공통원인고장이 복합 안전시스템의 사고확률에 미치는 영향

공통원인고장에 따른 안전계통 독립성 저하와 복합 방호시스템의 사고확률 정량화

복합 안전시스템은 하나의 설비가 고장 나더라도 다른 설비가 기능을 대신하도록 중복성(Redundancy)을 적용하는 경우가 많다. 일반적으로 각 구성품의 고장이 서로 독립적이라면 여러 개의 보호설비를 병렬로 구성할수록 전체 시스템의 고장확률은 크게 낮아진다.

그러나 이러한 계산에는 중요한 전제가 있다.

바로 각 구성품의 고장이 서로 독립적이어야 한다는 것이다.

공통원인고장(Common Cause Failure, CCF)은 이러한 독립고장 가정을 무너뜨린다. 하나의 원인 또는 결합조건이 여러 중복 구성품에 동시에 영향을 미치면, 각각 독립적으로 작동하도록 설계된 방호설비가 같은 시점에 기능을 상실할 수 있다. NRC 역시 CCF를 하나의 공유된 원인과 결합 메커니즘에 의해 여러 중복 구성품이 동시에 또는 관련된 기간 내에 고장·기능저하되는 현상으로 다룬다.

---

1. 중복설계의 효과를 감소시키는 공통원인고장

2개의 동일한 안전장치 A와 B가 있다고 가정해보자.

각 장치의 고장확률이 동일하고 서로 독립적이라면 시스템이 두 장치를 모두 상실할 확률은 개별 고장확률보다 훨씬 낮아진다.

개념적으로,

P(동시 독립고장) = P(A 고장) × P(B 고장)

으로 표현할 수 있다.

그러나 A와 B가 동일한 전원, 동일한 제어신호, 동일한 환경조건, 동일한 설계 또는 동일한 정비절차를 공유한다면 상황이 달라진다.

예를 들어 다음과 같은 조건이 존재할 수 있다.

• 동일 전원계통
• 동일 제어회로
• 동일 소프트웨어
• 동일 제조기술
• 동일 설치환경
• 동일 정비절차
• 동일 작업자 또는 작업방법
• 동일한 환경 스트레스

이 경우 A와 B의 고장은 더 이상 완전히 독립적인 사건으로 볼 수 없다.

즉, 중복 구성품의 숫자를 늘리는 것과 실제 독립성을 증가시키는 것은 서로 다른 문제가 된다.

---

2. CCF는 ‘중복성’을 동시에 무력화할 수 있다

공통원인고장의 핵심적인 위험성은 하나의 고장이 여러 방호설비에 동시에 영향을 줄 수 있다는 데 있다.

예를 들어 다음과 같은 안전계통을 생각할 수 있다.

위험원 → 센서 A / 센서 B → 제어계통 → 차단밸브 A / 차단밸브 B → 사고 방지

표면적으로는 여러 개의 독립적인 보호수단을 갖춘 것처럼 보인다.

그러나 센서 A와 B가 동일한 환경에 노출되고, 두 차단밸브가 동일한 제어전원을 사용하며, 두 계통의 제어논리가 동일하다면 하나의 원인이 여러 구성품에 영향을 줄 수 있다.

이 경우 안전시스템의 실질적인 독립성은 설계상 보이는 것보다 낮아진다.

NRC는 고도의 중복성을 갖는 시스템에서 CCF가 시스템 고장의 중요한 원인이 될 수 있으며, PRA에서도 사고위험에 대한 주요 기여요인으로 식별된다고 설명한다.

---

3. β-Factor를 이용한 공통원인고장 기여도 평가

복합 안전시스템의 CCF를 정량적으로 평가할 때는 β-Factor Model과 같은 방법을 사용할 수 있다.

개념적으로 전체 고장률을 다음과 같이 구분할 수 있다.

전체 고장률 = 독립고장 성분 + 공통원인고장 성분

여기서 β는 전체 고장률 중 공통원인고장에 해당하는 비율을 나타내는 대표적인 파라미터로 활용된다.

예를 들어 동일한 안전기능을 수행하는 여러 채널이 존재하더라도 β값이 무시할 수 없을 정도로 크다면, 단순히 채널 수를 증가시키는 것만으로 시스템 신뢰도가 기대만큼 향상되지 않을 수 있다.

IEC 61508 계열의 관련 지침에서도 하드웨어 공통원인고장의 영향을 정량화하기 위한 β-factor 접근이 다뤄진다.

따라서 안전시스템의 신뢰도를 평가할 때는

“몇 개의 보호장치가 설치되어 있는가?”

보다

“각 보호장치가 실제로 얼마나 독립적인가?”

를 함께 평가해야 한다.

---

4. 방호계층 사이의 ‘공유 취약성’이 사고확률을 변화시킨다

복합 안전시스템에서는 여러 개의 방호계층을 구성하는 것이 일반적이다.

예를 들어,

공정제어 → 경보 → 인터록 → 자동차단 → 비상대응

과 같은 구조를 생각할 수 있다.

그러나 여러 계층이 동일한 전원이나 제어신호, 동일한 센서 또는 동일한 환경조건에 의존한다면 각 계층은 외형적으로는 분리되어 있어도 실제로는 하나의 공통 취약성을 공유할 수 있다.

이러한 경우 특정 원인이 발생하면 여러 방호계층이 동시에 영향을 받을 가능성이 증가한다.

결과적으로 사고 발생경로가

단일 방호장벽 상실 → 다음 장벽 작동

의 형태가 아니라,

공통원인 발생 → 복수 방호장벽 동시 기능저하 → 사고경로 활성화

형태로 바뀔 수 있다.

따라서 복합 안전시스템에서는 개별 장치의 고장확률뿐 아니라 방호계층 간 종속성(Dependency)을 분석해야 한다.

---

5. FTA에서 CCF를 반영하면 사고확률이 달라진다

Fault Tree Analysis(FTA)를 이용하면 CCF가 사고확률에 미치는 영향을 구조적으로 표현할 수 있다.

예를 들어 최상위 사고가 다음과 같은 조건에서 발생한다고 가정할 수 있다.

Top Event = 보호계통 A 실패 AND 보호계통 B 실패

독립고장을 가정하면 두 사건의 동시 발생확률은 각각의 고장확률을 곱하는 방식으로 평가할 수 있다.

하지만 A와 B가 공통원인에 의해 동시에 고장날 수 있다면 별도의 CCF 사건을 Fault Tree에 포함해야 한다.

즉,

A 독립고장 + B 독립고장 + A·B 공통원인고장

이라는 구조로 사고경로를 재구성할 필요가 있다.

CCF 분석에서는 이러한 논리모델 작성, 공통원인 사건의 식별, 확률적 표현, 데이터 분석 및 시스템 정량화가 중요한 분석 단계로 다뤄진다.

---

6. 사고확률을 높이는 것은 ‘고장 하나’가 아니라 독립성의 붕괴다

공통원인고장의 본질적인 위험은 단순히 고장 하나가 추가된다는 데 있지 않다.

더 중요한 것은 기존에 독립적이라고 가정했던 여러 방호수단의 동시 실패 가능성을 증가시킨다는 것이다.

예를 들어 3개의 동일한 보호채널을 갖춘 시스템이라도 동일한 전원과 동일한 제어환경을 공유한다면 채널 수만으로 높은 신뢰도를 보장하기 어렵다.

따라서 신뢰도 향상을 위해서는 다음과 같은 설계전략이 중요하다.

구분	독립성 확보 방법
전원	분리 전원·비상전원 구성
제어	독립 제어회로 구성
센서	물리적·기술적 다양성 확보
설치	공간적 분리 및 환경 격리
소프트웨어	공통 오류 가능성 검토
정비	동일 작업에 의한 동시고장 방지
제조	동일 취약점의 공통 발생 가능성 검토
방호계층	서로 다른 원리의 보호수단 적용

NRC도 CCF 저감을 위해 설계·정비·시험 및 운전 과정에서 공통원인을 체계적으로 검토하는 접근을 강조하고 있으며, 실제 성능결함이 여러 중복 구성품에 영향을 미칠 가능성까지 PRA에서 고려하고 있다.

---

7. 최종적으로 평가해야 할 것은 ‘중복성’이 아니라 ‘실질적 독립성’

복합 안전시스템의 사고확률을 낮추기 위해서는 단순한 중복설계만으로 충분하지 않다.

중복된 장치들이 동일한 원인에 의해 동시에 기능을 상실할 수 있다면, 형식적인 중복성은 실제 위험감소 효과를 충분히 제공하지 못할 수 있다.

따라서 전문적인 신뢰성 분석에서는 다음과 같은 순서로 접근하는 것이 효과적이다.

① 안전기능 정의

→ ② 중복 구성품 식별

→ ③ 구성품 간 종속관계 분석

→ ④ 공통원인 및 결합조건 식별

→ ⑤ CCF 발생확률 추정

→ ⑥ FTA/PRA 모델에 반영

→ ⑦ 사고확률 변화 및 중요도 평가

→ ⑧ 설계 다양화·분리·시험·정비 개선

결국 공통원인고장의 핵심은 “여러 개의 안전장치를 설치했는가”가 아니라 “그 안전장치들이 동일한 실패원인으로부터 얼마나 독립되어 있는가”에 있다.

복합 안전시스템의 신뢰도를 높이기 위해서는 단순한 redundancy 증가보다 독립성, 다양성, 물리적 분리, 공통 취약성 제거가 중요하다. CCF가 존재하면 추가적인 중복성이 기대한 만큼 사고확률을 낮추지 못할 수 있으며, 따라서 CCF를 별도의 사고경로로 모델링하고 정량적인 위험기여도를 평가해야 한다.