ARC-RISK-002 risk

독립보호계층(IPL) 인정 기준

개정: 2026.06 v1.0

1. IPL(독립보호계층) 정의

독립보호계층(IPL, Independent Protection Layer)은 위험 시나리오의 초기 사건과 독립적으로 작동하여 사고 빈도 또는 결과를 감소시키는 보호 수단입니다. LOPA에서 IPL로 인정받은 항목만 PFDavg를 위험 감소에 반영할 수 있습니다.

선행 문서

IPL 인정 기준을 적용하기 전에 ARC-RISK-001 (LOPA 기본 절차)에서 LOPA 전체 흐름을 먼저 확인하십시오. IPL 인정 여부는 LOPA 시나리오 맥락에 따라 달라집니다.

2. IPL 인정 3요건

IPL로 인정받으려면 아래 3가지 요건을 모두 충족해야 합니다. 하나라도 미충족 시 해당 항목은 IPL로 계상할 수 없습니다.

2.1 독립성 (Independence)

IPL은 초기 사건(IE) 및 다른 IPL과 공통 원인 고장(CCF, Common Cause Failure)이 없어야 합니다.

독립성 판단 기준

독립성 충족 예시
- 초기 사건: BPCS 제어 밸브 실패 → IPL: SIS(별도 로직 솔버 + 별도 센서) → 독립성 충족
- 초기 사건: 펌프 과압 → IPL: PSV(기계식, 전원 불필요) → 독립성 충족

독립성 불충족 예시
- 초기 사건: DCS 소프트웨어 오류 → IPL: DCS 기반 알람 → 동일 DCS 의존 → 독립성 없음
- 초기 사건: 계기 신호 오류 → IPL: 동일 계기 기반 인터록 → 공통 원인 → 독립성 없음

2.2 기능성 (Functionality)

IPL은 해당 시나리오의 특정 사고 결과를 실제로 예방 또는 완화할 수 있어야 합니다. 일반적인 안전 기능이 있어도 해당 시나리오에 직접 작용하지 않으면 IPL로 인정되지 않습니다.

기능성 주의

화재 탐지 시스템은 폭발 예방 시나리오의 IPL이 될 수 있지만, 과압 시나리오의 IPL은 될 수 없습니다. 기능성은 시나리오별로 개별 판단해야 합니다.

2.3 신뢰성 (Reliability)

IPL의 PFDavg는 검증 가능한 근거(시험 기록, 제조사 데이터, 공인 DB)에 의해 문서화되어야 합니다. 근거 없이 PFDavg를 가정하는 것은 허용되지 않습니다.

3. IPL 유형별 인정 기준

IPL 유형	인정 여부	대표 PFDavg	주요 조건
SIS (Safety Instrumented System)	✅ 인정	10⁻² ~ 10⁻⁴	IEC 61511 설계·검증, SIL 등급에 따라 PFDavg 결정. 센서·로직·최종 요소 독립 구성 필수.
PSV (압력 안전 밸브)	✅ 인정	10⁻² ~ 10⁻¹	정기 시험·교정 기록 보유 필수. 설정 압력이 시나리오 최대 압력 이하. 막힘·부식 없음 확인.
Rupture Disc (파열판)	✅ 인정	10⁻²	교체 주기 관리, 설정 압력 적절성 확인. PSV 전단에 직렬 설치 시 별도 IPL 불인정(동일 기능).
BPCS 인터록	⚠️ 조건부	10⁻¹	초기 사건이 BPCS 자체 고장이 아닌 경우에만 인정. 동일 BPCS 기반 알람과 중복 계상 불가.
Gas Detector + ESD	⚠️ 조건부	10⁻¹ ~ 10⁻²	탐지기와 ESD 밸브의 독립성 확보 필수. 탐지기 위치 적절성(누출 방향, 풍향) 검토 필요.
Dike / Bund (방유제)	✅ 인정	10⁻²	누출 결과 완화에만 적용(빈도 감소 아님). 용량·무결성 확인. 환경 영향 시나리오에만 유효.
운전원 조치 (Operator Action)	⚠️ 조건부	10⁻¹	응답 시간 ≥ 10분, 명확한 징후 인지 가능, 절차서 존재, 훈련 기록 보유. 복수 시나리오 중복 사용 제한.
Fireproofing (방화 도장)	❌ 불인정	—	화재 결과를 지연시키지만 빈도를 감소시키지 않음. IPL 요건(빈도 감소) 미충족.
DCS 알람 단독	❌ 불인정	—	운전원 조치를 유발하는 트리거일 뿐. 알람 자체는 독립적 보호 기능 없음.
절차서·교육	❌ 불인정	—	관리적 통제는 IPL 신뢰성 요건(PFDavg 정량화) 미충족. 보조 수단으로만 활용.

4. IPL 불인정 사례 (현장 실수 중심)

4.1 알람(Alarm) 단독

"DCS 고압 알람이 있으니 IPL 1개"

알람은 운전원 조치를 유발하는 신호일 뿐입니다. 알람 자체가 차단, 감압, 배출 등의 물리적 보호 기능을 수행하지 않으면 독립 IPL로 인정되지 않습니다. 알람 + 운전원 조치를 합산하여 "운전원 조치 IPL" 1개로 계상하는 것이 올바른 방법입니다.

4.2 점검·절차서·교육

"정기 점검 절차서가 있으니 IPL"

관리적 통제(절차서, 교육, 점검)는 시스템적 신뢰성을 지원하지만 LOPA에서 독립 IPL로 계상할 수 없습니다. PFDavg를 정량화할 근거가 없고, 사람 행동에 의존하므로 신뢰성 요건을 충족하기 어렵습니다.

4.3 같은 시스템에서 2개 IPL 계상

BPCS 알람과 BPCS 인터록을 별도 IPL로 계상

두 기능이 동일한 DCS/BPCS 시스템에 의존하면 CCF 가능성이 있어 독립성 요건을 충족하지 못합니다. BPCS에서 하나만 IPL로 인정(통상 인터록)하고, 나머지는 추가 IPL로 계상하지 않습니다.

4.4 Fireproofing을 빈도 감소 IPL로 계상

"방화 도장이 있으니 화재 시나리오 빈도가 낮아진다"

Fireproofing은 화재 발생 후 구조물 손상을 지연시키는 결과 완화 수단입니다. 화재 발생 빈도 자체를 감소시키지 않으므로 빈도 감소 IPL로 계상할 수 없습니다. 결과 완화 시나리오(환경·재산 피해)에서 제한적으로 고려 가능합니다.

5. ArchSafe 실무 판정표

IPL 현장 판정 체크리스트

아래 항목을 순서대로 확인하십시오. 하나라도 NO이면 IPL로 계상할 수 없습니다.

PSV (압력 안전 밸브)

☐ 정기 시험·교정 기록이 있는가?
☐ 설정 압력이 시나리오 최대 압력 이하인가?
☐ 막힘·부식 없음을 최근 점검에서 확인했는가?
☐ 초기 사건과 독립적으로 작동하는가?

SIS (안전계장시스템)

☐ IEC 61511에 따라 설계·검증되었는가?
☐ 센서·로직·최종 요소가 BPCS와 독립 구성인가?
☐ SIL 등급에 따른 PFD 검증(SIL 검증 보고서)이 있는가?
☐ 정기 기능 시험(Proof Test) 계획 및 기록이 있는가?

운전원 조치 (Operator Action)

☐ 초기 사건 발생 후 운전원 응답 가능 시간 ≥ 10분인가?
☐ 운전원이 사고 징후를 명확히 인지할 수 있는가?
☐ 조치 절차서(Procedure)가 문서화되어 있는가?
☐ 동일 운전원 조치를 다른 시나리오에 중복 사용하지 않는가?

Gas Detector + ESD

☐ 탐지기 위치가 누출 방향 및 풍향을 고려하여 설치되었는가?
☐ ESD 밸브가 탐지기·BPCS와 독립 로직으로 연결되었는가?
☐ 탐지기 정기 교정 및 ESD 기능 시험 기록이 있는가?
☐ 탐지 → 차단 응답 시간이 시나리오 요구사항 이내인가?

6. IPL 유형별 PFDavg 범위

아래 값은 CCPS 및 IEC 61511 기준 일반적 범위입니다. 실제 적용 시에는 반드시 현장 시험 기록 및 제조사 데이터를 기반으로 결정해야 합니다.

IPL 유형	PFDavg 범위	비고
SIS SIL 1	10⁻¹ ~ 10⁻²	IEC 61511 SIL 1 요건 (PFDavg ≥ 0.1, < 0.01)
SIS SIL 2	10⁻² ~ 10⁻³	IEC 61511 SIL 2 요건
SIS SIL 3	10⁻³ ~ 10⁻⁴	IEC 61511 SIL 3 요건
PSV	10⁻² ~ 10⁻¹	시험 주기·상태에 따라 변동
Rupture Disc	10⁻²	교체 주기 준수 시
BPCS 인터록	10⁻¹	초기 사건과 독립인 경우만
운전원 조치	10⁻¹	조건 충족 시 (10분 이상 응답 시간)
Dike / Bund	10⁻²	결과 완화에만 적용

PFDavg 계산 상세

시험 주기와 고장률을 기반으로 PFDavg를 직접 계산하는 방법은 ARC-RISK-003 (PFDavg 계산 개념)을 참조하십시오.

7. 현장 오류 사례

오류 1 — PSV와 SIS 중복 계상

PSV 전단에 Rupture Disc가 있는데 둘 다 IPL로 계상

PSV 전단의 Rupture Disc는 PSV를 보호하는 역할을 하지만, 과압 시나리오에서 두 장치는 직렬 작동으로 독립 IPL이 아닙니다. 직렬 구성 시 조합 PFDavg를 적용하거나 하나만 IPL로 계상합니다.

오류 2 — Gas Detector + ESD 독립성 미확인

BPCS 연결 Gas Detector를 독립 IPL로 계상

Gas Detector 신호가 BPCS를 통해 ESD를 작동시키는 구조라면 BPCS와의 독립성이 없습니다. 초기 사건이 BPCS 관련 고장인 경우 IPL로 인정되지 않습니다. 독립 로직 솔버를 통한 ESD 구성이 필요합니다.

오류 3 — 운전원 조치 남용

동일 운전원이 10개 시나리오 모두의 IPL로 계상

동일 운전원의 조치를 여러 시나리오에 반복 사용하면 실질적으로 독립성이 약화됩니다. 운전원 조치는 사용 횟수를 제한(통상 1인 1~2회)하고, 시간적 중복이 없어야 합니다.

오류 4 — 점검 기록 없는 PSV

시험 기록 없는 PSV에 PFDavg = 0.01 적용

PSV의 PFDavg는 시험 주기와 실제 고장 이력에 따라 결정됩니다. 정기 시험 기록이 없으면 PFDavg를 낮게 가정할 근거가 없습니다. 시험 기록 미비 PSV는 IPL 계상에서 제외하거나 보수적 값(0.1)을 적용합니다.

8. 참고 표준 및 자료

IEC 61511-1: 공정 산업 안전계장 시스템 (SIS/SIL 설계 기반)
IEC 61508: 안전 관련 전기·전자·프로그래머블 시스템
CCPS "Layer of Protection Analysis": IPL 인정 기준 표준 참고서
CCPS "Guidelines for Independent Protection Layers and Initiating Events"
OREDA / CCPS PERD: 장비 신뢰도 데이터베이스 (PFDavg 기준값)
산업안전보건법 PSM 고시 — 안전계장시스템(SIS) 설계 기준