SIL, GA, SA

왜 배우는가: 철도신호 시스템은 열차 안전 기능의 고장 확률을 등급으로 관리하므로, SIL 등급과 GA·SA 인증 구분의 의미를 알아야 설계 요구와 인증 요구를 정확히 쓸 수 있다. 시험에서는 용어 정의와 인증 구분을 함께 묻는 형태로 나온다.

출제 이력: 제134회 1교시 11번, 제118회 2교시 6번, 제102회 1교시 8번

1. 한 줄 정의와 핵심 키워드

안전무결성 수준(SIL)은 안전 기능이 달성해야 할 목표 무결성 등급이다.

안전무결성 수준(SIL)은 위험 분석 결과로 각 안전 기능마다 정해지는 목표 등급이다. 등급은 SIL 1부터 SIL 4까지 네 단계이며, 숫자가 클수록 해당 기능이 위험을 더 많이 줄여야 하는 요구 수준이 높다. 철도신호 분야에서는 SIL과 함께 일반 적용(GA)과 특정 적용(SA)을 묻는데, 이 둘은 등급이 아니라 제품과 시스템을 인증하는 범위를 나누는 구분이다.

핵심 키워드는 다음과 같다.

• 안전 기능: 위험을 줄이기 위해 설계된 제어 기능이며, SIL은 이 기능 단위로 배정된다.
• 무작위 하드웨어 무결성: 하드웨어 고장이 무작위로 생길 때 위험 측 고장 확률을 평가하는 항목이다.
• 구조적 제약: 위험 측 고장을 견디도록 최소 이중화 같은 하드웨어 구조 조건을 정한 항목이다.
• 체계적 능력(SC): 설계, 검증, 관리 절차의 품질을 나타내는 등급이며 소프트웨어 결함처럼 체계적으로 생기는 고장을 다룬다.
• 위험 감소 계수(RRF): 안전 기능이 없을 때의 위험과 있을 때의 위험을 비교한 배율이며, 평균 고장 확률의 역수이다.
• 일반 적용(GA): 특정 노선에 묶이지 않고 정해진 조건 안에서 재사용할 수 있는 제품을 인증하는 구분이다.
• 특정 적용(SA): 특정 노선과 시스템의 구성, 파라미터, 운용 조건이 안전 요구를 만족하는지 인증하는 구분이다.

GA는 제품 수준, SA는 적용 수준에서 이루어지는 인증이라는 점을 구분해야 한다. 두 구분 모두 SIL 등급 자체를 정하는 기준이 아니라, 그 등급을 가진 기능이 어디까지 인정되는지를 나타낸다.

2. 개념 풀이

안전무결성 수준(SIL)은 IEC 61508이 정한 전기·전자·프로그래머블 전자 안전 관련 시스템의 기능 안전 목표 등급이다. 이 등급은 무작위 하드웨어 무결성, 구조적 제약, 체계적 능력의 세 기준을 모두 만족할 때 달성된다. 한 기준만 충족해서는 SIL을 주장할 수 없다.

무작위 하드웨어 무결성은 확률로 평가한다. 요구가 드물게 생기는 기능은 저수요 모드로 보고 요구 시 고장 확률의 평균값인 PFDavg로 평가한다. 운행 중 항상 작동하는 기능은 고수요 또는 연속 모드로 보고 시간당 위험 측 고장 확률인 PFH로 평가한다. 두 지표는 단위와 평가 방식이 다르므로, 기능이 작동하는 빈도에 따라 하나를 골라 쓴다.

위험 감소 계수(RRF)는 평균 고장 확률의 역수이며, 식으로 쓰면 다음과 같다.

$RRF = 1 / PFD_{avg}$

여기서 PFDavg는 요구 시 평균 고장 확률(무차원), RRF는 위험 감소 계수(무차원)이다. 등급별 허용 범위는 다음 표와 같다.

등급이 한 단계 올라갈 때마다 허용 고장 확률은 대략 10분의 1로 줄어든다. SIL 4는 저수요 모드에서 PFDavg가 10⁻⁵ 이상 10⁻⁴ 미만에 해당하며, 이는 SIL 1보다 위험 감소 계수가 약 1,000배 큰 범위이다.

구조적 제약은 위험 측 고장을 견디는 하드웨어 구성의 최소 조건을 정하고, 체계적 능력(SC)은 설계 품질 등급으로 정한다. 달성되는 SIL은 구성 기기 가운데 가장 낮은 SC 등급으로 제한된다. 즉 기기 한 개의 SC 등급이 낮으면 시스템 전체의 SIL도 그 수준을 넘을 수 없다.

일반 적용(GA) 인증은 제품 자체의 기능과 안전 특성을 범용으로 검증하는 단계이다. 특정 적용(SA) 인증은 그 제품을 특정 노선이나 시스템에 넣었을 때 구성, 파라미터, 운용 조건이 안전 요구를 만족하는지 확인하는 단계이다. GA 인증 제품이라도 적용 조건이 달라지면 SA 단계에서 다시 검증해야 하므로, 두 구분은 제품과 적용을 나누는 기준이다. 철도신호 전자 시스템의 인증에서 관련 철도 안전 기준은 이 GA와 SA 인증을 구분해 규정한다.

3. 등장 배경과 필요성

산업 사고가 이 개념의 출발점이다. 증기기관과 보일러 폭발 사고로 많은 인명 피해가 생긴 뒤 산업 국가들이 안전 규정을 세웠다. 이후 제어 기술이 전자식으로 바뀌면서 마이크로프로세서를 쓴 안전 시스템을 평가할 기준이 필요해졌다.

독일의 TÜV는 1980년대 초부터 마이크로프로세서 기반 안전 시스템을 연구하였다. 그 결과로 DIN VDE 0801이 독일 표준이 되었고, 이어서 DIN V 19250 문서가 작성되었다. 이 규격도 위험 분석 결과에 따라 요구 등급을 나누는 방식이다.