페일세이프·풀프루프

왜 배우는가: 페일세이프와 풀프루프는 기계 설계와 작업 안전을 잇는 기본 원칙이며, 설계 단계에서 사고 가능성을 줄이는 방법을 묻는 문제에 반복해서 나온다. 두 개념의 대상이 고장인지 오조작인지 구분하지 못하면 정의와 사례가 섞여 감점 요인이 된다.

출제 이력: 제123회 1교시 4번, 제117회 1교시 6번, 제98회 1교시 13번, 제92회 1교시 2번, 제90회 1교시 4번

1. 한 줄 정의와 핵심 키워드

페일세이프(Fail Safe)는 고장이 나도 사람과 설비에 위해가 생기지 않도록 안전 측으로 동작하게 설계하는 방식이다. 여기서 안전 측은 고장 이후에도 시스템이 위험이 가장 낮은 상태에 머무르는 것을 뜻한다. 같은 목적을 사람의 실수 쪽에서 다루는 방식이 풀프루프(Fool Proof)이다. 두 개념은 모두 사고를 막는 설계 원칙이지만, 고장을 다루는지 오조작을 다루는지에 따라 구분된다.

답안에 함께 쓰는 핵심 키워드는 다음과 같다.

• 고장 안전: 고장이 나더라도 결과가 위험하지 않도록 하는 성질이다. 고장 자체를 없애는 것이 아니라 고장의 결과를 제한하는 것이 핵심이다.
• 안전 측 상태: 고장 시 시스템이 도달하는 위험이 가장 낮은 상태이다. 정전 시 차단밸브가 닫히는 상태가 대표적인 예이다.
• 휴먼에러: 사람의 착오나 실수로 생기는 오류이다. 풀프루프가 직접 겨냥하는 대상이다.
• 인터로크: 선행 조건이 충족되지 않으면 다음 동작이 시작되지 않도록 묶는 장치이다. 두 방식에서 모두 쓰이는 수단이다.
• 다중화: 같은 기능을 여러 계통으로 두어 한 계통이 고장 나도 기능이 유지되도록 하는 구성이다.

2. 개념 풀이

페일세이프의 정식 정의는 공학에서 설계 기능에 오류가 발생할 때 본질적으로 다른 장비, 환경 또는 사람에게 해를 끼치지 않거나 그 피해를 최소화하는 설계 기능이나 방식이다. 이것은 고장이 불가능하다는 뜻이 아니다. 고장이 생기는 것을 전제로 하고, 그 고장이 불안전한 결과로 이어지지 않도록 설계가 막거나 완화한다는 뜻이다. 고장 안전 시스템은 고장이 나더라도 최소한 고장 이전만큼 안전한 상태를 유지한다.

원리는 고장의 형태를 미리 분석하고, 각 고장이 위험으로 이어지지 않도록 동작 방향을 정하는 데 있다. 이때 고장 모드 및 영향 분석(FMEA)을 사용하여 고장 상황을 조사하고 안전 설계를 정한다. 고장 시 안전 측 상태를 먼저 정하는 것이 설계의 출발점이다.

페일세이프 설계는 고장 후 동작 상태에 따라 3단계로 구분된다. 1단계는 Fail Passive로, 고장 시 기계를 정지시켜 안전을 확보하는 방식이다. 2단계는 Fail Active로, 고장을 경보로 알리고 위험을 피하는 제어 조치를 취하면서 운전을 이어가는 방식이다. 3단계는 Fail Operational로, 고장이 나도 필요한 기능을 계속 수행하도록 다중화하는 방식이다. 설비의 중요도와 중단 허용 여부에 따라 단계를 고른다.

풀프루프는 사람의 착오나 오조작을 대상으로 하는 방식이다. 기계의 위험 부분에 덮개나 울을 설치하고, 덮개를 열면 운전이 정지되도록 인터로크를 거는 것이 전형적인 예이다. 다시 말해 풀프루프는 사람이 실수하기 어렵게 만들거나, 실수하더라도 그것이 바로 사고로 이어지지 않게 하는 기능이다. 기계 재해의 많은 부분이 취급 잘못에서 비롯된다는 점에서, 인간 조작에 대한 안전장치 대부분이 풀프루프의 성격을 띤다.

풀프루프의 대표적인 예로는 동력 전달 장치의 덮개를 벗기면 운전이 정지되는 구조, 프레스에서 손이 금형 사이에 들어가면 슬라이드 하강이 자동으로 멈추는 구조, 승강기가 과부하가 되면 경보가 울리고 작동하지 않는 구조, 크레인에서 와이어 로프가 무한정 감기지 않도록 권과 방지 장치를 두는 구조가 있다. 페일세이프의 예로는 신호 회로가 끊기면 정지 신호가 나오는 철도 신호 구조가 있다.

두 개념의 차이는 대상에 있다. 페일세이프는 기계와 부품의 고장을 전제로 하고, 풀프루프는 사람의 오조작을 전제로 한다. 풀프루프를 부품 고장에 대비하는 방식으로 생각하는 오류이다. 그러므로 답안에서는 고장과 오조작을 구분해 서술해야 한다. 보안 분야의 fail-secure는 보안이 깨질 때 출입이나 정보가 잘못 새지 않도록 잠그는 방식이다. 이는 인명 안전을 우선하는 페일세이프와 방향이 반대일 수 있으므로 구분해야 한다.

3. 등장 배경과 필요성

기계 설비는 자동화와 대형화가 진행되면서 한 번의 고장이나 오조작이 큰 사고로 이어질 가능성이 커졌다. 특히 인화성 가스나 독성 가스를 다루는 설비에서는 누출과 점화가 함께 일어나면 화재와 폭발로 확대되므로, 사고 발생 여부를 사람의 주의에만 맡길 수 없다. 이 때문에 설계 단계에서 고장과 오조작의 결과를 미리 제한하는 원칙이 필요해졌다.