[Robot Expert Academy 10] Robot Safety Architecture and Risk Thinking — 안전은 E-Stop 버튼 하나가 아니다
PreciseFlex · Guidance · Motion Control · GPL
Robot Safety를 단순한 Emergency Stop 기능이 아니라 Mechanical Limit → Motor Power → Servo/Motion Control → Software Limit → Application Logic → Workcell Safety가 겹쳐 작동하는 다층 구조로 이해합니다. PreciseFlex 매뉴얼의 Soft E-Stop과 Hard E-Stop 차이를 정확히 구분하고, 위험을 ‘발생 후 정지’하는 사고방식에서 ‘설계 단계에서 제거·저감’하는 사고방식으로 확장합니다.
1. Robot Safety는 기능이 아니라 Architecture다
안전한 Robot은 E-Stop 버튼이 달린 Robot이 아닙니다. Mechanical stop, Software limit, Motor power control, Servo monitoring, Interlock, Guard, 작업 절차가 서로 보완해야 합니다. 한 계층이 실패하더라도 다른 계층이 위험을 줄이는 구조가 중요합니다.
특히 반도체/자동화 장비에서는 Robot 자체뿐 아니라 Gripper, Wafer/Tray, Load Port, Vision Head, Door, Fixture, 주변 Motion Axis가 하나의 Workcell을 구성합니다. 따라서 Safety Boundary도 Robot 단품에서 끝나지 않습니다.
Physical Layout → Mechanical Limits → Motor Power → Servo/Motion Safety → Software Limits → Application Interlocks → Operating Procedure
2. Hazard와 Risk를 구분한다
Hazard는 위해를 일으킬 잠재적 원천이고, Risk는 그 위해가 실제로 발생할 가능성과 결과의 심각성을 함께 고려하는 개념입니다. Robot Arm 자체는 Hazard가 될 수 있지만, 접근을 물리적으로 차단하고 안전한 정지 기능과 절차를 적용하면 Risk를 낮출 수 있습니다.
그래서 Robot Safety 설계의 질문은 ‘E-Stop이 있는가?’가 아니라 ‘어떤 Hazard가 있고, 누가 언제 노출되며, 어떤 방어 계층이 실패할 수 있는가?’가 되어야 합니다.
3. PreciseFlex의 Soft E-Stop — 제어된 정지
제공된 PreciseFlex 300/400/3400 매뉴얼에서 Soft E-Stop은 움직이는 Robot을 빠르게 감속시키고, 연결된 GPL Program에 Error를 발생시키는 동작으로 설명됩니다. 중요한 점은 이 과정에서 High Power가 Enabled 상태로 유지된다는 것입니다.
즉 Soft E-Stop은 ‘Motor power를 즉시 물리적으로 제거하는 것’과 동일하지 않습니다. Motion을 제어된 방식으로 멈추고 Controller가 상태를 관리할 수 있다는 장점이 있지만, 위험 에너지의 완전한 제거로 해석해서는 안 됩니다.
4. Hard E-Stop — Hardware 입력을 통한 Motor Power 차단
PreciseFlex 매뉴얼의 Hard E-Stop은 Hardware input을 통해 Motor Power를 Disable하는 구조입니다. 매뉴얼에는 Motor Power 차단 전 nominal delay가 0.5 s로 설명되며, Controller Operating Mode의 parameter 267을 통해 관리자 수준에서 조정할 수 있다고 되어 있습니다. 0으로 설정하면 High-power relay를 약 1 ms 내에 Disable하는 설명도 있습니다.
그러나 이 값을 단순히 ‘작을수록 안전하다’고 판단하면 안 됩니다. PF400의 Shoulder/Elbow/Wrist 축에는 Mechanical Brake가 없기 때문에, 매뉴얼의 nominal delay는 Servo가 Motion을 감속할 시간을 제공하는 목적이 있습니다. Safety parameter 변경은 반드시 위험평가와 실제 Robot configuration을 기반으로 해야 합니다.
Soft E-Stop: Controlled deceleration, High Power remains enabled.
Hard E-Stop: Hardware input ultimately disables motor power.
둘은 같은 기능이 아닙니다.
5. Browser의 Disable Power는 Emergency Stop이 아니다
Quick Start 자료에서 Browser Operator Interface는 Motor Power를 Enable/Disable하고 Homing 및 Manual Control을 수행하는 운영 인터페이스입니다. 그러나 Browser의 Disable Power는 Software-based command이며 Hardwired Emergency Stop과 동등한 Safety Function으로 취급해서는 안 됩니다.
Network, Browser, Software 상태에 의존하는 운영 명령과 Hardware Emergency circuit은 목적과 신뢰 구조가 다릅니다. Workcell 설계에서 두 기능을 같은 것으로 문서화하면 매우 위험한 설계 오류가 될 수 있습니다.
6. Mechanical Limit와 Software Limit의 역할
PreciseFlex 매뉴얼에 따르면 Z, Shoulder, Elbow 축에는 Hard Stop이 있으며 Soft Limit은 Hard Stop 안쪽에 설정되어야 합니다. Software Limit은 정상 Motion에서 기구 한계에 접근하지 않도록 하는 첫 번째 방어선이고, Mechanical Stop은 더 하위의 물리적 제한입니다.
따라서 Software Limit을 기계적 최대치까지 무리하게 확장하는 것은 좋은 운전 전략이 아닙니다. Calibration error, Overshoot, Tool/Fixture clearance와 실제 공정 Margin을 고려해야 합니다.
7. J4 Wrist는 Configuration에 따라 제한 구조가 달라진다
Electric-gripper configuration에서는 Slip Ring을 사용하며 J4 Wrist의 Software Limit이 ±970°로 설명됩니다. 반면 Pneumatic configuration에서는 Sliding Hard Stop에 의해 Wrist rotation이 540°로 제한되는 구성이 설명됩니다.
이 사례는 Safety/Limit 설정을 Robot Model 이름만으로 결정하면 안 된다는 것을 보여 줍니다. Robot Model → Hardware Revision → Gripper/Tool Configuration → Mechanical Limit → Software Limit 순으로 실제 장비를 확인해야 합니다.
8. Brake — 모든 축이 같은 방식으로 안전하지 않다
PreciseFlex 매뉴얼에는 AC Power가 제거될 때 Z축이 중력으로 내려가는 것을 방지하기 위한 fail-safe brake 관련 설명이 있습니다. 반면 PF400의 Shoulder/Elbow/Wrist 축에는 Hard E-Stop 설명에서 Mechanical Brake가 없다는 점이 언급됩니다.
따라서 ‘전원을 끄면 모든 축이 즉시 고정된다’고 가정하면 안 됩니다. 각 축의 중력 방향, Stored Energy, Brake 유무, Servo deceleration 특성을 따로 분석해야 합니다.
9. Workcell에서 고려해야 할 주요 Hazard
Robot Arm과 Frame 사이의 Crushing, Joint/Link 사이의 Pinching, 이동 Tool과 작업자/장비 사이의 Collision, Door/Fixture와 Robot 사이의 Trapping, 복구 중 Unexpected Restart, Motor/Power stage의 Electrical Hazard를 대표적으로 검토해야 합니다.
또한 Wafer/Glass/Sharp Tool을 다룬다면 Robot Motion이 정지하더라도 Workpiece 파손, 낙하, Vacuum loss와 같은 Application-specific Hazard가 남을 수 있습니다. 이것은 Robot Controller만으로 해결되지 않습니다.
10. Figure 10-1 — Robot Safety Architecture and Risk Thinking
[Figure 10-1 삽입 위치]
Figure 10-1. Multi-layer Robot Safety Architecture
Relationship among physical layout, mechanical limits, motor power, servo/motion control, software limits, application interlocks, Soft E-Stop and Hard E-Stop.
※ Chapter 10 전용 인포그래픽을 첨부했습니다. 책 편집 시 본 장의 Safety Overview Figure로 활용할 수 있습니다.
11. Safe Commissioning — 처음부터 Full Speed로 움직이지 않는다
신규 장비나 Maintenance 이후에는 안전한 Commissioning 순서가 필요합니다. 먼저 Mechanical interference와 Tool mounting을 확인하고, Software/Mechanical Limit 관계와 E-Stop/Interlock을 확인합니다. 이후 Reduced Speed/Low Acceleration에서 Manual Jog를 수행한 뒤 Homing과 Calibration 상태를 확인합니다.
그 다음 실제 Sequence를 단계적으로 실행하고, 마지막에 Production Speed로 확장합니다. ‘동작한다’와 ‘안전하게 반복 동작한다’는 서로 다른 승인 단계입니다.
12. Recovery Sequence가 Safety의 일부인 이유
실제 사고 위험은 정상 자동운전보다 Jam, Vacuum Failure, Sensor Error, E-Stop 이후 복구 과정에서 높아질 수 있습니다. 작업자가 Robot 영역에 들어갔다가 상태가 완전히 복구되지 않은 채 Automatic Restart가 발생하면 위험합니다.
따라서 Recovery는 ‘Reset 버튼을 누르고 다시 Start’하는 기능이 아니라 Hazard Removed → Person Clear → Safety Condition Restored → Robot State Verified → Controlled Restart의 순서로 설계해야 합니다.
13. 현재 국제표준의 맥락 — ISO 10218:2025
2026년 현재 ISO 공식 자료를 확인하면 ISO 10218-1:2025는 Industrial Robot 자체의 Safety Requirements를 다루며 2025년 2월 발행된 Edition 3입니다. ISO 10218-2:2025는 Industrial Robot Applications and Robot Cells의 Integration, Commissioning, Operation, Maintenance 등을 다루며 2025년 2월 발행된 Edition 2입니다.
즉 Robot 제조사의 안전기능과 System Integrator가 설계해야 하는 Workcell Safety는 구분해서 볼 필요가 있습니다. 본 연재의 PreciseFlex 매뉴얼은 2022년 자료이므로, 매뉴얼에 언급된 과거 표준판을 현재판이라고 해석하지 않고 최신 ISO 정보는 별도로 확인했습니다.
또한 특정 PreciseFlex 제품이 최신 ISO 10218:2025에 대해 어떤 Certification 상태인지에 대해서는 제공된 자료만으로 단정하지 않습니다.
14. Safety Validation은 ‘버튼이 작동한다’로 끝나지 않는다
E-Stop을 눌렀을 때 Robot이 멈춘다는 사실만 확인해서는 충분하지 않습니다. 실제 Payload, 최대 사용 Speed, 대표 Robot Pose에서 Stop behavior를 평가하고, Door/Interlock 상태, Power recovery, Reset/Restart 조건까지 확인해야 합니다.
특히 장비 변경 후에는 Tool mass/C.G., Motion profile, Fixture 위치가 바뀌면 위험도와 Stop behavior도 달라질 수 있으므로 Safety Validation을 다시 수행해야 합니다.
15. Quality Evaluation → Correction → Re-evaluation
Quality Evaluation: Mechanical/Software Limit, Soft E-Stop, Hard E-Stop, Interlock, Motor Power state, Recovery sequence를 실제 운전조건에서 확인합니다. 위험평가 결과와 시험결과를 연결해 기록합니다.
Correction: 위험이 충분히 저감되지 않았다면 Layout, Guard, Interlock, Limit, Motion Profile, Recovery Logic 또는 작업절차를 수정합니다. Safety-related parameter는 근거 없이 변경하지 않습니다.
Re-evaluation: 수정된 항목뿐 아니라 수정으로 영향을 받을 수 있는 연계 기능을 다시 시험합니다.
Stabilization/Release: 반복시험과 실제 작업 시나리오에서 안전기능이 재현되는지 확인하고, Configuration을 문서화한 뒤 Release합니다. 실제 법규/인증 Acceptance Criteria는 적용 국가·장비·Risk Assessment에 따라 별도로 확정해야 합니다.
Robot Safety는 ‘위험하면 E-Stop을 누른다’가 아닙니다. 위험을 설계 단계에서 제거하고, 남은 위험을 여러 독립적인 계층으로 줄이며, 비정상 상황에서도 안전하게 복구하도록 만드는 System Architecture입니다.
16. 다음 편 예고
11편 — PreciseFlex 300/400/3400 Hardware Architecture
다음 편부터 Robot의 내부로 들어갑니다. PF300/PF400/PF3400의 구조와 Guidance Controller, Motor/Encoder, Power, Gripper, Linear Rail 등의 Hardware Architecture를 비교하며 ‘Robot을 구성품 단위로 진단하는 법’을 시작합니다.
Manual Basis
Soft E-Stop, Hard E-Stop, parameter 267, Motor Power, Brake, Hard/Soft Limit 및 Wrist configuration 관련 내용은 제공된 Brooks Automation PreciseFlex 300/400/3400 Robots, P/N PF40-DI-00010 Rev 5.6.0과 Setup and Operation Quick Start Rev 5.0.0을 기준으로 정리했습니다. Hazard/Risk 및 다층 안전설계 설명은 Engineering Foundation입니다. 최신 국제표준 맥락은 ISO 공식 자료에서 ISO 10218-1:2025 및 ISO 10218-2:2025의 발행 상태와 적용 범위를 별도로 확인했습니다.
Tags
#RobotExpertAcademy #PreciseFlex #RobotSafety #RiskAssessment #EmergencyStop #SoftEStop #HardEStop #MotorPower #SafetyInterlock #ISO10218 #MachineSafety #RobotCell #MotionControl #SCARA #IndustrialRobot #Automation #RobotEngineering
