STATERA Library · Series 07 · Volume 01 · Chapter 08 · KR
Source: https://github.com/Statera-Library/07_Vol_01_Electrical_Architecture_Fundamentals/blob/main/Chapter_08_Redundancy_Design/Chapter_08_Redundancy_Design_KR.md
Volume 01. Electrical Architecture Fundamentals
Chapter 08. Redundancy Design
08.01. Power Redundancy
전원 이중화(Power Redundancy)는 주 전원 공급원(Primary Power Source), 전력 변환 단계(Power Conversion Stage), 배전 경로(Distribution Path) 또는 스위칭 장치(Switching Device)를 사용할 수 없게 되었을 때에도 필수적인 전기 기능(Electrical Function)을 유지하기 위한 아키텍처 설계 방식이다. 로보틱스(Robotics)와 피지컬 AI(Physical AI) 시스템에서 이중화는 단순한 연속 운전뿐만 아니라 전기적 고장 발생 시 제어된 동작, 안전 정지, 통신, 센싱 및 진단 기능까지 유지해야 한다.
이중 전원 아키텍처(Redundant Power Architecture)는 어떤 부하가 임무 필수 부하(Mission-Critical Load)이고 어떤 부하가 성능 저하 운전(Degraded Operation) 중 차단될 수 있는지를 식별하는 것에서 시작한다. 안전 제어기(Safety Controller), 제동 회로(Braking Circuit), 조향 또는 안정화 시스템, 필수 센서, 통신 게이트웨이 (Communication Gateway), 감독 컴퓨터(Supervisory Computer)는 보조 조명이나 탑재 장비, 비필수 컴퓨팅보다 높은 가용성(Availability)이 요구되는 경우가 많다. 이러한 분류에 따라 독립 전원 경로(Independent Power Path)가 필요한 위치가 결정된다.
가장 단순한 이중화 개념은 주 전원(Primary Source)과 백업 전원(Backup Source)을 제어된 전원 선택 회로(Power-Selection Circuitry)를 통해 연결하는 것이다. 백업 전원은 별도의 배터리, 보조 저전압 배터리(Auxiliary Low-Voltage Battery), 슈퍼커패시터 시스템(Supercapacitor System) 또는 독립형 DC 전원 공급장치가 될 수 있다. 하나의 고장난 전원이 정상 전원의 전압까지 떨어뜨리지 않도록 다이오드(Diode), 이상 다이오드 제어기(Ideal-Diode Controller), MOSFET 스위치, 릴레이(Relay), 접촉기(Contactor) 등의 절연 장치(Isolation Device)가 사용된다.
진정한 이중화(True Redundancy)는 단순히 두 개의 배터리를 설치하는 것만으로 달성되지 않는다. 두 전원이 동일한 퓨즈(Fuse), 커넥터(Connector), 버스바(Bus Bar), DC/DC 컨버터(DC/DC Converter), 접지 경로(Ground Path) 또는 전력 분배 장치(Power Distribution Unit)를 공유한다면 해당 요소가 단일 고장점(Single Point of Failure)이 될 수 있다. 따라서 아키텍처는 전원에서 부하까지 전체 경로를 평가해야 하며, 한 분기의 고장이 다른 이중화 분기를 비활성화하지 않도록 독립 분기(Independent Branch)를 충분한 범위까지 전기적으로 분리해야 한다.
전원 이중화는 액티브-액티브(Active-Active) 또는 액티브-대기(Active-Standby) 방식으로 구성할 수 있다. 액티브-액티브 아키텍처에서는 여러 전원 또는 컨버터가 동시에 전기 버스(Electrical Bus)를 지원하며 부하를 분담할 수 있다. 액티브-대기 아키텍처에서는 하나의 경로가 정상적으로 부하에 전력을 공급하고 다른 경로는 전환을 위해 대기한다. 액티브-액티브 방식은 보다 부드러운 전환을 제공할 수 있으며, 대기 방식은 부하 제어와 고장 격리(Fault Isolation)를 단순화할 수 있다.
고전압 배터리(High-Voltage Battery)가 저전압 전자장치(Low-Voltage Electronics)에 전력을 공급하는 시스템에서는 DC/DC 변환 이중화(Redundant DC/DC Conversion)가 특히 중요하다. 두 개의 컨버터가 하나의 공통 보호 저전압 버스(Common Protected Low-Voltage Bus)에 전력을 공급하거나 각각 독립적인 배전 분기를 담당할 수 있다. 하나의 컨버터 고장이 공통 전기 네트워크로 확산되지 않도록 전류 공유(Current Sharing), 역전류 차단(Reverse-Current Blocking), 출력 전압 허용오차, 기동 순서 및 고장 격리를 고려해야 한다.
배전 이중화(Distribution Redundancy)는 듀얼 버스(Dual Bus), 분할 버스(Segmented Bus) 또는 상호 연결 전력 도메인(Cross-Connected Power Domain)을 사용할 수 있다. 듀얼 버스 아키텍처에서는 중요한 부하를 절연된 입력을 통해 버스 A(Bus A)와 버스 B(Bus B)에 모두 연결하고 중요도가 낮은 부하는 하나의 버스에만 연결할 수 있다. 크로스 타이 스위치(Cross-Tie Switch)를 통해 고장 후 정상 전원이 다른 버스를 지원할 수 있지만, 잘못 제어하면 고장 영역과 정상 영역이 연결될 수 있으므로 신중한 제어가 필요하다.
연속 운전이 요구되는 이중화 부하(Redundant Load)는 가능하면 독립적인 전원 입력(Independent Power Input)을 지원해야 한다. 안전 제어기, 통신 게이트웨이 또는 고성능 컴퓨터(High-Performance Computer)는 서로 분리된 전원 공급 중 하나를 내부적으로 선택하는 듀얼 전원 입력 회로(Dual Power-Entry Circuit)를 가질 수 있다. 장비가 하나의 전원 입력만 제공한다면 외부 이중화 모듈(External Redundancy Module)이 전원을 선택할 수 있지만, 이 외부 선택기 자체가 또 다른 공통 고장점이 될 수 있으므로 함께 분석해야 한다.
고장 감지(Fault Detection)는 성공적인 이중화의 핵심 요소이다. 전압, 전류, 온도, 접촉기 상태, 퓨즈 상태, 절연 상태 및 컨버터 상태를 지속적으로 모니터링할 수 있다. 감독 제어기(Supervisory Controller)는 이러한 신호를 운전 한계값과 비교하여 각 전원 경로가 신뢰 가능한지를 판단할 수 있다. 감지 속도는 중요한 전원 레일(Power Rail)의 붕괴를 방지할 만큼 빨라야 하지만, 전환이 필요하지 않은 일시적인 교란(Transient Disturbance)은 구분할 수 있어야 한다.
전환 동작(Switchover Behavior)은 중요 부하 주변에서 사용할 수 있는 에너지 저장장치(Energy Storage)에 크게 영향을 받는다. 빠른 전자식 스위치조차 고장 감지와 전환에 유한한 시간이 필요하며 릴레이와 접촉기는 기계적인 동작으로 더 긴 시간이 필요할 수 있다. 로컬 커패시터(Local Capacitor), 홀드업 회로(Hold-Up Circuit), 전용 에너지 저장 모듈이 이러한 전력 공백을 보완할 수 있다. 저장 에너지는 전환 중 부하 전력과 허용 가능한 최대 전압 강하를 기준으로 계산해야 한다.
이중화는 완전한 전원 상실뿐만 아니라 과도 상태(Transient Condition)도 고려해야 한다. 모터, 서보 드라이브(Servo Drive), 펌프, 히터, GPU 및 기타 동적 부하(Dynamic Load)는 큰 전류 변화를 발생시켜 일시적으로 버스 전압을 낮출 수 있다. 정상적인 과도 현상이 발생할 때마다 백업 경로가 불필요하게 활성화되어서는 안 된다. 임계값, 필터링, 히스테리시스(Hysteresis), 타이밍 로직 및 부하 상태 정보를 이용하여 실제 전원 고장과 정상적인 동적 동작을 구분할 수 있다.
전원 경로 절연(Power-Path Isolation)은 보호 협조(Protection Coordination)와 밀접한 관계가 있다. 하나의 이중화 분기에서 단락(Short Circuit)이 발생하면 해당 로컬 퓨즈, 전자식 보호 장치 또는 회로 차단기(Circuit Breaker)가 다른 분기에 영향을 주기 전에 동작해야 한다. 따라서 보호 장치는 전류 정격과 트립 특성(Trip Characteristic)이 서로 조정되어야 한다. 선택적 보호(Selective Protection)가 없는 이중화에서는 하나의 하위 단락이 명목상 독립적인 두 전원을 모두 붕괴시킬 수 있다.
접지 아키텍처(Ground Architecture) 역시 이중화 분석에 포함되어야 한다. 양극 전원 경로를 두 개로 복제했다고 해서 자동으로 독립적인 전기 채널이 만들어지는 것은 아니다. 공유 접지 도체, 섀시 연결, 리턴 커넥터(Return Connector), 접지 접속점은 공통 고장 메커니즘(Common Failure Mechanism)을 발생시킬 수 있다. 중요 회로에는 독립적으로 배선된 리턴 경로나 신중하게 설계된 접지 구조가 필요할 수 있으며, 동시에 EMC, 차폐(Shielding), 등전위 본딩(Equipotential Bonding) 및 전기 안전 요구사항도 충족해야 한다.
물리적 분리(Physical Separation)는 이중화 채널의 효과를 향상시킨다. 두 개의 전기 경로가 동일한 커넥터, 하네스 번들(Harness Bundle), 인클로저(Enclosure) 또는 고온 영역을 통과한다면 기계적 충격, 수분 침투, 과열, 마모 또는 화재에 의해 동시에 손상될 수 있다. 위험 수준에 따라 이중 전원 공급 경로는 공통 원인 고장(Common-Cause Failure)을 줄이기 위해 서로 분리된 커넥터, 배선 경로, 보호 장치 및 배전 영역을 사용해야 한다.
배터리 이중화(Battery Redundancy)는 배터리마다 충전 상태(State of Charge), 전압, 온도, 내부 저항 및 건전 상태(State of Health)가 다를 수 있기 때문에 추가적인 제어가 필요하다. 상태가 서로 다른 배터리 팩을 직접 병렬 연결하면 제어되지 않는 평형 전류(Equalization Current)가 발생할 수 있다. 따라서 배터리 관리 시스템(Battery Management System)과 전원 경로 제어기(Power-Path Controller)는 연결, 프리차지(Precharge), 절연, 충전, 고장 감지 및 허용 전류를 조정하고 성능이 저하된 배터리가 정상 전원에 영향을 주지 않도록 해야 한다.
모바일 로봇(Mobile Robot)에서 이중화가 반드시 모든 액추에이터(Actuator)를 최대 성능으로 계속 작동시켜야 한다는 의미는 아니다. 전원 고장이 발생하면 시스템은 대신 성능 저하 운전 모드(Degraded Operating Mode)로 전환할 수 있다. 탑재 장비를 차단하고, 가속도를 제한하고, 컴퓨팅 전력을 줄이며, 비필수 센서를 비활성화하여 남아 있는 에너지를 조향, 제동, 위치 추정(Localization), 통신 또는 제어된 복귀에 사용할 수 있다. 따라서 이중화는 부하 차단(Load Shedding) 및 에너지 관리(Energy Management)와 밀접하게 연결된다.
피지컬 AI(Physical AI) 플랫폼에서는 AI 컴퓨팅(AI Computing)이 상당하면서도 동적으로 변화하는 전력을 소비하기 때문에 이러한 우선순위 결정이 특히 중요하다. 안전 관련 제어 기능의 전원을 제거하기 전에 GPU 또는 가속기(Accelerator)의 워크로드를 감소시킬 수 있다. 전기 아키텍처는 인지(Perception)와 AI 기능의 성능 저하가 결정론적 저수준 제어(Deterministic Low-Level Control)를 의도하지 않게 중단시키지 않도록 해야 한다. 따라서 전력 도메인(Power Domain)은 AI 연산, 실시간 제어(Real-Time Control), 안전 실행(Safety Execution) 사이의 기능적 계층 구조를 반영할 수 있다.
실용적인 이중 전원 아키텍처에는 소프트웨어와의 전원 상태 조정(Power-State Coordination)도 필요하다. 전기 시스템은 전원 상태, 잔여 백업 용량, 컨버터 고장 및 성능 저하 운전 상태를 상위 제어기에 전달해야 한다. 소프트웨어는 사용 가능한 전기적 능력에 따라 임무 동작을 변경할 수 있다. 반대로 소프트웨어 명령이 남아 있는 전력 예비량을 위협할 경우 전기 제어기는 독립적으로 하드웨어 수준의 보호 기능을 수행할 수 있다.
기동 및 종료 순서(Startup and Shutdown Sequence) 역시 이중화를 고려하여 설계해야 한다. 여러 전원과 컨버터를 사용하는 경우 서로 다른 전원 레일이 서로 다른 시점에 상승하거나 하강하면서 예상하지 못한 역급전(Backfeeding)이 발생할 수 있다. 따라서 제어기, 통신 인터페이스, 센서 및 전원 스위치는 정의된 시퀀싱 상태를 견딜 수 있어야 한다. 비활성화된 분기가 다른 모듈이나 통신 인터페이스를 통해 계속 통전되는 것을 방지하기 위해 제어된 방전(Controlled Discharge)과 절연도 중요하다.
진단 범위(Diagnostic Coverage)는 제품 수명 전체에 걸쳐 이중화 기능이 유효하게 유지되는지를 결정한다. 한 번도 시험되지 않은 백업 전원은 고장이 발생해도 발견되지 않은 상태로 유지되다가 주 전원까지 고장난 후에야 문제가 드러날 수 있다. 주기적인 자체 시험(Self-Test)을 통해 배터리 상태, 컨버터 출력, 스위칭 장치, 센싱 회로 및 통신 경로를 확인할 수 있다. 유지보수 정보는 잠재 고장(Latent Fault)을 표시하여 또 다른 독립 고장이 발생하기 전에 이중화 기능을 복구할 수 있도록 해야 한다.
이중화 설계에서는 독립 고장(Independent Failure)과 공통 원인 고장(Common-Cause Failure)을 구분해야 한다. 동일한 위치에 설치된 두 개의 동일한 컨버터는 같은 온도 상승, 제조 결함, 소프트웨어 오류 또는 과전압 사건에 동시에 영향을 받을 수 있다. 부품 종류, 제어 방식, 배선 경로, 물리적 위치 또는 전원 공급원의 다양성(Diversity)은 일부 공통 원인 위험을 줄일 수 있지만, 이러한 다양성은 엔지니어링, 검증, 유지보수 및 구성 관리의 복잡성도 증가시킨다.
따라서 필요한 이중화 수준(Redundancy Level)은 보편적인 규칙이 아니라 시스템 위험도(System Risk)를 기준으로 결정해야 한다. 중요하지 않은 보조 기능에는 하나의 보호 전원을 사용할 수 있지만 안전 필수 또는 임무 필수 기능에는 이중 전원, 이중 컨버터, 독립 배전 경로, 보호 스위칭 및 지속적인 진단이 필요할 수 있다. 과도한 중복 설계는 질량, 비용, 배선, 열 부하 및 고장 가능성을 증가시키므로 전원 상실이 허용할 수 없는 결과를 만드는 영역을 중심으로 이중화를 적용해야 한다.
이중 전원 아키텍처의 검증(Verification)에는 의도적인 고장 주입(Fault Injection)이 포함되어야 한다. 엔지니어는 시스템 동작을 관찰하면서 전원을 분리하고, 퓨즈를 개방하고, 보호된 분기에 단락을 발생시키며, 컨버터를 비활성화하고, 저전압(Undervoltage)을 인가하거나 스위칭 장치 고장을 모사할 수 있다. 시험은 백업 배터리가 연결되어 있다는 사실뿐만 아니라 고장 격리, 전환 시간, 전압 안정성, 진단 보고, 부하 차단, 성능 저하 운전 및 복구 기능을 확인해야 한다.
전원 이중화(Power Redundancy)는 궁극적으로 가용성(Availability), 고장 격리(Fault Containment), 보호 협조(Protection Coordination), 에너지 저장(Energy Storage), 진단(Diagnostics), 시스템 수준 제어(System-Level Control)를 결합하는 설계 개념이다. 견고한 아키텍처는 하나의 전기적 고장이 즉시 전체 로봇의 고장으로 확대되지 않도록 한다. 더 중요한 것은 필수 기능을 유지하고 정의된 성능 저하 상태로 전환하거나 제어되고 안전한 상태에 도달하기 위한 충분한 전기적 능력을 시스템에 제공하는 것이다.
08.02. Communication Redundancy
통신 이중화(Communication Redundancy)는 네트워크 링크(Network Link), 통신 제어기(Communication Controller), 스위치(Switch), 게이트웨이(Gateway), 케이블(Cable), 커넥터(Connector) 또는 프로토콜 경로(Protocol Path)를 사용할 수 없게 되었을 때에도 필수적인 데이터 교환(Essential Data Exchange)을 유지하기 위한 아키텍처 설계 방식이다. 로보틱스(Robotics)와 피지컬 AI(Physical AI) 시스템에서는 통신 가용성(Communication Availability)이 센싱, 제어, 협조, 진단 및 안전에 직접적인 영향을 미치므로 네트워크 고장이 즉시 전체 시스템 고장으로 확대되지 않도록 격리해야 한다.
이중 통신 아키텍처(Redundant Communication Architecture)는 어떤 메시지와 인터페이스가 안전 및 임무 필수 운전(Safe and Mission-Critical Operation)에 필요한지를 식별하는 것에서 시작한다. 비상 명령(Emergency Command), 액추에이터 제어(Actuator Control), 안전 상태, 위치 추정(Localization) 정보, 동기화 데이터(Synchronization Data), 중요 센서 메시지는 일반적으로 유지보수 로그나 비필수 텔레메트리(Telemetry)보다 높은 가용성을 요구한다. 이러한 분류에 따라 링크, 인터페이스, 스위치, 게이트웨이 또는 네트워크의 이중화가 필요한 위치가 결정된다.
물리적 이중화(Physical Redundancy)는 중요한 노드(Node) 사이에 여러 개의 독립적인 전송 경로(Independent Transmission Path)를 제공한다. 하나의 제어기는 두 개의 이더넷 스위치(Ethernet Switch), 두 개의 CAN 채널(CAN Channel) 또는 두 개의 독립적인 통신 백본(Communication Backbone)에 연결될 수 있다. 케이블 손상, 커넥터 고장, 트랜시버(Transceiver) 이상 또는 스위치 고장으로 하나의 경로를 사용할 수 없게 되더라도 대체 경로를 통해 통신을 유지할 수 있다. 두 경로에는 단일 고장점(Single Point of Failure)이 될 수 있는 공통 구성요소를 가능한 한 배제해야 한다.
이중화 네트워크(Redundant Network)는 액티브-액티브(Active-Active) 또는 액티브-대기(Active-Standby) 구성으로 동작할 수 있다. 액티브-액티브 통신에서는 여러 경로가 동시에 트래픽(Traffic)을 전달하여 부하 분산과 빠른 고장 대응을 제공할 수 있다. 액티브-대기 통신에서는 일반적으로 하나의 주 경로(Primary Path)를 사용하고 다른 경로는 전환을 위해 대기한다. 적절한 구성은 대역폭(Bandwidth), 결정론적 동작(Deterministic Behavior), 전환 시간, 네트워크 복잡성 및 요구 가용성에 따라 결정된다.
통신 이중화는 단순히 케이블을 복제하는 것이 아니라 전체 종단 간 경로(End-to-End Path)를 고려해야 한다. 두 개의 네트워크 케이블이 동일한 고장난 스위치나 통신 제어기에 연결되어 있다면 완전한 독립성을 제공하지 못한다. 효과적인 이중화를 위해서는 별도의 트랜시버, 커넥터, 스위치, 게이트웨이, 전원 공급장치, 소프트웨어 인터페이스 및 라우팅 경로(Routing Path)가 필요할 수 있다. 공통 고장이 두 채널을 동시에 비활성화하지 않도록 아키텍처의 충분한 범위까지 독립성을 유지해야 한다.
CAN 기반 시스템(CAN-Based System)은 중요한 제어 기능을 위해 독립적인 CAN 버스(CAN Bus)를 구성하여 이중화를 구현할 수 있다. 제어기는 서로 다른 물리적 네트워크에 연결된 두 개의 CAN 인터페이스를 사용하여 하나의 채널이 고장난 이후에도 중요한 메시지를 유지할 수 있다. CAN 이중화는 메시지 중복(Message Duplication), 버스 오프(Bus-Off) 상태, 중재 동작(Arbitration Behavior), 오류 처리, 게이트웨이 의존성 및 어떤 통신 채널을 신뢰할 것인지 결정하는 로직을 함께 고려해야 한다.
산업용 로봇 시스템(Industrial Robotic System)에서도 시스템 요구사항에 따라 CANopen, EtherCAT, PROFINET, EtherNet/IP 또는 기타 산업용 네트워크(Industrial Network)에 이중화를 적용할 수 있다. 구체적인 이중화 메커니즘은 프로토콜과 구현 방식에 따라 달라지지만 아키텍처의 목적은 동일하다. 하나의 통신 채널에 장애가 발생하더라도 다른 사용 가능한 경로를 통해 필수적인 제어, 모니터링 또는 안전 상태 전환(Safe-State Transition)을 유지할 수 있어야 한다.
이더넷 기반 로보틱스 아키텍처(Ethernet-Based Robotics Architecture)는 스위치, 네트워크 인터페이스 제어기(Network Interface Controller), 링크 및 라우팅 경로를 복제함으로써 추가적인 이중화 구성을 제공할 수 있다. 엣지 컴퓨터(Edge Computer), AI 컴퓨터(AI Computer), 실시간 제어기(Real-Time Controller), 센서 처리 장치(Sensor-Processing Unit)는 독립적인 네트워크 세그먼트(Network Segment)에 연결된 여러 이더넷 인터페이스를 사용할 수 있다. 이중 이더넷 설계에서는 스위칭 동작, 주소 관리, 멀티캐스트 트래픽(Multicast Traffic), 혼잡(Congestion), 시간 동기화 및 토폴로지 변경 이후의 복구를 고려해야 한다.
로보틱스 통신(Robotics Communication)은 하나의 버스만 사용하는 것이 아니라 여러 네트워크 기술에 걸쳐 구성되는 경우가 많다. 피지컬 AI 플랫폼에서는 저수준 제어기(Low-Level Controller)와 모터 드라이브(Motor Drive) 사이에 CAN 또는 CANopen을 사용하고, 실시간 제어기, 엣지 컴퓨터, 센서 및 AI 컴퓨팅 플랫폼 사이에는 이더넷을 사용할 수 있다. 따라서 특히 결정론적 제어 네트워크(Deterministic Control Network)와 고대역폭 컴퓨팅 네트워크(High-Bandwidth Computing Network) 사이에서 정보를 변환하거나 전달하는 게이트웨이 구간을 포함하여 네트워크 경계를 넘는 이중화를 고려해야 한다.
통신 도메인(Communication Domain)이 중앙 게이트웨이에 의존하는 경우 게이트웨이 이중화(Gateway Redundancy)가 중요해진다. CAN, 산업용 이더넷, 일반 이더넷 또는 기타 네트워크를 연결하는 하나의 중앙 게이트웨이는 중요한 단일 고장점이 될 수 있다. 듀얼 게이트웨이(Dual Gateway) 또는 분산 라우팅 기능(Distributed Routing Function)을 사용하면 가용성을 높일 수 있지만, 정상 운전과 성능 저하 운전 중에 중복 명령, 라우팅 루프(Routing Loop), 상태 충돌 또는 일관되지 않은 전달 동작이 발생하지 않도록 조정해야 한다.
센서 통신 이중화(Sensor Communication Redundancy)는 센서 이중화(Sensor Redundancy)와 통신 경로 이중화를 구분해야 한다. 두 개의 센서가 동일한 스위치나 케이블 트렁크(Cable Trunk)에 연결되어 있다면 하나의 네트워크 고장으로 두 센서를 모두 사용할 수 없게 될 수 있다. 반대로 하나의 센서가 두 개의 독립 인터페이스를 가지고 있다면 링크 고장은 견딜 수 있지만 센싱 소자(Sensing Element) 자체의 고장은 견딜 수 없다. 따라서 견고한 아키텍처에서는 센서 이중화와 통신 이중화를 서로 연관되어 있지만 별개의 메커니즘으로 평가해야 한다.
통신 이중화에는 신뢰할 수 있는 고장 감지(Fault Detection)도 필요하다. 제어기는 링크 상태(Link State), 메시지 카운터(Message Counter), 통신 타임아웃(Communication Timeout), 순환 중복 검사(Cyclic Redundancy Check) 오류, 하트비트 메시지(Heartbeat Message), 버스 오류 카운터, 패킷 손실(Packet Loss), 지연시간(Latency) 및 동기화 상태를 모니터링할 수 있다. 이러한 지표를 통해 채널이 정상인지, 성능이 저하되었는지, 간헐적인 장애가 있는지 또는 완전히 사용할 수 없는지를 판단할 수 있다. 고장 감지 임계값은 대응이 지나치게 늦어지거나 일시적인 교란으로 불필요한 전환이 발생하지 않도록 설정해야 한다.
하트비트(Heartbeat)와 워치독(Watchdog) 메커니즘은 분산 로봇 제어기(Distributed Robotic Controller)에 특히 유용하다. 각 노드는 주기적으로 상태 정보를 전송하여 다른 제어기가 해당 노드의 동작 여부와 통신 상태를 확인할 수 있도록 한다. 메시지가 누락되거나 지연되면 진단 동작 또는 페일오버(Failover)를 시작할 수 있다. 그러나 하트비트가 사라졌다는 사실만으로 제어기, 통신 링크, 스위치, 게이트웨이 또는 전원 공급장치 중 어느 부분에서 고장이 발생했는지를 항상 식별할 수 있는 것은 아니므로 추가적인 진단 정보가 필요할 수 있다.
전환 로직(Switchover Logic)은 고장난 통신 경로에서 대체 경로로 시스템이 어떻게 전환되는지를 결정한다. 이러한 전환은 하드웨어, 네트워크 인프라(Network Infrastructure), 통신 미들웨어(Communication Middleware) 또는 응용 소프트웨어(Application Software)에 의해 제어될 수 있다. 중요 시스템에서는 감지 시간, 고장 확인 조건, 경로 선택, 메시지 동기화 및 복구 동작을 정의하는 결정론적 규칙이 필요하다. 목적은 통신 중단으로 인해 제어되지 않은 액추에이터 명령이나 일관되지 않은 시스템 상태가 발생하는 것을 방지하는 것이다.
메시지 중복 전송(Message Duplication)은 전환 지연(Switchover Delay)을 줄이는 방법 중 하나이다. 중요 정보를 두 개의 독립 채널을 통해 동시에 전송하여 수신기가 먼저 도착한 유효 메시지를 사용하거나 두 메시지를 비교할 수 있다. 시퀀스 카운터(Sequence Counter), 타임스탬프(Timestamp), 송신원 식별자(Source Identifier), 무결성 검사(Integrity Check)를 이용하면 동일한 명령이 중복 실행되는 것을 방지할 수 있다. 이 방식은 빠른 고장 허용성(Fault Tolerance)을 제공하지만 대역폭 사용량이 증가하며 지연되거나 순서가 변경된 메시지를 신중하게 처리해야 한다.
현대의 로봇 시스템은 동기화된 센서 및 제어 데이터에 의존하는 경우가 많기 때문에 네트워크 고장 중에도 시간 동기화(Time Synchronization)를 유지해야 한다. 카메라, 라이다(LiDAR), 관성 측정 장치(IMU), 제어기 및 분산 컴퓨터는 센서 융합(Sensor Fusion)과 협조된 실행을 위해 공통 시간 기준(Common Time Reference)을 필요로 할 수 있다. 주 동기화 경로가 고장날 경우 이중화된 클록 소스(Clock Source), 대체 동기화 경로 또는 제어된 홀드오버(Controlled Holdover) 메커니즘을 통해 허용 가능한 시간 정확도를 유지할 수 있다.
논리적으로 이중화된 네트워크도 동일한 환경적 위험을 공유할 수 있으므로 물리적 분리(Physical Separation)가 중요하다. 두 케이블이 동일한 하네스 번들(Harness Bundle), 커넥터, 케이블 체인(Cable Chain) 또는 기계적으로 취약한 영역을 통과하면 동시에 손상될 수 있다. 통신 가용성이 중요한 경우 충격, 마모, 열, 수분 또는 전자기적 교란으로 발생하는 공통 원인 고장(Common-Cause Failure)을 줄이기 위해 이중 채널의 배선 경로, 커넥터, 스위치 위치 및 전력 도메인(Power Domain)을 적절히 분리해야 한다.
전원 이중화(Power Redundancy)와 통신 이중화는 강하게 연결되어 있다. 두 개의 이중화 네트워크 스위치가 동일한 비보호 전원 레일(Unprotected Power Rail)에 연결되어 있다면 해당 전원이 상실될 때 두 스위치가 동시에 고장날 수 있다. 마찬가지로 복제된 통신 제어기가 하나의 DC/DC 컨버터나 퓨즈를 공유할 수도 있다. 따라서 통신 이중화 분석에는 스위치, 게이트웨이, 트랜시버, 제어기 및 센서에 전력을 공급하는 전원까지 포함하여 공유된 전기적 고장이 네트워크의 독립성을 무력화하지 않도록 해야 한다.
이중 통신 경로를 설치할 때는 전자기 적합성(Electromagnetic Compatibility, EMC)도 고려해야 한다. 모터 드라이브, 인버터(Inverter), 스위칭 전력 변환기(Switching Power Converter), 대전류 케이블 및 빠르게 스위칭되는 액추에이터는 통신 네트워크에 간섭을 발생시킬 수 있다. 이중 채널을 서로 가깝게 배선하면 동일한 전자기 간섭(Electromagnetic Interference, EMI)의 영향을 받을 수 있다. 적절한 분리, 차폐, 접지, 종단(Termination), 필터링, 케이블 선정 및 네트워크 진단을 통해 하나의 공통 교란이 두 통신 경로에 동시에 영향을 미치는 것을 방지해야 한다.
통신 장애가 항상 시스템의 즉각적인 정지를 요구하는 것은 아니다. 시스템은 대역폭을 많이 사용하는 트래픽이나 비필수 트래픽을 줄이고 중요한 제어 및 안전 메시지에 우선순위를 부여하는 성능 저하 통신 모드(Degraded Communication Mode)로 전환할 수 있다. 고해상도 센서 스트리밍, 로깅(Logging), 원격 시각화 또는 클라우드 통신을 제한하여 남아 있는 네트워크 용량을 위치 추정, 모션 제어(Motion Control), 안전 상태 및 필수 감독 명령에 사용할 수 있다.
피지컬 AI 시스템은 AI 워크로드와 결정론적 제어가 서로 다른 통신 특성을 가지므로 이러한 계층적 접근 방식(Hierarchical Approach)의 이점을 특히 크게 얻을 수 있다. 카메라와 라이다는 인지(Perception)를 위해 고대역폭 데이터를 생성하는 반면 모터 제어기는 상대적으로 작은 크기이지만 시간에 민감한 제어 메시지를 교환한다. 따라서 독립적인 실시간 통신 채널이 정상적으로 유지되어 정의된 안전 동작이나 성능 저하 동작을 수행할 수 있다면 AI 중심 이더넷 경로의 고장이 자동으로 저수준 모션 제어까지 중단시켜서는 안 된다.
진단 기능(Diagnostics)은 주 트래픽을 전달하지 않는 대기 상태에서도 이중화 채널이 정상적으로 동작하는지를 지속적으로 확인해야 한다. 한 번도 시험되지 않은 대기 네트워크(Standby Network)는 잠재 고장(Latent Fault)이 발생하더라도 실제 페일오버가 필요할 때까지 발견되지 않을 수 있다. 주기적인 링크 검사, 시험 메시지, 인터페이스 진단, 스위치 모니터링, 게이트웨이 상태 보고 및 통신 통계를 이용하면 또 다른 독립 고장이 발생하기 전에 이러한 잠재 고장을 발견할 수 있다.
통신이 복구된 이후에도 제어된 복구 동작(Controlled Recovery)이 필요하다. 링크가 다시 연결되자마자 선호되는 주 네트워크로 자동 복귀하면 간헐적 고장이 존재할 경우 반복적인 전환이 발생할 수 있다. 히스테리시스(Hysteresis), 안정화 타이머(Stability Timer), 상태 검증(Health Verification), 제어된 재통합(Controlled Reintegration)을 사용하면 네트워크가 반복적으로 전환되는 현상을 방지할 수 있다. 일부 시스템은 유지보수 주기 또는 사전에 정의된 복구 조건이 완료될 때까지 정상적인 백업 경로를 계속 사용할 수도 있다.
통신 이중화는 의도적인 고장 주입(Fault Injection)과 네트워크 교란 시험(Network Disturbance Testing)을 통해 검증해야 한다. 엔지니어는 시스템 동작을 관찰하면서 케이블을 분리하고, 인터페이스를 비활성화하고, 스위치 전원을 차단하고, 게이트웨이 경로를 차단하며, 패킷 손실이나 지연시간을 발생시키고, 동기화를 중단하거나 버스 오류를 강제로 발생시킬 수 있다. 검증에서는 고장 감지, 격리, 전환 시간, 메시지 연속성, 성능 저하 운전, 진단, 복구 및 안전 상태 동작을 확인해야 한다.
필요한 통신 이중화 수준(Redundancy Level)은 통신 상실로 발생하는 결과에 따라 결정된다. 중요하지 않은 텔레메트리는 일시적인 통신 중단을 허용할 수 있지만 제동, 조향, 안정화, 안전 센싱 또는 협조된 액추에이터 제어는 독립적인 통신 채널과 결정론적 페일오버가 필요할 수 있다. 지나친 중복은 배선, 인터페이스, 소프트웨어 복잡성, 네트워크 관리 작업 및 검증 비용을 증가시키므로 기능적 위험(Functional Risk)과 가용성 요구사항에 따라 필요한 영역에 선택적으로 이중화를 적용해야 한다.
통신 이중화(Communication Redundancy)는 궁극적으로 독립 네트워크 경로(Independent Network Path), 고장 감지(Fault Detection), 결정론적 전환(Deterministic Switchover), 메시지 무결성(Message Integrity), 시간 동기화(Time Synchronization), 물리적 분리(Physical Separation), 진단(Diagnostics), 성능 저하 운전 전략(Degraded-Operation Strategy)을 결합하는 설계 개념이다. 견고한 아키텍처는 하나의 통신 고장이 중요한 제어기를 즉시 고립시키거나 제어 권한(Control Authority)을 상실하게 하지 않는다. 대신 시스템이 안전한 운전을 지속하거나 기능을 제어된 방식으로 축소하거나 정의된 안전 상태(Safe State)로 전환할 수 있을 만큼 필수 정보 흐름을 유지하도록 한다.
08.03. Sensor Redundancy
센서 이중화(Sensor Redundancy)는 개별 센서, 센싱 채널(Sensing Channel), 인터페이스, 전원 공급장치 또는 처리 경로(Processing Path)를 사용할 수 없거나 신뢰할 수 없게 되었을 때에도 신뢰성 있는 인지(Perception)와 상태 추정(State Estimation)을 유지하기 위한 아키텍처 설계 방식이다. 로보틱스(Robotics)와 피지컬 AI(Physical AI) 시스템에서 센서는 물리적 환경과 컴퓨팅 지능(Computational Intelligence)을 연결하므로, 센서 고장이 안전하지 않거나 제어되지 않는 동작으로 이어지기 전에 이를 감지하고 관리해야 한다.
이중 센서 아키텍처(Redundant Sensor Architecture)는 제어, 위치 추정(Localization), 인지 및 안전에 필수적인 물리량(Physical Quantity)을 식별하는 것에서 시작한다. 위치, 속도, 가속도, 자세(Orientation), 장애물 거리, 휠 속도, 관절 위치, 힘, 온도 및 환경 정보는 서로 다른 중요도(Criticality)를 가질 수 있다. 따라서 필요한 이중화 수준은 모든 센서를 단순히 복제하는 것이 아니라 각각의 측정값을 상실했을 때 발생하는 결과에 따라 결정해야 한다.
가장 단순한 형태의 이중화는 동일한 물리량을 측정하는 두 개의 센서를 사용하는 것이다. 듀얼 휠 엔코더(Dual Wheel Encoder), 듀얼 조향각 센서(Dual Steering-Angle Sensor), 이중 위치 센서 또는 복제된 관성 측정 장치(IMU)는 하나의 채널이 고장난 후에도 측정 기능을 지속할 수 있다. 그러나 동일한 환경에 노출된 동일 종류의 센서는 공통 고장 메커니즘(Common Failure Mechanism)을 공유할 수 있으므로 단순한 복제만으로 완전한 고장 허용성(Fault Tolerance)이나 독립적인 측정 능력을 보장할 수는 없다.
삼중 이중화(Triple Redundancy)는 다수결 투표(Majority Voting)를 통해 추가적인 진단 능력을 제공할 수 있다. 세 개의 독립 센서가 동일한 물리량을 측정하면 시스템은 각 센서의 출력을 비교하여 나머지 두 센서와 크게 다른 채널을 식별할 수 있다. 이 방식은 하나의 센서 고장 이후에도 지속적인 운전이 필요한 경우 유용하지만 하드웨어, 배선, 보정(Calibration), 연산, 패키징(Packaging) 및 검증의 복잡성을 증가시킨다.
분석적 이중화(Analytical Redundancy)는 반드시 동일한 하드웨어를 복제하지 않고도 사용할 수 있는 또 다른 접근 방식이다. 측정값을 다른 센서, 시스템 동역학(System Dynamics) 또는 수학적 모델(Mathematical Model)에서 계산된 추정값과 비교할 수 있다. 예를 들어 휠 속도를 추정 차량 속도와 비교하거나 IMU 측정값을 엔코더, 조향 또는 위치 추정 정보와 비교
![Electrical Architecture Fundamentals — Ch.08: Redundancy Design [KR] 대표 이미지](/api/thumb?u=https%3A%2F%2Fmedia2.dev.to%2Fdynamic%2Fimage%2Fwidth%3D800%252Cheight%3D%252Cfit%3Dscale-down%252Cgravity%3Dauto%252Cformat%3Dauto%2Fhttps%253A%252F%252Fdev-to-uploads.s3.us-east-2.amazonaws.com%252Fuploads%252Farticles%252F6bq5e6u07ebvsfhb69id.png&w=640&s=kafsDh-XM4EVuozkSjrKsWXO)
