보도를 걷는 배터리 — 당신 옆을 지나가는 팩에는 다른 기준이 필요하다

연재 1편 — 안전. 2편 무게(100kg 예산) · 3편 저온(가동률) · 4편 표준화(원가 구조)

통신(CAN)과 원격 제어 단자를 갖춘 로봇용 배터리팩. 이 팩은 사람 옆에서 작동한다.

이 배터리는 당신 옆을 지나간다

2023년 지능형로봇법과 도로교통법이 개정되면서 국내에서 실외 배달로봇은 '보행자'의 지위를 얻었습니다. 운행안전인증(한국로봇산업진흥원 KIRIA, 16종 시험)을 받은 로봇은 보도와 횡단보도를 다닐 수 있습니다. 제도적으로는 반가운 진전입니다.

그런데 배터리팩을 설계하는 사람의 눈으로 이 문장을 다시 읽으면, 조금 다른 의미가 됩니다.

리튬이온 배터리 수백 Wh~수 kWh가, 하루에 수십 번, 당신과 아이들 옆 30cm를 지나간다.

저는 10년 가까이 배터리팩을 설계하고 만들어 왔습니다. 그동안 다룬 응용은 전기차, 지게차, ESS, 골프카트, 로보틱스였습니다. 그런데 실외 배달로봇의 요구사항을 검토하면서, 이 응용이 기존의 어느 것과도 다른 범주에 있다는 결론에 이르렀습니다.

전기차 배터리 안전과는 질문이 다르다

전기차 배터리의 안전 논의는 대부분 사고 상황을 전제합니다. 충돌했을 때 터지지 않는가, 침수됐을 때 견디는가, 급속충전을 반복해도 열이 관리되는가. 규격도 그 방향으로 발달했습니다.

실외 배달로봇은 세 가지가 다릅니다.

첫째, 평상시에 사람과 붙어 있습니다. 사고가 나야 위험한 것이 아니라, 정상 운행 중에도 사람과 수십 센티미터 거리입니다. 안전의 기준선이 "사고 시 피해 최소화"에서 "평상시 무사고 보장"으로 올라갑니다.

둘째, 운전자가 없습니다. 전기차에는 이상한 냄새를 맡고, 경고등을 보고, 차를 세우는 사람이 있습니다. 로봇에는 없습니다. 이상을 발견해 줄 사람이 현장에 아무도 없다는 것은 배터리 관리 시스템(BMS)의 역할이 근본적으로 커진다는 뜻입니다.

셋째, 밖에 방치됩니다. 비와 눈과 영하의 새벽을 지나고, 연석에 부딪히고, 때로는 사람이 발로 차거나 열려고 시도합니다. 실제로 해외에서는 배달로봇의 도난·기물파손이 사업 리스크로 보고됩니다. 그래서 잠금 격실과 보안 장치를 추가하는데, 그 장치들이 다시 무게를 늘립니다. (이 무게 문제는 2편에서 다루겠습니다.)

그래서 등급이 달라야 합니다

조립 중인 팩 내부. 제어·지능 기판과 독립 안전 회로를 물리적으로 분리한다.

배터리 안전 표준은 크게 두 갈래입니다. 그리고 둘의 차이는 시험 항목 몇 개가 아니라 BMS를 무엇으로 보는가입니다.

IEC 62133 — 소비자용 표준. BMS를 '보호회로'로 봅니다. 전압·전류·온도가 한계를 넘으면 끊어 주는 장치입니다.

IEC 62619 — 산업용 표준. BMS를 '기능안전(Functional Safety) 시스템'으로 요구합니다. 즉 BMS 제어계통에 정식 기능안전 분석(IEC 61508 기반)을 수행하고, 위험분석을 거쳐 SIL(Safety Integrity Level) 목표를 스스로 설정한 뒤 그에 맞게 설계했음을 증명하라는 것입니다. 소프트웨어가 오작동하는 경우까지 가정해서 말입니다.

저희는 그 목표를 SIL 2로 설정해 설계 기준으로 삼고 있습니다. SIL 2는 안전기능의 위험고장 빈도를 시간당 10⁻⁶ 이하로 억제하고, 동시에 단일 고장으로 안전기능이 죽지 않는 구조(하드웨어 고장 허용도 HFT=1)를 갖추라는 요구입니다. 뒤에 설명할 2중 레이어 구조가 바로 이 조건을 만족시키기 위해 택한 설계입니다.

로봇은 크기가 작고 용량이 작으니 IEC 62133 수준으로 충분하다고 보는 시각이 있습니다. 저는 동의하지 않습니다. 판단 기준은 배터리의 크기가 아니라, 그 배터리가 실패할 때 누가 그 옆에 있는가입니다. 보도를 걷는 배터리는 IEC 62619, 즉 산업 설비 등급으로 다뤄야 합니다.

열폭주는 '막는 것'이 아니라 '옮겨붙지 않게 하는 것'

셀 사이를 잇는 버스바 용접. 전이 차단 설계는 이 간격과 접합에서 시작된다.

여기서 오해를 하나 풀어야 합니다.

리튬이온 셀의 열폭주 확률을 완전히 0으로 만들 수는 없습니다. 셀 내부 단락은 제조 공정의 미세한 편차와 사용 이력이 누적된 확률적 결과이기 때문입니다. 수십, 수백 개의 셀을 하나의 팩에 담는 순간 이 확률은 팩 단위로 합산됩니다.

그래서 현대 배터리 안전 설계의 핵심 질문은 "셀이 열폭주를 일으키지 않게 하는 법"이 아닙니다. "한 셀이 잘못돼도 옆 셀로 옮겨붙지 않게 하는 법"입니다. 이것을 전이(Thermal Runaway Propagation) 차단이라고 합니다.

표준이 이미 그 방향으로 정렬돼 있습니다. 북미 경량전기차 배터리 표준 UL 2271은 1kWh 이상 팩에 대해 열폭주 전이 시험을 의무화했고, 산업용 IEC 62619도 단일 셀 고장이 시스템 전체로 확산되지 않을 것을 요구합니다.

규제는 여기서 한 걸음 더 나갔습니다. 중국은 2026년 7월 발효된 전기차·동력배터리 강제표준 GB 38031-2025에서 발화·폭발 자체를 금지하는 수준으로 요구를 올렸습니다. 경고음을 울려 대피시키는 시대에서, 애초에 번지지 않게 만드는 시대로 넘어간 것입니다.

우리가 택한 구조 — "제어를 벗어나도 안전은 유지된다"

제가 이끄는 CTNS의 배터리팩은 안전 계층을 두 겹으로 물리적으로 분리합니다.

• 1차 계층(제어·지능) — 상태 추정, 밸런싱, 통신, 최적화를 담당하는 소프트웨어 영역
• 2차 계층(독립 안전) — 과전압·과전류·과온 같은 치명적 위험을 1차 소프트웨어와 무관하게 차단하는 하드와이어드 영역

핵심은 두 계층이 전원과 신호와 로직에서 독립이라는 점입니다. 1차의 똑똑한 판단이 틀리거나 멈춰도, 2차는 그대로 동작합니다. 저희는 이것을 "제어를 벗어나도 안전은 유지된다"는 원칙으로 부릅니다.

이 구조는 취향이 아니라 규격의 요구입니다. 기능안전 표준은 MCU처럼 복잡한 부품(Type B)으로 안전기능을 구현할 때, 이중화가 없으면 자기진단이 위험고장의 90% 이상을 잡아낸다는 것을 증명하라고 요구합니다. 대신 독립된 2계층으로 이중화하면 그 요구가 완화됩니다. 즉 2중 레이어는 SIL 2의 구조적 조건을 정공법으로 겨냥한 설계이고, 소비자용 보호회로와는 설계 사상 자체가 다릅니다.

덧붙이면, 팩 자체도 KC 안전인증(전기·열·기계 시험 + 공장검사 + 정기감독)을 받아야 하고, 운송 단계에서는 UN 38.3이 요구됩니다. 인증은 부담이지만, 이 목록을 미리 확보해 두면 고객의 개발 일정에서 3~6개월의 리드타임을 흡수해 줄 수 있습니다.

여기에 하나를 더 얹습니다. 운전자가 없는 응용이므로, 사람의 눈을 소프트웨어가 대신해야 합니다. 출하된 팩이 현장에서 보내오는 데이터를 실시간으로 읽어, 셀 편차와 내부저항의 추세를 보고 사고 이전에 신호를 잡는 것 — 저희에게 안전관제 소프트웨어는 마케팅 항목이 아니라 무인 응용의 안전 요건입니다.

남는 질문

출하를 기다리는 팩. 이 중 한 개의 실패도 산업 전체의 시간표를 밀 수 있다.

로봇 산업은 지금 원가 압박이 심합니다. 저가 하드웨어 경쟁이 실재하고, 배터리팩도 그 압박을 받습니다. 저는 그 현실을 부정하지 않습니다.

다만 하나는 분명히 하고 싶습니다.

보도를 걷는 배터리를 가전 부품처럼 취급하는 순간, 그 비용은 시장 전체가 지불합니다. 사고 한 건은 그 회사만의 문제로 끝나지 않습니다. 규제가 조여지고, 통행 허가가 회수되고, 산업 전체의 시간표가 밀립니다.

그래서 저는 이 질문을 업계에 남기고 싶습니다.

우리가 만드는 이 배터리는 가전입니까, 산업 설비입니까.

답에 따라 설계도가 달라집니다.

---

다음 편 예고 — 2편 「1kg이 배송 속도를 33% 깎는다」: 법이 정한 100kg의 무게 예산 안에서 용량을 30% 올리는 문제.

CTNS · Intelligent Battery Pack Platform Company · www.myctns.com