LOPA

왜 배우는가: LOPA는 HAZOP으로 찾은 위험 시나리오가 추가 안전계측시스템을 필요로 하는지 정량적으로 판정하는 실무 도구이다. 공정안전관리 체계에서 설비 투자와 변경 검토의 근거가 되므로 현장에서 중요하게 쓰인다. 정의, 절차, 장단점을 함께 묻는 문항으로 여러 차례 출제된 주제이다.

출제 이력: 제123회 3교시 4번, 제110회 3교시 3번, 제98회 1교시 3번

1. 한 줄 정의와 핵심 키워드

방호계층분석(LOPA)은 사고 시나리오마다 독립방호계층의 효과를 곱해 완화 후 사고 빈도를 추정하고, 이를 허용 위험과 비교하는 반정량적 위험성 평가 기법이다.

이 정의는 답안 첫 줄에 그대로 옮겨 쓸 수 있다. LOPA는 하나의 원인과 하나의 결과가 짝을 이루는 시나리오를 분석 단위로 삼는 것이 핵심이다. 정성적 평가보다 수치를 많이 쓰고, 정량적 평가보다 가정을 단순하게 두는 중간 성격의 기법이다.

핵심 키워드는 다음과 같다.

• 방호계층분석(LOPA): 시나리오 하나의 사고 빈도를 방호계층의 효과로 낮춰 보는 기법이다.
• 초기사건(IE): 위험 시나리오의 원인이 되는 사건이다.
• 독립방호계층(IPL): 초기사건과 독립적으로 사고 진행을 막는 설비, 시스템, 운전원 조치이다.
• 방호계층 실패확률(PFD): 요구가 발생했을 때 방호계층이 기능을 수행하지 못할 확률이다.
• 안전계측시스템(SIS): 안전계측기능(SIF)을 수행하는 계측 제어 시스템이다.
• 안전무결성수준(SIL): 안전계측기능이 요구하는 위험 감소 능력을 나눈 등급이다.
• 위험허용기준(RTC): 허용 가능한 위험과 허용 불가능한 위험을 가르는 경계이다.

2. 개념 풀이

방호계층분석(LOPA)은 HAZOP 기법 등으로 도출한 사고 시나리오 가운데 하나의 원인과 하나의 결과로 이루어진 쌍을 단위로 분석한다. 먼저 결과의 심각도를 위험 매트릭스로 정하고, 허용 가능한 위험의 경계인 위험허용기준을 설정한다. 다음으로 초기사건의 빈도를 구하고, 방호계층이 없을 때의 결과 빈도를 추정한다. 마지막으로 기존 방호계층의 효과를 반영해 완화 후 결과 빈도를 구하고, 허용 기준과 비교한다.

원리는 서로 독립된 방호계층이 각각 사고 진행을 막는 확률을 곱하는 데 있다. 방호계층들이 서로 영향을 주지 않는다면 모두 동시에 실패할 확률은 개별 실패확률의 곱으로 근사한다. 완화 후 결과 빈도는 초기사건 빈도에 독립방호계층들의 실패확률을 곱하여 구한다. 식으로 쓰면 다음과 같다.

$f_{mit} = f_{IE} \times PFD_1 \times PFD_2 \times \cdots \times PFD_n$

여기서 f_mit은 완화 후 결과 빈도(회/년), f_IE는 초기사건 빈도(회/년), PFD_i는 i번째 독립방호계층의 실패확률이다. 초기사건 빈도가 0.1회/년이고 독립방호계층 두 개의 PFD가 각각 0.1이라면 완화 후 빈도는 0.1 × 0.1 × 0.1 = 0.001회/년이다. 1,000년에 한 번 꼴이므로 결과가 상식 범위 안에 있다.

완화 후 빈도가 허용 빈도보다 높으면 추가 방호가 필요하다. 이때 필요한 위험 감소 계수는 완화 전 빈도를 허용 빈도로 나눈 값이며, 그 값을 달성할 독립방호계층을 더한다. 이 판단이 LOPA가 제공하는 결과의 핵심이다.

독립방호계층(IPL)은 초기사건이나 다른 방호계층과 독립적으로 사고 진행을 막는 설비, 시스템, 운전원 조치를 뜻한다. IPL로 인정받으려면 독립성, 효과성, 감사 가능성을 갖춰야 한다. 감사 가능성은 점검과 시험 기록으로 실제 작동을 입증할 수 있어야 한다는 뜻이다. 기본 공정제어시스템은 초기사건과 장치를 공유하여 독립성이 약하므로, 인정 크레딧을 제한하는 것이 일반적이다. 안전밸브, 긴급 차단 시스템, 충분한 대응 시간이 있는 운전원 경보 조치가 대표적인 후보이다.

방호계층 실패확률(PFD)은 요구가 발생했을 때 해당 방호계층이 기능을 수행하지 못할 확률이다. 값이 작을수록 방호 효과가 크며, 곱해지는 PFD가 작아질수록 완화 후 빈도가 줄어든다. 같은 장치라도 점검과 시험 주기에 따라 평균 실패확률이 달라지므로 주기도 함께 기록한다.

안전계측시스템(SIS)은 센서, 논리 연산 장치, 최종 제어요소로 구성되어 안전계측기능(SIF)을 수행하는 시스템이다. LOPA에서 SIS는 기존 방호계층으로 위험 감소량이 부족할 때 추가하는 독립방호계층으로 쓰인다. 이때 SIF가 요구하는 SIL을 정하여 설계 목표로 삼는다.

안전무결성수준(SIL)은 SIF가 요구하는 위험 감소 능력을 SIL 1부터 SIL 4까지 등급으로 나눈 값이다. SIL은 PFD 값만으로 정해지지 않고 구조적 제약과 정성적 요구사항을 함께 충족해야 한다. 국제표준 IEC 61508 기준으로 낮은 요구 모드에서 SIL 1의 PFD는 0.01 이상 0.1 미만, SIL 4의 PFD는 0.00001 이상 0.0001 미만이다. 등급이 한 단계 올라갈 때마다 요구되는 PFD는 대략 10분의 1로 줄어든다. 고요구 또는 연속 모드에서는 PFD 대신 시간당 위험 발생률로 기준을 표현하므로 단위가 달라진다.

3. 등장 배경과 필요성

공정 위험 평가는 정성적 방법과 정량적 방법이 양 극단을 이룬다. HAZOP 기법은 공정을 노드로 나누어 이탈과 원인을 찾아내지만, 시나리오별 위험 크기를 수치로 비교하지는 않는다. 반대로 정량적 위험성평가(QRA)는 빈도와 결과를 확률 모델로 계산하여 정밀하지만, 많은 시간과 비용, 전문 인력을 요구한다. LOPA는 이 두 방법 사이의 간격을 메우기 위해 개발된 단순화된 위험 평가 방법이다.