전신 로봇 제어에서 계층 분리가 만드는 실시간 안전 정지 구조

전신이 움직이면 실패의 의미가 달라진다

Google DeepMind는 Gemini Robotics 2를 통해 상체 조작에 한정됐던 범위를 발끝부터 손끝까지의 전신 제어로 확장했다. 휴머노이드는 걷고, 웅크리고, 몸을 뻗으며 어질러진 공간을 정리하는 작업을 수행한다.

팔만 움직이는 환경에서는 실패가 물건을 떨어뜨리는 일로 끝날 수 있다. 전신 제어에서는 전도와 충돌이 곧 물리적 피해가 된다. 그래서 성능 향상보다 먼저 다뤄야 할 문제는 제어 주기와 안전 정지다.

모델 구성은 표준 VLA(Vision-Language-Action) 모델, 체화 추론을 위한 Gemini Robotics ER 2, 온디바이스 실행용 On-Device 2의 3종이다. 이 구성은 수 분 동안 이어지고 수백 개의 판단을 포함하는 긴 작업 시퀀스를 수행하며, 모델은 작업의 시작과 종료도 인식한다.

전신 제어의 안전은 다음 역할을 한 경로에 몰아넣지 않는 데서 출발한다.

고수준 모델은 무엇을 할지 판단한다.
저수준 제어는 균형을 어떻게 유지할지 담당한다.
근접 충돌 회피와 비상 정지는 계획 판단을 기다리지 않고 작동해야 한다.

모델의 계획과 균형 제어를 분리하는 이유

계획 계층이 내보내야 하는 것은 관절 토크가 아니라 목표 자세나 궤적이다. 모델의 추론 지연이 자세 제어까지 전파되지 않도록 추상화 수준을 나누는 방식이다.

저수준 제어 루프는 결정론적 주기로 실행돼야 한다. 평균 주기가 안정적이라는 사실만으로는 부족하며, 안전 지표는 최악 주기다. 주기를 지키지 못한 경우를 실패로 감시해야 균형 제어가 최선 노력 방식에 머무르지 않는다.

자세 유지 역시 작업 수행보다 우선해야 한다. 작업 목표와 균형 요구가 부딪힐 때 어떤 쪽을 택할지 중재 규칙을 명시하지 않으면, 작업을 끝내려는 동작이 전도로 이어질 수 있다.

근접 센서가 충돌 위험을 감지했을 때는 계획 계층을 우회해 회피가 직접 개입해야 한다. 모델의 판단을 기다리기에는 늦을 수 있기 때문이다. 이 개입은 단순한 예외 처리로 끝내지 않고 이벤트로 기록해 작업 공간 설계 문제를 되짚는 단서로 쓴다.

소프트웨어 정지와 물리적 정지는 이중으로 둔다. 소프트웨어가 멈춘 상태에서는 소프트웨어 정지만으로 대응할 수 없다. 또한 전신 로봇에서 전원 차단은 그 자체로 위험할 수 있으므로, 정지 시 안전한 자세로 전이하는 절차가 필요하다.

센서 신호 손실, 지연 초과, 값 이상은 같은 장애가 아니다. 각각을 구분해 대응하고, 판단할 수 없는 상태에서는 추정으로 움직임을 이어가기보다 정지를 기본값으로 둔다. 관절 상태, 센서 입력, 계획 계층의 출력, 안전 개입은 시각을 맞춰 기록해야 사고 원인을 분석할 수 있다.

⤢✕

현장 도입은 위험도와 격리 조건부터 정한다

작업은 사람 접근 가능성, 이동 범위, 취급 물체의 위험성으로 등급화할 수 있다. 등급에 따라 필요한 안전 장치가 달라지므로, 최저 등급 작업부터 시작해 운영 경험을 축적하는 접근이 필요하다.

소프트웨어 안전 장치만으로 사람과의 공존을 전제해서는 안 된다. 물리적 격리와 접근 감지를 함께 두고, 격리를 해제할 조건과 재진입 절차를 문서화한다.

저수준 루프에는 최악 지연 상한을 수치로 정하고 이를 넘으면 정지하도록 구성한다. 계획 계층은 별도의 지연 상한을 두되, 초과하면 현재 자세를 유지하는 방식으로 대응한다.

비상 정지 장치는 실제 동작 여부를 정기적으로 시험해야 한다. 사용하지 않는 안전 장치는 고장 난 채 발견되지 않을 수 있다. 시험 이력을 남기고, 미시험 기간이 길어지면 운용을 제한한다.

운영자는 정상 동작과 이상 징후를 구분할 기준, 정지 조작 방법, 사고 발생 시 대응 순서를 알아야 한다. 온디바이스 모델은 현장에서 갱신되므로 버전 변경 때 재교육이 필요한지도 판단해야 한다.

충돌, 전도, 회피 개입 급증은 모두 보고 대상으로 정한다. 사고로 이어지지 않은 회피 개입도 예방적 위험 통제에 필요한 선행 지표다. 모델 버전 변경 승인과 안전 재검증 요건, 행동 이력의 보존 기간과 사고 조사 시 접근 권한도 거버넌스에 포함한다.

전신 통합 제어가 요구하는 검증 범위

구분	전신 통합 제어	상체 조작 한정
수행 가능 작업	넓음	좁음
안전 위험	전도·충돌	물건 낙하
제어 복잡도	높음	낮음
격리 요건	강함	약함
검증 부담	큼	작음
도입 속도	느림	빠름

전신 제어는 이동과 자세 전환이 필요한 작업까지 다룰 수 있고, 고정 작업대에 묶이지 않아 적용 공간도 넓어진다. 반면 전도와 충돌이 즉시 물리적 피해로 이어지므로 안전 요건, 제어 복잡도, 검증 부담이 함께 커진다.

상체 조작 한정 방식은 베이스가 고정돼 전도 위험이 구조적으로 없고, 안전 검증이 상대적으로 단순해 도입이 빠르다. 대신 작업 대상은 고정 반경 안으로 제한된다. 전신 제어는 상체 제어를 단순히 확장한 형태가 아니라, 다른 성격의 위험을 다루는 안전 설계 과제다.

계층 분리 제어는 모델의 실패나 추론 지연과 무관하게 균형 제어를 결정론적 주기로 유지할 수 있다. 다만 계획 계층과 제어 계층의 인터페이스를 설계해야 하며, 계획 출력이 물리적 제약과 충돌할 때의 중재도 필요하다.

단일 모델 직접 제어는 구조가 단순하고 전체 상황을 통합해 판단하므로 부드러운 동작을 만들 수 있다. 그러나 모델 추론 지연이 제어 지연으로 이어져 균형 회복이 필요한 순간에 대응하지 못할 수 있다. 안전은 최악 지연으로 결정되고, 모델 추론의 최악 지연은 보장하기 어렵다. 계층 분리는 성능 최적화보다 안전 성립을 위한 조건에 가깝다.

모델 기반 자세 제어만으로 구성하면 다양한 지형과 예상 밖 상황에 적응하고 새로운 로봇 형상에 몇 시간 만에 대응할 수 있다. 그러나 학습 분포 밖의 동작을 보장하기 어렵고 실패 모드를 미리 열거하기도 어렵다. 고전 제어기를 병행하면 균형 제어에 검증된 제어 이론을 적용하고 안정성을 수학적으로 논증할 수 있으며 실패 조건도 분명해진다. 대신 개발 부담이 크고 로봇 형상이 바뀔 때마다 재설계가 필요하다.

작업 판단은 모델에 맡기고 균형 유지와 충돌 회피는 검증된 제어기가 맡는 역할 분담은 적응성과 보장성을 함께 다루기 위한 구성이다.

실시간·안전성·위험관리 관점에서 보는 구조

저수준 제어 루프는 경성 실시간 요구를 가진다. 평균 응답 시간이 아니라 최악 응답 시간을 기준으로 검증해야 하며, 계층마다 서로 다른 실시간 등급을 부여하는 방식은 혼합 임계 시스템 설계의 표준 접근이다.

소프트웨어 정지와 물리적 정지를 이중화하는 것은 단일 실패점을 제거하는 원칙에 해당한다. 판단이 불가능할 때 정지를 기본값으로 삼는 설계는 안전 측 실패(fail-safe)의 적용이다.

작업 위험도 분류와 등급별 통제 차등은 위험 기반 접근의 기본 구조다. 사고 이전의 회피 개입을 선행 지표로 관리하면, 실제 피해가 발생하기 전에 작업 환경과 제어 조건의 문제를 발견할 수 있다.

2026년에 부상하는 운영 과제

휴머노이드 전신 제어의 안전 요건은 산업용 로봇 안전 규격과 별도 체계로 정비되는 흐름에 있다. 온디바이스 모델 실행이 확산되면서 현장 버전 관리와 안전 재검증 절차도 운영 과제로 부상하는 방향이다.

회피 개입 빈도와 최악 제어 지연은 로봇 운영 대시보드의 표준 지표로 자리잡는 흐름이다. 새 로봇 형상에 적응하는 시간이 단축되면서, 형상을 바꿨을 때 어디까지 안전 재검증 범위에 포함할지 역시 쟁점이 된다.

전신 제어에서 안전은 모델이 얼마나 많은 행동을 만들어내는가만으로 확보되지 않는다. 모델의 판단 지연과 무관하게 자세를 유지하고, 위험 시 계획을 우회하며, 센서 이상에는 안전 자세 전이와 정지로 대응하는 구조가 필요하다. 회피 개입까지 남긴 행동 이력은 작업 공간의 위험을 사고가 나기 전에 찾는 기반이 된다.