안전 중요 설비의 기능적 중복성이 시스템 신뢰도에 미치는 영향
안전공학에서 안전 중요 설비의 기능적 중복성(Functional Redundancy)은 하나의 구성품이나 설비가 고장하더라도 동일한 안전기능을 수행할 수 있는 다른 설비가 남아 있도록 시스템을 구성하는 설계 원리이다.
예를 들어 냉각 기능을 수행하는 펌프가 1대뿐이라면 해당 펌프의 고장이 곧 안전기능 상실로 연결될 수 있다. 반면 3대의 펌프 중 2대만 정상적으로 작동해도 요구되는 냉각능력을 확보할 수 있도록 구성한다면 단일 설비의 고장이 전체 안전기능 상실로 이어지는 것을 방지할 수 있다.
그러나 여기에서 중요한 것은 “몇 개를 설치했는가”가 아니라 “실제로 서로 독립적으로 기능을 수행할 수 있는가”이다.
IAEA 역시 안전 중요 시스템의 신뢰도를 평가할 때 중복성뿐 아니라 다양성, 독립성 및 공통원인고장 가능성을 함께 고려해야 한다고 제시하고 있다.
2. 중복성이 시스템 신뢰도를 향상시키는 기본 구조
이상적인 조건에서 각각의 설비가 서로 독립적으로 고장한다고 가정하면 중복성은 시스템 신뢰도를 크게 향상시킬 수 있다.
단순화하여 개별 설비의 고장확률을 라고 하면,
- 단일 설비 시스템:
시스템 고장확률 ≈ q - 2개 중 1개 이상 정상이어야 하는 구조:
시스템 고장확률 ≈ q² - 3개 중 2개 이상 정상이어야 하는 구조:
시스템 고장확률은 개별 설비의 고장확률보다 훨씬 낮아질 수 있다.
즉, 독립고장이라는 가정이 성립한다면 중복 설계는 시스템 신뢰도 향상에 매우 효과적이다.
문제는 실제 산업설비에서는 이러한 독립성이 완벽하게 확보되지 않는다는 점이다.
3. 중복설계의 가장 큰 한계 — 공통원인고장
안전공학에서 중복성을 평가할 때 가장 중요하게 검토해야 할 요소 중 하나가 공통원인고장(Common Cause Failure, CCF)이다.
예를 들어 동일한 형식의 펌프 3대를 설치했더라도 세 펌프가 다음과 같은 요소를 공유한다면 상황은 달라진다.
| 공유 요소 | 잠재적 영향 |
|---|---|
| 동일 전원 | 전원 상실 시 여러 설비 동시 정지 |
| 동일 제어신호 | 제어계통 오류로 복수 설비 기능 상실 |
| 동일 계측기 | 잘못된 신호가 여러 설비에 동시에 전달 |
| 동일 냉각계통 | 보조계통 고장으로 중복설비 동시 영향 |
| 동일 환경 | 화재·침수·고온 등에 의한 동시 손상 |
| 동일 유지보수 절차 | 반복된 작업오류가 여러 설비에 확산 |
| 동일 제작 결함 | 동일한 취약점으로 복수 설비 고장 |
따라서 설비 A와 B가 물리적으로 서로 다른 위치에 있다는 사실만으로 완전한 독립성을 확보했다고 볼 수 없다.
NRC는 고도로 중복된 시스템에서도 공통원인고장이 시스템 고장의 주요 원인이 될 수 있다고 지적하고 있으며, PRA에서도 CCF가 사고 시퀀스와 시스템 고장확률에 중요한 기여를 할 수 있다고 설명한다.
4. 기능적 중복성과 독립성은 함께 평가해야 한다
기능적 중복성을 전문적으로 평가하려면 다음과 같은 질문이 필요하다.
“첫 번째 설비가 고장났을 때 두 번째 설비가 실제로 독립적으로 안전기능을 수행할 수 있는가?”
이를 판단하기 위해서는 단순한 설비 구성뿐 아니라 다음의 종속관계를 확인해야 한다.
① 전기적 독립성
동일한 배전반이나 전원에 의존하고 있다면 전원계통의 단일 고장이 복수의 중복채널을 동시에 상실시킬 수 있다.
② 제어계통 독립성
복수의 안전설비가 동일한 제어기 또는 공통 통신망을 이용한다면 제어계통의 오류가 여러 채널에 동시에 영향을 줄 수 있다.
③ 계측 독립성
하나의 센서가 여러 안전기능의 입력값을 제공하는 경우 센서 고장이 복수의 방호기능에 동시에 영향을 미칠 수 있다.
④ 물리적 독립성
화재, 침수, 충격, 지진 등의 내부·외부 사건이 여러 중복설비에 동시에 영향을 미칠 가능성을 검토해야 한다.
⑤ 유지보수 독립성
동일한 작업자가 동일한 절차로 여러 설비를 정비할 경우 작업오류 하나가 여러 중복채널의 기능을 동시에 저하시킬 수 있다.
IAEA는 독립성을 통해 중복 설비 사이의 고장 전파와 공통원인고장을 억제해야 하며, 필요한 경우 전기적 격리와 물리적 분리 등을 적용할 것을 강조한다.
5. 중복성의 효과를 제한하는 핵심 변수
기능적 중복성을 평가할 때는 다음의 관계를 함께 보는 것이 유용하다.
시스템 신뢰도 향상
= 중복성 × 독립성 × 시험가능성 × 고장검출능력
이는 특정 규격에서 정한 공식이라기보다 안전공학적 분석을 위한 개념적 평가 프레임워크이다.
특히 중복설비가 존재하더라도 고장을 발견하지 못하는 경우 실제 운전상태의 신뢰도는 설계 단계에서 예상한 것보다 낮아질 수 있다.
예를 들어 3개의 중복채널 중 하나가 이미 고장난 상태인데 이를 발견하지 못하고 있다면 외형상으로는 “3중화 시스템”이지만 실제 사고 발생 시 사용할 수 있는 채널은 2개뿐이다.
따라서 중복성의 양(quantity)보다 중복설비의 실제 가용성(availability)이 중요하다.
6. 정량적 위험도 분석에서는 어떻게 반영되는가
PRA에서는 사고의 발생 가능성과 결과를 연결하여 시스템의 위험도를 정량적으로 평가한다.
NRC의 PRA 역시 개시사건 이후 시스템의 성공 또는 실패, 운전원 조치 등을 사고 시퀀스로 모델링하고, 각 시스템의 고장 가능성을 Fault Tree와 Event Tree 등을 통해 분석한다.
기능적 중복성이 적용된 시스템에서는 다음과 같은 구조를 생각할 수 있다.
개시사건
↓
안전기능 요구
↓
중복 안전설비 A / B / C
↓
개별 고장 + 공통원인고장 + 지원계통 고장
↓
안전기능 성공 또는 실패
↓
사고 시나리오 진행
여기서 중요한 분석 포인트는 개별 설비의 고장확률만 계산해서는 안 된다는 것이다.
실제 시스템에서는 다음과 같은 관계를 함께 고려해야 한다.
시스템 고장위험
= 독립고장 영향 + 공통원인고장 영향 + 지원계통 의존성 + 인간오류 영향
7. “3중화”라고 해서 항상 높은 신뢰도를 의미하지 않는다
다음과 같은 두 시스템을 비교해보면 기능적 중복성의 본질을 이해하기 쉽다.
| 구분 | 시스템 A | 시스템 B |
|---|---|---|
| 설비 구성 | 3중화 | 3중화 |
| 전원 | 공통 전원 | 독립 전원 |
| 제어 | 공통 제어기 | 독립 제어채널 |
| 계측 | 일부 공통 | 독립 계측 |
| 물리적 배치 | 인접 | 물리적 분리 |
| 유지보수 | 동일 절차 | 독립 검증 |
| CCF 취약성 | 높음 | 상대적으로 낮음 |
| 실질적 신뢰성 | 제한될 수 있음 | 상대적으로 높음 |
두 시스템 모두 문서상으로는 3중화이지만 실제 신뢰성은 동일하지 않다.
따라서 안전공학에서는 단순히
“설비가 몇 개 있는가?”
보다
“하나의 원인이 몇 개의 안전기능을 동시에 상실시킬 수 있는가?”
라는 질문이 훨씬 중요하다.
8. 안전 중요 설비에서는 다양성까지 고려해야 한다
중복된 설비가 동일한 원리와 동일한 구조를 사용하는 경우 동일한 취약점에 노출될 가능성이 있다.
이를 보완하기 위해 다양성(Diversity)을 적용할 수 있다.
예를 들어 동일한 안전기능을 수행하더라도 서로 다른 작동원리, 다른 계측변수, 다른 제작방식 등을 적용하면 특정 원인에 의한 공통원인고장의 가능성을 줄이는 데 도움이 될 수 있다.
다만 다양성 역시 무조건적인 해답은 아니다.
설비 종류가 복잡해지면 유지보수와 시험절차가 어려워지고 새로운 고장모드가 추가될 가능성이 있기 때문이다. IAEA도 다양성을 적용할 때 공통원인고장 감소효과와 함께 설계·정비·시험의 복잡성 증가를 함께 평가할 필요가 있음을 제시한다.
9. 안전공학적 관점에서의 핵심 분석
기능적 중복성을 평가할 때 가장 중요한 것은 중복설비의 개수 자체가 아니라 ‘고장 독립성의 수준’이다.
이를 다음과 같이 개념화할 수 있다.
중복성 수준
단일 설비
→ 하나의 고장 = 안전기능 상실 가능
단순 중복
→ 하나의 설비 고장을 다른 설비가 보완
독립 중복
→ 전원·제어·계측·환경·물리적 배치까지 분리
다양성 + 독립성 확보
→ 동일 원인에 의한 동시고장 가능성을 추가적으로 감소
따라서 안전 중요 설비의 신뢰도는 다음과 같은 방향으로 평가하는 것이 합리적이다.
설비 수 증가 → 단순 중복성 확보 → 독립성 검증 → CCF 취약성 평가 → 다양성 검토 → PRA를 통한 사고확률 정량화
10. 전문가 관점에서 추가해야 할 분석 포인트
이 주제를 한 단계 더 전문적으로 발전시키려면 “중복성의 존재 여부”가 아니라 “중복성이 실제 위험 감소에 얼마나 기여했는가”를 평가해야 한다.
특히 다음 5가지를 분석하면 일반적인 안전공학 설명과 차별화된다.
- 중복채널 간 공유 자원 분석
- 공통원인고장 발생 가능성 평가
- 정비·시험 중 일시적인 중복성 상실
- 고장검출 지연에 따른 잠재적 공통취약성
- 중복성 변화에 따른 사고 시퀀스 빈도 변화
특히 운전 중 정비나 시험으로 하나의 채널이 격리된 상태에서 다른 채널에 고장이 발생한다면 정상 운전상태와 사고위험은 달라진다.
따라서 안전 중요 설비의 신뢰도는 설계 상태에서의 정적 신뢰도뿐 아니라 운전·정비·시험 상태별 동적 가용성까지 평가해야 한다.
결론
안전 중요 설비의 기능적 중복성은 시스템 신뢰도를 향상시키는 핵심 설계 원리이지만, 중복성의 개수만으로 높은 신뢰도를 보장할 수는 없다.
실질적인 신뢰도는 중복 설비가 얼마나 독립적으로 작동하고, 공통원인고장에 얼마나 강하며, 고장을 얼마나 신속하게 검출하고, 정비·시험 과정에서도 안전기능을 유지하는가에 의해 결정된다.
따라서 전문적인 안전공학에서는 다음과 같은 관점이 필요하다.
“중복 설비가 몇 개 존재하는가?”에서
“하나의 원인이 몇 개의 중복채널을 동시에 무력화할 수 있는가?”로 분석 관점을 전환해야 한다.
이 관점에서 기능적 중복성은 단순한 설비 증설이 아니라 시스템 독립성, CCF 취약성, 가용성, 다양성 및 PRA를 통합하여 평가해야 하는 시스템 신뢰도 설계 문제로 볼 수 있다. NRC 역시 PRA를 통해 시스템 상호작용과 설계 취약성을 파악하고 위험 기여도를 정량적으로 평가하는 접근을 사용하고 있다.
댓글 0
첫 댓글을 남겨보세요.