ARC-RISK-003
risk
PFDavg 계산 개념
1. 목적
본 코드는 LOPA(Layer of Protection Analysis)에서 IPL(독립보호계층)의 신뢰도를 정량화하는 핵심 지표인 PFDavg(Probability of Failure on Demand, 요구 시 평균 고장 확률)의 개념과 계산 방법을 정의합니다.
2. PFDavg 정의
PFDavg는 IPL이 요구(Demand)되었을 때 실패(Failure)할 확률입니다. 0에서 1 사이의 무차원 값으로 표현되며, 값이 낮을수록 신뢰도가 높습니다.
PFDavg 직관적 이해
PFDavg = 0.1
IPL이 10번 요구될 때 평균 1번 실패할 수 있음.
100번 중 10번 실패 가능.
PFDavg = 0.01
IPL이 100번 요구될 때 평균 1번 실패할 수 있음.
1000번 중 10번 실패 가능.
PFDavg = 0.001
IPL이 1,000번 요구될 때 평균 1번 실패할 수 있음.
IPL이 10번 요구될 때 평균 1번 실패할 수 있음.
100번 중 10번 실패 가능.
PFDavg = 0.01
IPL이 100번 요구될 때 평균 1번 실패할 수 있음.
1000번 중 10번 실패 가능.
PFDavg = 0.001
IPL이 1,000번 요구될 때 평균 1번 실패할 수 있음.
PFDavg는 고장률(Failure Rate)이 아님
PFDavg와 고장률(λ, failures/hour)은 다른 개념입니다. 고장률은 시간당 고장 발생 빈도이고, PFDavg는 요구 시 고장 확률입니다. 시험 주기(Proof Test Interval)와 고장률을 결합하여 PFDavg를 계산합니다.3. RRF (Risk Reduction Factor)
RRF는 PFDavg의 역수로, IPL이 위험도를 몇 배 감소시키는지를 나타냅니다.
RRF = 1 / PFDavg| PFDavg | RRF | 의미 | 해당 SIL |
|---|---|---|---|
| 1×10⁻¹ (0.1) | 10 | 위험도 10배 감소 | SIL 1 하한 |
| 1×10⁻² (0.01) | 100 | 위험도 100배 감소 | SIL 1 상한 / SIL 2 하한 |
| 1×10⁻³ (0.001) | 1,000 | 위험도 1,000배 감소 | SIL 2 상한 / SIL 3 하한 |
| 1×10⁻⁴ (0.0001) | 10,000 | 위험도 10,000배 감소 | SIL 3 상한 |
RRF 실무 활용
LOPA에서 필요한 위험 감소량을 RRF로 표현하면 SIL 결정과 연결이 쉬워집니다. 예: 허용 위험도 10⁻⁵, IEF 10⁻¹ → 필요 RRF = 10⁴ → SIL 3 또는 복수 IPL 조합 필요.4. PFDavg 계산 방법
4.1 간이 계산식 (IEC 61511 저수요 모드)
안전계장시스템(SIS)처럼 요구 빈도가 낮은(<1/yr) 저수요 모드 IPL의 PFDavg는 다음 간이식으로 계산합니다.
PFDavg ≈ λDU × TI / 2
λDU : 위험 고장률 (Dangerous Undetected Failure Rate, /hr)
TI : 시험 주기 (Proof Test Interval, hr)
÷2 : 평균 고장 잠복 시간 보정계산 예시 — SIS SIF
λDU = 1×10⁻⁶ /hr (센서+로직+밸브 조합)
TI = 8,760 hr (1년 = 365일 × 24hr)
PFDavg = 1×10⁻⁶ × 8,760 / 2
= 4.38×10⁻³
≈ 4.4×10⁻³
→ SIL 2 범위 (10⁻³ ~ 10⁻²) 충족
TI = 8,760 hr (1년 = 365일 × 24hr)
PFDavg = 1×10⁻⁶ × 8,760 / 2
= 4.38×10⁻³
≈ 4.4×10⁻³
→ SIL 2 범위 (10⁻³ ~ 10⁻²) 충족
4.2 시험 주기(TI)의 영향
같은 λDU라도 시험 주기에 따라 PFDavg가 크게 달라집니다.
| 시험 주기 (TI) | λDU = 1×10⁻⁶ /hr 일 때 PFDavg | 비고 |
|---|---|---|
| 3개월 (2,190 hr) | 1.1×10⁻³ | SIL 2 충족 용이 |
| 6개월 (4,380 hr) | 2.2×10⁻³ | SIL 2 충족 |
| 1년 (8,760 hr) | 4.4×10⁻³ | SIL 2 충족 |
| 2년 (17,520 hr) | 8.8×10⁻³ | SIL 1 경계 |
| 4년 (35,040 hr) | 1.75×10⁻² | SIL 1 이하 |
시험 주기 연장의 위험
설비 운전 중 정기 기능 시험이 어렵다는 이유로 TI를 늘리면 PFDavg가 급격히 악화됩니다. TI가 2배 늘어나면 PFDavg도 약 2배 악화됩니다. SIL 유지를 위해 시험 주기는 설계 시 결정한 값을 반드시 준수해야 합니다.5. IPL 유형별 대표 PFDavg
아래 값은 CCPS 및 IEC 61511 기준 일반적 범위입니다. 실제 적용 시에는 현장 데이터·시험 기록·제조사 자료를 기반으로 해야 합니다.
| IPL 유형 | 대표 PFDavg | RRF | 적용 조건 |
|---|---|---|---|
| BPCS 인터록 | 1×10⁻¹ | 10 | 초기 사건과 독립인 경우만 |
| 운전원 조치 | 1×10⁻¹ | 10 | 응답시간 ≥10분, 절차서 존재 |
| PSV | 1×10⁻² | 100 | 정기 시험 기록 보유 시 |
| Rupture Disc | 1×10⁻² | 100 | 교체 주기 관리 시 |
| SIS SIL 1 | 1×10⁻¹ ~ 1×10⁻² | 10~100 | IEC 61511 설계·검증 |
| SIS SIL 2 | 1×10⁻² ~ 1×10⁻³ | 100~1,000 | IEC 61511 설계·검증 |
| SIS SIL 3 | 1×10⁻³ ~ 1×10⁻⁴ | 1,000~10,000 | IEC 61511 설계·검증 |
6. LOPA 계산 예시
반응기 과압 시나리오 — LOPA Assistant 예제
초기 사건: 냉각수 공급 차단 (제어 밸브 고장)
IEF = 1×10⁻¹ /yr
허용 위험도 = 1×10⁻⁵ /yr (사망 기준)
IPL 1: BPCS 고온 알람 + 냉각수 백업 밸브 개방 (PFDavg = 1×10⁻¹)
IPL 2: PSV (PFDavg = 1×10⁻²)
IPL 3: 운전원 긴급 차단 조치 (PFDavg = 1×10⁻¹)
MEF 계산
MEF = IEF × PFDavg(IPL1) × PFDavg(IPL2) × PFDavg(IPL3)
= 1×10⁻¹ × 1×10⁻¹ × 1×10⁻² × 1×10⁻¹
= 1×10⁻⁵ /yr
판정: MEF(1×10⁻⁵) = 허용 위험도(1×10⁻⁵) → 경계선 충족
결론: 현재 IPL로 허용 위험도 달성. 단, 여유가 없으므로 각 IPL의 PFDavg 근거 문서화 필수.
IEF = 1×10⁻¹ /yr
허용 위험도 = 1×10⁻⁵ /yr (사망 기준)
IPL 1: BPCS 고온 알람 + 냉각수 백업 밸브 개방 (PFDavg = 1×10⁻¹)
IPL 2: PSV (PFDavg = 1×10⁻²)
IPL 3: 운전원 긴급 차단 조치 (PFDavg = 1×10⁻¹)
MEF 계산
MEF = IEF × PFDavg(IPL1) × PFDavg(IPL2) × PFDavg(IPL3)
= 1×10⁻¹ × 1×10⁻¹ × 1×10⁻² × 1×10⁻¹
= 1×10⁻⁵ /yr
판정: MEF(1×10⁻⁵) = 허용 위험도(1×10⁻⁵) → 경계선 충족
결론: 현재 IPL로 허용 위험도 달성. 단, 여유가 없으므로 각 IPL의 PFDavg 근거 문서화 필수.
7. 흔한 오류
오류 1 — PFDavg와 고장률(λ) 혼동
"고장률이 10⁻⁴ /hr이니 PFDavg = 10⁻⁴"
고장률(λ)은 시간당 고장 빈도이고, PFDavg는 요구 시 고장 확률입니다. PFDavg = λDU × TI / 2 공식으로 변환해야 합니다. 고장률과 PFDavg를 혼동하면 위험도를 수십~수백 배 과소평가할 수 있습니다.
오류 2 — 동일 BPCS를 여러 IPL로 계상
BPCS 알람과 BPCS 인터록을 각각 PFDavg 0.1로 계상 → 합산 0.01
동일 BPCS에 의존하는 두 기능은 공통 원인 고장(CCF) 가능성이 있어 독립 IPL이 아닙니다. BPCS 계열에서는 하나만 IPL로 계상합니다. → ARC-RISK-002 독립성 요건 참조.
오류 3 — 시험 주기 미반영
SIL 검증 보고서의 PFDavg를 시험 주기 변경 후에도 그대로 사용
시험 주기가 설계값(예: 1년)에서 실제 운영값(예: 4년)으로 늘어나면 PFDavg가 4배 악화됩니다. 시험 주기 변경 시 반드시 PFDavg를 재계산하고 SIL 유지 여부를 확인해야 합니다.
오류 4 — 제조사 카탈로그 수치 무조건 사용
제조사 브로슈어의 "SIL 2 Certified" 문구만 보고 PFDavg 결정
제조사 SIL 인증은 기기 단위(HW) 평가이며, 현장의 시험 주기·배선·설치 조건이 반영되지 않습니다. 실제 SIL 달성 여부는 시스템 단위로 PFDavg를 계산하고, 시험 주기·설치 조건을 포함한 SIL 검증 보고서를 작성해야 합니다.
8. ArchSafe 실무 팁
PFDavg 실무 적용 원칙
- ☐ PFDavg는 "절대값"이 아니라 가정값임 — 근거 문서화 필수
- ☐ IEC 61511 / CCPS PERD 데이터 우선 사용
- ☐ 회사 자체 기준값 사용 시 데이터 출처와 승인 기록 보존
- ☐ 시험 주기(TI) 변경 시 PFDavg 재계산 의무
- ☐ LOPA 결과 문서에 각 IPL의 PFDavg 출처(표준/제조사/현장 기록) 명시
- ☐ PSV: 정기 시험 기록 없으면 PFDavg = 0.1(보수적 값) 적용
- ☐ 운전원 조치 PFDavg = 0.1은 응답시간 ≥10분 조건 충족 시만 적용
9. 참고 표준 및 자료
- IEC 61511-1: 공정 산업 안전계장 시스템 (SIL/PFDavg 정의)
- IEC 61508-5/6: 안전 관련 시스템 — PFD 계산 방법
- CCPS "Layer of Protection Analysis": IPL PFDavg 기준값
- CCPS PERD: 공정 장비 신뢰도 데이터베이스
- OREDA: 해양·석유화학 설비 신뢰도 데이터
관련 문서