세이프티 PLC란? 일반 PLC와 무엇이 다를까

세이프티 PLC는 배선 고장을 입력과 출력 단자 수준에서 진단하고, 검증을 마친 로직은 그 상태로 확정해 둡니다. 현장에서 일반 PLC와 가장 다르게 느끼는 점은 이 두 가지입니다.

둘 중 현장에서 더 크게 체감되는 쪽은 로직을 확정해 두는 쪽입니다. 확정은 시험을 마친 안전 프로그램과 설정에 「이 상태로 운전한다」는 표시를 해 두는 것입니다. G9SP는 설정 데이터를 잠그고, NX 시리즈는 안전 검증을 마쳤다는 표시(VALID)를 켭니다. 어느 쪽이든 고치면 이 상태가 풀립니다. 지금 돌고 있는 안전 로직이 시험한 그 로직과 같다는 것을 증명할 수 있어야 하기 때문입니다. 고치려면 설비를 세우고 확정을 풀어야 하고, 고친 로직은 검증 시험을 다시 거쳐야 운전에 올라갑니다.

세이프티 PLC는 일반 PLC의 I/O를 빌려 쓰지 않고 안전 전용 단자를 따로 둡니다. 진단 구조도 그 단자에 달린 선에 담겨 있습니다.

세이프티 PLC 시스템 구성

세이프티 PLC는 세이프티 CPU, 안전 입력, 안전 출력, 안전 네트워크의 네 요소로 이루어집니다. 이름은 일반 PLC와 비슷하지만, 넷 모두 정해진 일을 하면서 자기 쪽 고장을 찾는 기능을 함께 가집니다.

안전 신호로 쓸 수 있는 것은 이 안전 전용 입출력뿐입니다. 일반 I/O를 같은 랙에 섞어 두거나 확장 I/O를 붙여도 안전 입력이 늘지는 않습니다. 제품에 따라 이 넷을 유니트로 나누기도 하고(NX 시리즈), 한 본체에 모으기도 합니다(G9SP).

같은 컨트롤러 안에도 안전 기능에 쓰면 안 되는 단자와 데이터가 있습니다. G9SP에서는 테스트 출력과 표준 출력을 안전 출력으로 쓰는 것, 네트워크로 주고받는 데이터를 안전 데이터로 쓰는 것, LED 표시등을 안전 동작에 쓰는 것이 금지입니다.

배선도의 테스트 단자와 피드백 선 읽기

배선도에서 같은 기기가 두 번씩 나오는 것은 이중화(2채널) 때문입니다. 비상정지 스위치는 접점 두 개를 두 입력에 나눠 넣고, 요구 수준이 높으면 모터 전원도 접촉기 두 대를 거치게 합니다. 한쪽 접점이 붙어 버려도(용착) 다른 쪽이 회로를 끊을 수 있고, 두 채널을 비교하면 한쪽의 고장도 드러납니다.

단자는 안전 입력(Si), 안전 출력(So), 테스트 출력(T)으로 나뉘고, 그 선들이 맡는 진단은 아래 넷입니다(G9SP 운전 매뉴얼 기준). 넷째 줄의 EDM(External Device Monitoring, 외부 기기 감시)은 접촉기가 떨어져 있을 때 닫히는 B접점을 씁니다.

앞의 셋은 배선 자체를, EDM은 출력이 실제로 끊겼는지를 봅니다. 배선도에서 접촉기의 B접점을 입력으로 되돌리는 루프가 EDM입니다. 그래서 B접점 루프는 접촉기가 떨어져 있을 때 닫혀 있고, 운전 중에는 열려 있는 것이 정상입니다. 출력을 끈 뒤에도 B접점이 닫히지 않으면 컨트롤러는 출력을 다시 켜지 않습니다.

네 가지 진단이 한 대의 컨트롤러에서 어떻게 만나는지 구성 예로 보겠습니다. 비상정지 2개, 도어 스위치 2개, 라이트 커튼 1개, 리셋 1개를 받아 접촉기 2대를 끊습니다.

접점식인 비상정지와 도어 스위치는 테스트 출력을 거쳐 안전 입력으로 돌아오고, 반도체 출력인 라이트 커튼은 안전 입력에 바로 들어갑니다. 두 접촉기의 B접점은 직렬로 묶여 EDM 입력으로 돌아옵니다. 기종도 이 구성에서 정해집니다. 안전 입력 12점을 쓰므로 10점인 G9SP-N10S, N10D가 아니라 20점인 G9SP-N20S가 필요합니다.

모든 설비에 이만한 진단 구조가 필요하지는 않습니다. 어디까지 세이프티 PLC에 맡길지부터 정합니다.

세이프티 릴레이 회로와 나누는 기준

비상정지처럼 단순한 회로는 세이프티 PLC 없이 세이프티 릴레이 유니트로 구성할 수 있습니다. 오므론은 세이프티 PLC를 「세이프티 프로그래머블 컨트롤러」로 분류해 세이프티 릴레이 유니트와 나눠 둡니다. 안전 로직을 무엇으로 정하는지에 따라 나누면 아래와 같습니다.

아래로 갈수록 안전 로직이 배선에서 데이터로 옮겨 갑니다. 판단 기준은 안전 입력 기기의 수와 종류, 운전 모드에 따라 안전 로직이 달라지는지, 설비 변경이 잦은지, 안전 상태를 일반 PLC나 상위 시스템에 넘겨야 하는지의 넷입니다. 비상정지 하나와 도어 스위치 하나로 끝나는 설비라면 세이프티 PLC는 설정과 검증 절차만 늘릴 수 있습니다.

일반 PLC와 잇는 두 가지 방식

반송, 가공 시퀀스, HMI 연동 같은 일반 제어는 일반 PLC가 맡고, 세이프티 PLC는 안전 입력을 받아 안전 출력을 끕니다. 둘을 잇는 방식은 두 가지입니다.

통합형은 안전 신호를 전용 배선 대신 통신으로 보내므로 그 통신이 안전 통신 프로토콜로 정의된 경로인지를 확인해야 합니다. 비상정지(E-STOP) 신호를 안전 프로토콜이 없는 일반 Wi-Fi나 이더넷 통신(일반 I/O 통신, 태그 데이터 링크 등)에 맡기는 구성은 이 조건을 채우지 못합니다.

NX-SL3 세이프티 CPU 유니트는 FSoE 마스터, 세이프티 I/O 유니트는 FSoE 슬레이브로 동작해, EtherCAT 커플러 유니트 뒤 원격 랙의 세이프티 I/O 유니트까지 제어합니다. NX-SL5는 여기에 EtherNet/IP 위의 CIP Safety를 더해 설비와 설비 사이의 안전 통신까지 다룹니다.

EtherCAT 자체의 구조는 EtherCAT 통신 편에서 다룹니다.

안전 기능 하나를 인증된 펑션 블록 하나로 받아 조합합니다. 운전에 올린 프로그램을 고치는 절차도 일반 PLC와 크게 다릅니다.

안전 펑션 블록으로 프로그램 짜기

NX 시리즈는 Sysmac Studio에서 PLCopen 안전 FB를, G9SP는 Configurator에서 인증된 기능 블록을 골라 설정값과 연결을 정합니다. NX 시리즈 기준으로 FB는 입력 쪽과 출력 쪽으로 나뉩니다.

신호는 입력 FB에서 출력 FB로 흐릅니다. 배선도의 B접점 루프는 프로그램에서 SF_EDM의 피드백 입력으로 나타납니다.

FB마다 붙는 리셋 입력도 설계에서 정할 항목입니다. 컨트롤러 기동 때의 리셋(S_StartReset)과 비상정지 버튼을 푼 뒤의 리셋(S_AutoReset)은 기본값이 수동이고, 자동으로 바꾸면 버튼을 풀기만 해도 리셋됩니다. 자동 리셋은 그로 인해 어떤 위험도 생기지 않는다고 확인한 경우에만 써야 합니다.

안전 신호와 일반 신호는 데이터형으로 나뉩니다. 안전 데이터형(SAFEBOOL)의 신호를 표준 데이터형(BOOL) 변수로 넘기는 것은 되지만, 표준 신호를 안전 변수에 넣으면 빌드 에러가 납니다. 설비가 멈추면 안전 FB가 내보내는 진단 코드(DiagCode)로 어느 FB가 어떤 상태에서 출력을 껐는지 추적합니다.

프로그램 변경과 검증 절차

운전 중에는 안전 프로그램을 바로 고칠 수 없습니다. 절차는 G9SP 운전 매뉴얼을 기준으로 봅니다. NX 시리즈도 설비를 세우고 고친 뒤 검증 시험을 다시 하는 원칙은 같습니다. G9SP에서 운전을 시작한 뒤 설정 데이터를 바꾸려면 다음 여덟 단계를 밟습니다.

디바이스 비밀번호는 기본으로 설정돼 있지 않으므로, 도입 때 등록하고 누가 비밀번호를 갖는지 정해 둡니다.

안전 검증 시험에서는 비상정지를 눌렀을 때, 도어를 열었을 때, 라이트 커튼을 가렸을 때 안전 출력이 꺼지는지처럼 안전 기능마다 실제로 동작시켜 봅니다. NX 시리즈는 Sysmac Studio의 오프라인 시뮬레이션 자동 테스트와 온라인 기능 테스트로 이 과정을 돕고, 검증을 마쳤는지는 본체의 VALID 표시등으로 보여 줍니다.

세이프티 PLC 검토는 제품 선정보다 목록 정리에서 시작합니다. 아래 다섯 가지를 먼저 정리해 두면 세이프티 릴레이 유니트로 갈지 세이프티 PLC로 갈지, 그리고 어떤 구성으로 갈지가 드러납니다.

1. 안전 기능과 요구 수준
   위험성 평가로 정합니다. 요구 수준은 흔히 ISO 13849-1의 PL(성능 수준, a~e)과 카테고리(B, 1~4)로 나타내며, 현장에서 「안전 등급」이라고 부르는 것이 이것입니다. 세이프티 PLC를 썼다고 이 수준이 채워지지는 않습니다. 입력 기기, 배선, 접촉기까지 그 수준에 맞아야 회로 전체가 그 수준이 됩니다.
2. 안전 입력 기기
   기기마다 접점식인지 반도체 출력인지 구분합니다. 테스트 펄스 사용 여부와 2채널 배선이 여기서 정해집니다.
3. 차단할 출력 기기
   접촉기라면 강제 가이드 기구(미러 접점)가 있는지, 피드백용 B접점이 컨트롤러의 입력 전류(G9SP는 24 V DC 6 mA) 수준의 미소 부하를 확실히 개폐할 수 있는지 봅니다.
4. 일반 PLC와의 연결 방식
   상태만 넘기는 독립형인지, EtherCAT 위에서 FSoE로 묶는 통합형인지 정합니다.
5. 변경과 검증 담당
   누가 설비를 세우고 확정을 풀며, 누가 검증 시험을 하고 기록을 남기는지 정합니다.

입력 기기의 채널 수와 접촉기의 사양은 요구 수준에 따라 정해지기 때문에, 안전 기능과 요구 수준이 정해지지 않으면 나머지 네 가지를 정할 근거가 없습니다. 안전 입력 기기와 차단할 출력 기기를 적으면 기기 수와 운전 모드 수가 드러나, 릴레이 유니트와 세이프티 PLC 중 어느 쪽인지 보입니다.

연결 방식과 변경 담당은 제품 사양표에 나오지 않지만, 도입 뒤에 가장 오래 남는 부담이 여기서 생깁니다. 설계 단계에서 보전 담당과 함께 정해 둡니다.