복합 안전시스템에서 방호계층의 개수가 많다고 해서 사고위험이 반드시 낮아지는 것은 아니다. 중요한 것은 각 방호계층이 동일한 고장원인으로부터 얼마나 분리되어 있는가이다.

외형적으로는 경보, 인터록, 자동정지, 안전밸브, 작업자 대응 등 여러 방호수단이 존재하더라도 동일한 센서, 전원, 제어신호, 환경조건 또는 작업절차에 의존한다면 하나의 원인이 여러 계층을 동시에 약화시킬 수 있다.

따라서 방호계층의 위험저감 효과는 단순한 “계층의 수”가 아니라 “실질적인 독립성”을 기준으로 평가해야 한다.

---

1. 방호계층의 개수가 아니라 사고경로의 차단 가능성을 평가해야 한다

하나의 사고 시나리오를 다음과 같이 가정할 수 있다.

공정 이상 → 위험상태 형성 → 사고 발생

여기에 여러 방호계층이 추가된다.

공정제어 → 경보 → 인터록 → 자동정지 → 물리적 방호 → 비상대응

LOPA에서는 특정 원인-결과 시나리오를 대상으로 개시사건과 독립방호계층을 식별하고, 각 방호계층의 요구 시 고장확률을 이용해 완화된 사고빈도를 추정한다.

그런데 여기서 중요한 질문이 하나 발생한다.

각 계층이 실제로 서로 독립적인가?

예를 들어 경보와 인터록이 동일한 압력센서를 공유한다면 센서가 고장났을 때 두 방호기능이 동시에 상실될 수 있다.

이 경우 형식적으로는 두 개의 방호계층이 존재하지만, 사고 시나리오 관점에서는 하나의 공통 취약점을 공유하는 단일 실패경로가 될 수 있다.

따라서 안전성 평가에서는 계층의 숫자를 세는 것보다 각 계층 사이의 의존관계를 먼저 찾아내는 것이 중요하다.

---

2. 독립성이 확보되면 사고 시나리오의 발생빈도는 단계적으로 감소한다

개념적인 사고 시나리오를 다음과 같이 설정해보자.

개시사건 → 1차 방호 실패 → 2차 방호 실패 → 사고

각 방호계층이 충분히 독립적이라면 하나의 위험상태가 사고로 발전하기 위해 여러 방호계층이 연속적으로 실패해야 한다.

개념적으로 사고빈도는 다음과 같은 형태로 표현할 수 있다.

사고빈도 ≈ 개시사건 빈도 × PFD₁ × PFD₂ × PFD₃

여기서 PFD는 요구 시 해당 방호기능이 실패할 확률을 의미한다.

예를 들어 개시사건이 발생하더라도 첫 번째 방호계층이 작동하고, 첫 번째 방호계층이 실패하더라도 두 번째 계층이 작동한다면 최종 사고로 진행될 가능성은 단계적으로 감소한다.

그러나 이 계산은 방호계층이 실제로 독립적이라는 전제가 중요하다.

CCPS는 IPL을 개시사건이나 다른 방호계층의 작동에 의해 영향을 받지 않으면서 사고 시나리오의 진행을 차단할 수 있는 보호수단으로 정의한다.

---

3. 독립성이 무너지면 ‘곱셈 효과’가 사라진다

이 부분이 방호계층 분석에서 가장 중요한 지점이다.

두 개의 방호계층 A와 B가 있다고 하자.

독립성을 충분히 확보했다면,

P(A와 B 동시 실패) = P(A 실패) × P(B 실패)

와 같은 구조로 접근할 수 있다.

그러나 A와 B가 동일한 센서, 전원 또는 제어논리를 공유한다면 두 계층의 실패가 서로 연결될 수 있다.

이때는 단순히 두 개의 독립적인 실패확률을 곱하는 것만으로 실제 위험을 표현하기 어렵다.

즉,

독립방호계층 증가 → 사고경로 차단 가능성 증가

라는 효과가

공통 의존성 증가 → 동시 기능상실 가능성 증가

로 상쇄될 수 있다.

이 때문에 안전시스템의 신뢰도를 높이기 위해서는 단순한 중복설계보다 독립성 확보와 공통원인 제거가 중요하다.

---

4. ‘숨겨진 연결고리’가 사고 시나리오의 위험도를 결정한다

전문적인 분석에서 특히 중요한 것은 눈에 잘 보이지 않는 공유자원과 공통 취약점이다.

예를 들어 다음과 같은 구조를 생각해볼 수 있다.

방호계층	표면적 구성	잠재적 공통의존성
경보	압력 고경보	동일 압력센서
인터록	고압 자동정지	동일 센서·PLC
차단밸브	자동 차단	동일 전원
작업자 대응	경보 확인 후 수동조작	동일 HMI
비상정지	ESD	동일 제어전원

표면적으로는 5개의 방호수단이 존재한다.

그러나 동일한 센서나 전원에 의존한다면 실제 방호구조는 생각보다 단순할 수 있다.

센서 고장 → 경보 상실 + 인터록 상실

또는

공통 전원 상실 → 자동정지 상실 + 차단밸브 상실

과 같은 동시 기능상실이 발생할 수 있기 때문이다.

따라서 저는 방호계층을 평가할 때 “몇 개의 장치가 있는가?”보다 “하나의 고장이 몇 개의 장치를 동시에 무력화할 수 있는가?”를 먼저 질문하는 것이 더 유용한 분석방법이라고 본다.

이것은 단순한 장치 신뢰도 평가에서 한 단계 더 나아가 방호구조의 연결성(connectivity) 자체를 위험요인으로 보는 접근이다.

---

5. 동일한 방호계층이라도 독립성에 따라 위험저감 효과가 달라진다

다음과 같이 세 가지 시스템을 비교할 수 있다.

A형 — 높은 독립성

센서 분리 + 전원 분리 + 제어계통 분리 + 물리적 분리

한 계층의 고장이 다른 계층에 영향을 줄 가능성이 상대적으로 낮다.

→ 방호계층의 누적 위험저감 효과가 크게 나타날 가능성이 있다.

B형 — 부분적 독립성

센서는 분리되어 있지만 공통 전원을 사용

센서 자체는 독립적이지만 전원계통의 단일 고장이 여러 계층에 영향을 줄 수 있다.

→ 개별 구성품의 신뢰도보다 시스템 수준의 취약성이 커질 수 있다.

C형 — 형식적 중복

동일 센서 + 동일 PLC + 동일 전원 + 동일 소프트웨어

장치가 여러 개 설치되어 있어도 공통원인에 의해 동시에 기능을 상실할 가능성이 있다.

→ 외형적인 중복성과 실제 위험저감 효과 사이에 큰 차이가 발생할 수 있다.

이 세 시스템은 모두 “다중 방호계층”이라는 동일한 설명을 사용할 수 있지만 실제 사고 시나리오의 위험도는 서로 다르게 평가되어야 한다.

---

6. 독립성은 정적인 속성이 아니라 ‘운전상태’에 따라 달라질 수 있다

여기서 한 단계 더 깊게 들어가면 방호계층의 독립성을 고정된 설계특성으로만 볼 수 없다는 문제가 발생한다.

정상운전에서는 독립적으로 작동하던 두 방호계층이 정비기간에는 동일한 전원을 사용하거나, 우회운전에서는 동일한 제어회로에 의존할 수 있다.

예를 들어,

정상운전 → 독립성 확보

였던 시스템이

정비 → 방호장치 일부 격리 → 공통계통 의존성 증가

로 변할 수 있다.

따라서 위험도 분석에서는 정상상태만 평가하는 것보다 다음 상태를 함께 고려하는 것이 더욱 중요하다.

• 정상운전
• 기동
• 정지
• 정비
• 시험
• 우회운전
• 비상전원 운전
• 일부 방호장치 고장상태

이러한 접근을 적용하면 “설계상 안전한 시스템”과 “현재 운전상태에서 실제로 안전한 시스템” 사이의 차이를 발견할 수 있다.

---

7. 사고 시나리오의 위험도는 ‘방호계층의 약한 고리’에서 급격히 변할 수 있다

위험도 변화를 다음과 같이 생각할 수 있다.

높은 독립성

개시사건
↓
방호계층 1
↓
방호계층 2
↓
방호계층 3
↓
사고

여기에서는 사고까지 도달하려면 여러 방호기능의 연속적인 실패가 필요하다.

반면,

낮은 독립성

공통원인
↓
방호계층 1 + 2 + 3 동시 기능저하
↓
사고

가 될 수 있다.

따라서 위험도는 단순히 방호계층의 개수에 비례하여 감소하는 것이 아니라 계층 사이의 독립성 구조에 따라 비선형적으로 달라질 수 있다.

이 점이 일반적인 안전점검과 정량적 위험성 평가를 구분하는 중요한 부분이다.

---

8. 방호계층 독립성을 평가하기 위한 새로운 실무적 관점

방호계층을 평가할 때 다음의 ‘5가지 공유성’을 별도로 점검하는 방법을 제안할 수 있다.

① 공유 센서성

여러 방호기능이 동일한 센서에 의존하는가?

② 공유 전원성

하나의 전원계통 상실이 복수 방호계층을 동시에 상실시킬 수 있는가?

③ 공유 제어성

동일 PLC, 제어논리 또는 소프트웨어 오류가 여러 계층에 영향을 줄 수 있는가?

④ 공유 환경성

화재, 침수, 진동, 고온 등의 동일한 환경조건에 여러 방호장치가 동시에 노출되는가?

⑤ 공유 작업성

하나의 정비작업 또는 작업자의 조작실수가 여러 방호계층을 동시에 무력화할 수 있는가?

이 다섯 가지를 별도로 확인하면 단순한 장비목록보다 방호계층의 실질적인 독립성을 훨씬 구체적으로 평가할 수 있다.

---

9. 독립성 평가 결과를 사고 시나리오 개선으로 연결해야 한다

방호계층 분석의 최종 목적은 위험도를 계산하는 데서 끝나서는 안 된다.

분석 결과에 따라 다음과 같은 개선 방향을 도출해야 한다.

발견된 취약성	개선 방향
동일 센서 공유	센서 독립화·다양화
공통 전원 의존	독립 전원 또는 비상전원 확보
동일 제어논리	제어계통 분리 및 다양성 검토
동일 환경 노출	물리적 이격·환경 격리
동일 정비절차	정비작업 간 상호영향 차단
공통 소프트웨어 의존	독립적인 보호논리 검토
방호장치 우회상태	우회상태의 위험도 재평가

즉, 위험평가 → 취약성 발견 → 독립성 개선 → 사고빈도 재평가의 순환구조가 만들어져야 한다.

---

10. 결론 — 방호계층의 숫자보다 ‘동시에 무너질 수 있는가’를 봐야 한다

방호계층의 독립성은 단순한 설계조건이 아니라 사고 시나리오의 위험도를 결정하는 핵심 변수다.

동일한 위험원에 대해 여러 방호장치를 설치했더라도 이들이 동일한 센서, 전원, 제어계통, 환경 또는 작업조건을 공유한다면 하나의 원인으로 여러 방호계층이 동시에 기능을 잃을 수 있다.

따라서 전문적인 위험성 평가에서는

방호계층의 개수보다 방호계층 사이의 의존성을 먼저 분석해야 한다.

그리고 최종적으로는 다음 질문이 가장 중요하다.

“이 사고 시나리오에서 하나의 고장으로 몇 개의 방호계층을 동시에 무력화할 수 있는가?”

이 질문에 답할 수 있다면 단순한 안전장치 목록을 넘어 사고 시나리오의 구조적 취약성을 분석할 수 있다.

결국 방호계층의 진정한 위험저감 효과는 중복성 자체가 아니라 독립성의 질에 의해 결정된다. LOPA가 독립방호계층의 기능성·무결성·신뢰성뿐 아니라 독립성을 핵심 속성으로 보는 이유도 여기에 있다.