가변 속도 드라이브로 기계 안전 확보: 핵심 기능 및 모범 사례

전자 장비 안전 기능의 일반 원칙

이 블로그는 기계 안전 기능에 가변 속도 드라이브를 사용하는 방법을 소개합니다. AC 인버터 드라이브에는 익숙하지만 안전 관련 제어 시스템에는 덜 익숙한 독자를 돕기 위한 것입니다. 원칙을 이해하고 안전 관련 시스템에 대한 방대한 상세 자료로 나아가는 데 도움이 될 것입니다.

"기능 안전(Functional Safety)"이라는 용어는 전기, 전자 또는 프로그래머블 장비가 인간 안전에 영향을 미치는 기능을 수행하는 곳에 적용됩니다. 이는 철도 신호, 사고 시 많은 사람이 위험에 처할 수 있는 대형 플랜트 모니터링 및 제어 등 다양한 애플리케이션을 포함하는 방대한 주제입니다. 하지만 드라이브 애플리케이션에서 가장 흔하게는 기계류를 의미하며, 제어 시스템을 사용해 기계 작동으로 사람이 부상당할 위험 상황을 예방하는 것을 말합니다. 간단한 예로 안전 차단벽이 있습니다. 기계 부품에 접근하기 위해 자주 열려야 하지만, 열려 있을 때는 기계가 작동할 수 없어야 합니다. 센서와 액추에이터 시스템으로 차단벽 상태를 감지하고 기계를 제어할 수 있습니다.

PLC와 디지털 VSD 같은 지능형 프로그래머블 장비를 이용하면 이 예시보다 더 유연하고 지능적인 안전 시스템을 구축할 수 있어, 안전을 유지하면서 유연한 운영이 가능합니다. 예를 들어 차단벽이 열려 있을 때 자격을 갖춘 사람이 특수 안전 키를 조작하거나, 얼굴 인식이 되거나, 기타 예방 조치 하에 감속 운전 지속을 허용할 수 있습니다.

고장 모드

안전 기능의 핵심 요소는 해당 기능의 신뢰성이 단순한 전기, 전자 또는 프로그래머블 장비로 달성할 수 있는 것보다 훨씬 더 우수해야 한다는 점입니다. 아무리 품질 좋은 기존 전기/전자 회로라도, 필요한 안전 기능을 수행하지 못하면서도 고장이 드러나지 않는 부품 고장이 발생할 수 있습니다. 따라서 안전 기능용 하드웨어는 자기 시험 또는 "페일세이프" 기능이 내장되도록 설계되어야 합니다. 제품 개발 중 하드웨어 고장의 영향을 고장 모드 영향 분석(FMEA)으로 분석하고, 잠재적 위험 고장 모드는 설계를 통해 매우 낮은 수준으로 줄여야 합니다. 무결성 레벨 SIL3에 대한 일반적인 PFH_D(위험 방향 고장 확률) 목표는 시간당 10^-8로, 10,000년에 1회 미만의 고장률입니다. 이렇게 낮은 고장률은 전자 제어 시스템에 특수한 구조를 항상 요구합니다. 여기서 말하는 것은 장비의 의도된 수명 동안 발생하는 무작위 고장이며, 수명 기한이 아닙니다. 의도된 시스템 수명 내에 알려진 마모 메커니즘이 있는 부품은 계획적 유지보수로 관리할 수 있습니다.

제어 구조

드라이브 관련 대부분의 애플리케이션에서 고정 기계의 안전을 다루며, 가장 일반적인 옵션은 안전 기능을 위한 두 개의 독립 채널을 사용하고 교차 검사를 배치해, 불일치 시 드라이브가 정지(구동 토크 정지)하도록 하는 것입니다. 대부분의 기계에서 이는 안전한 상태를 초래합니다. 드라이브 토크가 사라졌을 때 중력 하에 움직일 수 있는 호이스트 같은 기계의 경우, 위험을 초래하지 않도록 조치해야 합니다.

그림 1은 "2중 1채널" 또는 1oo2 시스템이라고도 하는 기본 2채널 안전 시스템을 보여줍니다. 두 채널 중 하나가 정지를 요청하면 기계가 정지합니다. 이는 기계류 안전 제어 시스템에서 가장 일반적인 배치입니다. 어느 센서나 신호 조절 프로세서의 고장도 안전 기능 상실로 이어지지 않습니다. 그림 1은 기능도일 뿐, 출력의 "AND 게이트"는 단순한 로직 칩이 아닙니다. 로직 칩이 고장 나면 단일 고장점이 생기기 때문입니다. 드라이브의 2채널 STO 입력이나, 단일 장치의 공통 원인 고장을 제거하는 다른 방법일 수 있습니다.

회색으로 표시된 진단 기능은 보통 지속적 안전을 위해 필요합니다. 이것이 없으면 한 채널의 고장이 안전 기능을 실패시키지는 않지만, 기계가 한 채널이 안전하지 않은 상태에서 무기한 작동할 수 있습니다. 두 번째 고장이 나면 위험한 상태가 됩니다.

그림 1: 2중 1채널 제어 구조

소프트웨어/펌웨어

펌웨어와 소프트웨어를 실행하는 임베디드 프로세서의 사용은 기능 안전에 새로운 차원을 더합니다. 소프트웨어는 무작위 고장이 없지만, 그 복잡성 때문에 모든 조건과 이벤트 시퀀스 하에서 의도대로 작동함을 보장하기 어렵습니다. 이는 시스템 전체를 "블랙박스"로 테스트해선 증명할 수 없습니다. 소프트웨어는 잘 정의된 언어로 작성돼 코딩 오류를 피하는 조치를 취하고, 매 단계 명세와 테스트가 가능한 모듈로 신중하게 구조화되어야 합니다. 또한 모듈이 프로세서 시스템의 다른 활동에 의해 악영향을 받지 않음이 증명되어야 하며, 비안전 코드가 같은 프로세서에서 실행되면 이는 어렵습니다.

명확하고 모호하지 않은 명세, 테스트 계획 수립, 프로세스 철저 문서화라는 필수 규율은 코드 작성과 전체 시스템 설계 모두에 적용됩니다.

소프트웨어 품질에 대한 중요한 통제는 "제한적 가변성 언어(LVL)"와 "완전 가변성 언어(FVL)"를 구별하는 것입니다. LVL은 잘 정의된 기능의 사전 승인된 모듈을 제한된 방식으로 구성해 단순 순차 테스트 프로그램으로 테스트할 수 있도록 제한됩니다. LVL은 C++ 등 FVL로 생성되어 완전한 엄격한 설계 과정을 거친 후 LVL 프로그래머의 접근을 차단해 잠급니다.

소프트웨어를 쉽게 변경할 수 있다는 것은 버전 관리의 안전한 시스템이 마련되어야 함을 의미하며, 무단 변경 방지도 포함됩니다.

드라이브 애플리케이션

입력 제어로 출력을 제어하는 단순 시퀀스와 조합으로 구성된 많은 안전 기능은 하드웨어 고장과 소프트웨어 오류로부터 위험을 방지하는 특수 기능을 갖춘 PLC, 즉 "안전 PLC"로 구현할 수 있습니다. 하지만 드라이브가 특히 비용 효율적으로 구현할 수 있는 애플리케이션이 있습니다:

• 드라이브 방지 - 인버터 드라이브는 안전 체인의 마지막 고리인, 필요 시 모터에 토크가 발생하지 않게 매우 높은 무결성으로 방지하는 데 적합한 독특한 기능을 가집니다. 이는 안전 토크 오프(STO)로 정의됩니다.
• 토크, 가속도, 속도, 방향, 위치 등 운동 범위 제한(절대값 또는 위치 증분 같은 상대값). 드라이브가 이 변수들을 제어하고 종종 정확하고 빠른 응답 측정값을 가집니다(축/위치 인코더 또는 모터 전압/전류 동작 관찰을 통해). 이러한 드라이브 관련 기능을 게이트 스위치, 키 스위치 같은 기계 센서로부터의 입력에 대한 단순 조합/순차 논리와 결합하면, 많은 안전 애플리케이션 클래스를 구현할 수 있습니다.

기계 제어 시스템 안전 관련 부품 표준

안전 시스템 설계의 엄격한 관리와 구현 필요성으로 관련 국제 표준은 복잡하고 밀도 높습니다. 여기서는 기계 안전에 가장 관련 있는 표준의 몇 가지 핵심 특징만 살펴봅니다.

국제 표준은 ISO 또는 IEC 접두사를 가집니다. 유럽 CENELEC 표준은 EN 접두사를 가집니다. 여기서는 EN 버전을 살펴보며, 국제 버전은 다른 접두사로 같은 번호를 사용합니다. EN 버전은 EC 기계 지침의 조화 표준 지위를 가집니다.

EN ISO 12100은 기계 위험 평가를 수행하는 방법을 설명하며, 필요 시 안전 기능을 제어 시스템에 할당하는 결과를 낳습니다. 이는 안전 관련 제어의 올바른 설계에 필수적인 선행 단계이며 기계 설계자의 책임입니다.

EN 61800-5-2는 전력 드라이브 시스템의 기능 안전 표준입니다. 드라이브에 특히 적합한 "지정 안전 부기능"으로 STO, SLS 등 여러 기능을 정의합니다. 완전한 안전 기능의 안전 무결성은 SIL로 측정되며, 1(최저)~3 값을 가집니다. 드라이브가 완전한 안전 관련 제어 시스템의 하위 시스템이므로 이를 "SIL 능력"이라 부릅니다.

EN 62061은 기계의 전기/전자/프로그래머블 제어 시스템 표준으로, EN 61800-5-2와 같은 SIL 메트릭을 사용합니다.

EN ISO 13849-1은 비전기 시스템을 포함한 기계 제어 시스템 표준으로, 성능 레벨(PL)과 카테고리(B~4)라는 다른 메트릭을 사용합니다. 보충 표준 EN ISO 13849-2는 "검증"을 다루며, 어떤 고장을 고려하고 어떤 고장을 배제할 수 있는지("고장 배제") 지침을 포함합니다.

전기/전자/프로그래머블 안전 관련 시스템 표준화의 기초는 EN 61508 시리즈(파트 1~7)입니다. 이들은 기계용 제어 시스템뿐만 아니라 모든 시스템을 다루므로 자체적으로 조화 표준은 아닙니다.

안전 무결성 레벨

주어진 안전 기능에 요구되는 SIL 또는 PL은 그 기능이 완화해야 할 위험의 정도(가능한 부상의 확률과 심각도)와 연관됩니다. 이를 결정하는 과정은 EN ISO 12100에 설명된 기계 위험 평가에서 시작합니다. 요구 SIL 또는 PL 도출 규칙은 EN 62061과 EN ISO 13849-1에 주어집니다.

인버터 드라이브의 안전 토크 오프(STO)

드라이브가 제공할 수 있는 가장 기본적인 안전 기능은 STO입니다. 유도 모터를 제어하는 인버터 드라이브는 이 기능에 특히 적합합니다. 인버터 파워 스테이지가 모터에 토크를 생성하기 위해 파워 반도체 대부분에 복잡하고 잘 제어된 PWM 스위칭 패턴으로 지속적으로 활성화되어야 하기 때문입니다. 그림 2는 인버터의 기본 파워 구조를 보여줍니다.

그림 2: DC 링크 인버터의 기본 파워 구조

모터는 토크를 생성하기 위해 회전 자기장이 필요하며, 이는 6개 파워 트랜지스터가 복잡하고 잘 정의된 스위칭 패턴을 따라 출력 단자에서 3상 전압 세트를 생성할 때만 가능합니다. 이 제어 패턴이 없으면, 인버터 전원이 DC이므로 인버터 파워 회로의 어떤 고장도 토크를 생성하려는 경향이 없습니다. 최악의 경우 고장은 두 트랜지스터가 두 인버터 다리의 반대 극에서 의도치 않게 도통하는 경우로, 그림 2의 빨간 화살표로 표시됩니다. 이 경우 한 모터 상에 높은 비제어 전류가 흐르다가 과전류 보호 동작이나 인버터 파괴(입력 퓨즈/차단기 차단) 중 하나로 끝납니다. 이 중 어느 것도 회전 자기장을 생성하지 않으므로 토크가 발생하지 않습니다.

영구 자석이나 릴럭턴스 모터의 경우 이 최악의 고장이 일시적 정렬 토크를 유발했다가 보호 장치 동작으로 끝납니다. 극한 경우 PM 모터는 1극 피치, 릴럭턴스 모터는 반 극 피치만큼 회전할 수 있습니다.

인버터 파워 스테이지와 드라이브 STO 제어 입력 간의 인터페이스는 매우 낮은 안전하지 않은 고장 확률을 유지하도록 설계되어야 합니다. 이는 복잡한 PWM 제어 패턴이 실수로 인버터 트랜지스터에 전달되는 것을 의미합니다. 일반적으로 인버터 자체에서와 마찬가지로, 모든 종류의 부품 고장이 "인에이블" 명령 손실로 이어지는 "페일 세이프" 기법을 사용합니다. 두 개의 독립 채널이 있어 STO 기능을 2채널 안전 컨트롤러에 쉽게 인터페이스할 수 있습니다.

더 진보된 드라이브 안전 기능

다른 대부분의 드라이브 지정 안전 기능은 모터 전류/속도 등 데이터 분석을 필요로 합니다. 이는 일반적으로 마이크로컨트롤러에서 구현되며, 두 번째 컨트롤러가 입력/출력 데이터와 프로세서 동작을 지속적으로 교차 검사합니다(그림 3 참조). 불일치 감지 시 결과는 인바리아블하게 STO 기능을 통해 드라이브 비활성화입니다.

위험 방향 하드웨어 고장 확률은 두 채널 교차 검사로 허용 수준으로 낮춥니다. 스위치 같은 입력 장치는 단순 "고착" 오류 감지를 위해 이중화되며, 더 미묘한 스니크 고장 감지를 위해 다변화된 전기 펄스로 구동될 수 있습니다. 기본 인크리멘탈 샤프트 인코더는 두 펄스 트랙이 90° 위상 차를 가져 대부분의 오류가 불가능한 펄스 시퀀스를 생성해 감지될 수 있는 유용한 고유 기능을 가집니다. 디지털 출력은 정기 테스트 펄스로 체크됩니다. 의도적으로 하이(참) 로직 상태로 유지된 출력이 여전히 로우로 갈 수 있는지 테스트하는 것으로, OSSD 출력이라고도 합니다.

체계적 고장, 즉 설계에 내재된 고장 확률은 안전 기능의 정확한 요구사항 정의와 구현, 테스트, 문서화의 가장 엄격한 과정으로 허용 수준으로 낮춥니다.

완전한 기계와 안전 부품

안전 기능 명세와 추적의 엄격한 과정은 개별 애플리케이션마다 따라야 하며, 기계 설계자가 궁극적으로 책임집니다. 기능 안전 특징이 있는 드라이브가 설계에 사용되면 안전 부품이 되며, 자체 안전 요구사항 명세와 인증이 완전한 시스템 문서의 일부가 됩니다.

유럽연합 내에서는 이 요구사항이 기계 지침 2006/42/EC 형태로 법에 내장되어 있으며, 별도 시장에 출시되는 안전 부품의 정의와 요구사항을 포함합니다. 실제로 이는 안전 기능이 있는 드라이브가 독립 정부 승인 통보기관(Notified Body) 발행 EC 형식 검사 인증서와 함께 제공되어 기계의 안전 관련 제어 시스템에 사용될 수 있음을 의미합니다. STO 기능이 표준으로 내장되어 안전 부품으로 쓰일 수도 있고 아닐 수도 있는 경우, 드라이브는 기계 지침과 저전압 지침에 따른 두 개의 별도 EC 제조사 선언서를 가져야 합니다.