STATERA Library · Series 02 · Volume 02 · Chapter 12 · KR
Source: https://github.com/Statera-Library/02_Vol_02_AMR_Mechanical_and_Electrical_Engineering/blob/main/12_Emergency_Stop_and_Safety_Circuit/12_Emergency_Stop_and_Safety_Circuit_KR.md

Volume 02. AMR Mechanical and Electrical Engineering

Contents {#contents .TOC-Heading}

[Chapter 00 Introduction 1](#_Toc232583413)

Chapter 12 Emergency Stop and Safety Circuit

12.01 E Stop System Architecture

An emergency stop system is a dedicated safety function designed to bring an autonomous mobile robot into a safe condition when continued operation could create unacceptable risk. It must act independently from ordinary mission control, navigation, artificial intelligence, and fleet software because those systems may be unavailable, delayed, corrupted, or responsible for the hazardous behavior. The architecture therefore begins with a clear safety objective: when an emergency stop is activated, hazardous motion and energy must be removed or controlled quickly enough to protect people, equipment, payloads, and the surrounding environment.

The emergency stop function should not be confused with a normal stop command. A normal stop may be generated by navigation software, an operator interface, or a fleet manager and may use controlled deceleration while maintaining full system operation. An emergency stop is intended for urgent situations and must rely on a verified safety path. It should not depend on cloud connectivity, high-level operating systems, non-safety communication networks, or complex software behavior. Its response must remain predictable even when the main computer has crashed or communication has been lost.

The architecture starts with hazard analysis and risk assessment. Engineers must identify dangerous robot motions, stored energy, moving mechanisms, lifting devices, manipulators, payload transfer systems, rotating tools, and external equipment controlled by the robot. The required emergency response depends on the severity of possible harm, the speed at which the hazard develops, the probability of exposure, and the ability of people to avoid it. This analysis determines the required stopping behavior, safety integrity, redundancy, diagnostic coverage, and acceptable response time.

Emergency stop devices must be physically accessible to people who may encounter the robot. Large red mushroom-head buttons with yellow backgrounds are commonly used because they are easy to recognize and operate under stress. Buttons may be installed on multiple sides of the robot so that a person does not need to approach a moving hazard from a dangerous direction. Additional emergency stop devices may be located at charging stations, operator panels, work cells, loading areas, remote control stations, or fixed infrastructure along robot routes.

Button placement should account for robot size, operating orientation, payload configuration, and expected human position. A button hidden behind a payload or positioned too low may be difficult to reach. Outdoor robots may require protected but accessible devices that tolerate rain, dust, ice, vibration, and accidental impact. The actuator must remain identifiable in poor lighting and should not be easily confused with normal controls. Mechanical guards may prevent accidental operation, but they must not delay intentional activation during an emergency.

Emergency stop devices generally use direct-opening normally closed contacts. In the healthy state, electrical current flows through the safety loop. Pressing the button mechanically forces the contacts open, interrupting the circuit. This normally closed arrangement supports fail-safe behavior because a broken wire, disconnected connector, or loss of supply can be detected as a stop condition. Direct-opening contact construction improves confidence that welded or stuck contacts will be physically separated when the button is activated.

A single contact channel may provide basic interruption, but higher-risk applications generally require dual-channel architecture. Two independent contact paths are routed through separate safety inputs and monitored for agreement. If one channel opens while the other remains closed, the safety controller detects a discrepancy and prevents automatic restart. Dual-channel design reduces the chance that a single wiring fault, welded contact, short circuit, or component failure will defeat the emergency stop function.

The two channels should be separated enough to avoid common-cause failure. They may use different terminals, independent conductors, separate connector pins, and monitored test pulses. Routing both channels through the same damaged cable without short-circuit detection may create a false healthy state. Safety input modules therefore inject controlled signals and evaluate timing, continuity, and cross-fault behavior. The purpose is not only to detect whether a button has been pressed but also to verify that the complete signal path remains capable of performing the safety function.

A safety relay or safety programmable logic controller commonly evaluates the emergency stop inputs. A safety relay provides a relatively simple and deterministic solution for small systems, while a safety PLC or safety controller supports multiple devices, configurable logic, diagnostics, networked safety, and coordinated safe functions. Regardless of implementation, the controller should be certified or designed for the required safety integrity and should remain independent from the robot's ordinary motion controller.

The safety controller continuously monitors input channels, internal logic, output drivers, feedback contacts, and supply voltage. It checks whether both emergency stop channels change state within an acceptable time and whether outputs actually disconnect the hazardous energy path. Internal self-tests detect processor, memory, timing, or communication faults. When a fault is detected, the controller should transition to a safe state and inhibit restart until the problem has been corrected and acknowledged.

Output architecture determines how hazardous energy is removed. The safety controller may de-energize motor contactors, disable drive torque, activate safe torque off inputs, engage mechanical brakes, isolate actuator power, or command controlled deceleration before final torque removal. The correct method depends on robot mass, speed, slope, payload, drivetrain characteristics, and stopping risk. Simply cutting all electrical power may not be safe if the robot can coast, roll downhill, drop a suspended load, or lose steering control.

Safe torque off is widely used in modern motor drives. When activated, it prevents the drive from generating torque-producing current even if the main control software issues motion commands. Safe torque off can stop further acceleration and prevent unintended restart, but it does not actively decelerate the robot. The vehicle may coast due to inertia or gravity. Therefore, safe torque off is often combined with braking functions, mechanical brakes, or a controlled stop sequence suitable for the robot's operating environment.

Some applications require a controlled emergency stop in which the robot first decelerates under monitored control and then removes torque. This approach can reduce stopping distance, avoid payload instability, and maintain steering during deceleration. However, it depends on functional drive control during the initial phase. The architecture must detect whether controlled braking succeeds and must transition to torque removal or mechanical braking if the expected deceleration does not occur. Time and speed monitoring are therefore essential.

Mechanical brakes provide an independent method of holding the robot after motion has stopped. Spring-applied, electrically released brakes are commonly used because loss of electrical power causes the brake to engage. The brake must be sized for maximum vehicle mass, slope, payload, and wear condition. Its engagement timing should be coordinated with motor torque removal to avoid excessive shock, wheel lock, or drivetrain damage. Brake status sensing can confirm whether the mechanism has actually engaged.

On a heavy robot, abrupt wheel locking may create a secondary hazard by causing skidding, payload movement, or loss of directional stability. The emergency stop strategy should therefore be based on validated stopping behavior rather than the assumption that the fastest possible torque removal is always safest. Braking distribution, tire-road friction, center of gravity, suspension response, and payload retention must be considered. Different strategies may be required for indoor low-speed operation and outdoor high-speed travel.

The main battery contactor may be included in the emergency stop chain, but opening it should be analyzed carefully. Disconnecting the battery removes energy from many systems, yet it may also disable controlled braking, steering, communication, lighting, and diagnostic functions. High current may cause contact arcing, and regenerative energy can raise bus voltage when the battery is suddenly isolated. Many architectures therefore use drive-level safe torque off for immediate motion prevention while reserving main contactor opening for a later or higher-level isolation stage.

Energy isolation should distinguish between hazardous and non-hazardous loads. Even after an emergency stop, it may be desirable to keep safety controllers, warning lights, communication devices, event recorders, and low-power sensors active. These functions can indicate that the robot is stopped, report the cause, preserve diagnostic data, and support recovery. Separating safety and control power domains allows hazardous actuator energy to be removed without making the robot completely unobservable.

The emergency stop circuit should be powered from a reliable safety supply. Voltage regulators, fuses, wiring, and connectors in the safety path must be selected for environmental and electrical stress. Supply loss should produce a safe condition rather than leaving outputs energized. Brownout behavior must be tested because unstable voltage can cause repeated switching or partial actuation. Energy storage may be used to maintain the safety controller long enough to complete a controlled shutdown and record critical information.

Reset behavior is a central part of the architecture. Releasing an emergency stop button must not automatically restart the robot. The button is normally mechanically latched and must be deliberately twisted, pulled, or unlocked. After all emergency stop devices have been restored, a separate reset action should be required. The reset confirms that a responsible person has inspected the situation and intends to re-enable the safety system. Motion should begin only after an additional normal start or mission command.

The reset control should be positioned where the operator can verify that the hazardous area is clear. A reset command issued remotely without visibility may re-enable the robot while someone is still performing recovery work. In distributed installations, local confirmation or video verification may be required. The safety controller should reject reset if any emergency stop channel, contactor feedback, brake status, safety sensor, or internal diagnostic remains in an unsafe or inconsistent state.

Restart interlocking prevents unexpected motion after power restoration or communication recovery. If the robot loses power while a motion command is active, it should not resume automatically when power returns. Similarly, a fleet manager should not restart a mission merely because the emergency stop state has cleared. The architecture should require a defined sequence of safety reset, system readiness checks, brake release, localization confirmation, and explicit operational authorization before movement is permitted.

Feedback monitoring verifies that output devices respond correctly. Safety contactors may include mirror contacts or auxiliary contacts that report their actual mechanical state. The safety controller compares commanded output state with feedback. If a contactor is welded closed, reset is prevented. Drive safe torque off channels may also provide status feedback. Monitoring is essential because commanding a stop is insufficient if the energy-isolation devices fail to execute it.

Redundant contactors may be used when a single contactor failure could maintain hazardous power. Two independently controlled contactors are connected in series so that either can interrupt the energy path. Their feedback contacts are monitored separately. Common-cause failures such as incorrect wiring, overvoltage, contamination, or excessive fault current must still be considered. Redundancy improves fault tolerance only when independence and diagnostics are properly implemented.

Safety communication may be used when emergency stop devices are distributed across a large robot, trailer, manipulator, charging station, or facility. Certified safety protocols transmit safety states with measures such as sequence counters, time monitoring, source identification, cyclic redundancy checks, and repeated data. Safety communication can reduce wiring complexity, but the network design must account for latency, loss, power interruption, and device replacement. Ordinary Ethernet or CAN messages alone are not sufficient unless protected by an appropriate safety protocol.

Wireless emergency stop functions require particular caution. Radio links may suffer interference, delay, congestion, shadowing, or battery failure. A wireless emergency stop should use a purpose-designed safety-rated system with continuous link supervision and a defined safe response when communication is lost. A smartphone application or standard remote-control message should not be treated as the primary emergency stop function. Physical onboard buttons should generally remain available even when remote emergency stopping is provided.

The remote emergency stop interface must distinguish between deliberate activation, communication loss, and operator-device failure. Loss of the supervised safety link may require the robot to stop, but the required reaction depends on operational risk. In some applications, stopping immediately in the current location is safest. In others, stopping inside an intersection, doorway, railway crossing, or fire route may create another hazard. The operating concept must therefore define safe behavior for link loss separately from intentional emergency activation.

Integration with obstacle detection and protective sensors should preserve clear functional boundaries. Safety LiDARs, bumpers, safety edges, and speed monitoring may automatically initiate protective stops when a hazard is detected. Emergency stop buttons are manually activated and serve a different purpose. Both functions may ultimately disable motion, but they can have different reset rules, stopping categories, diagnostics, and operational meanings. Combining them without clear logic can make fault diagnosis and recovery difficult.

The emergency stop system should cover all hazardous actuators, not only the traction motors. A robot may include steering motors, lifting columns, conveyors, robotic arms, doors, clamps, pumps, winches, or payload mechanisms. Pressing an emergency stop should place each mechanism into a defined safe state. A lifting system may need to hold position rather than lose power, while a conveyor may require immediate torque removal. The safety concept must evaluate each energy source separately.

Stored energy remains after electrical power is removed. Capacitors, pneumatic pressure, hydraulic accumulators, springs, elevated loads, rotating masses, and compressed mechanisms can continue to create risk. Discharge circuits, dump valves, mechanical locks, brake systems, and pressure monitoring may be required. Emergency stop architecture should therefore address hazardous energy control, not merely electrical signal interruption. Safe maintenance may require additional lockout and isolation procedures beyond the emergency stop function.

Lockout and tagout serve a different purpose from emergency stopping. An emergency stop is intended for rapid intervention during operation, while lockout provides secured isolation for maintenance or repair. An emergency stop button can be reset and may not remove all stored energy. Maintenance personnel should use lockable disconnects, battery isolation, mechanical supports, and verification procedures. The system documentation must clearly prevent emergency stop activation from being mistaken for safe maintenance isolation.

Functional safety requirements should be allocated using recognized safety methods and standards appropriate to the robot application. The target may be expressed through a performance level, safety integrity level, category, or comparable risk-reduction requirement. Achieving the target depends on component reliability, architectural category, diagnostic coverage, common-cause failure control, testing interval, and systematic development quality. Merely using a safety relay does not guarantee that the complete emergency stop function meets the required integrity.

Common-cause failures can defeat redundant channels simultaneously. Water ingress, fire, mechanical damage, incorrect maintenance, shared power supply failure, software configuration error, or cable crushing may affect both channels. The design should use physical separation, environmental protection, independent routing, controlled configuration, and robust verification. Diversity may be beneficial in some architectures, such as combining electronic torque removal with a mechanically applied brake.

Response time must be evaluated from button actuation to elimination or control of the hazard. This total includes contact opening, input filtering, safety logic processing, output switching, drive response, brake engagement, mechanical deceleration, and communication delay. The robot continues moving during this period. Stopping distance therefore depends on speed, response time, braking force, surface condition, mass, and slope. Safety distances and maximum operating speeds should be established using measured worst-case values rather than ideal estimates.

Input filtering must balance noise immunity with fast response. Mechanical contacts can bounce, and long cables can collect electrical interference. Safety inputs often apply short debounce or discrepancy timers to avoid false trips. Excessive filtering, however, delays the emergency response. Timing parameters should be justified by measurement and hazard analysis. Diagnostic pulses must also be compatible with connected devices so they do not cause unintended switching or misleading voltage readings.

Environmental conditions can affect the reliability of emergency stop devices and circuits. Dust, water, salt, cleaning chemicals, vibration, impact, ultraviolet exposure, low temperature, and condensation may degrade contacts or mechanical latching. Outdoor devices require appropriate ingress protection, corrosion resistance, sealing, and temperature rating. Periodic inspection should confirm that buttons remain accessible, clearly marked, mechanically functional, and electrically monitored after long-term field use.

Human factors must be considered because the emergency stop is operated under stress. The control should be immediately recognizable and should not require complex interpretation. Labels and symbols should remain visible, but recognition should not depend solely on written language. The force and movement required for activation should be suitable for expected users. The system should provide clear confirmation through lights, sounds, displays, or remote status that the emergency stop has been accepted and motion energy has been disabled.

The robot's external indicators should distinguish emergency stop from ordinary waiting, low battery, route blockage, or protective stopping. Personnel approaching a stationary robot need to understand whether it is safe, faulted, remotely controlled, or capable of restarting. A dedicated emergency status indication can reduce confusion. The indication should remain active from a non-hazardous power domain and should not disappear simply because the main motor power has been removed.

Diagnostic information should identify which emergency stop device or channel caused the stop. A large robot or facility may contain many buttons and remote stations. Generic reporting such as "E-stop active" can delay recovery because technicians must inspect every device. The safety controller can provide device-level status to the supervisory system without allowing that system to override the safety decision. Diagnostic logs should include activation time, channel states, output response, feedback status, robot speed, and relevant faults.

Event recording supports incident investigation and continuous improvement. When an emergency stop occurs, the system should preserve recent motion commands, sensor data, safety states, network conditions, battery voltage, brake status, and operator actions where appropriate. Data retention must respect privacy and security policies. The purpose is to determine whether the event resulted from a genuine hazard, accidental activation, component failure, poor route design, unclear human interaction, or inadequate training.

Frequent emergency stop activation should not be accepted as normal operation. Repeated use may indicate unsafe workflows, poor navigation, insufficient protective sensing, inaccessible normal stop controls, or operator mistrust. Emergency stops are not substitutes for routine process control. Operational data should be reviewed to identify patterns by location, task, time, payload, or user group. Corrective actions may involve route changes, training, software improvement, infrastructure modification, or hardware redesign.

Testing must include each emergency stop device, each input channel, every safety output, feedback loop, brake, contactor, and controlled actuator. Tests should verify activation, latching, reset inhibition, restart prevention, fault detection, and response time. Single faults such as broken wires, shorted channels, welded contacts, disconnected feedback, supply loss, processor failure, and network interruption should be introduced where practical. The expected safe state must be maintained under each condition.

Stopping tests should be performed under worst-case mechanical conditions. Maximum speed, maximum payload, steepest permitted slope, low-friction surfaces, worn brakes, high battery voltage, low battery voltage, and environmental temperature can affect performance. Tests should measure total stop time, stopping distance, wheel slip, directional stability, payload movement, and brake holding capability. Results should establish safe operating limits and provide evidence that the architecture achieves its intended risk reduction.

Verification should separate safety logic testing from full-system validation. Logic verification confirms that each input and fault condition produces the specified outputs. System validation confirms that the resulting robot behavior is actually safe in the intended environment. A correct electrical circuit can still produce unsafe motion if braking is inadequate or payloads shift. Both analysis and physical testing are therefore required before the emergency stop system can be accepted.

Periodic proof testing is necessary because some failures remain hidden during normal operation. Buttons may become mechanically stuck, contacts may degrade, brakes may wear, and feedback devices may fail. Maintenance procedures should define inspection and functional test intervals based on risk, environment, duty cycle, and component reliability. Automated diagnostics can detect many faults, but they do not eliminate the need for physical operation and visual inspection of emergency stop devices.

Service procedures must prevent maintenance activity from bypassing or weakening the safety architecture. Replacement devices should match approved specifications, and wiring changes should be controlled. Temporary jumpers or software overrides used during troubleshooting can create serious risk if left in place. Access to safety configuration should be restricted, changes should be logged, and a complete validation should follow any modification to safety hardware, firmware, parameters, braking components, or robot mass.

Configuration management is especially important for fleet deployment. All robots intended to have the same emergency stop behavior should use controlled versions of safety logic, drive parameters, brake settings, wiring diagrams, and component revisions. A change in motor drive firmware or wheel size may alter stopping behavior even if the emergency circuit remains unchanged. Fleet records should identify the exact safety configuration installed on each robot and the validation evidence associated with it.

Remote monitoring systems may display emergency stop state and support incident response, but they must not become a hidden dependency of the safety function. The robot must stop safely even if the server, cloud platform, network switch, or dashboard is unavailable. Remote systems can notify personnel, preserve logs, locate the robot, and guide recovery. Their failure should affect convenience and response time, not the fundamental ability of the emergency stop system to remove hazardous motion.

Scalable architecture should support additional emergency devices without compromising clarity or diagnostic quality. Modular safety I/O, standardized connectors, defined zone interfaces, and controlled network addressing can simplify future expansion. However, adding devices changes response paths, fault possibilities, and validation scope. Expansion should therefore follow a managed engineering process rather than informal field wiring. The safety function must remain understandable to technicians throughout the robot's lifecycle.

Future emergency stop systems will increasingly combine certified safety controllers, safe drive functions, distributed safety networks, intelligent braking supervision, and real-time condition monitoring. Robots may estimate current mass, slope, tire friction, and brake health to confirm that sufficient stopping capability remains available. Such intelligence can improve diagnostics and preventive maintenance, but the fundamental emergency stop path must remain deterministic, independently verifiable, and resistant to failures in high-level artificial intelligence.

A robust emergency stop architecture is ultimately a coordinated safety system rather than a single red button. It connects human action, fault detection, safety logic, energy isolation, torque prevention, braking, feedback monitoring, status indication, reset control, maintenance, and validation. Each element must support the others under normal operation and foreseeable failure. When designed from hazard analysis and verified under realistic conditions, the emergency stop system becomes a dependable final layer of protection for autonomous mobile robots operating around people and valuable equipment.

비상 정지 시스템(Emergency Stop System)은 자율이동로봇(Autonomous Mobile Robot, AMR)이 계속 동작할 경우 허용할 수 없는 위험이 발생할 수 있을 때 로봇을 안전한 상태로 전환하기 위한 전용 안전 기능이다. 이 기능은 일반 임무 제어, 내비게이션, 인공지능(Artificial Intelligence), 플릿 소프트웨어(Fleet Software)와 독립적으로 동작해야 한다. 이러한 시스템은 사용 불능 상태가 되거나 지연되거나 손상될 수 있으며, 위험 행동의 원인이 될 수도 있기 때문이다. 따라서 시스템 구조는 명확한 안전 목표에서 시작해야 한다. 비상 정지가 작동하면 사람, 장비, 적재물, 주변 환경을 보호할 수 있도록 위험한 움직임과 에너지가 충분히 빠르게 제거되거나 제어되어야 한다.

비상 정지 기능은 일반 정지 명령과 혼동해서는 안 된다. 일반 정지는 내비게이션 소프트웨어, 작업자 인터페이스, 플릿 관리자(Fleet Manager)에 의해 생성될 수 있으며 전체 시스템의 운용을 유지하면서 제어된 감속을 수행할 수 있다. 반면 비상 정지는 긴급 상황을 위한 기능이며 검증된 안전 경로(Safety Path)에 의존해야 한다. 클라우드 연결, 상위 운영체제, 비안전 통신망, 복잡한 소프트웨어 동작에 의존해서는 안 된다. 주 컴퓨터가 중단되거나 통신이 끊어져도 항상 예측 가능한 응답을 유지해야 한다.

시스템 구조는 위험 분석(Hazard Analysis)과 위험도 평가(Risk Assessment)에서 시작된다. 엔지니어는 위험한 로봇 움직임, 저장 에너지, 이동 기구, 승강 장치, 매니퓰레이터(Manipulator), 적재물 이송 시스템, 회전 공구, 로봇이 제어하는 외부 장비를 식별해야 한다. 필요한 비상 대응은 예상 피해의 심각도, 위험 발생 속도, 사람의 노출 가능성, 회피 가능성에 따라 달라진다. 이러한 분석을 통해 필요한 정지 동작, 안전 무결성(Safety Integrity), 이중화(Redundancy), 진단 범위(Diagnostic Coverage), 허용 가능한 응답시간을 결정한다.

비상 정지 장치(Emergency Stop Device)는 로봇과 접촉할 가능성이 있는 사람이 쉽게 접근할 수 있어야 한다. 노란색 배경 위의 큰 적색 버섯형 버튼(Mushroom-Head Button)이 일반적으로 사용되는데, 긴급 상황에서도 쉽게 식별하고 조작할 수 있기 때문이다. 사람이 움직이는 위험물에 접근하기 위해 위험한 방향으로 이동하지 않도록 로봇의 여러 측면에 버튼을 설치할 수 있다. 추가 비상 정지 장치는 충전 스테이션, 작업자 패널, 작업 셀, 적재 구역, 원격 제어 스테이션, 로봇 이동 경로 주변의 고정 인프라에 배치할 수 있다.

버튼 배치는 로봇 크기, 운행 방향, 적재 구성, 예상되는 사람의 위치를 고려해야 한다. 적재물 뒤에 가려지거나 지나치게 낮게 배치된 버튼은 접근하기 어려울 수 있다. 실외 로봇에서는 비, 먼지, 결빙, 진동, 우발적 충격을 견디면서도 쉽게 사용할 수 있는 보호 구조가 필요하다. 조명이 어두운 환경에서도 식별 가능해야 하며 일반 조작 장치와 혼동되지 않아야 한다. 기계식 가드(Guard)는 오작동을 방지할 수 있지만 긴급 작동을 지연시켜서는 안 된다.

비상 정지 장치는 일반적으로 직접 개방식 상시폐쇄 접점(Direct-Opening Normally Closed Contact)을 사용한다. 정상 상태에서는 안전 루프를 통해 전류가 흐른다. 버튼을 누르면 기계적으로 접점이 강제로 열리면서 회로가 차단된다. 상시폐쇄 구조는 배선 단선, 커넥터 분리, 전원 상실도 정지 조건으로 감지할 수 있기 때문에 고장 안전(Fail-Safe) 동작을 지원한다. 직접 개방 접점 구조는 용착되거나 걸린 접점도 버튼 작동 시 물리적으로 분리될 가능성을 높인다.

단일 접점 채널은 기본적인 차단 기능을 제공하지만 위험도가 높은 응용에서는 일반적으로 이중 채널 구조(Dual-Channel Architecture)가 필요하다. 두 개의 독립적인 접점 경로는 각각 별도의 안전 입력으로 연결되며 두 신호의 일치 여부가 감시된다. 한 채널만 열리고 다른 채널은 닫힌 상태를 유지하면 안전 제어기(Safety Controller)는 불일치를 감지하고 자동 재시작을 방지한다. 이중 채널 설계는 하나의 배선 고장, 접점 용착, 단락, 부품 고장으로 비상 정지 기능 전체가 무력화될 가능성을 줄인다.

두 채널은 공통 원인 고장(Common-Cause Failure)을 피할 수 있도록 충분히 분리되어야 한다. 서로 다른 단자, 독립 도체, 별도 커넥터 핀, 감시용 테스트 펄스(Test Pulse)를 사용할 수 있다. 단락 감지 없이 두 채널을 동일하게 손상된 케이블 안에 배치하면 잘못된 정상 상태가 만들어질 수 있다. 따라서 안전 입력 모듈은 제어된 신호를 주입하고 타이밍, 연속성, 채널 간 단락을 감시한다. 목적은 단순히 버튼이 눌렸는지를 확인하는 것이 아니라 전체 신호 경로가 안전 기능을 수행할 능력을 유지하는지를 검증하는 것이다.

비상 정지 입력은 일반적으로 안전 릴레이(Safety Relay) 또는 안전 프로그래머블 논리 제어기(Safety Programmable Logic Controller, Safety PLC)가 평가한다. 안전 릴레이는 소규모 시스템에서 비교적 단순하고 결정론적인 해결책을 제공한다. 안전 PLC 또는 안전 제어기는 다수의 장치, 구성 가능한 논리, 진단, 네트워크 기반 안전, 연계 안전 기능을 지원한다. 구현 방식과 관계없이 제어기는 요구되는 안전 무결성 수준에 적합하도록 인증되거나 설계되어야 하며 일반 모션 제어기와 독립적으로 동작해야 한다.

안전 제어기는 입력 채널, 내부 논리, 출력 드라이버, 피드백 접점, 전원 전압을 지속적으로 감시한다. 두 비상 정지 채널이 허용된 시간 내에 상태를 변경하는지, 출력 장치가 실제로 위험 에너지 경로를 차단했는지를 확인한다. 내부 자가진단(Self-Test)은 프로세서, 메모리, 타이밍, 통신 고장을 탐지한다. 고장이 검출되면 제어기는 안전 상태로 전환하고 문제가 해결되고 확인될 때까지 재시작을 금지해야 한다.

출력 구조(Output Architecture)는 위험 에너지를 어떻게 제거할지를 결정한다. 안전 제어기는 모터 컨택터를 차단하고, 드라이브 토크를 비활성화하고, 안전 토크 차단(Safe Torque Off, STO) 입력을 작동시키며, 기계식 브레이크를 체결하거나, 액추에이터 전원을 분리하거나, 최종 토크 제거 전에 제어된 감속을 명령할 수 있다. 적절한 방식은 로봇 질량, 속도, 경사, 적재물, 구동계 특성, 정지 위험에 따라 달라진다. 모든 전원을 단순히 차단하는 것은 로봇이 관성 주행을 하거나, 경사로에서 굴러가거나, 매달린 하중을 떨어뜨리거나, 조향 제어를 잃을 수 있기 때문에 항상 안전하지는 않다.

안전 토크 차단은 최신 모터 드라이브에서 널리 사용된다. 이 기능이 작동하면 주 제어 소프트웨어가 이동 명령을 보내더라도 드라이브가 토크를 생성하는 전류를 공급하지 못하게 한다. 안전 토크 차단은 추가 가속을 막고 의도하지 않은 재시작을 방지하지만 능동적으로 로봇을 감속시키지는 않는다. 로봇은 관성이나 중력 때문에 계속 이동할 수 있다. 따라서 STO는 로봇의 운용 환경에 적합한 제동 기능, 기계식 브레이크, 제어 정지 절차와 함께 사용하는 경우가 많다.

일부 응용에서는 로봇이 감시된 제어 하에서 먼저 감속한 후 토크를 제거하는 제어형 비상 정지(Controlled Emergency Stop)가 필요하다. 이 방식은 정지 거리를 줄이고, 적재물 불안정을 방지하며, 감속 중 조향 기능을 유지할 수 있다. 그러나 초기 단계에서는 정상적인 드라이브 제어 기능에 의존한다. 시스템은 제어 제동이 성공했는지 감시하고 예상 감속이 이루어지지 않으면 토크 제거 또는 기계식 제동으로 전환해야 한다. 따라서 시간과 속도 감시가 필수적이다.

기계식 브레이크(Mechanical Brake)는 로봇이 정지한 이후 위치를 유지하는 독립적인 수단을 제공한다. 스프링 작동식 전기 해제 브레이크(Spring-Applied, Electrically Released Brake)는 전원이 상실되면 자동으로 체결되기 때문에 일반적으로 사용된다. 브레이크는 최대 차량 질량, 경사, 적재물, 마모 상태를 고려하여 용량을 선정해야 한다. 체결 시점은 모터 토크 제거와 조율하여 과도한 충격, 바퀴 잠김, 구동계 손상을 방지해야 한다. 브레이크 상태 센서는 실제 체결 여부를 확인할 수 있다.

중량이 큰 로봇에서는 바퀴를 급격히 잠그는 것이 미끄러짐, 적재물 이동, 방향 안정성 상실과 같은 2차 위험을 만들 수 있다. 따라서 비상 정지 전략은 가장 빠른 토크 제거가 항상 가장 안전하다는 가정이 아니라 검증된 정지 동작을 기반으로 해야 한다. 제동력 분배, 타이어와 노면의 마찰, 무게중심, 서스펜션 반응, 적재물 고정을 고려해야 한다. 실내 저속 운전과 실외 고속 운전에는 서로 다른 전략이 필요할 수 있다.

주 배터리 컨택터(Main Battery Contactor)를 비상 정지 체인에 포함할 수 있지만 개방 동작은 신중하게 분석해야 한다. 배터리를 분리하면 여러 시스템의 에너지를 제거할 수 있지만 동시에 제어 제동, 조향, 통신, 조명, 진단 기능도 비활성화될 수 있다. 큰 전류를 차단할 때 접점 아크가 발생할 수 있으며 배터리를 갑자기 분리하면 회생 에너지 때문에 버스 전압이 상승할 수 있다. 따라서 많은 시스템은 즉각적인 움직임 방지를 위해 드라이브 수준의 STO를 사용하고, 주 컨택터 개방은 이후 단계 또는 상위 수준의 절연 단계에 사용한다.

에너지 절연(Energy Isolation)은 위험 부하와 비위험 부하를 구분해야 한다. 비상 정지 이후에도 안전 제어기, 경고등, 통신 장치, 이벤트 기록기, 저전력 센서를 계속 동작시키는 것이 바람직할 수 있다. 이러한 기능은 로봇이 정지했음을 표시하고, 원인을 보고하며, 진단 데이터를 보존하고, 복구를 지원한다. 안전 전원과 제어 전원을 분리하면 위험한 액추에이터 에너지를 제거하면서도 로봇 상태를 계속 관찰할 수 있다.

비상 정지 회로는 신뢰성 높은 안전 전원(Safety Supply)으로 구동해야 한다. 안전 경로의 전압 레귤레이터, 퓨즈, 배선, 커넥터는 환경적·전기적 스트레스를 견디도록 선정해야 한다. 전원 상실은 출력이 계속 활성화되는 상태가 아니라 안전 상태를 만들어야 한다. 불안정한 저전압은 반복적인 스위칭이나 불완전한 동작을 유발할 수 있으므로 브라운아웃(Brownout) 동작도 시험해야 한다. 제어 종료를 완료하고 중요 정보를 기록할 수 있도록 안전 제어기에 제한된 시간 동안 전원을 유지하는 에너지 저장 장치를 사용할 수 있다.

리셋 동작(Reset Behavior)은 시스템 구조의 핵심이다. 비상 정지 버튼을 해제한다고 해서 로봇이 자동으로 재시작되어서는 안 된다. 버튼은 일반적으로 기계적으로 걸려 있으며 비틀거나 당기거나 잠금을 해제하는 명시적인 조작이 필요하다. 모든 비상 정지 장치가 정상 상태로 복원된 뒤에는 별도의 리셋 동작이 요구되어야 한다. 리셋은 책임 있는 사람이 상황을 확인하고 안전 시스템 재활성화를 의도한다는 의미이다. 실제 움직임은 추가적인 일반 시작 명령 또는 임무 명령이 내려진 뒤에만 허용되어야 한다.

리셋 조작 장치는 작업자가 위험 영역이 비어 있음을 확인할 수 있는 위치에 배치해야 한다. 시야가 확보되지 않은 상태에서 원격으로 리셋하면 누군가 복구 작업을 수행하는 중에 로봇이 다시 활성화될 수 있다. 분산형 현장에서는 현장 확인이나 영상 확인이 필요할 수 있다. 비상 정지 채널, 컨택터 피드백, 브레이크 상태, 안전 센서, 내부 진단 중 하나라도 비안전 또는 불일치 상태이면 안전 제어기는 리셋을 거부해야 한다.

재시작 인터록(Restart Interlock)은 전원 복구나 통신 복구 후 예기치 않은 움직임을 방지한다. 이동 명령이 활성화된 상태에서 로봇 전원이 꺼진 경우 전원이 다시 들어왔다고 해서 자동으로 움직임을 재개해서는 안 된다. 마찬가지로 비상 정지 상태가 해제되었다는 이유만으로 플릿 관리자가 임무를 다시 시작해서는 안 된다. 시스템은 안전 리셋, 준비 상태 확인, 브레이크 해제, 위치추정 확인, 명시적인 운영 승인 순서를 거친 뒤에만 이동을 허용해야 한다.

피드백 감시(Feedback Monitoring)는 출력 장치가 명령대로 동작했는지 검증한다. 안전 컨택터에는 실제 기계 상태를 보고하는 미러 접점(Mirror Contact) 또는 보조 접점이 포함될 수 있다. 안전 제어기는 출력 명령과 피드백 상태를 비교한다. 접점이 용착된 경우 리셋을 금지한다. 드라이브의 STO 채널도 상태 피드백을 제공할 수 있다. 단순히 정지 명령을 내리는 것만으로는 충분하지 않으며 에너지 절연 장치가 실제로 동작했는지 확인해야 한다.

단일 컨택터 고장으로 위험 전원이 유지될 수 있는 경우 이중 컨택터(Redundant Contactor)를 사용할 수 있다. 두 컨택터는 직렬로 연결되어 어느 하나만 열려도 에너지 경로를 차단할 수 있도록 한다. 각각의 피드백 접점은 별도로 감시된다. 그러나 오배선, 과전압, 오염, 과도한 고장 전류와 같은 공통 원인 고장도 고려해야 한다. 이중화는 독립성과 진단 기능이 제대로 구현될 때에만 고장 허용성을 높인다.

비상 정지 장치가 대형 로봇, 트레일러, 매니퓰레이터, 충전 스테이션, 시설 전체에 분산된 경우 안전 통신(Safety Communication)을 사용할 수 있다. 인증된 안전 프로토콜은 순서 카운터, 시간 감시, 송신자 식별, 순환 중복 검사(Cyclic Redundancy Check), 데이터 반복 등의 방법으로 안전 상태를 전송한다. 안전 통신은 배선 복잡성을 줄일 수 있지만 지연시간, 통신 손실, 전원 중단, 장치 교체를 고려해야 한다. 일반 Ethernet 또는 CAN 메시지는 적절한 안전 프로토콜로 보호되지 않는 한 충분하지 않다.

무선 비상 정지(Wireless Emergency Stop)는 특별한 주의가 필요하다. 무선 링크는 간섭, 지연, 혼잡, 음영, 배터리 고장을 겪을 수 있다. 무선 비상 정지는 지속적인 링크 감시와 통신 손실 시 명확한 안전 대응을 제공하는 안전 등급 시스템을 사용해야 한다. 스마트폰 애플리케이션이나 일반 원격 제어 메시지를 주 비상 정지 기능으로 간주해서는 안 된다. 원격 정지 기능이 제공되더라도 로봇 본체의 물리적 버튼은 일반적으로 유지되어야 한다.

원격 비상 정지 인터페이스는 의도적인 작동, 통신 손실, 작업자 장치 고장을 구분해야 한다. 감시되는 안전 링크가 끊어지면 로봇을 정지시켜야 할 수 있지만 필요한 반응은 운용 위험에 따라 달라진다. 일부 환경에서는 현재 위치에서 즉시 정지하는 것이 가장 안전하다. 반면 교차로, 출입문, 철도 건널목, 소방 통로 한가운데에서 정지하면 새로운 위험을 만들 수 있다. 따라서 통신 손실에 대한 안전 동작은 의도적인 비상 작동과 별도로 정의해야 한다.

장애물 감지 및 보호 센서와의 통합은 명확한 기능 경계를 유지해야 한다. 안전 라이다, 범퍼, 안전 에지(Safety Edge), 속도 감시는 위험을 감지하면 자동으로 보호 정지(Protective Stop)를 시작할 수 있다. 비상 정지 버튼은 사람이 수동으로 작동시키며 다른 목적을 가진다. 두 기능 모두 최종적으로 움직임을 차단할 수 있지만 리셋 규칙, 정지 범주, 진단, 운영 의미가 다를 수 있다. 이를 명확한 논리 없이 결합하면 고장 진단과 복구가 어려워진다.

비상 정지 시스템은 구동 모터뿐 아니라 모든 위험 액추에이터를 포함해야 한다. 로봇에는 조향 모터, 리프팅 컬럼, 컨베이어, 로봇 팔, 도어, 클램프, 펌프, 윈치, 적재 기구가 포함될 수 있다. 비상 정지 버튼이 눌리면 각 장치는 정의된 안전 상태로 전환되어야 한다. 승강 시스템은 전원을 잃는 것보다 위치를 유지해야 할 수 있으며, 컨베이어는 즉시 토크를 제거해야 할 수 있다. 안전 개념은 각각의 에너지원과 기구를 별도로 평가해야 한다.

전기 전원을 제거한 뒤에도 저장 에너지(Stored Energy)는 남아 있을 수 있다. 커패시터, 공압 압력, 유압 축압기, 스프링, 상승된 하중, 회전 질량, 압축 기구는 계속 위험을 만들 수 있다. 방전 회로, 덤프 밸브, 기계식 잠금, 브레이크 시스템, 압력 감시가 필요할 수 있다. 따라서 비상 정지 구조는 단순한 전기 신호 차단이 아니라 모든 위험 에너지를 제어해야 한다. 안전한 유지보수를 위해서는 비상 정지 이외에 별도의 잠금 및 절연 절차가 필요하다.

잠금표시 절차(Lockout and Tagout)는 비상 정지와 목적이 다르다. 비상 정지는 운전 중 신속한 개입을 위한 것이고, 잠금 절차는 유지보수나 수리를 위한 확실한 에너지 절연을 제공한다. 비상 정지 버튼은 다시 해제할 수 있으며 모든 저장 에너지를 제거하지 않을 수도 있다. 유지보수 담당자는 잠금 가능한 차단기, 배터리 절연, 기계식 지지대, 검증 절차를 사용해야 한다. 문서에서는 비상 정지 작동이 안전한 유지보수 절연으로 오인되지 않도록 명확히 설명해야 한다.

기능 안전 요구사항(Functional Safety Requirement)은 로봇 응용에 적합한 공인 안전 방법과 표준을 사용하여 할당해야 한다. 목표는 성능 수준(Performance Level), 안전 무결성 수준(Safety Integrity Level), 카테고리(Category), 또는 유사한 위험 저감 요구사항으로 표현될 수 있다. 목표 달성은 부품 신뢰성, 구조적 카테고리, 진단 범위, 공통 원인 고장 제어, 시험 주기, 체계적 개발 품질에 따라 결정된다. 안전 릴레이를 사용했다고 해서 전체 비상 정지 기능이 필요한 무결성을 자동으로 만족하는 것은 아니다.

공통 원인 고장은 이중 채널을 동시에 무력화할 수 있다. 침수, 화재, 기계 손상, 잘못된 정비, 공용 전원 고장, 소프트웨어 구성 오류, 케이블 압착이 두 채널 모두에 영향을 줄 수 있다. 설계에서는 물리적 분리, 환경 보호, 독립 배선, 통제된 구성 관리, 강건한 검증을 적용해야 한다. 일부 구조에서는 전자식 토크 차단과 기계식 브레이크를 조합하는 것처럼 서로 다른 원리의 다중화(Diversity)가 유리할 수 있다.

응답시간(Response Time)은 버튼 작동부터 위험이 제거되거나 제어될 때까지 전체 시간을 평가해야 한다. 여기에는 접점 개방, 입력 필터링, 안전 논리 처리, 출력 스위칭, 드라이브 응답, 브레이크 체결, 기계적 감속, 통신 지연이 포함된다. 이 시간 동안 로봇은 계속 이동한다. 따라서 정지 거리는 속도, 응답시간, 제동력, 노면 상태, 질량, 경사에 따라 결정된다. 안전 거리와 최대 운행 속도는 이상적인 계산이 아니라 측정된 최악 조건을 기준으로 설정해야 한다.

입력 필터링(Input Filtering)은 노이즈 내성과 빠른 응답 사이의 균형이 필요하다. 기계식 접점은 바운스(Bounce)를 발생시킬 수 있고 긴 케이블은 전기적 간섭을 수집할 수 있다. 안전 입력은 오작동을 줄이기 위해 짧은 디바운스(Debounce) 또는 채널 불일치 타이머를 적용할 수 있다. 그러나 지나친 필터링은 비상 응답을 지연시킨다. 타이밍 파라미터는 측정과 위험 분석을 통해 정당화해야 한다. 진단 펄스도 연결된 장치와 호환되어야 하며 의도하지 않은 스위칭이나 잘못된 전압 측정을 유발해서는 안 된다.

환경 조건은 비상 정지 장치와 회로의 신뢰성에 영향을 준다. 먼지, 물, 염분, 세척 화학물질, 진동, 충격, 자외선, 저온, 결로는 접점과 기계식 래칭 구조를 열화시킬 수 있다. 실외 장치는 적절한 방진·방수 등급, 내식성, 밀봉, 온도 정격을 가져야 한다. 정기 점검을 통해 장기간 사용 후에도 버튼이 쉽게 접근 가능하고, 명확히 표시되며, 기계적으로 작동하고, 전기적으로 감시되는지를 확인해야 한다.

비상 정지는 스트레스 상황에서 사람이 조작하므로 인간공학(Human Factors)을 고려해야 한다. 조작 장치는 즉시 식별 가능해야 하며 복잡한 해석을 요구해서는 안 된다. 라벨과 기호는 항상 잘 보여야 하지만 식별이 문자 언어에만 의존해서는 안 된다. 작동에 필요한 힘과 이동량은 예상 사용자에게 적합해야 한다. 시스템은 조명, 음향, 디스플레이, 원격 상태 정보를 통해 비상 정지 명령이 수락되고 움직임 에너지가 차단되었음을 명확히 알려야 한다.

로봇의 외부 표시 장치는 비상 정지 상태를 일반 대기, 저배터리, 경로 차단, 보호 정지와 구분해야 한다. 정지된 로봇에 접근하는 사람은 해당 로봇이 안전한지, 고장 상태인지, 원격 제어 중인지, 재시작 가능성이 있는지를 이해해야 한다. 전용 비상 상태 표시 기능은 혼란을 줄일 수 있다. 이 표시는 비위험 전원 도메인에서 계속 유지되어야 하며 주 모터 전원이 차단되었다고 해서 사라져서는 안 된다.

진단 정보는 어떤 비상 정지 장치 또는 채널이 정지를 발생시켰는지 식별해야 한다. 대형 로봇이나 시설에는 많은 버튼과 원격 스테이션이 있을 수 있다. 단순히 "비상 정지 활성"만 표시하면 기술자가 모든 장치를 확인해야 하므로 복구가 지연된다. 안전 제어기는 상위 시스템이 안전 판단을 무시하지 못하도록 하면서도 장치 수준의 상태 정보를 제공할 수 있다. 진단 로그에는 작동 시간, 채널 상태, 출력 응답, 피드백 상태, 로봇 속도, 관련 고장을 포함해야 한다.

이벤트 기록(Event Recording)은 사고 조사와 지속적 개선을 지원한다. 비상 정지가 발생하면 최근 이동 명령, 센서 데이터, 안전 상태, 네트워크 조건, 배터리 전압, 브레이크 상태, 필요한 경우 작업자 행동을 보존해야 한다. 데이터 보관은 개인정보 보호와 보안 정책을 준수해야 한다. 기록의 목적은 해당 이벤트가 실제 위험, 우발적 작동, 부품 고장, 부적절한 경로 설계, 불명확한 사람-로봇 상호작용, 교육 부족 중 무엇에서 발생했는지 확인하는 것이다.

비상 정지가 자주 사용되는 상황을 정상 운전으로 받아들여서는 안 된다. 반복적인 비상 정지 작동은 위험한 작업 흐름, 부적절한 내비게이션, 부족한 보호 센싱, 접근하기 어려운 일반 정지 장치, 작업자의 불신을 나타낼 수 있다. 비상 정지는 일상 공정 제어를 대체하는 수단이 아니다. 위치, 작업, 시간, 적재물, 사용자 그룹별 패턴을 분석해야 한다. 개선 조치는 경로 변경, 교육, 소프트웨어 개선, 인프라 수정, 하드웨어 재설계를 포함할 수 있다.

시험(Testing)은 각 비상 정지 장치, 각 입력 채널, 모든 안전 출력, 피드백 루프, 브레이크, 컨택터, 제어 대상 액추에이터를 포함해야 한다. 작동, 래칭, 리셋 금지, 재시작 방지, 고장 감지, 응답시간을 검증해야 한다. 단선, 채널 단락, 접점 용착, 피드백 단절, 전원 상실, 프로세서 고장, 네트워크 중단과 같은 단일 고장을 가능한 범위에서 의도적으로 주입해야 한다. 각 조건에서도 예상 안전 상태가 유지되어야 한다.

정지 시험은 최악의 기계적 조건에서 수행해야 한다. 최대 속도, 최대 적재, 허용 최대 경사, 저마찰 노면, 마모된 브레이크, 높은 배터리 전압, 낮은 배터리 전압, 환경 온도가 모두 성능에 영향을 줄 수 있다. 시험에서는 전체 정지시간, 정지거리, 바퀴 미끄러짐, 방향 안정성, 적재물 이동, 브레이크 유지 능력을 측정해야 한다. 결과는 안전 운전 한계를 설정하고 시스템 구조가 의도한 위험 저감을 달성했음을 입증해야 한다.

검증(Verification)은 안전 논리 시험과 전체 시스템 유효성 확인(System Validation)을 구분해야 한다. 논리 검증은 각 입력과 고장 조건이 지정된 출력을 만드는지를 확인한다. 시스템 유효성 확인은 그 출력에 따른 실제 로봇 동작이 목표 환경에서 안전한지를 확인한다. 전기 회로가 정확하더라도 제동력이 부족하거나 적재물이 이동하면 안전하지 않을 수 있다. 따라서 비상 정지 시스템을 승인하기 전에 분석과 실물 시험을 모두 수행해야 한다.

정기적인 증명 시험(Proof Test)이 필요한 이유는 일부 고장이 정상 운전 중에는 드러나지 않기 때문이다. 버튼이 기계적으로 고착되고, 접점이 열화되며, 브레이크가 마모되고, 피드백 장치가 고장날 수 있다. 유지보수 절차는 위험도, 환경, 사용 빈도, 부품 신뢰성을 기준으로 점검 및 기능 시험 주기를 정의해야 한다. 자동 진단은 많은 고장을 발견할 수 있지만 비상 정지 장치의 실제 작동과 육안 점검을 완전히 대체할 수는 없다.

정비 절차(Service Procedure)는 유지보수 작업이 안전 시스템 구조를 우회하거나 약화시키지 않도록 해야 한다. 교체 장치는 승인된 규격과 일치해야 하며 배선 변경은 통제되어야 한다. 문제 해결 중 사용하는 임시 점퍼나 소프트웨어 우회 기능이 남아 있으면 심각한 위험을 만들 수 있다. 안전 설정 접근은 제한되어야 하고, 변경사항은 기록되어야 하며, 안전 하드웨어, 펌웨어, 파라미터, 제동 장치, 로봇 질량이 변경된 후에는 전체 검증을 다시 수행해야 한다.

플릿 배포에서는 구성 관리(Configuration Management)가 특히 중요하다. 동일한 비상 정지 동작을 가져야 하는 모든 로봇은 통제된 버전의 안전 논리, 드라이브 파라미터, 브레이크 설정, 배선도, 부품 개정 번호를 사용해야 한다. 모터 드라이브 펌웨어나 바퀴 크기의 변경은 비상 정지 회로가 그대로여도 정지 동작을 바꿀 수 있다. 플릿 기록에는 각 로봇에 설치된 정확한 안전 구성과 관련 검증 증거를 식별할 수 있어야 한다.

원격 모니터링 시스템은 비상 정지 상태를 표시하고 사고 대응을 지원할 수 있지만 안전 기능의 숨은 의존성이 되어서는 안 된다. 서버, 클라우드 플랫폼, 네트워크 스위치, 대시보드가 사용 불가능해도 로봇은 안전하게 정지해야 한다. 원격 시스템은 작업자에게 알림을 보내고, 로그를 보존하며, 로봇 위치를 알려주고, 복구를 안내할 수 있다. 이러한 시스템의 고장은 편의성과 대응시간에는 영향을 줄 수 있지만 비상 정지 기능 자체를 무력화해서는 안 된다.

확장 가능한 구조(Scalable Architecture)는 명확성과 진단 품질을 저하시키지 않으면서 추가 비상 장치를 지원해야 한다. 모듈형 안전 입출력, 표준화된 커넥터, 정의된 구역 인터페이스, 통제된 네트워크 주소는 향후 확장을 단순화한다. 그러나 장치 추가는 응답 경로, 고장 가능성, 검증 범위를 변경한다. 따라서 임시 현장 배선이 아니라 관리되는 엔지니어링 절차를 따라야 한다. 로봇의 전체 수명 동안 기술자가 안전 기능을 이해할 수 있어야 한다.

미래의 비상 정지 시스템은 인증된 안전 제어기, 안전 드라이브 기능, 분산 안전 네트워크, 지능형 제동 감시, 실시간 상태 모니터링을 더욱 긴밀하게 결합하게 될 것이다. 로봇은 현재 질량, 경사, 타이어 마찰, 브레이크 상태를 추정하여 충분한 정지 능력이 유지되는지를 확인할 수 있다. 이러한 지능은 진단과 예방 정비를 개선할 수 있지만 핵심 비상 정지 경로는 항상 결정론적이고, 독립적으로 검증 가능하며, 상위 인공지능의 고장에 강해야 한다.

강건한 비상 정지 구조는 궁극적으로 하나의 적색 버튼이 아니라 통합된 안전 시스템이다. 이 시스템은 사람의 조작, 고장 감지, 안전 논리, 에너지 절연, 토크 방지, 제동, 피드백 감시, 상태 표시, 리셋 제어, 유지보수, 검증을 연결한다. 각 요소는 정상 운전과 예측 가능한 고장 상황에서 서로를 지원해야 한다. 위험 분석을 기반으로 설계하고 실제 조건에서 검증할 때 비상 정지 시스템은 사람과 고가 장비 주변에서 운용되는 자율이동로봇의 신뢰할 수 있는 최종 보호 계층이 된다.

12.02 Safety Relay Design

안전 릴레이 설계(Safety Relay Design)는 자율이동로봇(Autonomous Mobile Robot, AMR)의 안전 구조에서 핵심적인 부분이다. 안전 릴레이는 비상 장치, 보호 센서, 안전 논리, 그리고 위험 에너지의 최종 제거 사이에 검증 가능한 경로를 형성하기 때문이다. 일반 제어 릴레이와 달리 안전 릴레이는 고장을 감지하고, 이중 채널을 감시하며, 예기치 않은 재시작을 방지하고, 출력 장치가 실제로 명령된 상태에 도달했는지를 확인하도록 설계된다. 그 목적은 단순히 전원을 스위칭하는 것이 아니라 예측 가능한 단일 고장이 발생하더라도 로봇이 안전 상태로 진입하고 그 상태를 유지할 수 있도록 보장하는 것이다.

설계 과정은 안전 기능(Safety Function)을 명확하게 정의하는 것에서 시작된다. 엔지니어는 릴레이가 어떤 위험을 제어해야 하는지, 어떤 입력이 안전 기능을 시작하는지, 어떤 출력을 비활성화해야 하는지, 어느 정도의 응답시간이 필요한지, 재시작 전에 어떤 조건이 충족되어야 하는지를 결정해야 한다. 안전 릴레이는 비상 정지 버튼, 안전 범퍼, 보호 도어, 안전 라이다(Safety LiDAR) 구역, 인터록(Interlock), 브레이크 피드백, 드라이브 활성화 회로를 감시할 수 있다. 각각의 기능에는 정의된 안전 상태, 응답시간, 리셋 동작, 진단 요구사항이 있어야 한다.

안전 릴레이는 이중화된 내부 소자, 강제 유도 접점(Forced-Guided Contact), 자가 감시 회로, 고장 감지 논리를 사용한다는 점에서 일반 산업용 릴레이와 다르다. 일반 릴레이는 정상 운전 중에는 부하를 신뢰성 있게 스위칭할 수 있지만 접점 용착이나 스프링 파손과 같은 고장이 감지되지 않은 상태로 남을 수 있다. 안전 릴레이는 내부 접점 상태를 감시할 수 있고 서로 일치하지 않는 조건에서는 리셋을 허용하지 않도록 설계된다. 이러한 특성 때문에 숨은 고장이 위험한 움직임을 지속시킬 수 있는 응용에 적합하다.

위험 분석(Hazard Analysis)은 릴레이 시스템에 필요한 신뢰성과 구조를 결정한다. 로봇의 속도, 질량, 적재물, 제동 거리, 운용 환경, 사람의 노출 가능성, 액추에이터 에너지는 모두 필요한 위험 저감 수준에 영향을 준다. 제한된 구역에서 운용되는 저속 실내 플랫폼은 보행자 근처를 주행하는 중량급 실외 로봇보다 단순한 안전 기능으로 충분할 수 있다. 선택된 릴레이, 배선 구조, 컨택터, 피드백 감시, 증명 시험 주기(Proof-Test Interval)는 함께 목표 안전 성능을 만족해야 한다.

이중 채널 입력 구조(Dual-Channel Input Architecture)는 안전 릴레이 설계에서 널리 사용된다. 비상 정지 버튼이나 안전 장치는 두 개의 독립적인 상시폐쇄 접점 경로를 제공하며 각각 별도의 릴레이 입력으로 연결된다. 정상 운전 중에는 두 채널이 모두 닫혀 있다. 장치가 작동하면 두 채널이 열리면서 릴레이의 안전 출력이 비활성화된다. 한 채널만 상태가 바뀌고 다른 채널은 그대로이면 릴레이는 불일치를 감지하고 재시작을 차단한다. 이러한 구성은 하나의 접점 또는 배선 고장이 전체 안전 기능을 무력화할 가능성을 줄인다.

두 입력 채널은 공통 원인 고장(Common-Cause Failure)을 최소화하도록 배선하고 연결해야 한다. 별도의 도체, 커넥터 핀, 단자, 통제된 케이블 경로를 사용할 수 있다. 두 채널이 서로 단락되거나 동일한 위치에서 손상되면 장치가 독립적인 차단 기능을 잃었는데도 정상으로 보일 수 있다. 안전 릴레이는 종종 펄스 시험(Pulse Testing)이나 채널 타이밍 분석을 사용하여 채널 간 단락을 감지한다. 외부 배선은 이러한 진단 기능을 우회하지 않고 제대로 지원해야 한다.

상시폐쇄 접점(Normally Closed Contact)은 연속성이 끊어지면 정지 조건이 되기 때문에 일반적으로 사용된다. 배선 단선, 단자 분리, 전원 공급 고장은 모두 안전 릴레이를 비활성화시킨다. 이러한 고장 안전(Fail-Safe) 원칙은 진동, 반복적인 케이블 움직임, 충격, 먼지, 습기에 노출되는 이동형 로봇에서 필수적이다. 그러나 상시폐쇄 배선만으로는 충분하지 않다. 릴레이는 채널 간 단락, 전원과의 단락, 접점 용착, 잘못된 리셋 배선, 하위 스위칭 장치의 고장도 감지해야 한다.

입력 타이밍(Input Timing)은 안전 릴레이가 두 채널의 상태 변화를 비교하기 때문에 중요하다. 기계식 접점은 정확히 같은 순간에 열리지 않는 경우가 많다. 따라서 짧은 불일치 허용 시간이 설정되지만, 한 채널이 설정된 한계 이상 닫힌 상태로 남으면 릴레이는 고장으로 판단한다. 타이밍 값은 정상적인 접점 특성을 수용할 만큼 충분히 길어야 하지만 위험한 고장을 빠르게 감지할 만큼 짧아야 한다. 지나치게 긴 불일치 허용 시간은 진단 효과를 떨어뜨리고 부분 작동의 인지를 늦출 수 있다.

접점 바운스(Contact Bounce)는 기계식 버튼이나 스위치가 상태를 바꿀 때 반복적인 전이를 발생시킬 수 있다. 안전 릴레이는 바운스로 인해 출력이 불안정해지는 것을 방지하기 위한 입력 필터링(Input Filtering)을 포함한다. 그러나 필터 시간이 지나치게 길면 전체 비상 응답시간이 증가하므로 신중하게 설정해야 한다. 로봇의 최종 정지 거리는 버튼 작동, 입력 필터링, 릴레이 처리, 출력 스위칭, 드라이브 응답, 브레이크 체결, 기계적 감속을 모두 포함한다. 따라서 릴레이 지연시간도 전체 안전 계산에 포함되어야 한다.

수동 리셋(Manual Reset)은 안전 릴레이가 작동한 뒤 일반적으로 요구된다. 비상 정지 장치를 해제하면 입력 채널은 정상 상태로 복귀하지만, 별도의 리셋 동작이 완료되기 전까지 릴레이 출력은 비활성화 상태를 유지해야 한다. 이는 버튼이 해제되거나 보호 구역이 비워졌을 때 로봇이 예기치 않게 재시작하는 것을 방지한다. 리셋은 안전 기능을 다시 활성화하려는 명시적인 사람의 의도를 확인하는 과정이다. 실제 로봇의 움직임은 안전 출력 복구 후에도 별도의 일반 시작 또는 임무 명령이 있어야만 허용되어야 한다.

리셋 회로는 리셋 버튼이 계속 눌려 있거나 우회되더라도 자동 재시작이 발생하지 않도록 설계해야 한다. 많은 안전 릴레이는 지속적으로 활성화된 입력을 받아들이는 대신 리셋 신호의 상승 에지(Rising Edge)나 상태 전이를 감지한다. 이러한 감시형 수동 리셋(Monitored Manual Reset)은 다시 리셋하기 전에 버튼이 반드시 해제되도록 한다. 리셋 버튼은 작업자가 위험 구역을 확인할 수 있는 위치에 배치해야 한다. 시야 확인이 필요한 경우 원격 인터페이스의 리셋 명령이 현장 확인을 대체해서는 안 된다.

자동 리셋(Automatic Reset)은 일부 보호 기능에서 허용될 수 있지만 신중한 위험 평가가 필요하다. 예를 들어 위험도가 낮은 점검 패널이나 일시적인 보호 필드는 조건이 해제되면 자동 복원이 가능할 수 있다. 단, 로봇의 실제 움직임은 별도의 명령을 요구해야 하고 사람이 위험 구역에 남아 있을 수 없어야 한다. 비상 정지 기능은 일반적으로 자동 재활성화가 예기치 않은 움직임을 만들 수 있기 때문에 수동 리셋을 사용한다. 리셋 전략은 각 안전 입력의 의미와 위험도에 맞아야 한다.

안전 릴레이 출력은 일반적으로 이중화된 강제 유도 접점(Forced-Guided Contact)을 사용한다. 강제 유도 구조는 하나의 접점이 용착되더라도 상시개방 접점과 상시폐쇄 접점이 동시에 닫힌 상태로 남지 않도록 한다. 이러한 기계적 연동 관계는 피드백 회로를 통해 릴레이 고장을 감지할 수 있게 한다. 두 개 이상의 출력 경로는 독립 컨택터, 드라이브의 안전 토크 차단(Safe Torque Off, STO) 채널, 브레이크 회로, 액추에이터 전원 절연을 제어하는 데 사용될 수 있다. 출력 구성은 하나의 접점 고장으로 위험 에너지가 유지되지 않도록 해야 한다.

릴레이 출력 접점의 전류 정격은 실제 부하에 맞아야 한다. 안전 릴레이 접점은 대형 모터 전류를 직접 차단하기보다 컨택터 코일이나 안전 입력을 제어하도록 설계되는 경우가 많다. 돌입전류(Inrush Current), 유도성 코일 특성, 스위칭 빈도, 공급 전압, 접점 사용 범주(Utilization Category)를 고려해야 한다. 특정 저항성 부하 전류에 적합한 접점도 유도성 부하를 스위칭할 때는 허용 용량이 훨씬 낮을 수 있다. 부적절한 부하 연결은 접점 침식, 용착, 수명 단축을 초래할 수 있다.

릴레이 접점이 컨택터 코일, 브레이크 코일, 솔레노이드, 밸브와 같은 유도성 부하를 스위칭할 때에는 아크 억제(Arc Suppression)가 필요하다. 전류가 차단되면 인덕턴스가 전압 스파이크를 발생시켜 접점을 손상시키고 전자파 간섭을 만들 수 있다. 요구되는 해제 속도와 전압 형식에 따라 플라이백 다이오드(Flyback Diode), TVS 다이오드, RC 스너버(RC Snubber), 바리스터(Varistor)를 사용할 수 있다. 단순 다이오드는 접점 스트레스를 줄이지만 코일 전류의 감소를 늦추어 컨택터 개방이나 브레이크 체결을 지연시킬 수 있다.

외부 장치 감시(External Device Monitoring)는 안전 릴레이 설계의 핵심 기능이다. 릴레이는 재시작을 허용하기 전에 하위 컨택터, 브레이크, 스위칭 장치가 실제로 안전 상태로 복귀했는지를 확인해야 한다. 출력 장치의 보조 접점 또는 미러 접점(Mirror Contact)을 피드백 루프에 연결한다. 컨택터가 용착되어 닫힌 상태로 남으면 피드백 접점이 기대 상태로 돌아오지 않으며 안전 릴레이는 재시작을 차단한다. 이를 통해 비상 정지 이후 고장난 전력 컨택터가 감지되지 않은 상태로 남는 것을 방지한다.

피드백 접점은 제어 대상 장치의 실제 기계 상태를 정확하게 나타내야 한다. 일반 보조 접점은 주 접점과 기계적으로 연동되어 있지 않으면 충분한 신뢰성을 제공하지 못할 수 있다. 필요한 경우에는 주 접점 상태를 신뢰성 있게 표시하도록 설계된 미러 접점 또는 강제 유도 접점을 사용하는 것이 바람직하다. 피드백 회로는 단선과 잘못된 연결도 감지해야 한다. 출력 장치가 명령을 따르지 않을 수 있으므로 명령 신호만 감시하는 것은 충분하지 않다.

이중 컨택터(Redundant Contactor)는 일반적으로 서로 다른 안전 릴레이 출력으로 제어된다. 두 컨택터는 위험 에너지 경로에 직렬로 연결되어 어느 하나만 열려도 전력을 차단할 수 있다. 피드백 접점은 독립적으로 감시하거나 적절하게 설계된 직렬 루프를 통해 감시한다. 하나의 컨택터가 용착되어도 다른 컨택터가 시스템을 정지시킬 수 있으며, 해당 고장은 다음 재시작 전에 감지된다. 이중화는 반드시 진단 감시와 함께 사용해야 하며, 그렇지 않으면 첫 번째 숨은 고장이 두 번째 장치가 고장날 때까지 남을 수 있다.

컨택터 선정 시에는 연속 전류, 단락 능력, 코일 전압, 기계적 수명, 전기적 수명, 환경 정격, 피드백 접점 구조를 고려해야 한다. 정상 전류에는 적합한 컨택터라도 예상 가능한 고장 전류를 안전하게 차단하지 못할 수 있다. 고에너지 고장은 퓨즈나 회로 차단기가 제거하고 컨택터는 제어된 안전 절연을 수행하도록 구성할 수 있다. 릴레이와 컨택터 조합은 개별 부품이 아니라 하나의 완전한 하위 시스템으로 평가해야 한다.

안전 토크 차단 입력은 대안 또는 보완적인 출력 경로를 제공한다. 최신 모터 드라이브에는 안전 사용 인증을 받은 이중 채널 STO 입력이 포함되는 경우가 많다. 안전 릴레이는 이 채널을 직접 제어하여 드라이브가 모터 토크를 생성하지 못하게 한다. STO는 낮은 전류만 스위칭하므로 기계식 릴레이 접점의 마모를 줄일 수 있다. 그러나 STO는 모든 전기 에너지를 제거하지 않으며 능동적으로 로봇을 제동하지도 않는다. 따라서 기계식 브레이크, 제어 감속, 주 전원 차단이 추가로 필요할 수 있다.

안전 릴레이가 이중 STO 채널을 구동할 때에는 채널 독립성을 유지해야 한다. 두 개의 출력 접점 또는 반도체 안전 출력이 각각의 STO 입력을 따로 제어해야 한다. 두 채널을 연결하거나 감시되지 않는 공통 도체를 사용하면 고장 허용성이 저하될 수 있다. 가능하다면 드라이브 피드백을 통해 STO 상태를 확인해야 한다. 제조사마다 STO 시험 펄스, 입력 전류, 응답시간, 리셋 요구사항이 다르므로 드라이브 매뉴얼을 세밀하게 검토해야 한다.

제어 정지(Controlled Stop)에는 시간 지연 또는 순차 동작을 지원하는 안전 릴레이 기능이 필요할 수 있다. 릴레이는 먼저 제어 감속 명령을 허용한 다음 설정된 시간 뒤에 토크를 제거할 수 있다. 이러한 접근은 정지 거리를 줄이거나 적재물 불안정을 방지할 수 있다. 그러나 고정 시간 지연은 로봇이 토크 제거 전에 안정적인 저위험 상태에 도달하는 것이 신뢰성 있게 보장될 때만 안전하다. 적재량, 경사, 노면에 따라 제동 성능이 달라진다면 단순 시간보다 속도 감시, 정지 상태 감지, 안전 모션 제어가 더 적합할 수 있다.

지연 안전 출력(Delayed Safety Output)은 위험 노출 시간을 증가시키므로 특별히 주의해야 한다. 지연시간은 측정된 정지 동작을 기반으로 산정하고 고장 감지 기능으로 뒷받침해야 한다. 제어 감속이 실패하면 다른 안전 경로가 토크를 제거하거나 브레이크를 작동시켜야 한다. 시간 지연 릴레이는 설정 오류와 비인가 변경으로부터 보호되어야 한다. 안전 유효성 확인에서는 즉시 출력과 지연 출력 경로가 정상 및 고장 조건에서 모두 올바르게 동작하는지를 확인해야 한다.

반도체 안전 출력(Semiconductor Safety Output)은 소형 안전 릴레이와 제어기에서 점점 더 많이 사용된다. 기계식 접점 마모 없이 빠른 스위칭, 긴 전기 수명, 진단 기능을 제공한다. 이러한 출력은 단락, 과부하, 채널 간 고장을 감지할 수 있다. 그러나 오프 상태에서도 누설 전류가 존재할 수 있으며 용량성 부하나 호환되지 않는 입력 회로에 민감할 수 있다. 연결 장치는 오프 상태 누설 전류를 정확히 해석할 수 있어야 하며, 더 높은 전류나 갈바닉 절연이 필요한 경우 외부 릴레이가 필요할 수 있다.

기계식 릴레이 출력은 명확한 갈바닉 절연(Galvanic Isolation)과 매우 낮은 오프 상태 누설 전류를 제공한다. 다양한 컨택터 코일과 안전 입력에 호환되지만 반도체 출력보다 스위칭 수명이 제한되고 응답이 느리다. 접점 마모는 부하 유형과 억제 방식에 영향을 받는다. 기계식과 반도체 출력 중 선택은 부하, 예상 스위칭 빈도, 진단 요구, 절연 요구, 유지보수 전략을 반영해야 한다.

안전 릴레이는 전압 변동에서도 예측 가능한 ...