작한다. 1톤급 산업용 AMR이라면 공장 내부, 물류 창고, 생산 라인, 자동 충전 구역, 유지보수 공간, 작업자가 이동하는 통로 등을 포함한 실제 운용 환경을 먼저 정의해야 한다. 차량의 최고 속도(Maximum Speed), 적재 하중(Payload Capacity), 회전 반경(Turning Radius), 배터리 시스템(Battery System), 조향 구조(Steering Architecture), 자율주행 방식(Navigation Technology)도 함께 문서화한다. 또한 정상 운전뿐 아니라 수동 운전(Manual Mode), 티칭(Teaching), 자동 충전(Auto Charging), 도킹(Docking), 유지보수(Maintenance), 비상 복구(Emergency Recovery)와 같은 다양한 운용 모드(Operation Mode)를 정의해야 한다. 사용자가 의도하지 않은 방식으로 사용할 가능성(Reasonably Foreseeable Misuse)도 반드시 고려해야 한다.

사용 범위가 정의되면 위험 요소 식별(Hazard Identification)을 수행한다. 차량 운송(Transportation), 설치(Installation), 시운전(Commissioning), 교정(Calibration), 정상 운전(Normal Operation), 충전(Charging), 소프트웨어 업데이트(Software Update), 유지보수(Maintenance), 고장 진단(Troubleshooting), 폐기(Decommissioning)까지 제품의 전체 생애주기(Product Lifecycle)를 대상으로 위험 요소를 분석한다. 기계적 위험(Mechanical Hazard)으로는 충돌(Collision), 끼임(Crushing), 절단(Shearing), 협착(Trapping), 적재물 낙하(Falling Load)가 있으며, 전기적 위험(Electrical Hazard)으로는 배터리 이상(Battery Fault), 절연 파괴(Insulation Failure), 과전류(Overcurrent), 단락(Short Circuit), 열폭주(Thermal Runaway)가 있다. 이 외에도 소프트웨어 오류(Software Malfunction), 위치추정 오류(Localization Error), 통신 장애(Communication Failure), 장애물 인식 오류(Obstacle Detection Failure), 환경 변화(Environmental Change), 사이버 공격(Cybersecurity Attack), 작업자의 실수(Human Error)도 모두 위험 요소에 포함된다.

식별된 각각의 위험은 위험도 추정(Risk Estimation)을 통해 평가된다. ISO 12100에서는 일반적으로 세 가지 요소를 고려한다. 첫 번째는 사고 발생 시 부상의 심각도(Severity of Injury), 두 번째는 사람이 위험에 노출되는 빈도(Frequency and Duration of Exposure), 세 번째는 위험 상황을 사람이 회피할 가능성(Possibility of Avoidance)이다. 이러한 요소를 종합하여 위험 수준을 계산하고 우선순위를 결정한다. 부상이 심각하고, 노출 빈도가 높으며, 회피가 어려운 위험일수록 더 강력한 보호 대책이 필요하다.

위험 감소(Risk Reduction)는 일정한 우선순위를 따른다. 가장 먼저 적용해야 하는 것은 본질적 안전 설계(Inherently Safe Design)이다. 예를 들어 최고 속도를 낮추거나, 무게 중심(Center of Gravity)을 낮추고, 구조 안정성을 높이며, 배터리 전압을 안전한 수준으로 선택하거나, 차량 외곽을 둥글게 설계하여 충돌 위험을 줄이는 것이 이에 해당한다. 이러한 방법으로 위험을 완전히 제거할 수 없다면 안전 LiDAR(Safety LiDAR), 비상 정지(Emergency Stop), 보호 영역 감시(Protective Field Monitoring), 기능 안전 제어기(Function Safety Controller), 하드웨어 인터록(Hardware Interlock), 이중 통신(Redundant Communication)과 같은 보호 장치를 추가한다. 마지막 단계에서는 작업자 교육(Operator Training), 유지보수 절차(Maintenance Procedure), 경고 라벨(Warning Label), 사용자 매뉴얼(Operating Manual)과 같은 관리적 대책(Administrative Control)을 적용한다.

위험 감소가 완료되면 검증 및 확인(Verification and Validation)을 수행한다. 적용된 모든 안전 기능은 실제 산업 환경에서 효과가 있는지 입증되어야 한다. 기능 시험(Function Test), 고장 주입(Fault Injection), 비상 정지 시험(Emergency Stop Test), 보호 영역 검증(Protective Field Verification), 자동 충전 안전 시험(Charging Safety Test), 통신 장애 시뮬레이션(Communication Failure Simulation), 장시간 운전 시험(Long-duration Operation Test)을 수행하여 잔여 위험(Residual Risk)이 허용 가능한 수준인지 확인한다. 이러한 문서는 국제 안전 규격 인증과 향후 유지보수에도 중요한 자료가 된다.

위험도 평가는 한 번만 수행하는 작업이 아니다. 산업용 AMR은 소프트웨어 업데이트, 하드웨어 변경, 새로운 적재물, 운용 환경 변화가 지속적으로 발생하기 때문에 제품이 변경될 때마다 위험도 평가도 함께 갱신되어야 한다. 이를 통해 안전 시스템도 제품의 발전과 함께 지속적으로 개선된다.

결국 ISO 12100은 위험이 발생한 이후 대응하는 방식이 아니라, 설계 초기부터 위험을 체계적으로 제거하고 지속적으로 검증하는 예방 중심(Proactive)의 안전 설계 방법론이다. 이를 통해 산업용 AMR은 작업자와 함께 안전하게 운용되면서도 높은 생산성과 장기적인 신뢰성을 확보할 수 있다.

4.2 1톤급 AMR 위험 시나리오 목록 (Hazard Scenario List for a One-Ton-Class AMR)

1톤급 산업용 AMR은 소형 서비스 로봇보다 훨씬 큰 질량(Mass), 운동 에너지(Kinetic Energy), 제동 거리(Stopping Distance), 적재 하중(Payload)을 가지므로 사고가 발생할 경우 위험성이 크게 증가한다. 따라서 위험도 평가는 단순히 개별 부품의 고장을 분석하는 것이 아니라 기계 시스템, 전기 시스템, 소프트웨어, 센서, 통신, 작업자, 주변 환경이 서로 상호작용하는 다양한 시나리오를 체계적으로 분석해야 한다.

가장 중요한 위험 시나리오는 작업자와의 충돌(Collision with Pedestrians)이다. 작업자는 자재를 운반하거나 카트를 밀거나 지게차를 운전하면서 갑자기 AMR의 이동 경로에 진입할 수 있다. 교차로, 사각지대, 생산 셀에서는 시야 확보가 어렵기 때문에 충돌 위험은 더욱 커진다. 이러한 위험을 줄이기 위해 안전 LiDAR, 동적 보호 영역(Dynamic Protective Field), 속도 제한(Speed Limitation), 비상 정지(Emergency Stop), 교통 관리(Traffic Management)를 함께 적용한다.

두 번째 중요한 시나리오는 차량 간 충돌(Vehicle-to-Vehicle Collision)이다. 공장에서는 여러 대의 AMR뿐 아니라 지게차(Forklift), AGV(Automated Guided Vehicle), 이동형 로봇(Mobile Manipulator)이 함께 운행된다. 통신 장애, 위치추정 오류, 스케줄 충돌 등이 발생하면 교차로에서 충돌하거나 교통 정체가 발생할 수 있다. 이를 방지하기 위해 플릿 관리 시스템(Fleet Management System), 우선순위 제어(Priority Rule), 가상 교통 제어(Virtual Traffic Control), 이중 위치추정(Redundant Localization)을 적용한다.

세 번째는 적재물 관련 위험(Payload-related Hazard)이다. 적재물이 제대로 고정되지 않으면 가속, 감속, 회전 중에 위치가 이동하여 차량의 무게 중심이 변하고 전복(Rollover) 위험이 증가한다. 적재물이 너무 높으면 센서를 가리거나 차량 안정성을 저하시킬 수도 있다. 적재 하중 감시(Payload Monitoring), 안정성 분석(Stability Analysis), 중량 확인(Weight Verification), 가속도 제한(Acceleration Limitation)을 통해 이러한 위험을 줄인다.

자동 충전(Auto Charging)은 기계적 위험과 전기적 위험이 동시에 존재한다. 대전류 충전 커넥터(High-current Charging Connector), 배터리 과열(Battery Thermal Event), 손상된 케이블(Damaged Cable), 습기(Moisture), 커넥터 오염(Connector Contamination), 도킹 불량(Docking Misalignment)은 화재(Fire), 감전(Electrical Shock), 장비 손상을 유발할 수 있다. 이를 방지하기 위해 충전소는 기계식 가이드(Mechanical Guide), 커넥터 확인(Connector Verification), 절연 감시(Insulation Monitoring), 배터리 통신(Battery Communication), 비상 차단(Emergency Disconnect), 충전 인터록(Charging Interlock)을 적용한다.

배터리 이상(Battery Failure)도 매우 중요한 위험이다. 열폭주(Thermal Runaway), 과충전(Overcharging), 과방전(Over-discharge), 내부 단락(Internal Short Circuit), 냉각 실패(Cooling Failure), 셀 불균형(Cell Imbalance)은 모두 위험한 상황을 초래할 수 있다. 배터리 관리 시스템(Battery Management System, BMS)은 전압, 전류, 온도, 절연 저항, 충전 상태(State of Charge, SoC)를 지속적으로 감시하며 위험이 발생하면 즉시 전원을 차단한다.

자율주행 오류(Navigation Failure)도 위험 요소이다. 센서 성능 저하(Sensor Degradation), 위치추정 실패(Localization Loss), 반사체(Reflective Surface), 환경 변화(Environmental Change), 바닥 마커 손상(Damaged Floor Marker), 무선 통신 장애(Wireless Communication Failure), 소프트웨어 오류는 차량의 위치 정확도를 떨어뜨릴 수 있다. 위치 신뢰도(Localization Confidence)가 일정 수준 이하로 떨어지면 차량은 자동으로 감속하거나 정지해야 한다.

기계적 고장(Mechanical Failure)도 고려해야 한다. 조향 액추에이터(Steering Actuator), 브레이크, 바퀴, 서스펜션(Suspension), 기어박스(Gearbox), 엔코더(Encoder), 프레임 피로(Structural Fatigue)가 대표적인 사례이다. 이러한 문제는 예지보전(Predictive Maintenance)과 지속적인 진단(Diagnostic Monitoring)을 통해 조기에 발견해야 한다.

작업자의 실수(Human Operational Error)도 완전히 제거할 수는 없다. 잘못된 유지보수, 안전 장치 우회(Bypass), 설정 변경(Configuration Modification), 운영자 교육 부족은 시스템 안전성을 크게 저하시킬 수 있다. 접근 권한 관리(Access Control), 형상 관리(Configuration Management), 유지보수 절차, 작업자 교육, 감사 로그(Audit Log)를 통해 이러한 위험을 줄일 수 있다.

환경 위험(Environmental Hazard)도 존재한다. 미끄러운 바닥(Slippery Floor), 울퉁불퉁한 노면(Uneven Surface), 조명 부족(Poor Lighting), 전자파 간섭(Electromagnetic Interference), 먼지(Dust), 연기(Smoke), 물(Water), 진동(Vibration), 극한 온도(Extreme Temperature)는 센서 성능과 제동 거리, 통신 품질에 영향을 준다. 따라서 다양한 환경 시험(Environmental Test)을 수행하여 시스템의 강건성(Robustness)을 확보해야 한다.

이러한 위험 시나리오는 기능 안전 설계의 기본 입력 자료가 된다. 각 시나리오는 STO(Safe Torque Off), SS1(Safe Stop 1), 안전 LiDAR, SBC(Safe Brake Control), 하드웨어 인터록(Hardware Interlock), 배터리 보호(Battery Protection), 통신 감시(Communication Supervision), 비상 복구(Emergency Recovery)와 연결되어 적절한 보호 기능이 설계된다.

결국 위험 시나리오 분석은 실제 산업 현장에서 발생할 수 있는 위험을 미리 예측하고 제거하기 위한 핵심 과정이며, 국제 기능 안전 규격을 만족하는 산업용 1톤급 AMR 개발의 기반이 된다.

4.3 충전 스테이션 안전 설계 (Charging Station Safety Design)

자동 충전 스테이션(Auto Charging Station)은 산업용 AMR에서 가장 안전이 중요한 구성 요소 가운데 하나이다. 충전 과정에서는 대전력(High Electrical Power), 자율주행 도킹(Autonomous Docking), 기계적 접촉(Mechanical Contact), 배터리 관리(Battery Management), 작업자 접근(Human Interaction)이 동시에 발생하기 때문이다. 따라서 충전 스테이션은 단순히 충전 효율만이 아니라 기능 안전(Function Safety), 전기 안전(Electrical Safety), 기계적 신뢰성(Mechanical Reliability), 유지보수성(Maintainability)을 모두 고려하여 설계되어야 한다. 특히 1톤급 AMR은 배터리 용량과 충전 전류가 매우 크므로 안전 설계가 더욱 중요하다.

안전 설계는 기계식 도킹(Mechanical Docking)에서 시작된다. 충전 스테이션에는 V형 가이드(V-shaped Guide), 테이퍼 가이드(Tapered Guide Rail), 센터링 콘(Centering Cone), 깔때기 구조(Funnel-shaped Guide)와 같은 수동 정렬 장치(Passive Alignment Mechanism)를 적용하여 차량의 작은 위치 오차를 자동으로 보정한다. 이러한 구조는 충전 커넥터의 기계적 충격을 줄이고 수명을 연장한다. 또한 LiDAR, 카메라, 근접 센서(Proximity Sensor), 접촉 스위치(Contact Detection Switch)를 이용하여 도킹 위치를 최종 확인한 후에만 전기 연결을 허용한다.

전기 안전(Electrical Safety)은 여러 단계의 보호 구조를 가진다. 배터리 관리 시스템(BMS)은 CAN 또는 RS-485 통신을 통해 충전기와 지속적으로 정보를 교환한다. 배터리 전압(Battery Voltage), 충전 전류(Current Limit), 온도(Temperature), 충전 상태(State of Charge, SoC), 배터리 건강 상태(State of Health, SoH), 충전 허가(Charging Permission)를 확인한 이후에만 충전을 시작한다.

프리차지 회로(Pre-charge Circuit)는 매우 중요한 역할을 한다. 메인 접촉기(Main Contactor)를 바로 연결하면 큰 돌입 전류(Inrush Current)가 발생하여 커넥터와 전력 회로를 손상시킬 수 있다. 프리차지 저항(Pre-charge Resistor)을 통해 커패시터(Capacitor)의 전압을 먼저 천천히 맞춘 후 전압이 안정되면 메인 접촉기를 연결한다. 이를 통해 스파크(Electrical Arcing)와 부품 손상을 방지할 수 있다.

충전 스테이션은 다양한 하드웨어 인터록(Hardware Interlock)을 포함해야 한다. 충전 커넥터가 연결된 동안에는 차량이 절대로 움직일 수 없어야 한다. 도킹이 정상적으로 완료되지 않으면 충전이 시작되어서는 안 되며, 충전 전류가 흐르는 동안에는 커넥터를 분리할 수 없어야 한다. 비상 정지(Emergency Stop)가 눌리면 충전 전원은 즉시 차단되고 안전한 절연 상태(Safe Electrical Isolation)가 유지되어야 한다. 접촉기 피드백(Contactor Feedback)은 접촉기가 실제로 정상적으로 동작했는지를 지속적으로 확인한다.

화재 예방(Fire Prevention)도 매우 중요하다. 배터리 팩(Battery Pack), 충전 커넥터, 전력 회로(Power Electronics), 충전 케이블에는 온도 센서를 설치하여 지속적으로 발열을 감시한다. 이상 온도가 감지되면 충전 전류를 자동으로 줄이거나 충전을 즉시 중단한다. 여러 대의 AMR을 동시에 충전하는 시설에서는 연기 감지기(Smoke Detector), 열화상 카메라(Thermal Camera), 자동 소화 시스템(Fire Suppression System)도 함께 설치할 수 있다.

절연 감시(Insulation Monitoring)와 누설 전류 감시(Residual Current Monitoring)는 감전 사고를 예방한다. 절연 저항을 지속적으로 측정하여 케이블 손상, 습기 유입, 커넥터 오염, 누설 전류를 조기에 발견하고 위험이 발생하기 전에 충전을 중단한다.

통신 신뢰성도 매우 중요하다. 배터리와의 통신이 끊기거나 SoC 정보가 이상하거나 전압 정보가 비정상적이면 충전은 즉시 중단되어야 한다. 배터리 상태를 정확하게 알 수 없는 상황에서는 절대로 충전을 계속해서는 안 된다.

기능 안전 검증(Function Safety Validation)에서는 반복적인 도킹 시험, 커넥터 내구 시험, 통신 장애 시험, 비상 정지 시험, 절연 이상 시험, 과열 시험, 배터리 이상 시뮬레이션, 정전 후 복구 시험 등을 수행한다. 이를 통해 실제 산업 환경에서도 장기간 안정적으로 운용될 수 있음을 입증해야 한다.

향후에는 무선 충전(Wireless Charging)도 적용될 수 있다. 무선 충전은 기계식 접점이 없어 유지보수가 쉬우며 접점 마모가 발생하지 않는 장점이 있다. 그러나 이물질 검출(Foreign Object Detection), 전자기장 관리(Electromagnetic Field Management), 열관리(Thermal Supervision), 정렬 정확도(Alignment Verification), 충전 효율(Charging Efficiency)과 같은 새로운 안전 문제가 발생한다. 따라서 현재는 접촉식 충전(Contact Charging)을 적용하고, 이후 기술이 충분히 성숙하면 무선 충전으로 단계적으로 전환하는 전략이 가장 현실적인 접근 방법이다.

결국 충전 스테이션 안전 설계는 기계식 가이드(Mechanical Guidance), 전기 보호(Electrical Protection), 배터리 통신(Battery Communication), 기능 안전(Function Safety), 하드웨어 인터록(Hardware Interlock), 열관리(Thermal Monitoring), 진단 기능(Diagnostic Function)을 모두 통합한 종합적인 안전 시스템이다. 이러한 체계적인 설계를 통해 산업용 AMR은 장기간 안정적으로 자동 충전을 수행하면서도 높은 안전성과 운용 효율을 동시에 확보할 수 있다.

05 Certification process

5.1 CE Certification Procedure in Europe

5.2 KC Certification Procedure in Korea

5.3 Third-Party TÜV Certification Strategy

5.1 유럽 CE 인증 절차 (CE Certification Procedure in Europe)

CE 인증(CE Certification)은 유럽 시장에 산업용 자율주행 이동로봇(Autonomous Mobile Robot, AMR)을 판매하기 위한 가장 중요한 규제 절차 가운데 하나이다. CE 마킹(CE Marking)은 단순한 품질 인증이 아니라, 제조사가 해당 제품이 유럽연합(European Union, EU)의 안전(Safety), 건강(Health), 환경(Environment), 전자파 적합성(Electromagnetic Compatibility, EMC) 관련 법규를 만족한다고 확인했음을 의미한다. 1톤급 산업용 AMR처럼 작업자와 같은 공간에서 운행하는 장비에서는 CE 인증이 유럽경제지역(European Economic Area, EEA) 내 판매 허가의 의미를 가지며, 동시에 위험을 허용 가능한 수준까지 줄이기 위한 체계적인 엔지니어링 절차를 수행했음을 보여준다.

CE 인증은 먼저 적용되는 유럽 지침(Directive)과 규정(Regulation)을 식별하는 것에서 시작된다. 산업용 AMR의 최종 구성에 따라 기계류 규정(Machinery Regulation), 전자파 적합성 지침(Electromagnetic Compatibility Directive), 무선 장비 지침(Radio Equipment Directive), 저전압 지침(Low Voltage Directive), 배터리 규정(Battery Regulation) 등이 적용될 수 있다. 어떤 법규가 적용되는지를 정확히 판단해야 이후의 설계 검증, 시험, 문서화, 적합성 평가(Conformity Assessment)가 올바르게 진행될 수 있다.

이후 엔지니어는 ISO 12100에 따라 포괄적인 위험도 평가(Risk Assessment)를 수행한다. 차량 이동, 전기 시스템, 배터리, 소프트웨어, 자율주행, 작업자와의 상호작용, 자동 충전, 유지보수, 예측 가능한 오사용(Foreseeable Misuse)과 관련된 모든 위험을 체계적으로 분석한다. 이 결과를 바탕으로 안전 LiDAR(Safety LiDAR), 비상 정지(Emergency Stop), STO(Safe Torque Off), 하드웨어 인터록(Hardware Interlock), 이중 통신(Redundant Communication), 인증된 안전 제어기(Certified Safety Controller)와 같은 보호 기능을 정의한다.

유럽 조화 표준(Harmonized Standard)을 적용하면 적합성 평가가 훨씬 수월해진다. 산업용 AMR에서는 ISO 3691-4, IEC 62061, ISO 13849-1, IEC 60204-1, IEC 61496 등이 주요 참고 표준이 된다. 조화 표준 사용이 항상 의무는 아니지만, 이를 따를 경우 규정 적합성(Presumption of Conformity)을 입증하기가 훨씬 쉽다.

설계 이후에는 시제품 검증(Prototype Verification)을 수행한다. 기능 시험(Function Test), EMC 시험, 환경 시험(Environmental Test), 진동 시험(Vibration Test), 배터리 안전 시험(Battery Safety Test), 제동 성능 시험(Braking Performance Test), 비상 정지 검증(Emergency Stop Validation), 위치 정밀도 시험(Navigation Accuracy Test), 충전 안전 시험(Charging Safety Test), 장시간 내구 시험(Endurance Test)을 통해 안전 아키텍처가 실제 조건에서 정상적으로 동작하는지 확인한다. 문제가 발견되면 적합성 평가를 계속하기 전에 설계를 수정해야 한다.

CE 인증에서 가장 중요한 산출물은 기술 문서(Technical Documentation)이다. 여기에는 시스템 아키텍처(System Architecture), 기계 도면(Mechanical Drawing), 전기 회로도(Electrical Schematic), 소프트웨어 구조(Software Architecture), 부품 목록(Bill of Materials), 위험도 평가 보고서, 검증 기록(Verification Record), 기능 안전 분석(Function Safety Analysis), 시험 결과(Test Result), 유지보수 절차, 사용자 매뉴얼(User Manual), 공급업체 인증서(Supplier Certificate), 추적성 정보(Traceability Information)가 포함된다. 이 문서는 제품 출시 이후에도 장기간 보관되어야 하며, 규제 기관이 요구할 경우 제시할 수 있어야 한다.

검증이 완료되면 제조사는 EU 적합성 선언서(EU Declaration of Conformity)를 작성한다. 이 문서에는 제품 정보, 적용 지침, 적용 표준, 제조사 정보, 필요 시 유럽 내 대리인(Authorized Representative), 책임 기술자가 명시된다. 이 선언서에 서명함으로써 제조사는 해당 제품의 법규 준수 책임을 공식적으로 부담한다.

이후 제품에는 CE 마크, 제품 식별 정보(Product Identification), 일련번호(Serial Number), 제조사 정보, 경고 표시(Warning Marking)를 부착한다. 그러나 CE 인증은 제품 출하 후 끝나는 것이 아니다. 제조사는 형상 관리(Configuration Management), 설계 변경 관리(Engineering Change), 현장 안전 사고 조사, 기술 문서 업데이트, 안전 관련 소프트웨어 업데이트 검증을 지속적으로 수행해야 한다.

최근에는 사이버 보안(Cybersecurity)도 CE 인증에서 점점 더 중요해지고 있다. 안전 기능을 포함한 소프트웨어 업데이트, 접근 권한 관리(Access Control), 통신 무결성(Communication Integrity), 설정 보호(Configuration Protection), 소프트웨어 생애주기 관리(Software Lifecycle Management)가 전통적인 기계 안전과 함께 검토된다.

결국 CE 인증은 단순한 규제 절차가 아니라 산업용 AMR의 안전성, 신뢰성, 법적 적합성을 제품 생애주기 전체에서 입증하는 종합적인 엔지니어링 프로세스이다.

5.2 한국 KC 인증 절차 (KC Certification Procedure in Korea)

KC 인증(KC Certification)은 대한민국에서 산업용 장비를 판매하거나 운용하기 위해 필요한 대표적인 국가 적합성 평가 체계이다. 유럽 CE와 유사하게 KC 인증은 산업용 자율주행 이동로봇(AMR)이 전기 안전(Electrical Safety), 전자파 적합성(EMC), 무선 통신(Radio Communication), 배터리 시스템(Battery System), 기계 안전(Machinery Safety), 작업자 보호(Human Protection)와 관련된 국내 요구사항을 만족하는지 확인한다. 국제 표준과 공통되는 엔지니어링 원칙이 많지만, 한국 내 인증 절차와 문서 요구사항을 정확히 이해하는 것이 중요하다.

KC 인증은 먼저 제품의 규제 분류(Regulatory Classification)를 확인하는 것에서 시작된다. 산업용 AMR은 전력 시스템, 무선 통신 장치, 산업용 제어기, 배터리, 충전기, 센서, 자율주행 컴퓨터가 결합된 복합 장비이다. 각 하위 시스템은 서로 다른 국내 기술 기준과 인증 대상이 될 수 있으므로, 개발 초기 단계에서 인증 범위를 명확히 해야 불필요한 재설계를 줄일 수 있다.

전기 안전 검증(Electrical Safety Verification)은 KC 인증의 주요 항목이다. 절연 설계(Insulation Design), 보호 접지(Protective Grounding), 과전류 보호(Overcurrent Protection), 비상 차단(Emergency Disconnect), 배터리 보호 회로(Battery Protection Circuit), 열관리(Thermal Management), 케이블 배선(Cable Routing), 외함 보호(Enclosure Integrity), 전기 고장 허용성(Electrical Fault Tolerance)을 평가한다. 1톤급 AMR에서는 배터리 에너지와 충전 전류가 크기 때문에 충전 시스템, 고전류 커넥터, DC 전력 분배, 절연 감시가 특히 중요하다.

전자파 적합성(Electromagnetic Compatibility, EMC) 시험도 핵심이다. 산업 현장에는 인버터, 용접 장비, 무선 통신 장치, 대전력 스위칭 장치 등 강한 전자파 간섭원이 존재한다. AMR은 자체 방출(Emission)이 기준 이하여야 하며, 외부 전자파에 노출되어도 자율주행, 통신, 안전 감시, 기능 안전이 안정적으로 유지되어야 한다.

AMR에 포함된 무선 통신 장치는 국내 전파 규정에 따라 적합성 평가가 필요할 수 있다. Wi-Fi, Bluetooth, LTE, 5G, 산업용 무선망(Industrial Wireless Network), GNSS 수신기 등은 주파수 대역, 송신 출력, 사용 목적에 따라 별도 검토가 필요하다. 무선 인증은 국내 주파수 관리 정책과의 적합성을 보장하고 다른 통신 시스템과의 간섭을 줄이기 위한 절차이다.

국내 산업 자동화에서도 기능 안전(Function Safety)의 중요성은 계속 증가하고 있다. KC 인증 자체가 모든 기능 안전을 직접 인증하지는 않더라도, 제조사는 ISO 3691-4, IEC 62061, ISO 13849-1을 설계 기준으로 함께 적용하는 것이 바람직하다. 위험도 평가(Risk Assessment), 인증된 안전 기능, 비상 정지 검증, 안전 아키텍처 문서화는 국내 인증뿐 아니라 해외 인증 준비에도 큰 도움이 된다.

개발 과정에서는 포괄적인 기...