IEC 61508 기능안전

왜 배우는가: IEC 61508은 전기·전자·프로그램 가능 전자(E/E/PE) 안전 관련 시스템의 기능안전을 모든 산업에 공통으로 규정하는 기본 표준이다. 자율 시스템과 자동차·의료·항공 분야의 기능안전 표준이 모두 이 표준을 뿌리로 삼아 파생되었으므로, 기능안전 문제를 설명하는 거의 모든 문항의 출발점이 된다. 시험에서도 안전 수명주기, 안전무결성수준(SIL), 파생 표준 비교가 반복해서 출제된다.

출제 이력: 제114회 2교시 4번, 제110회 3교시 6번

1. 한 줄 정의와 핵심 키워드

IEC 61508은 E/E/PE 안전 관련 시스템이 올바르게 작동하거나 예측 가능한 안전한 방식으로 실패하도록 요구하는 모든 산업 공통 기능안전 국제표준이다.

• 기능안전(Functional Safety)
• E/E/PE 안전 관련 시스템
• 안전 수명주기(Safety Lifecycle)
• 안전무결성수준(SIL)
• EUC와 EUC 제어시스템
• 위험 기반 접근(Risk-based approach)
• 체계적 고장(Systematic Failure)

2. 개념 풀이

쉬운 말로 하면 기계나 설비가 고장 났을 때 사람을 다치게 하지 않도록, 안전을 지키는 전자·소프트웨어 장치 자체를 믿을 만하게 만드는 방법을 정한 표준이다. 이를 정식으로 정의하면, 기능안전은 E/E/PE 안전 관련 시스템, 다른 기술 안전 관련 시스템, 외부 위험 감소 설비에 의존하는 제어 대상 장비(EUC)와 그 제어 시스템 전체 안전 중 부분 또는 전체라고 표준이 정한다.

E/E/PE는 전기(Electrical), 전자(Electronic), 프로그램 가능 전자(Programmable Electronic) 장치를 뜻한다. 소프트웨어가 들어간 장치가 모두 여기에 든다. EUC(Equipment Under Control)는 제조·가공·수송·의료 등에 쓰이는 장비, 기계, 설비이고, EUC 제어시스템은 입력 신호에 반응해 EUC를 원하는 상태로 움직이는 출력 신호를 내는 시스템이다.

표준의 기본 원칙은 안전 관련 시스템은 반드시 올바르게 동작하거나, 실패하더라도 예측 가능한 안전한 상태로 떨어져야 한다는 것이다. 이를 달성하려면 위험을 먼저 분석하고, 그 위험을 얼마나 줄여야 하는지를 안전무결성수준(SIL, Safety Integrity Level)으로 정량화한다. SIL은 1부터 4까지 있으며, 숫자가 클수록 위험 기능의 위험 실패 빈도 목표가 낮아진다. 표준은 전체 수명주기, 즉 개념 정의에서 설계, 구현, 운용, 보수, 폐기까지 관리 활동을 요구한다.

3. 등장 배경과 필요성

시스템이 커지고 복잡해지면서 안전을 어떻게 증명하고, 안전 관련 기능에 소프트웨어를 써도 되는지를 보여야 한다는 문제가 생겼다. 하드웨어도 복잡해져서 올바르게 개발되었다는 것을 증명하기 어려워졌다. 공정제어 산업에서 시작된 이 문제를 해결하기 위해 IEC가 시스템과 소프트웨어를 함께 다루는 기능안전 연구를 진행했다.

1990년대 초반 두 연구가 통합되었고, 1995년에 위험 기반 접근을 사용한 초기 표준이 만들어졌다. 1998년과 2000년 사이 개정을 거치며 모든 산업 분야의 공통 표준이 되었다. 이후 자동차(ISO 26262), 의료기기 소프트웨어(IEC 62304), 항공 분야 등 부문별 표준이 이 표준을 바탕으로 만들어졌다. 즉 IEC 61508은 개별 산업 표준의 기준점 역할을 한다.

그 결과 신뢰성이나 보안과 구별되는 안전이라는 목표가 생겼다. 안전 기능은 특정 위험 사건에 대해 요구된 안전성을 달성해야 하므로, 설계자는 위험 분석과 기능 요구사항을 문서로 연결해야 한다.