ARC-RISK-007 risk

SIF Architecture 및 Voting Logic

개정: 2026.06 v1.0

1. 목적

본 코드는 IEC 61508 / IEC 61511 기준으로 SIF(Safety Instrumented Function)의 하드웨어 구조(Architecture)와 투표 논리(Voting Logic)를 정의합니다. 구조 선택은 PFDavg와 가용성(Availability)에 직접 영향을 미치므로, SIL Target 달성과 공정 연속성 사이의 트레이드오프를 이해하는 것이 필수입니다.

LOPA → SIS 생명주기

PFDavg → SIL Target → Proof Test → Architecture ← 현재

2. 핵심 용어 정의

용어정의
MooN (M out of N)N개 채널 중 M개 이상이 작동 신호를 출력할 때 SIF가 동작하는 투표 구조
1oo11 out of 1: 단일 채널. 채널 고장 = SIF 고장 또는 불필요 작동
1oo21 out of 2: 2채널 중 1개만 작동해도 SIF 동작. 안전도↑, 가용성↓
2oo22 out of 2: 2채널 모두 작동해야 SIF 동작. 가용성↑, 안전도↓
2oo32 out of 3: 3채널 중 2개 작동 시 SIF 동작. 안전도·가용성 균형
CCF (Common Cause Failure)공통원인고장. 같은 원인으로 여러 채널이 동시에 고장. β 인수로 정량화
Safe FailureSIF를 동작 방향으로 고장. 불필요 작동(Spurious Trip) 유발
Dangerous FailureSIF를 동작 불가 방향으로 고장. 요구 시 작동 불능 유발

3. 구조별 특성 비교

3.1 1oo1 — 단일 채널

센서 → 로직 솔버 → 최종 요소
  S1 →    LS1   →    FE1
항목내용
PFDavg 공식λDU × TI / 2
안전도중간 (단일 채널 고장 = SIF 고장)
가용성중간 (단일 채널 고장 = Spurious Trip 가능)
CCF 영향해당 없음 (단일 채널)
적용 SILSIL 1 (일반적), λDU에 따라 SIL 2 가능
특징구조 단순, 비용 최소. 고신뢰 단일 기기에 적합.

1oo1은 단순하지만 SIL 2 이상에서는 한계

λDU가 충분히 낮은 고신뢰 기기에서 SIL 2 달성이 가능하지만, 구조적 제약(Hardware Fault Tolerance = 0)으로 IEC 61508에서 SIL 2 이상에는 추가 요건이 필요합니다.

3.2 1oo2 — 안전도 우선 구조

센서 → 로직 솔버 → 최종 요소
  S1 →    LS1   →    FE1
  S2 →    LS2   →    FE2
  (둘 중 하나만 작동해도 SIF 동작)
항목내용
PFDavg 공식 (CCF 포함)(1-β) × λDU² × TI² / 3 + β × λDU × TI / 2
안전도높음 ↑ (2채널 모두 고장해야 SIF 미작동)
가용성낮음 ↓ (1채널만 고장해도 Spurious Trip 가능)
CCF 영향β 항이 PFDavg를 지배할 수 있음
적용 SILSIL 2~3 (HFT = 1)
특징안전 우선. Spurious Trip 빈번한 환경에서는 주의.

3.3 2oo2 — 가용성 우선 구조

센서 → 로직 솔버 → 최종 요소
  S1 →    LS1   →    FE1
  S2 →    LS2   →    FE2
  (둘 다 작동해야 SIF 동작)
항목내용
PFDavg 공식 (CCF 포함)2 × (1-β) × λDU × TI / 2 + β × λDU × TI / 2
안전도낮음 ↓ (1채널 고장으로도 SIF 작동 불능)
가용성높음 ↑ (1채널 고장 시 Spurious Trip 없음)
CCF 영향1oo1과 유사. CCF = SIF 고장
적용 SILSIL 1 (HFT = 0). 단독 SIL 2 달성 어려움
특징가용성 우선. 안전도는 1oo1보다 낮음. 단독 사용 주의.

2oo2는 가용성 개선이지만 안전도 저하

2oo2는 1oo1보다 PFDavg가 높습니다. 안전 기능보다 생산 연속성을 우선시할 때 사용하지만, LOPA에서 산정된 SIL Target을 달성하지 못할 수 있습니다.

3.4 2oo3 — 균형 구조 (현장 표준)

센서 → 로직 솔버 → 최종 요소
  S1 →    LS1   →    FE1
  S2 →    LS2   →    FE2   (3채널 중 2개 작동 시 SIF 동작)
  S3 →    LS3   →    FE3
항목내용
PFDavg 공식 (CCF 포함)3(1-β)² × λDU² × TI² / 3 + 3β(1-β) × λDU × TI / 2 + β² × (λDU × TI / 2)
안전도높음 ↑ (2채널 동시 고장 필요)
가용성높음 ↑ (1채널 고장 시 Spurious Trip 없음, 유지보수 가능)
CCF 영향β² 항으로 상당히 감소
적용 SILSIL 2~3 (HFT = 1)
특징SIL 2 이상 현장 표준. 비용↑ 대신 안전도·가용성 모두 확보.

4. 구조별 PFDavg 수치 비교

조건: λDU = 1×10⁻⁶ h⁻¹, TI = 1년(8,760 h), β = 0.1 (CCF 인수)

구조PFDavg (근사)SIL 범위비고
1oo14.38 × 10⁻³SIL 2기준값
1oo2≈ 4.4 × 10⁻⁴SIL 3CCF 지배 시 4.38×10⁻⁴
2oo2≈ 8.8 × 10⁻³SIL 11oo1보다 높음
2oo3≈ 5.8 × 10⁻⁴SIL 3CCF 영향 최소

2oo2는 1oo1보다 PFDavg가 높다

채널이 늘어났지만 AND 조건(둘 다 고장해야 안전)으로 인해 2oo2의 PFDavg는 1oo1보다 약 2배 높습니다. 채널 수 증가 = 안전도 향상이라는 직관은 틀릴 수 있습니다.

5. 안전도 vs 가용성 트레이드오프

구조안전도 (Dangerous Failure 저항)가용성 (Spurious Trip 저항)권장 적용
1oo1중간중간SIL 1, 저위험 SIF
1oo2높음 ↑↑낮음 ↓↓안전 최우선, Spurious Trip 허용 가능한 공정
2oo2낮음 ↓↓높음 ↑↑가용성 최우선. SIL 2 이상에는 단독 사용 금지.
2oo3높음 ↑↑높음 ↑↑SIL 2~3, 연속 공정, 현장 표준

6. CCF(공통원인고장)와 β 인수

6.1 CCF가 중요한 이유

중복 구조(1oo2, 2oo3)는 독립 채널 고장에 강하지만, 공통 원인으로 여러 채널이 동시에 고장하면 중복의 이점이 사라집니다.

CCF 유발 주요 원인

동일 제조사·모델 기기 사용 (설계 결함 공유)
동일 공정 조건 노출 (온도·진동·부식 동시 영향)
동일 유지보수 오류 (같은 작업자, 같은 절차)
동일 위치 설치 (화재·폭발 시 동시 파괴)
소프트웨어 공통 결함 (동일 로직 솔버 펌웨어)

6.2 β 인수 표준값

조건β 범위비고
이종(Diverse) 기기, 분리 설치, 독립 유지보수0.5~2%CCF 최소화 설계
동종 기기, 분리 설치2~5%일반적 현장
동종 기기, 근접 설치, 공유 유지보수5~10%CCF 위험 높음
보수적 가정 (상세 분석 없을 때)10%IEC 61508 기본값

β = 10%이면 1oo2/2oo3의 이점이 크게 감소

β가 높으면 CCF 항이 PFDavg를 지배하여 중복 구조의 실질적 안전도 개선이 제한됩니다. CCF 저감 설계(이종화, 분리 설치, 독립 유지보수)가 필수입니다.

7. 센서·로직 솔버·최종 요소별 구조 적용

SIF Architecture는 SIF 전체가 아니라 각 서브시스템(센서 / 로직 솔버 / 최종 요소)별로 독립 적용됩니다.

서브시스템일반 적용 구조이유
센서 (Sensor)1oo2 또는 2oo3공정 이상 감지 민감도 확보. 오감지(Spurious) 허용 수준에 따라 선택.
로직 솔버 (Logic Solver)1oo1D 또는 2oo2D진단 기능(D) 내장 PLCSafe. 단일 고장 검출 가능. 고장 시 안전 측 출력.
최종 요소 (Final Element)1oo1 또는 1oo2차단 밸브(SDV)는 1oo1이 일반적. 고위험 SIF에서 1oo2(병렬 밸브) 적용.

전체 SIF PFDavg = 각 서브시스템 PFDavg 합산

PFDavg(SIF) = PFDavg(센서) + PFDavg(로직 솔버) + PFDavg(최종 요소). 가장 PFDavg가 높은 서브시스템이 전체를 지배하므로, 취약 구간부터 개선합니다.

8. 실무 구조 선택 기준

구조 선택 흐름

Step 1. LOPA에서 SIL Target 확인 (ARC-RISK-004)

Step 2. SIL Target별 권장 구조
  SIL 1 → 1oo1 또는 1oo2 (저λDU 기기)
  SIL 2 → 1oo2 또는 2oo3 (권장)
  SIL 3 → 2oo3 (필수적 중복 + CCF 저감)

Step 3. Spurious Trip 허용 수준 확인
  허용 낮음 (연속 공정) → 2oo3 우선
  허용 높음 (배치 공정) → 1oo2 가능

Step 4. CCF β 값 확인 → β ≥ 5%이면 이종화 또는 분리 설치 검토

Step 5. PFDavg 계산으로 SIL Target 달성 여부 검증 (ARC-RISK-008에서 수행)

9. 현장 오류 사례

오류 1 — 채널 수 증가 = 안전도 향상 오해

"2oo2는 채널이 2개라서 1oo1보다 안전하다"

2oo2는 AND 조건으로 인해 1oo1보다 PFDavg가 높습니다. 채널 수 증가가 항상 안전도 향상을 의미하지 않으며, 투표 논리(M값)가 안전도와 가용성을 결정합니다.

오류 2 — 중복 구조에서 CCF 무시

동일 제조사·모델 센서 2개를 1oo2로 구성하고 CCF 계산 생략

동종 기기 1oo2 구성에서 β = 10% 가정 시, CCF 항이 PFDavg의 90% 이상을 차지할 수 있습니다. CCF를 무시한 SIL 계산은 실제보다 PFDavg를 과소 평가합니다.

오류 3 — 서브시스템별 구조 혼동

SIF 전체를 2oo3으로 가정하고 PFDavg 계산

센서는 2oo3이지만 최종 요소(차단 밸브)가 1oo1인 경우, 최종 요소 PFDavg가 전체를 지배합니다. 서브시스템별 구조를 각각 명확히 정의하고 PFDavg를 합산해야 합니다.

오류 4 — Spurious Trip 빈도 미검토

SIL 2 목표로 1oo2 선택, 연속 공정에서 잦은 비계획 정지 발생

1oo2는 안전도가 높지만 Spurious Trip 빈도도 증가합니다. 연속 공정(에틸렌, 암모니아 등)에서 1oo2 센서 구성은 비계획 정지를 유발하여 오히려 운영 리스크를 높일 수 있습니다. 2oo3이 균형적인 대안입니다.

10. ArchSafe 실무 체크리스트

SIF Architecture 설계 체크리스트

  • ☐ LOPA에서 도출된 SIL Target이 확정되어 있는가
  • ☐ 서브시스템(센서/로직 솔버/최종 요소)별 구조가 각각 정의되어 있는가
  • ☐ CCF β 인수가 산정되어 있는가 (상세 분석 또는 보수적 10% 적용)
  • ☐ 동종 기기 사용 시 CCF 저감 방안(이종화, 분리 설치)이 검토되었는가
  • ☐ Spurious Trip 허용 빈도가 공정 요건과 대조되었는가
  • ☐ 각 서브시스템 PFDavg를 합산하여 전체 SIF PFDavg를 계산하였는가
  • ☐ 선택된 구조로 SIL Target PFDavg 범위를 달성하는가
  • ☐ HFT(Hardware Fault Tolerance) 요건을 IEC 61508 Table 3에서 확인하였는가
  • ☐ 구조 선택 근거가 SIL 계산서에 문서화되어 있는가
  • ☐ Proof Test 시 각 채널을 독립적으로 시험할 수 있는 구조인가

11. 참고 표준 및 자료

  • IEC 61508-2: Hardware safety integrity — 구조적 제약 및 HFT 요건
  • IEC 61508-6: Annex B — PFDavg 공식 (MooN 구조 포함)
  • IEC 61511-1: §11 SIS 설계 요건 — 서브시스템별 구조 선택
  • IEC 61511-2: Informative Annex — CCF 평가 방법 및 β 인수 산정
  • CCPS "Guidelines for SIS": Architecture 선택 실무 가이드

관련 문서

← RISK 목록