Process Safety Engineering 해석 구조
1. 문제 정의 — RISK 001~008은 무엇을 다루지 않았는가
RISK-001부터 RISK-008까지는 LOPA 절차, IPL 인정 기준, PFDavg 계산, SIL Target, SIS 독립성, Proof Test, SIF Architecture, 잔여위험 검증을 각각 "어떻게 수행하는가" 관점에서 다뤘습니다. 이 8개 문서를 절차대로 따라가면 계산은 가능하지만, 왜 그 절차가 그렇게 설계됐는지는 설명하지 않습니다.
본 코드는 새로운 절차를 추가하지 않습니다. 대신 RISK-001~008 전체를 관통하는 설계 근거층을 다룹니다. 현장 엔지니어가 "왜 이 SIL을 적용했는가", "왜 이 안전계수를 썼는가"라는 질문을 받았을 때, 절차를 암기한 답변이 아니라 원리에서 출발한 답변을 구성할 수 있게 하는 것이 목적입니다.
본 코드의 역할 한정
본 코드는 RISK 카테고리 내부의 해석 레이어입니다. 새로운 계산 절차나 판단 기준을 제시하지 않으며, 기존 RISK-001~008과 EX·PUR 일부 코드가 "왜 그렇게 설계됐는지"를 다시 읽어내는 역할만 합니다.2. 사고는 "현상"이 아니라 "설계 누적 결과"다
사고 조사 보고서는 종종 사고를 단일 사건(밸브 고장, 작업자 실수)으로 설명합니다. 그러나 공정안전공학 관점에서 중대 사고는 거의 항상 여러 계층의 설계 누락이 동시에 일치한 결과입니다. 이 관점이 RISK-001~008 전체의 출발점입니다.
2.1 4-Layer 사고 구조
Physical → Design → Operational → Legal
화학물질의 본질적 위험성(인화점, 폭발범위, 독성), 공정 조건(압력, 온도). 이 계층은 설계로 바꿀 수 없는 출발 조건
② Design Layer (설계 계층)
물리적 위험을 통제하기 위해 설계된 방호 수단 — 인터록, SIS, 압력방출장치, 방폭 등급. RISK-001~007이 이 계층의 정량적 검증을 다룸
③ Operational Layer (운영 계층)
설계된 방호 수단이 실제로 작동 상태를 유지하는지의 영역 — 정비, 시험, 변경관리. COM·SAFE가 이 계층을 다룸
④ Legal Layer (법적 계층)
앞 세 계층이 무너졌을 때 책임이 어떻게 귀속되는지 — LEGAL이 이 계층을 다룸
한 계층의 견고함이 다른 계층의 결함을 상쇄하지 않음
Design Layer가 완벽해도 Operational Layer에서 정비가 누락되면 설계는 무의미해집니다(PUR-003의 동등품 교체 사례 참조). 반대로 Operational이 완벽해도 Physical Layer의 위험성을 과소평가한 Design은 애초에 부족한 방호 수준을 갖습니다. 4계층은 독립적으로 평가하되, 사고는 항상 복수 계층의 결함이 겹칠 때 발생합니다.3. Inherent Safety는 "좋은 개념"이 아니라 "제약조건 구조"다
Inherent safety(고유 안전성)는 흔히 "위험을 제거하는 게 가장 좋은 방법"이라는 도덕적 명제처럼 소개됩니다. 공학적으로는 다른 의미를 가집니다 — Design Layer가 책임져야 할 방호 부담을 Physical Layer 자체에서 줄이는 구조적 선택입니다.
Inherent Safety의 4원칙과 제약조건 관점
대체(Substitute) — 덜 위험한 물질로 바꾸면 Physical Layer의 출발 조건이 바뀌어, 동일한 방호 수준이라도 잔여위험이 줄어듦
완화(Moderate) — 공정 조건(압력·온도·농도)을 낮추면 동일 사고 시나리오의 발생 가능성과 결과 크기가 함께 줄어듦
단순화(Simplify) — 복잡성이 줄면 RISK-007의 SIF Architecture가 책임져야 할 실패 모드의 수 자체가 줄어듦
즉 Inherent Safety를 적용하면 RISK-004의 SIL Target 결정 과정에서 요구되는 SIL 수준이 구조적으로 낮아집니다. 이건 "안전을 더 신경 쓴다"는 태도의 문제가 아니라, Physical Layer를 바꿔서 Design Layer의 부담을 줄이는 설계 선택입니다.
4. Safety Factor는 왜 항상 보수적이지 않은가
안전계수(Safety Factor)는 불확실성에 대한 여유분으로 흔히 이해되지만, 모든 안전계수가 동일한 종류의 불확실성을 다루지 않습니다. 어떤 불확실성을 다루는지에 따라 계수의 의미와 적용 방식이 달라집니다.
| 안전계수 유형 | 다루는 불확실성 | RISK 코드 연결 |
|---|---|---|
| 물성 불확실성 | 설계 시점에 정확히 알 수 없는 재료·화학물성 변동 | PFDavg 계산 시 고장률 데이터의 통계적 신뢰구간 (RISK-003) |
| 모델 불확실성 | 단순화된 계산 모델과 실제 물리 현상의 괴리 | LOPA 시나리오 빈도 추정의 보수적 가정 (RISK-001) |
| 운영 불확실성 | 설계 조건과 실제 운영 조건의 차이, 열화 | SIS Proof Test 주기 설정의 근거 (RISK-006) |
| 인적 불확실성 | 절차 미준수, 판단 오류 가능성 | SIF 아키텍처의 다중화·이결성 설계 (RISK-007) |
안전계수를 무조건 키우는 것이 항상 안전하지 않은 이유
물성 불확실성에 대한 안전계수를 과도하게 키우면 설계가 비현실적으로 보수화되어 다른 계층(Operational)에서 운영 부담이 늘고, 그 부담이 절차 미준수(인적 불확실성)로 이어질 수 있습니다. 안전계수는 어떤 불확실성을 다루는지 명확히 한 후, 그 불확실성의 실제 크기에 비례해야 합니다. RISK-008 §3의 ALARP "현저히 불균형" 판단과 같은 논리입니다.5. 위험 모델은 숫자가 아니라 "가정 구조"다
LOPA의 PFDavg 값, SIL 등급, QRA(정량적 위험성평가) 결과는 모두 최종적으로 숫자로 표현됩니다. 하지만 그 숫자 자체보다 그 숫자가 어떤 가정 위에서 도출됐는지가 공학적으로 더 중요합니다.
숫자 뒤의 가정 구조 읽기
PFDavg는 특정 시험 주기와 고장 모드 가정 하에서의 계산값입니다. Proof Test가 실제로 그 주기대로 수행되지 않으면(RISK-006), 계산된 PFDavg는 실제 상태를 반영하지 못합니다
SIL은 "신뢰도 점수"가 아니라 "Fault Architecture"
SIL 3는 SIL 1보다 단순히 "더 안전한 등급"이 아니라, 요구되는 다중화·이결성·진단 범위가 구조적으로 다른 아키텍처입니다(RISK-007). SIL 등급을 올리는 것은 숫자를 올리는 게 아니라 아키텍처를 바꾸는 것입니다
IPL은 "있다/없다"가 아니라 "독립성 조건을 만족하는가"
RISK-002에서 다룬 IPL 인정 기준은 단순히 방호계층의 존재 여부가 아니라, 다른 보호계층과 공통원인고장(CCF)을 공유하지 않는다는 독립성 가정에 의존합니다. 그 가정이 깨지면 IPL로 인정한 계층 전체의 신뢰도 계산이 무효화됩니다
6. 현장 적용 예시 — 동일 계산이 다른 설계로 이어지는 경우
같은 위험 시나리오라도 어느 계층에서 통제하느냐에 따라 설계가 달라집니다. 다음은 가연성 가스 누출 시나리오를 4-Layer 관점에서 비교한 예시입니다.
| 접근 방식 | 적용 계층 | 설계 결과 |
|---|---|---|
| 보유량 자체를 줄임 | Physical (Inherent Safety) | 누출 시 결과 심각도가 줄어 SIL 요구 수준이 낮아짐 |
| 고압력 인터록으로 차단 | Design | RISK-004의 SIL Target 산정에 따라 SIS 구축, RISK-007의 아키텍처 설계 필요 |
| 가스 검지기 정기 점검 강화 | Operational | 설계 변경 없이 기존 시스템의 작동 신뢰도 유지, PUR-003 §2 정기 기능시험과 동일 논리 |
| 사고 발생 시 보고·대응 체계 정비 | Legal/Operational 경계 | 위험 자체는 줄이지 못하지만 사고 발생 후 책임·대응 구조 확보 (SAFE-005 연계) |
네 가지 접근 모두 "안전을 위한 조치"이지만, Physical Layer 개입이 가장 근본적이고 Operational/Legal 개입은 가장 즉시 적용 가능합니다. 실무에서는 비용·일정 제약상 Physical Layer 개입이 어려운 경우가 많아 Design Layer(SIS 등)에 의존하게 되는데, 이때 RISK-001~008의 정량 절차가 필요해집니다.
7. 자주 발생하는 해석 오류
오류 1 — "안전계수를 크게 적용할수록 더 안전하다"
불확실성 종류를 구분하지 않고 일괄적으로 큰 안전계수 적용
오류 2 — "SIL 3가 SIL 1보다 그냥 숫자가 큰 더 좋은 등급이다"
SIL 등급을 단일 축의 신뢰도 점수로 취급
오류 3 — "Inherent Safety는 여유 있을 때 고려하는 선택 사항"
설계 초기 단계에서 Inherent Safety 검토 없이 바로 SIS 설계로 진입
오류 4 — "한 번 계산한 PFDavg는 계속 유효하다"
초기 설계 시 계산한 PFDavg를 운영 중 재확인 없이 인용
8. ArchSafe 연결 — RISK 001~008 재독해
본 코드의 관점으로 기존 RISK 문서를 다시 읽으면 각 문서가 4-Layer 구조의 어느 지점을 다루는지 명확해집니다.
| 코드 | 다루는 내용 | 본 코드 관점에서의 위치 |
|---|---|---|
| RISK-001 | LOPA 절차 | Physical Layer 위험을 Design Layer 요구사항으로 번역하는 절차 |
| RISK-002 | IPL 인정 기준 | §5의 "독립성 가정"이 성립하는지 확인하는 절차 |
| RISK-003 | PFDavg 계산 | §4의 "물성·모델 불확실성"을 정량화하는 방법 |
| RISK-004 | SIL Target 결정 | §3의 Inherent Safety 적용 여부가 직접 영향을 주는 산출값 |
| RISK-005 | SIS 독립성 원칙 | §5의 IPL 독립성 가정을 SIS 설계에 구조적으로 강제하는 원칙 |
| RISK-006 | Proof Test 주기 | §5에서 다룬 "PFDavg가 유지되기 위한 Operational Layer 조건" |
| RISK-007 | SIF Architecture | §5의 "SIL = Fault Architecture"를 실제 구조로 구현하는 절차 |
| RISK-008 | 잔여위험 검증 | §2의 4-Layer 전체가 실제로 작동했는지 사후 확인하는 절차 |
9. 관련 문서
- ARC-RISK-001~008 — 본 코드가 해석하는 정량 평가 절차 전체
- ARC-PUR-003 — Operational Layer 유지관리의 구체적 사례 (퍼지·가압 정기 기능시험)
- ARC-SAFE-005 — 4계층이 동시에 무너졌을 때의 초기 대응
- ARC-LEGAL-004 — Legal Layer의 판단 기준
10. 참고 자료
- CCPS "Guidelines for Engineering Design for Process Safety" — Inherent Safety 4원칙 원전
- IEC 61511 — SIL/SIF 아키텍처 요구사항 전반
- Trevor Kletz, "Process Plants: A Handbook for Inherently Safer Design"
- CCPS "Layer of Protection Analysis" — LOPA 가정 구조 원전