사건수 분석(Event Tree Analysis, ETA)의 기본이론과 안전공학적 적용

초록

사건수 분석(Event Tree Analysis, ETA)은 안전공학 및 시스템 위험성 평가에서 사용되는 대표적인 귀납적(Inductive) 위험분석 기법이다. ETA는 하나의 초기사건(Initiating Event)이 발생한 이후 안전기능, 방호장치 또는 운전자의 대응이 성공하거나 실패하는 조건을 순차적으로 분기하여, 최종적으로 발생 가능한 사고 결과와 그 발생확률 또는 발생빈도를 평가하는 방법이다.

본 분석기법은 사고의 원인을 역방향으로 추적하는 결함수 분석(Fault Tree Analysis, FTA)과 달리, 특정 초기사건으로부터 사고가 어떠한 경로를 통해 확대 또는 완화되는지를 전개한다는 특징을 가진다. 특히 안전장치의 독립성, 신뢰도, 인간의 대응, 보호계층의 실패 가능성을 사고 시나리오에 반영할 수 있다는 점에서 정량적 위험성 평가(QRA)의 중요한 구성요소로 활용된다.

본 글에서는 ETA의 기본 개념과 이론적 구조를 중심으로 사건수의 구성 원리, 분기확률, 사고 시나리오의 발생빈도 계산, 분석절차 및 안전공학적 의미를 체계적으로 고찰한다.

주제어: 사건수 분석, ETA, 초기사건, 사고 시나리오, 조건부확률, 안전공학, 위험성 평가, 정량적 위험성 평가

---

1. 서론

산업설비와 사회기반시설의 규모가 복잡해지면서 단일한 고장원인만으로 사고의 발생과 진행과정을 설명하기 어려워지고 있다. 하나의 설비 이상이나 공정상의 비정상 상태가 발생하더라도 이후의 사고 진행은 감지기능, 차단기능, 방호설비, 운전자의 대응 및 비상조치의 성공 여부에 따라 서로 다른 결과로 이어질 수 있다.

따라서 안전공학에서는 사고를 단순히 발생 여부로 판단하지 않고, 초기사건 이후 어떠한 보호기능이 작동하며 각각의 기능이 실패할 경우 사고가 어떻게 변화하는가를 체계적으로 분석할 필요가 있다.

ETA는 이러한 사고 진행과정을 확률적 분기구조로 표현하는 대표적인 분석방법이다.

ETA의 기본적인 사고 전개 구조는 다음과 같이 나타낼 수 있다.

초기사건
→ 안전기능 1
→ 안전기능 2
→ 안전기능 3
→ 최종 사고상태

각 안전기능은 성공 또는 실패로 분기될 수 있으며, 이러한 분기를 반복하여 가능한 사고경로를 구성한다.

---

2. 사건수 분석의 기본 개념

2.1 ETA의 정의

사건수 분석은 특정한 초기사건(Initiating Event)을 출발점으로 설정한 후, 이후에 작동해야 하는 안전기능이나 방호계층의 성공과 실패를 순차적으로 분석하여 최종적인 사고 결과를 도출하는 방법이다.

여기서 초기사건은 사고 시나리오를 시작시키는 최초의 비정상 사건을 의미한다.

예를 들면 다음과 같은 사건이 초기사건이 될 수 있다.

• 배관 누출
• 냉각기능 상실
• 전원 공급 상실
• 압력제어 기능 이상
• 펌프 기능 상실
• 화재 발생
• 구조부재 손상

ETA에서 중요한 것은 초기사건 자체만 분석하는 것이 아니라 초기사건 이후 시스템의 방어기능이 어떤 순서로 작동하는가를 분석하는 것이다.

---

3. ETA의 이론적 성격

ETA는 기본적으로 귀납적 분석(Inductive Analysis)에 해당한다.

귀납적 분석에서는 하나의 출발사건에서 시작하여 가능한 결과를 단계적으로 전개한다.

반면 FTA는 일반적으로 특정한 사고상태를 Top Event로 설정한 뒤 그 원인을 역방향으로 분석하는 연역적 분석(Deductive Analysis)의 성격을 갖는다.

따라서 두 방법은 사고를 바라보는 방향이 다르다.

구분	ETA	FTA
분석방향	초기사건 → 결과	사고결과 → 원인
분석성격	귀납적	연역적
출발점	Initiating Event	Top Event
주요 관심	사고 진행경로	사고 발생원인
주요 구조	성공·실패 분기	논리게이트
활용	사고 시나리오 분석	사고 원인 및 고장조합 분석

이러한 차이 때문에 실제 안전성 평가에서는 ETA와 FTA를 서로 대체하는 것이 아니라 상호 보완적으로 활용할 수 있다.

---

4. 사건수의 기본 구성

ETA의 가장 기본적인 구성요소는 다음과 같다.

4.1 초기사건

분석을 시작하는 최초의 사건이다.

초기사건의 발생빈도는 정량적 ETA에서 중요한 입력자료가 된다.

이를 일반적으로 다음과 같이 나타낼 수 있다.

f₀ = 초기사건 발생빈도

초기사건은 실제 설비의 고장자료, 사고자료, 신뢰도자료 또는 적절한 평가자료 등을 이용하여 설정할 수 있다.

---

4.2 안전기능

초기사건이 발생한 이후 사고의 진행을 차단하거나 완화하기 위해 필요한 기능이다.

예를 들어,

이상상태 감지 → 자동 차단 → 냉각 → 비상배출

과 같은 안전기능이 순차적으로 존재할 수 있다.

ETA에서는 각각의 안전기능이 성공하는 경우와 실패하는 경우를 분기한다.

---

4.3 분기점

각 안전기능에서 발생 가능한 결과를 분리하는 지점이다.

가장 단순한 형태에서는 다음과 같이 표현된다.

성공(Success)
실패(Failure)

그러나 실제 시스템에서는 필요한 경우 여러 상태로 구분할 수 있다.

---

4.4 최종상태

모든 분기과정을 거친 후 도달하는 결과상태이다.

예를 들어,

• 정상상태로 복귀
• 안전한 정지
• 제한적 기능상실
• 경미한 사고
• 중대 사고
• 대규모 사고

등으로 구분할 수 있다.

---

5. ETA의 확률론적 기본이론

ETA의 정량적 분석에서 가장 중요한 이론은 조건부확률(Conditional Probability)이다.

어떤 초기사건이 발생한 후 여러 안전기능이 순차적으로 성공 또는 실패한다고 가정하면 특정 사고경로의 발생확률은 각 분기에서의 조건부확률을 곱하여 표현할 수 있다.

예를 들어 초기사건 E₀ 이후 두 개의 안전기능 A와 B가 존재한다고 가정한다.

특정 사고경로가

E₀ → A 실패 → B 실패

라면 해당 경로의 발생확률은 개념적으로

P(E₀) × P(A 실패 | E₀) × P(B 실패 | E₀, A 실패)

와 같이 표현할 수 있다.

초기사건의 발생빈도를 사용하는 경우에는 해당 시나리오의 발생빈도를

fᵢ = f₀ × P₁ × P₂ × … × Pₙ

으로 나타낼 수 있다.

여기서,

• fᵢ = 특정 사고경로의 발생빈도
• f₀ = 초기사건 발생빈도
• P₁, P₂, …, Pₙ = 해당 경로에서 각각 발생하는 조건부확률

이다.

즉 ETA의 정량적 분석에서는 초기사건의 빈도와 각 방호기능의 조건부 성공·실패확률을 결합하여 최종 사고 시나리오의 발생빈도를 산정한다.

---

6. 단순 ETA의 이론적 예

하나의 초기사건이 발생하고 두 개의 안전기능이 순차적으로 작동한다고 가정한다.

초기사건
↓
안전기능 A
↙ ↘
성공 실패
↓ ↓
안전기능 B 안전기능 B
↙ ↘ ↙ ↘
성공 실패 성공 실패

이 경우 여러 최종 결과가 발생할 수 있다.

예를 들어,

A 성공 → B 성공
→ 사고 완화

A 성공 → B 실패
→ 제한적인 사고

A 실패 → B 성공
→ 다른 보호기능에 의한 사고 완화

A 실패 → B 실패
→ 중대 사고로 발전

과 같이 사고경로를 구분할 수 있다.

이 구조에서 중요한 것은 각 보호기능의 성공 여부가 최종 사고결과를 결정하는 데 직접적인 영향을 준다는 점이다.

---

7. 독립성과 조건부확률

ETA에서 단순히 모든 분기확률을 곱하기 전에 중요한 이론적 검토가 필요하다.

바로 각 사건의 독립성 여부이다.

두 안전기능이 서로 독립적이라고 가정할 수 있다면 단순한 확률곱을 적용할 수 있지만, 실제 산업설비에서는 동일한 원인에 의해 여러 안전기능이 동시에 영향을 받을 가능성이 있다.

예를 들어,

공통 전원 상실
→ 센서 기능 상실
→ 제어시스템 기능 상실
→ 차단장치 기능 상실

과 같은 상황에서는 여러 보호기능의 실패가 서로 독립적이라고 보기 어렵다.

이러한 현상을 안전공학에서는 공통원인고장(Common Cause Failure, CCF)과 관련하여 검토한다.

따라서 정량적 ETA에서는 단순한 독립확률 가정보다 시스템 구조와 고장원인의 종속성을 적절히 반영하는 것이 중요하다.

---

8. 안전방호계층과 ETA

ETA는 방호계층(Protection Layer)의 효과를 분석하는 데도 유용하다.

일반적인 사고방어 구조는 다음과 같이 생각할 수 있다.

초기사건
↓
공정제어
↓
경보 및 운전자 대응
↓
자동 보호기능
↓
물리적 방호
↓
사고 결과

초기사건이 발생했더라도 모든 방어계층이 동시에 실패하지 않는다면 사고가 중대한 결과로 발전하지 않을 수 있다.

따라서 ETA는 단순한 사고예측 방법이라기보다 시스템에 설치된 여러 방어수단이 사고 진행을 어느 정도 차단하는지 평가하는 방법으로 이해할 수 있다.

---

9. 인간행동을 포함한 ETA

ETA에서는 설비의 자동적인 안전기능뿐 아니라 운전자의 대응행위도 하나의 분기요소로 포함할 수 있다.

예를 들어,

경보 발생
→ 운전자 이상상태 인지
→ 올바른 조치 수행
→ 사고 완화

와 같은 경로를 구성할 수 있다.

반대로,

경보 발생
→ 인지 실패
→ 잘못된 조작
→ 보호기능 추가 실패
→ 사고 확대

와 같은 경로도 고려할 수 있다.

따라서 ETA는 인간오류 분석(Human Error Analysis)에서 평가된 인간오류확률(HEP)을 사고 시나리오에 반영하는 데 활용될 수 있다.

---

10. ETA와 신뢰도공학의 관계

안전장치의 성공 또는 실패확률을 결정하기 위해서는 해당 장치의 신뢰도(Reliability)가 중요하다.

예를 들어 안전밸브, 센서, 차단밸브 및 제어시스템의 신뢰도가 낮아지면 ETA에서 해당 방호기능의 실패확률이 증가할 수 있다.

따라서 ETA는 다음과 같은 신뢰도 관련 요소와 연결된다.

• 고장률
• 요구 시 고장확률
• 시험주기
• 진단기능
• 수리 가능성
• 대기고장
• 공통원인고장
• 이중화 및 다중화

이러한 특성 때문에 ETA는 신뢰도공학과 시스템 안전공학을 연결하는 분석방법으로 볼 수 있다.

---

11. ETA의 일반적인 분석절차

전문적인 ETA 분석은 일반적으로 다음과 같은 단계로 구성할 수 있다.

Step 1. 분석 대상 시스템 설정

설비의 경계와 분석 목적을 명확하게 설정한다.

Step 2. 초기사건 선정

사고 진행을 시작시키는 대표적인 초기사건을 선정한다.

Step 3. 안전기능 확인

초기사건 이후 사고를 방지하거나 완화할 수 있는 안전기능을 파악한다.

Step 4. 사건순서 결정

안전기능이 작동하는 시간적·기능적 순서를 결정한다.

Step 5. 성공·실패 분기

각 안전기능의 성공과 실패를 분기한다.

Step 6. 최종상태 정의

각 사고경로의 최종 결과를 정의한다.

Step 7. 확률 또는 발생빈도 산정

각 분기확률을 이용하여 사고경로의 발생빈도를 계산한다.

Step 8. 중요 사고경로 분석

발생빈도가 높거나 결과가 중대한 사고경로를 확인한다.

Step 9. 위험저감 방안 검토

취약한 방호기능을 개선하여 사고 가능성을 감소시키는 방안을 검토한다.

---

12. ETA의 정성적 분석과 정량적 분석

ETA는 반드시 확률계산만을 의미하지 않는다.

정성적 ETA

사고가 어떤 경로로 진행될 수 있는지 논리적으로 파악하는 데 목적이 있다.

초기사건 → 보호기능 → 최종결과

의 구조를 이용하여 사고 시나리오를 체계화한다.

정량적 ETA

각 분기에서의 성공·실패확률과 초기사건 발생빈도를 이용하여 최종 사고 시나리오의 발생빈도를 계산한다.

따라서 정성적 ETA는 사고경로의 구조화에, 정량적 ETA는 위험도의 수치화에 보다 직접적으로 활용된다.

---

13. ETA와 FTA의 결합

안전공학에서 ETA와 FTA는 서로 다른 방향의 분석을 수행하지만 결합하여 사용할 수 있다.

예를 들어 ETA에서

초기사건 → 안전장치 실패 → 사고

라는 경로가 발견되었다면, 해당 안전장치 실패가 왜 발생하는지를 FTA를 이용하여 다시 분석할 수 있다.

즉,

ETA
초기사건 이후 사고 진행경로 분석

↓

FTA
특정 안전기능 실패의 원인 분석

이라는 구조를 만들 수 있다.

이러한 결합은 복잡한 산업설비의 사고 시나리오를 보다 세밀하게 분석하는 데 유용하다.

---

14. ETA와 QRA의 관계

정량적 위험성 평가(QRA)에서는 여러 사고 시나리오의 발생빈도와 결과를 종합하여 전체 위험을 평가한다.

ETA는 이 과정에서 사고 시나리오별 발생빈도를 산정하는 역할을 수행할 수 있다.

개념적으로,

초기사건 빈도
× 방호계층의 성공·실패확률
= 사고 시나리오 발생빈도

가 되며, 이후 각 시나리오의 결과 분석을 통해 전체 위험도를 평가한다.

따라서 ETA는 QRA의 독립적인 분석기법이라기보다 정량적 위험평가를 구성하는 핵심적인 시나리오 분석방법 중 하나로 이해할 수 있다.

---

15. 사건수 분석의 주요 가정과 한계

ETA는 강력한 분석도구이지만 결과가 항상 실제 위험을 완벽하게 표현하는 것은 아니다.

첫째, 초기사건 선정의 적절성이 중요하다. 중요한 초기사건이 분석에서 제외되면 이후의 사고경로 역시 평가되지 않는다.

둘째, 분기확률의 신뢰성이 중요하다. 실제 설비자료가 부족하면 불확실성이 증가한다.

셋째, 사건 간 독립성 가정에 주의해야 한다. 공통원인고장이나 환경조건에 의해 여러 방호기능이 동시에 영향을 받을 수 있다.

넷째, 복잡한 시스템에서는 사건수의 분기가 급격하게 증가하는 시나리오 폭발(Scenario Explosion) 문제가 발생할 수 있다.

따라서 ETA의 결과는 계산된 숫자만 보는 것이 아니라 입력자료와 모델링 가정의 타당성까지 함께 검토해야 한다.

---

16. 안전공학적 의의

ETA의 가장 중요한 의미는 사고를 단일한 결과로 보지 않고 초기사건 이후 여러 방어기능의 성공과 실패에 따라 사고가 서로 다른 경로로 전개된다는 점을 체계적으로 보여주는 데 있다.

특히 다음과 같은 질문에 답할 수 있다.

“초기사건이 발생했을 때 어떤 안전기능이 사고를 차단하는가?”

“어떤 보호계층이 실패하면 사고가 확대되는가?”

“여러 방호기능 중 어느 기능의 신뢰도가 위험도에 큰 영향을 미치는가?”

“운전자 대응 실패가 사고 시나리오에 얼마나 기여하는가?”

“특정 보호계층을 개선했을 때 전체 사고빈도는 얼마나 감소하는가?”

이러한 분석을 통해 단순히 사고의 원인을 찾는 것을 넘어 사고가 발생한 이후 위험이 어떤 경로로 변화하는지를 평가할 수 있다.

---

17. 결론

사건수 분석(ETA)은 안전공학에서 초기사건을 출발점으로 하여 안전기능과 방호계층의 성공·실패를 순차적으로 전개하고 최종 사고상태를 분석하는 대표적인 귀납적 위험분석 기법이다.

ETA의 기본적인 이론적 기반은 사건의 시간적 전개와 조건부확률에 있으며, 정량적 분석에서는 초기사건의 발생빈도와 각 분기의 조건부확률을 결합하여 사고 시나리오의 발생빈도를 산정한다.

또한 ETA는 단독으로 사용되는 분석기법에 그치지 않고 FTA, 인간오류 분석, 신뢰도 분석 및 QRA와 결합함으로써 복잡한 시스템의 위험성을 보다 종합적으로 평가할 수 있다.

결국 ETA의 핵심은 단순히 “사고가 발생하는가?”를 판단하는 데 있는 것이 아니라,

“초기사건이 발생했을 때 시스템의 방어계층이 어떤 순서로 작동하며, 각각의 성공과 실패가 최종적인 사고 결과를 어떻게 변화시키는가?”

를 확률론적·논리적으로 분석하는 데 있다.

따라서 ETA는 산업설비, 공정안전, 원자력 및 에너지 시스템, 화재·폭발 위험성 평가 등 다양한 안전공학 분야에서 사고 시나리오를 구조화하고 방호계층의 효과를 평가하기 위한 기본적인 이론적 도구로 활용될 수 있다.

참고할 수 있는 기본 이론 자료

• IEC 62502, Event Tree Analysis (ETA) — 사건수 분석의 원칙과 적용을 다루는 국제표준
• IEC 61025, Fault Tree Analysis (FTA) — ETA와 함께 활용되는 결함수 분석 관련 국제표준
• CCPS, Guidelines for Hazard Evaluation Procedures — 공정안전 및 위험성 평가의 대표적인 기본 참고자료
• 안전공학·신뢰도공학의 확률론적 위험평가 이론 — 초기사건 빈도, 조건부확률, 신뢰도 및 사고 시나리오 평가의 이론적 기반