SIL

왜 배우는가: SIL은 철도 신호·열차제어 시스템의 안전기능이 어느 정도의 신뢰도를 가져야 하는지 정하는 기준이므로 설계와 인증 실무에서 반드시 다뤄야 한다. 전자·소프트웨어 기반 안전 시스템이 늘면서 이 등급을 정하고 검증하는 능력이 시험에서 반복해 나오는 주제이다.

출제 이력: 제136회 1교시 10번, 제130회 1교시 9번, 제119회 1교시 3번, 제104회 3교시 4번

1. 한 줄 정의와 핵심 키워드

안전무결성등급(SIL)은 안전기능이 요구될 때 정해진 기능을 수행하는 확률을 1~4등급으로 나눈 안전 수준의 척도이다.

이 정의에서 핵심은 등급이 기능의 종류를 구분하는 것이 아니라 안전기능에 요구되는 신뢰도 수준을 나타낸다는 점이다. 등급이 높을수록 허용되는 위험 고장 확률은 낮아지며, 1등급은 가장 낮은 안전 요구를, 4등급은 가장 높은 안전 요구를 뜻한다. 등급은 대상 위험의 크기와 사고 결과의 심각도에 따라 정해진다.

핵심 키워드는 안전무결성등급(SIL), 안전기능, 평균 요구시 고장확률(PFDavg), 시간당 위험 고장률(PFH), 안전무결성, 저요구모드, 고요구모드, 독립안전성평가이다.

2. 개념 풀이

정식 정의는 다음과 같다. 안전무결성등급(SIL)은 전기·전자·프로그래밍 가능 전자(E/E/PE) 안전관련계통이 규정된 안전기능을 규정된 조건과 규정된 기간 안에 수행할 확률을 등급으로 나눈 것이다. 이 정의는 IEC 61508 기능안전 규격의 안전무결성 개념을 따른다.

원리는 위험을 허용 가능한 수준까지 낮추는 데 필요한 안전기능의 신뢰도를 정량화하는 것이다. 먼저 위험분석으로 대상 위험의 발생 빈도와 결과 심각도를 정하고, 허용 위험 수준과 비교해 필요한 위험 감소량을 구한다. 그 감소량을 안전기능이 담당해야 할 신뢰도로 환산한 값이 SIL 등급이다. 따라서 등급은 설계자가 임의로 고르는 값이 아니라 위험 평가의 결과로 정해진다.

등급 결정에는 결과의 심각도, 노출 빈도, 회피 가능성, 요구 빈도를 입력으로 하는 위험 그래프 방법이 널리 쓰인다. 각 입력의 조합에 따라 필요한 위험 감소량이 정해지고, 그 감소량이 SIL 등급으로 환산된다. 등급 판정은 기능 단위로 한다. 한 시스템 안에도 기능마다 요구 수준이 다르므로 서로 다른 SIL 등급이 함께 부여될 수 있으며, 등급이 다른 기능은 독립성을 확보해 분리 설계하는 것이 일반적이다.

SIL 등급은 위험 평가로 정해지며, 등급에 따라 하드웨어 구조와 소프트웨어 개발 수준이 함께 정해진다.

등급이 정해지면 그 등급을 만족하도록 이중화 같은 하드웨어 구조, 고장 진단 범위, 소프트웨어 개발 기법이 달라진다. 즉 SIL은 시스템의 목표 신뢰도 수치이자 설계 수준을 정하는 기준이다.

핵심 용어는 다음과 같다.

평균 요구시 고장확률(PFDavg)은 안전기능이 요구되었을 때 이를 수행하지 못할 확률을 시간에 대해 평균한 값이다. 요구 빈도가 연 1회 이하인 저요구모드 시스템의 등급 판정에 쓴다. 단일 채널 구조에서는 다음 식으로 근사한다.

$PFD_{avg} ≈ λ_{DU} · T_1 / 2$

λ_{DU}는 위험측 미검출 고장률(1/h), T_1은 점검 주기(h)이다. 점검 주기가 길수록 미검출 고장이 쌓이는 시간이 길어져 PFDavg가 커진다.

시간당 위험 고장률(PFH)은 단위 시간당 위험 측 고장이 발생할 빈도이며 단위는 1/h이다. 요구가 지속적으로 걸리는 고요구모드와 연속모드 시스템의 등급 판정에 쓴다.

안전무결성은 안전관련계통이 규정된 조건과 기간 안에서 요구된 안전기능을 만족스럽게 수행할 확률이다. SIL은 이 안전무결성을 네 단계로 구분한 등급이다.

저요구모드와 고요구모드는 안전기능이 요구되는 빈도로 구분한다. 두 모드에서 등급을 판정하는 지표가 각각 PFDavg와 PFH로 달라진다.

SIL 1은 PFDavg가 10^{-2} 이상 10^{-1} 미만, SIL 4는 10^{-5} 이상 10^{-4} 미만으로 규정된다. 등급이 한 단계 올라갈 때마다 허용 고장확률은 10분의 1로 줄어든다.

3. 등장 배경과 필요성

기계식 안전장치는 고장 모드가 제한적이어서 고장 확률을 비교적 단순하게 추정할 수 있었다. 반면 전자장치와 소프트웨어로 안전기능을 구현하면 고장 원인이 복잡해지고 설계 오류 같은 체계적 결함까지 고려해야 한다. 이에 따라 안전기능의 신뢰도를 정량 목표로 정하고 검증하는 체계가 필요해졌다. 그 결과 전기·전자·프로그래밍 가능 전자 안전관련계통에 공통으로 적용되는 기능안전 국제규격인 IEC 61508이 틀을 제시했다.