ARC-RISK-005 risk

SIS 독립성 원칙

개정: 2026.06 v1.0

1. 목적

본 코드는 IEC 61511에 따라 SIS(Safety Instrumented System)가 IPL(독립보호계층)로서 유효하게 작동하기 위한 독립성 원칙을 정의합니다. SIS는 LOPA에서 결정된 SIL Target을 달성해야 하며, 이를 위해 BPCS·다른 IPL과 독립적으로 설계·운영되어야 합니다.

이 문서의 범위 — 설계 원칙만 다룸

ARC-RISK-001~005 체인은 설계 목표(Design Target)를 정의합니다.
Target SIL이 실제로 달성되었는지(Achieved SIL) 확인하는 SIL 검증(Verification)은 별도 단계입니다.
Proof Test 주기와 PFDavg의 관계는 ARC-RISK-006 (SIS Proof Test 및 시험 주기)를 참조하십시오.

LOPA → SIS 생명주기

LOPA → IPL → PFDavg → Target SIL → SIS 독립성 ← 현재

2. 독립성 원칙 개요

IEC 61511에서 SIS의 독립성은 세 가지 층위로 정의됩니다.

독립성 요건	의미	적용 기준
기능적 독립성	SIS는 BPCS와 분리된 독립 기능으로 작동해야 함	센서·로직·최종 요소 분리
물리적 독립성	SIS 하드웨어는 BPCS와 물리적으로 분리되어야 함	별도 PLC/DCS, 별도 캐비닛
소프트웨어 독립성	SIS 로직은 BPCS 소프트웨어와 공유 금지	SIS 전용 로직 솔버 사용

3. BPCS와 SIS 분리 기준

SIS가 IPL로 인정받으려면 BPCS와의 독립성을 확보해야 합니다. IEC 61511 §9.5에 따라 다음 조건을 충족해야 합니다.

BPCS·SIS 분리 필수 조건

센서 분리
SIS 트리거 센서는 BPCS 제어 루프에 사용되는 센서와 별도 설치. 동일 센서에서 신호를 분기(tap-off)하는 것은 원칙적으로 금지 (SIL 2 이상에서는 절대 금지).

로직 솔버 분리
SIS 로직 솔버(SIS PLC/SIS Controller)는 BPCS DCS/PLC와 완전히 분리된 독립 시스템. 동일 플랫폼에서 소프트웨어 파티션으로 분리하는 것은 불충분.

최종 요소 분리
SIS 차단 밸브는 BPCS 제어 밸브와 별도 설치. 동일 밸브를 SIS·BPCS가 공유하는 것은 단일 고장 지점(Single Point of Failure) 생성.

전원 분리
SIS는 BPCS와 독립된 전원(UPS) 사용 권장. 전원 공유 시 공통 원인 고장 가능성 고려.

소프트웨어 파티션은 분리가 아님

동일 하드웨어(DCS)에서 BPCS와 SIS 기능을 소프트웨어로만 분리하는 것은 IEC 61511 기준 물리적 독립성 요건을 충족하지 못합니다. SIL 1 일부에서는 허용될 수 있지만 SIL 2 이상에서는 반드시 독립 하드웨어가 필요합니다.

4. 공통 원인 고장 (CCF, Common Cause Failure)

CCF는 단일 원인으로 복수의 독립 채널이 동시에 고장나는 현상입니다. CCF는 중복 구성(redundancy)의 신뢰도 향상 효과를 약화시킵니다.

4.1 CCF 주요 원인

CCF 원인	예시	방지 방법
공통 설계 결함	동일 모델 센서 2개 → 동일 제조 결함	다양한 제조사(Diversity) 적용
공통 환경 요인	동일 위치 2개 센서 → 공정 누출로 동시 손상	물리적 분리 설치
공통 유지보수 오류	동시 교정 오류 → 2개 채널 동시 잘못 설정	독립적 시험·교정 절차
공통 소프트웨어	동일 로직 버그 → 2채널 동시 오작동	독립 소프트웨어 개발·검증
공통 전원	전원 이상 → 복수 기기 동시 정지	독립 전원(UPS) 분리

4.2 β 인수 (Beta Factor)

CCF 비율을 정량화하는 파라미터입니다. IEC 61508 기준 β = 전체 고장 중 CCF 비율입니다.

PFDavg (CCF 포함) = β × λDU × TI/2 + (1-β)² × (λDU × TI/2)²

β = 0.1 (일반적 기본값, IEC 61508 권고)
β = 0.02 (물리적 분리 + 다양성 적용 시 감소 가능)

CCF가 중복 구성을 무효화하는 예

1oo2 구성에서 β = 0.1이면 CCF로 인한 PFDavg 기여분이 독립 고장 기여분과 동등 수준이 될 수 있습니다. CCF 방지 없이 1oo2만 구성하면 기대하는 신뢰도 향상 효과를 얻지 못합니다.

5. 단일 고장 허용 (Single Fault Tolerance)

IEC 61511 §11.4에 따라 SIL 등급별로 요구되는 최소 고장 허용도(Fault Tolerance)가 다릅니다.

SIL	최소 하드웨어 고장 허용도	대표 구성	비고
SIL 1	0 (단일 고장 허용 불필요)	1oo1	CCF 방지 권장
SIL 2	1 (단일 고장 허용)	1oo2, 2oo3	진단 기능 필수
SIL 3	2 (이중 고장 허용)	2oo3, 2oo4	엄격한 CCF 관리

1oo2 vs 2oo3

1oo2(1-out-of-2): 2개 채널 중 1개가 작동하면 SIS 기능 수행. 가동률(Availability) 우수, 허위 작동(Spurious Trip) 증가.
2oo3(2-out-of-3): 3개 채널 중 2개가 일치할 때 SIS 기능 수행. 허위 작동 감소, 고장 허용도와 가동률 균형.

6. SIS 생명주기 전반의 독립성

독립성은 하드웨어 구성에만 국한되지 않습니다. IEC 61511 §5에 따라 SIS 생명주기 전반에서 독립성을 유지해야 합니다.

생명주기 단계	독립성 요건
설계	SIS 설계자와 BPCS 설계자 독립 (역할 분리)
프로그래밍	SIS 로직 소프트웨어 독립 개발·검토
FAT(공장 시험)	BPCS FAT와 독립적 SIS FAT 수행
SAT(현장 시험)	SIS 기능 시험 독립 수행 + 기록 보관
유지보수	SIS 기능 시험(Proof Test) BPCS 정비와 독립 일정
변경관리(MOC)	SIS 변경 시 SIL 재검증 의무

7. 현장 오류 사례

오류 1 — BPCS와 SIS 센서 신호 공유

압력 전송기 1개를 BPCS·SIS가 공유 (신호 분기)

동일 센서에서 BPCS와 SIS가 신호를 분기하면, 센서 고장 시 BPCS와 SIS가 동시에 오작동합니다. 이는 독립성 요건 위반이며, 해당 SIS를 독립 IPL로 계상할 수 없습니다. SIL 2 이상에서는 반드시 별도 센서를 사용해야 합니다.

오류 2 — BPCS DCS 내 파티션으로 SIS 구현

기존 DCS의 별도 파티션에 SIS 로직 추가

소프트웨어 파티션은 물리적 독립성을 제공하지 않습니다. DCS 전원 이상, 하드웨어 고장, 소프트웨어 버그 발생 시 BPCS와 SIS가 동시에 영향을 받습니다. SIS 전용 로직 솔버(Safety PLC)를 별도 설치해야 합니다.

오류 3 — 1oo2 구성만으로 SIL 2 달성 가정

동일 모델 센서 2개로 1oo2 구성 후 SIL 2 달성으로 판단

동일 모델 센서 2개는 CCF 위험이 높습니다. β = 0.1로 가정하면 1oo2 구성의 실제 PFDavg가 기대값보다 훨씬 높을 수 있습니다. 다양성(다른 제조사, 다른 측정 원리) 적용과 물리적 분리가 필요합니다.

오류 4 — SIS 변경 시 SIL 재검증 생략

SIS 로직 수정 후 SIL 재검증 없이 운전 재개

SIS에 대한 모든 변경(로직, 기기, 배선, 시험 주기)은 변경관리(MOC) 절차를 통해 SIL 영향을 평가해야 합니다. 변경 후 SIL이 유지되는지 재검증하지 않으면 설계 SIL이 실제로 달성되지 않을 수 있습니다.

8. ArchSafe 실무 체크리스트

SIS 독립성 설계 체크리스트

☐ SIS 센서가 BPCS 제어 루프와 완전히 분리 설치되었는가
☐ SIS 로직 솔버가 BPCS와 물리적으로 독립된 전용 하드웨어인가
☐ SIS 최종 요소(밸브)가 BPCS 제어 밸브와 별도 설치되었는가
☐ SIS 전원이 BPCS와 독립 분리(UPS)되었는가
☐ CCF 방지 조치 — 다양성(다른 제조사/원리) 또는 물리적 분리 적용
☐ SIL에 따른 최소 고장 허용도 구성 확인 (SIL 2 → 1oo2 이상)
☐ β 인수를 반영한 PFDavg 계산 완료
☐ SIS 기능 시험(Proof Test) 계획 및 주기 문서화
☐ MOC 절차 수립 — SIS 변경 시 SIL 재검증 의무화
☐ SIL 검증 보고서 작성 (Target SIL vs Achieved SIL 비교)

9. 참고 표준 및 자료

IEC 61511-1: 공정 산업 SIS — 독립성·CCF·구조적 제약 (§9, §11)
IEC 61508-6: 안전 관련 시스템 — CCF β 인수 계산 방법
IEC 61511-2: SIS 적용 지침 및 예시
CCPS "Guidelines for Safe Automation of Chemical Processes"
산업안전보건법 PSM 고시 — SIS 설계·검증 요건