권혁면 박희철 * 천영우 * 박진형 ** 한국산업안전보건공단산업안전보건연구원 * 한국산업안전보건공단 ** 한국요꼬가와전기 ( 주 ) (2012. 6. 13. 접수 / 2012. 9. 12. 채택 ) Towards the Application of Safety Integrity Level for Improving Process Safety Hyuck-Myun Kwon Hee-Chul Park * Young-Woo Chun * Jin-Hyung Park ** Occupational Safety & Health Research Institute, KOSHA * Korea Occupational Safety & Health Agency ** Yokogawa Elecric Korea Co., Ltd (Received June 13, 2012 / Accepted September 12, 2012) Abstract : The concept of SIL is applied in the most of all standards relating to functional system safety. However there are problems for the people to apply SIL to their plants. as these standards don t include sufficient informations. In this regards, this paper will suggest the direction of SIL application and concept based on IEC 61508 and IEC 61511. A Safety Integrity Level(SIL) is the discrete level(one out of possible fours), corresponding to a range of the probability of an E/E/PE (Electric/Electrical/Programmable Electrical) safety-related system satisfactorily performing the specific safety functions under all the stated conditions within a stated period of time. SIL can be divided into the target SIL(or required SIL) and the result SIL. The target SIL is determined by the risk analysis at the analysis phase of safety lifecycle and the result SIL is calculated during SIL verification at the realization phase of safety lifecycle. The target SIL is determined by the risk analysis like LOPA(Layer Of Protection Analysis), Risk Graph, Risk Matrix and the result SIL is calculated by HFT(Hardware Fault Tolerance), SFF(Safe Failure Fraction) and PFDavg(average Probability of dangerous Failure on Demand). SIL is applied to various areas such as process safety, machinery(road vehicles, railway application, rotating equipment, etc), nuclear sector which functional safety is applied. The functional safety is the part of the overall safety relating to the EUC and the EUC control system that depends on the correct functioning of the E/E/PE safety-related systems and other risk reduction measures. SIL is applied only to the functional safety of SIS(Safety Instrumented System) in safety. EUC is the abbreviation of Equipment Under Control and is the equipment, machinery, apparatus or plant used for manufacturing, process, transportation, medical or other activities. Key Words : SIS, SIL, safety lifecycle(slc), functional safety, SIF, maintenance 1. 서론 * 1999 년 IEC 61508 이제정되고, 2003 년 IEC 61011 이제정된이후세계각국의플랜트에서는자율적으로 Safety Integrity Level(SIL, 이하 SIL) 을도입하려는노력을계속하고있다. 유럽과미국에서먼저도입하기시작해서이제는남미, 중동, 동남아, 중국등도적극적으로 SIL 을도입하고있는실정이다. 일본과한국의경우는이제세계에서 SIL 도입이가장늦은나라의대열에합류했다고해도과 To whom correspondence should be addressed. hmkwon@kosha.net 언이아니다. SIL 은 Functional Safety( 기능안전 ) 을통해플랜트의안전을향상시키려는노력에서나왔는데플랜트의정량화된리스크분석을통해보다정교하게 Target SIL 을정하고이 Target SIL 을만족시킬수있는 SIS 를설치하기위해서는 SIS 의고장률을어떻게분석하여 Target SIL 을만족시켰는지를증명하는지가 SIL 의주요골자라할수있다. 이전에단순히플랜트의리스크를분석하는것으로끝나는방식이아니라플랜트의리스크를이전의방식보다더정교하게분석하고리스크를감소시키기위한구체적이고수치적인분석방법및증명방법을제시했다는데서 SIL 의가장큰의의를찾을 64
수있다. 하지만 IEC 61508 과 IEC 61511 이모든상세한것까지다설명해주지않기때문에 IEC 61508 과 IEC 61511 만으로는 SIL 을제대로이해하고플랜트에적용하기는쉽지않다. 이논문에서는 SIL 의정의및종류, Target SIL 의결정방법, Result SIL 의증명방법, SIS 의정의, SIS 의종류에대한최신경향을설명함으로써플랜트에서일반적으로 SIL 을어떻게도입하고적용할지에대한방향을제시하고자한다. 2.1. SIL 의정의 2. SIL 의정의및종류 IEC 61508 PART 4 의용어정의부분을참고하면 SIL 은 Safety Integrity Level( 안전무결수준 ) 의약자로써 안전무결 (Safety Integrity) 값의범위를 4 개의불연속적인수준으로나타낸것으로 4 개의수준중 SIL4 가가장높은수준이고 SIL1 이가장낮은수준 으로정의되어있다 1). 안전무결 (Safety Integrity) 이란 전기 / 전자 / 프로그램가능한전자 (E/E/PE) 안전관련시스템 (Safety-rela ted system) 이정해진시간에모든조건하에서특정안전기능을만족스럽게수행하는확률 이라고 IEC 61508 PART4 에정의되어있다 1). 결국 SIL 이란 전기 / 전자 / 프로그램가능한전자로이루어진안전관련시스템이정해진시간에모든조건하에서특정안전기능을만족스럽게수행하는확률의범위를 4 개의불연속적인수준으로나타낸것 을말한다. 이때 4 개의불연속적인수준은 Targer SIL 의경우는이논문의 Table 3 을참고하고 Result SIL 의경우는이논문의 Table 2 와 Table 3 두개를모두참고하여정할수있다. 2.2. SIL 의종류와 Safety Lifecycle (SLC) SIL 은 Fig. 1 에표현된 Safety Lifecycle 중 Analysis 단계에서리스크분석을통해결정되는 Target SIL( 또는 Required SIL) 과 Realization 단계에서 SIL verification 을통해결정되는 Result SIL 두개로나눌수있다. Fig. 1 의 Analysis 단계에서세번째에해당하는 Hazard & Risk Analysis 는 Hazard Analysis 와 Risk Analysis 로분리할수있는데 Hazard Analysis( 위험분석 ) 의경우정성적 (Qualitative) 분석방법으로구체적예로는 HAZOP(Hazard and Operability Study) Fig. 1. Safety lifecycle(slc) 2). 이가장대표적인분석방법이라할수있고 Risk Analysis( 리스크분석 ) 의경우는정량적 (Quantitative) 분석방법으로 Hazard Analysis 에서위험하다고판단된 SIF (Safety Instrumented Function, 안전계장기능 ) 에대해정량적분석을실시하여 Target SIL 을결정한다. Target SIL 은방호계층분석기법 (Layer Of Protection Analysis), Risk Graph, Risk Matrix, ALARP(As Low as reasonably practicable) 등을통해결정되는데 LOPA(Layer Of Protection Aalysis, 방호계층분석기법 ) 가현재가장대표적인분석방법이라할수있다. Result SIL 은하드웨어고장허용치 (HFT, Hardware Fault Tolerance), 안전고장비율 (SFF, Safety Failure Fraction), 평균작동요구시위험고장확률 (PFDavg, Average Probability of dangerous Failure on Demand) 을모두계산해서결정한다. Result SIL 은 Target SIL 보다반드시같거나높은결과가나와야안전하다고말할수있다. 3. SIL 의결정방법 3.1. Target SIL 을결정하는방법론 Target SIL 을결정하는방법은하기와같은방법이있다. IEC 61508 edition 2 Part 5 에제시된방법 ALARP(As Low As Reasonably Practicable) Risk Graph Risk Matrix LOPA(Layer Of Protection Analysis) 2) IEC 61511 edition 1 Part 3 에제시된방법 FTA(Fault Tree Analysis) LOPA(Layer Of Protection Analysis) 1) 위의방법론중현재세계적으로가장많이이 한국안전학회지, 제 27 권제 5 호, 2012 년 65
권혁면 박희철 천영우 박진형 용되고있는방법론이 LOPA( 방호계층분석기법, Layer Of Protection Analysis) 이므로본논문에서는 LOPA 의방법론에대해간단하게언급하도록한다. 상기 Table 1 은 IEC 61511 PART 3 에나타난 LOPA 테이블예를번역한 KOSHA CODE P-45-2009 에나타낸테이블을인용한것이다 3). 방호계층은 IEC 61511 PART 1 의용어집에의하면 제어, 보호또는경감에의하여리스크를감소시키는독립적인메카니즘 이라고정의된다 4). 공정의방호계층을알기쉬운양파방호계층모형으로나타내면하기 Fig. 2 와같이나타낼수있다. Table 1. Example of LOPA 3) Fig. 2. Onion protection layer 2). LOPA 는리스크분석방법중플랜트의리스크를가장정밀하고쉽게수치화할수있는방법이고 Target SIL 을가장경제적으로산정할수있는방법이기도하다. Fig. 2 의양파방호계층모형이 LOPA 에그대로일대일로대응되는것은아니지만공정의안전이일반적으로상기모형에따라실현되고있다. 안타깝게도상기모형중자동안전계장기능에해당하는 ESD 는국내중대사고가발생한플랜트중아직도설치되지않고있는플랜트가많아안전을실현하기위한각플랜트의자율적인노력이무엇보다도아쉬운실정이다. Table 1 의 LOPA 의예에서보았듯이강도수준에따라완화된사고빈도가결정되고각방호계층란에는기준테이블에나타난 PFD 를입력하고초기사고빈도부터모든방호계층의 PFD 를곱하여중간사고빈도를계산한다. 마지막으로완화된사고빈도를중간사고빈도로나눈값이안전계장기능무결수준을결정하는 PFD 로결정되고이 PFD 를 IEC 61508 의기준테이블에따라 SIL 로환산하면된다. LOPA 는인적안전 (Personnel Safety), 환경, 재산에대해모두실시하여야하며, 세개의 Target SIL 중가장높은 SIL 이최종 Target SIL 로결정된다. 3.2. Result SIL 의계산 Result SIL 을계산하는방법은안전고장비율 (SFF, Safe Failure Fraction) 과하드웨어고장허용치 (HFT, Hardware Fault Tolerance) 에의한방법그리고평균작동요구시위험고장확률 (PFDavg, Average Probability of dangerous Failure on Demand) 에의한방법을모두사용하여두가지결과중더낮은결과를 Result SIL 로결정한다. 먼저첫번째방법인안전고장비율 (SFF, Safe Fai Table 2. Table 2 & Table 3 in IEC 61508 PART2 5) 66 Journal of the KOSOS, Vol. 27, No. 5, 2012
lure Fraction) 과하드웨어고장허용치 (HFT, Hardware Fault Tolerance) 에의한방법은 IEC 61508 에의한방법이있고, IEC 61511 에의한방법이있는데이논문에서는더정밀한방법인 IEC 61508 에의한방법을기준으로설명하고자한다. IEC 61508 PART 2 에는하기 Table 2 와같이 Table 2 와 Table 3 두가지테이블이있다. 상기 Table 2 에서안전고장비율 (SFF, Safe Failure Fraction) 이란하기의공식으로계산할수있다. : Safe Failure Rate( 안전고장률 ) Dd: Dangerous detected failure rate ( 위험감지고장률 ) Du: Dangerous undetected failure rate ( 위험불감지고장률 ) 5) 하드웨어고장허용치 (HFT, Hardware Fault Tolerance) 는 IEC 61508 PART 2 7.4.4.1 항목에하기와같이기술되어있다 5). 하드웨어고장허용치 N 은 N+1 개가안전기능의상실을야기할수있는최소한의숫자의고장이라는것을의미한다. IEC 의문구중상기문구와같이쉽게이해하기힘든문구도많은데쉽게설명하면고장이나도여전히안전기능을수행할수있는최대숫자 N 이하드웨어고장허용치 (HFT) 가되는것이다. 상기 Table 2 의 Table 2 는 Type A 에대한테이블이과 Table 3 는 Type B 에대한테이블인데 Type A 와 Type B 를분류하는가장일반적인방법중하나는회로도에마이크로프로세서가없는경우 Type A 로분류되고회로도에마이크로프로세서가있는경우는 Type B 로분류된다. 두번째방법인평균작동요구시위험고장확률 (PFDavg, Average Probability of dangerous Failure on Demand) 에의한계산은공정안전의경우하기 Table 3 에나타난바와같이 IEC 61508 PART 1 의 Table 2 에따라 SIL 을결정한다 6). Table 3. Table 2 in IEC 61508 PART1 6) PFDavg 의계산공식및결과는계산하는사람에따라차이가클수있기때문에 PFDavg 계산과 SFF/ HFT 의계산은반드시세계적으로인정받는 Tool 인 SILENTIA( 미국 exida 판매 ) 나 Yokogawa 의 Tool 인 GRC 로써했을때일반적으로인정받을수있고개인적으로개발한 Tool 이나수동계산은업무상혼란을초래하므로인정되지않는다. 요즘해외에서는레포트의신뢰성을위해 CFSE(Certified Functional Safety Expert) 의검토를받은 SIL calculation report 또는 SIL verification report 만인정되는추세이다. 참고로 SILENTIA 는미국의대표적인 Safety 컨설팅회사인 Exida 에서개발한 SIL Calculation Tool 이며 GRC 는 General Reliability Calculator 의약자로요꼬가와네델란드지사에있는 Safety Assurance & Consultancy 팀에서개발한 SIL Calculation Tool 이다. 4.1. SIS 의정의 4. SIS 의정의, 종류및구조 SIS 는 Safety Instrumented System( 안전계장시스템 ) 의약자로써공정이안전상태를벗어났을때미리정해진안전상태로가게하는독립적인시스템을말한다. IEC 61511 PART 1 4) 에는하기와같이 SIS 를정의한다. 안전계장시스템 (SIS) 란하나또는그이상의안전계장기능 (SIF, Safety Instrumented Function) 을이행하기위해사용되는계장시스템으로센서 (Sensor), 로직해결기 (Logic Solver), 최종요소 (Final Element) 로이루어져있다 4). 상기문구에서사용된안전계장기능 (SIF) 은 IEC 61511 PART 1 에하기와같이정의되어있다. 안전계장기능 (SIF) 은기능안전 (Functional Safety) 을달성하고안전계장보호기능 (Safety Instrumented Protection Function) 또는안전계장제어기능 (Safety Instrumented Control Function) 이될수있는 SIL 을가진안전기능 으로센서 (Sensor), 로직해결기 (Logic Solver), 최종요소 (Final Element) 는하기와같이 IEC 61511 PART 1 에정의되어있다 4). Sensor(s) : 프로세스컨디션을측정하기위한장치 ( 예, transmitters, transducers, process switches, position switches) Logic Solver(s) : 하나이상의 Logic 기능을수행하는장치 ( 예, electrical systems, electronic systems, 한국안전학회지, 제 27 권제 5 호, 2012 년 67
권혁면 박희철 천영우 박진형 programmable electronic systems, pneumatic systems, hydraulic systems) Final Element(s) : 안전한상태로만들기위해필요한물리적작동을하는장치 ( 예, valves, switch gear, motors including their auxiliary elements) SIF 의예를그림으로나타내면 Fig. 3 와같이나타낼수있다. SIS 는 BPCS(Basic Process Control System, 기본공정제어시스템, DCS 와동일한의미 ) 와의독립성을반드시유지하여야하며서로독립적인 BPCS 와 SIS 의구성을그림으로표현하면 Fig. 4 와같이나타낼수있다. Fig. 3. Safety instrumented function 7). 제대로적용되고있고나머지 ESD, PSD, F&G, HIPPS 에는일부기업을제외하고는대부분 SIL 을적용하지않고있다. 이부분역시국내각석유화학기업들의자율적인 SIL 도입을위한노력이아쉬운부분이다. 4.3. SIS 의구조 SIS 의대표적인구조 (Architecture) 는다음과같다. Single: 1oo1 구조. 1960 년대에 Software 가아닌오로지 Hardware 로만 Logic 을구성하는구조. 마그네틱코일과같이신뢰성이높은 Hardware 로만 Logic 을구성. SIL4 까지만족시키고 30 년정도의긴수명을보장한다는장점이있음. TMR: Triple Modular Redundancy. 2oo3 구조. 1970 년대에개발되었고과반수투표에의해제어되는방식. SIL3 까지만족시킬수있고, 1991 년도에 TUV 인증을받음. DMR: Dual Modular Redundancy. 1oo2D 구조. 1980 년대에개발되었고최초로자기진단회로를적용한구조. SIL3 까지만족시킬수있고 1986 년에 TUV 인증을받음. QMR: Quadruple Modular Redundancy. 2oo4D 구조. SIL3 까지만족시킬수있음. VMR: Versatile Modular Redundancy. 1oo1D 구조. 세계최초로 1oo1D 로 SIL3 를만족시키는자기진단회로를적용했음. 1oo1D 를다시이중화시킬경우 99.99999% 의 Availability 를만족시킬수있음. 5. SIL 의유지및관리 Fig. 4. Safety instrumented function 7). 4.2. SIS 의종류 공정안전에적용되는 SIS 의종류는대표적으로 ESD(Emergency Shutdown System), PSD(Process Shutdown System), F&G(Fire & Gas System), HIPS(High Integrity Protection System), HIPPS(High Integrity Pressure Protection System) 가있으나우리나라의경우는아쉽게도 Flare Stack, Scrubber, VCU(Vapor Combustion Unit) 등에사용되는 HIPS 에만 SIL 이 최초에 SIL3 로인정받고설치된 SIS 라하더라도주기적으로 Proof Test 를하지않으면 SIL 은지속적으로떨어질수밖에없다. 이렇게테스트하는주기를 Proof Test Interval 이라한다. 주기적으로 Proof Test 를한다고해도계기를완전분해하여유지보수차원이아니라기능테스트로끝나므로 Dangerous Undetected Failure Rate 가완전히없어지지는않는다. 이렇게불완전한테스트에의한복구비율을 Proof Test Coverage(PC) 라한다. 불완전한테스트와 Proof Test 에의한영향을그래프로나타내면하기 Fig. 5 와같이나타낼수있다. Fig. 5 에서파란색선이매년 Proof Test 를실시했을때 SIL 이떨어지는그래프를그린것이고빨간색선이 Proof Test 를한번도실시하지않을때 SIL 이떨어지는그래프를그린것이다. 68 Journal of the KOSOS, Vol. 27, No. 5, 2012
Fig. 5. Proof Test 와 SIL 의하락 (degradation) 2). 6. 결론 SIL 은리스크를어떻게낮출것인가에대해단순히방법을제시하는데그치지않고리스크를실질적으로어떻게낮추었는지측정하고증명하는확률적기준을제시했다는데서가장큰의의가있다고할수있다. 플랜트를설계하고건설할때사업주 (End User), 건설사 (EPC), 계장업체, 검사업체간에각각다른기준을가지고접근한다면프로젝트진행중큰혼란과업무적충돌은물론이고이에따라결국은플랜트의안전을보장하기힘든수준에도달할것이다. 이에따른피해는 End User 와지역주민들에게갈수밖에없다. SIL 은플랜트안전에대해사업주 (End User), 건설사 (EPC), 계장업체, 검사업체간에공통으로사용할수있는공용언어와같은역할을하여최종적으로플랜트안전을획기적으로향상시킬수있는기준이되었다. 현재우리나라의 SIL 적용현황은일부외국계기업을제외하고는대다수의국내기업들이 Flare Stack, Scrubber, VCU 등에사용되는 HIPS 에만 SIL 이제대로적용되고있다. 물론 SIL 적용에따른추가비용이발생하나화학공장사고의피해크기를고려할때우리나라도선진국과같이 SIL 의적극적인도입을고려하여야한다. SIL 관련업무를세부적으로살펴보면매우다양한방법론들이있지만플랜트의리스크분석단계에서 Target SIL 을결정하고실현단계 (Realization) 에서 Result SIL 을계산하여플랜트에실제로설치될 Sensor, Logic Solver, Final Element 들이 Target SIL 을만족시킬수있는지검증을하고현장에서설치후에는계속최초설치시의 SIL 을유지할수있도록주기적으로시험하고관리하는것이 SIL 관련업무의가장중요한골자라할수있다. IEC 61511 에서는플랜트에서 SIS 를적용하기위한전체적인절차를상세하기설명하고, 정의된 SIL 등급에따라요구되어지는 SIS 의구조를명확히설명함에따라사업주는플랜트안전에대해보다보편적인표준에따라쉽게접근할수있게되었다. 따라서안전관련국제규격인 IEC 61508 과 IEC 61511 에설명된 SIS 와 SIL 의개념의정확한이해를통해사업주 (End User), Licensor, 건설사 (EPC) 에서는공정의안전향상을위한자율적인노력을해야한다. 참고문헌 1) IEC 61508-4 Edition 2.0 Functional safety of electrical/electronic/programmable electronic safetyrelated systems - Part 4: Definitions and Abbreviations, pp. 19~20, 2010. 2) 박진형, 기능안전상세과정, 한국요꼬가와전기, 2012. 3) 이경성, KOSHA CODE P-45-2009, 방호계층분석 (LOPA) 기법에관한기술지침, 한국산업안전보건공단, 2009. 4) IEC 61511 Part 1,3, First edition 2003. 5) IEC 61508-2 Edition 2.0 Functional Safety of Electrical/Electronic/Programmable Electronic Safetyrelated Systems Part 2: Requirements for Electrical/ Electronic/Programmable Electronic Safety- related systems, page 26 Table 2, page 27 Table 3, 2010-04, pp. 26~27, 2010. 6) IEC 61508-1 Edition 2.0 Functional Safety of Electrical/Electronic/Programmable Electronic Safetyrelated Systems Part 1: General Requirements, pp. 3, 2010. 7) 권혁면, 권현길, SIL 도입을통한화학공정설비의신뢰도향상방안, 화학공학회특별심포지움발표자료, 2012. 한국안전학회지, 제 27 권제 5 호, 2012 년 69