1. 다중 고장은 단순한 ‘고장 개수’의 문제가 아니다

안전 중요 설비는 일반적으로 하나의 구성품이 고장하더라도 안전기능을 유지할 수 있도록 중복성을 확보한다. 따라서 단일고장만을 고려하면 안전장치의 신뢰성이 충분히 높아 보일 수 있다.

그러나 실제 사고위험은 두 개 이상의 고장이 특정한 조합으로 발생하는 상황에서 크게 달라질 수 있다.

예를 들어 3개의 펌프 중 2개가 작동하면 안전기능을 수행할 수 있는 시스템을 생각해보자.

정상상태에서는 한 대의 고장만으로 시스템 기능이 상실되지 않는다.

하지만 다음과 같은 상황에서는 결과가 달라진다.

펌프 A 잠재고장

↓

펌프 B 정상 운전

↓

펌프 C 정상 운전

↓

사고 발생

↓

펌프 B 추가 고장

↓

가용 펌프 1대

↓

요구 안전기능 실패

따라서 시스템의 기능상실 확률을 평가하려면 개별 설비의 고장률뿐 아니라 고장들이 어떤 논리적 관계로 결합되는지를 분석해야 한다.

NRC의 PRA에서도 이러한 고장 조합을 Fault Tree와 Event Tree를 이용하여 분석하고, 개별 사고시퀀스의 발생 가능성을 종합하여 시스템 위험도를 평가한다.

---

2. 단일고장과 다중고장의 안전성 평가 차이

단일고장 평가에서는 기본적으로 다음 질문을 한다.

“하나의 고장이 발생하더라도 안전기능을 유지할 수 있는가?”

반면 다중고장에서는 질문이 달라진다.

“복수의 고장이 어떤 조합으로 발생할 때 안전기능이 상실되는가?”

이를 비교하면 다음과 같다.

구분	단일고장	다중고장
평가대상	하나의 고장	2개 이상 고장의 조합
주요 관심	단일고장 극복	고장 조합에 따른 기능상실
중복성	기본적인 방어수단	실제 신뢰도 결정요소
CCF 영향	상대적으로 제한적	매우 중요
잠재고장	보조적 고려	기능상실 조합에 직접 영향
분석방법	단일고장 기준	FTA·ETA·PRA
정비상태	필요시 고려	매우 중요
결과	설계기준 만족 여부	사고확률 및 위험기여도

IAEA의 안전설계 기준에서도 안전계통은 단일고장뿐 아니라 그 고장으로 인해 발생하는 결과적 고장과 탐지되지 않은 고장을 함께 고려하도록 요구하는 접근을 제시한다.

---

3. 다중고장에서 가장 중요한 것은 고장의 독립성이다

두 개의 고장이 발생했다고 해서 항상 서로 독립적인 것은 아니다.

예를 들어 펌프 A와 B가 각각 독립적인 전원과 제어계통을 사용한다면 두 고장은 서로 독립적으로 발생할 가능성이 높다.

그러나 두 펌프가 동일한 전원에 연결되어 있다면 전원계통 하나의 고장으로 두 펌프가 동시에 정지할 수 있다.

즉,

독립고장

A 고장 → B 정상

이라는 구조와,

공통원인고장

하나의 원인 → A 고장 + B 고장

은 시스템 신뢰도에 미치는 영향이 완전히 다르다.

NRC는 CCF가 중복 시스템의 시스템 고장확률과 사고시퀀스 위험에 중요한 기여를 할 수 있다고 설명하고 있으며, 실제 PRA에서도 CCF를 별도의 분석 대상으로 다룬다.

---

4. 독립적인 다중고장과 공통원인고장을 구분해야 한다

다중고장은 크게 두 가지 관점으로 구분할 수 있다.

① 독립적인 다중고장

서로 다른 원인에 의해 여러 설비가 각각 고장하는 경우다.

예를 들어,

• 펌프 A 베어링 손상
• 펌프 B 모터 고장

처럼 고장 원인이 서로 다를 수 있다.

이 경우에는 개별 고장확률을 바탕으로 고장 조합을 계산할 수 있다.

② 종속적인 다중고장

하나의 원인이 여러 설비에 동시에 영향을 미치는 경우다.

예를 들어,

• 공통 전원 상실
• 동일 제어신호 오류
• 동일 설계결함
• 동일 정비오류
• 화재
• 침수
• 과도한 환경조건

등이 있다.

이 경우에는 단순한 독립고장 확률 계산으로 실제 위험을 표현하기 어렵다.

IAEA는 CCF의 원인으로 설계·제조 결함, 운전 및 정비 오류, 자연현상, 인적사건, 다른 고장의 연쇄적 영향 등을 제시하며, 이를 줄이기 위해 중복성·다양성·독립성을 함께 적용하도록 설명한다.

---

5. 기능상실 확률은 ‘최소 고장 조합’으로 분석할 수 있다

다중고장 분석에서 중요한 개념이 최소 컷셋(Minimal Cut Set)이다.

이는 시스템의 정상적인 안전기능을 상실시키는 데 필요한 최소한의 고장 조합을 의미한다.

예를 들어 2대 중 1대만 작동해도 되는 시스템이라면,

A 고장 + B 고장

이 시스템 기능상실을 발생시키는 최소 고장조합이 된다.

3대 중 2대가 필요한 시스템이라면,

A+B

A+C

B+C

와 같은 여러 조합이 시스템 기능상실 경로가 될 수 있다.

따라서 시스템이 복잡해질수록 단순히 “설비 하나의 고장률”만 보는 것이 아니라 어떤 고장 조합이 시스템을 무력화하는가를 확인해야 한다.

NRC 역시 Fault Tree를 이용하여 전체 시스템을 무력화시키는 고장 조합을 식별하고 시스템 고장확률을 계산하는 방법을 PRA에서 활용한다.

---

6. 잠재고장이 포함되면 위험구조가 달라진다

다중고장에서 특히 주의해야 할 것이 잠재고장(latent failure)이다.

예를 들어 3개 채널 중 하나가 이미 고장났지만 정기시험 전까지 발견되지 않았다고 가정하자.

외형적으로는 3중화 시스템이지만 실제로는 2개의 정상 채널만 존재한다.

이 상태에서 다른 채널 하나가 고장하면,

잠재고장 1개 + 명백고장 1개

라는 조합이 만들어진다.

결국 시스템은 안전기능을 상실할 수 있다.

따라서 다중고장 조건에서는 다음과 같은 구조를 함께 평가해야 한다.

잠재고장 발생 → 탐지되지 않음 → 중복성 감소 → 추가고장 발생 → 기능상실

이것이 단순한 독립고장 분석과 다른 점이다.

---

7. 정비 중에는 다중고장 위험이 증가할 수 있다

안전장치의 모든 채널이 항상 정상상태로 유지되는 것은 아니다.

정기검사나 유지보수를 위해 일부 설비가 일시적으로 운전에서 제외될 수 있다.

예를 들어 정상상태에서

A + B + C

3개의 채널이 존재하고 2개가 작동하면 안전기능을 수행할 수 있다고 하자.

정비 때문에 A를 격리하면,

B + C

만 남는다.

이 상태에서 B가 고장하면 C 하나만 남기 때문에 시스템의 방어여유가 크게 감소한다.

따라서 정비상태에서는 다음과 같은 관계를 평가해야 한다.

정상상태 신뢰도

≠

정비상태 신뢰도

NRC 역시 PRA를 이용하여 여러 시스템을 동시에 정비하거나 설비가 운전에서 제외된 상황의 위험 증가를 평가할 수 있다고 설명한다.

---

8. 다중고장의 정량적 평가

개별 설비의 고장확률을 각각 $q_A, q_B$라고 하고 두 고장이 독립적이라고 가정하면,

P(A와 B가 동시에 고장)

≈

qA×qBq_A \times q_B

와 같이 표현할 수 있다.

예를 들어 두 설비의 고장확률이 각각 0.01이라고 단순 가정하면,

0.01 × 0.01 = 0.0001

이 된다.

즉 독립고장이라는 가정에서는 두 고장이 동시에 발생할 확률이 상당히 낮아진다.

그러나 실제 시스템에서 두 설비가 동일한 원인에 영향을 받는다면 이 계산은 그대로 적용하기 어렵다.

따라서 전문적인 평가에서는

독립고장 성분

공통원인고장 성분

잠재고장 성분

지원계통 의존성

을 구분하여 모델링해야 한다.

---

9. 다중고장에서는 CCF가 특히 중요하다

중복성이 높은 안전계통에서는 역설적으로 독립적인 고장보다 공통원인고장이 더 중요한 위험요인이 될 수 있다.

예를 들어 3개의 안전펌프가 각각 독립적으로 고장한다면 세 펌프가 동시에 고장할 가능성은 매우 낮을 수 있다.

하지만 세 펌프가 동일한 정비절차를 사용하고 있고 정비 과정에서 동일한 오류가 발생했다면,

하나의 정비오류 → 3개 펌프의 동일한 취약성

이 발생할 수 있다.

이 경우 설비의 물리적 개수는 3개이지만 실제 고장 독립성은 매우 낮다.

NRC는 성능 결함이 중복된 여러 구성품에 영향을 줄 수 있는 경우 CCF 가능성을 별도로 반영해야 하며, 이러한 CCF 가능성이 위험 중요도에 상당한 영향을 줄 수 있다고 설명한다.

---

10. 다중고장 조건에서 안전장치 기능상실을 결정하는 핵심 변수

변수	안전성에 미치는 영향
중복 채널 수	단일고장에 대한 여유 확보
최소 기능 요구 채널 수	기능상실 임계점 결정
개별 고장률	독립고장 확률 결정
고장 독립성	다중고장 확률에 직접 영향
CCF 확률	여러 채널의 동시고장 가능성
잠재고장	실제 가용 채널 수 감소
정비상태	일시적인 중복성 감소
고장탐지능력	잠재고장 지속시간 결정
지원계통 의존성	전원·냉각·제어계통의 연쇄고장
외부·내부 사건	화재·침수 등 다중설비 동시 영향

---

11. 안전공학적 분석 프레임워크

다중 고장 조건에서는 다음과 같은 분석 순서가 효과적이다.

① 안전기능 정의

먼저 해당 안전장치가 수행해야 하는 기능을 명확하게 설정한다.

② 최소 기능요건 설정

몇 개의 채널이 정상적으로 작동해야 안전기능이 유지되는지를 결정한다.

③ 개별 고장 분석

각 구성품의 고장모드와 고장확률을 평가한다.

④ 고장 조합 분석

두 개 이상의 고장이 결합했을 때 기능상실이 발생하는지를 확인한다.

⑤ 종속성 분석

공통 전원, 제어, 계측, 환경, 구조 및 인간작업의 공유 여부를 조사한다.

⑥ 잠재고장 분석

발견되지 않은 고장이 존재할 경우 실제 가용한 안전채널 수가 어떻게 변하는지를 평가한다.

⑦ CCF 분석

하나의 원인이 복수의 채널을 동시에 무력화할 가능성을 별도로 평가한다.

⑧ PRA 연계

최종적으로 사고시퀀스에 고장조합을 연결하여 위험기여도를 산정한다.

---

12. 전문가 관점의 핵심은 ‘고장 수’가 아니라 ‘고장 경로’이다

다중고장을 분석할 때 가장 중요한 관점은 고장이 몇 개 발생했느냐가 아니다.

예를 들어,

고장 2개가 발생했다

는 사실만으로는 위험도를 판단할 수 없다.

다음 두 상황은 완전히 다르다.

사례 A

펌프 A 고장

조명설비 고장

→ 안전기능에는 영향이 거의 없음

사례 B

펌프 A 고장

펌프 B 고장

→ 냉각 안전기능 상실

따라서 안전공학에서는 고장 간 기능적 관계와 사고시퀀스상의 위치가 중요하다.

즉,

다중고장 위험도 = 고장 개수보다 고장 조합과 종속성에 의해 결정된다.

---

13. 한 단계 더 발전한 분석 — ‘동시고장 취약도’

이 주제를 전문적으로 확장한다면 동시고장 취약도라는 관점으로 분석할 수 있다.

개념적으로,

동시고장 취약도

=

공통원인 노출도 × 고장 결합가능성 × 잠재고장 존재가능성 × 안전기능 의존도

로 생각할 수 있다.

이 역시 특정 규격에서 사용하는 공식이 아니라, 다중고장 위험을 구조적으로 평가하기 위한 개념적 분석모델이다.

이 접근의 장점은 단순히 고장률을 계산하는 것을 넘어,

• 어떤 설비가 함께 고장할 가능성이 높은가?
• 어떤 지원계통이 여러 채널에 동시에 영향을 주는가?
• 어떤 잠재고장이 중복성을 감소시키는가?
• 어떤 정비행위가 복수 채널에 영향을 줄 수 있는가?
• 하나의 외부사건이 몇 개의 안전장치를 동시에 무력화할 수 있는가?

를 체계적으로 확인할 수 있다는 것이다.

---

14. 최종적으로는 ‘안전장치의 기능상실 확률’을 사고위험으로 연결해야 한다

안전장치가 고장했다는 사실 자체가 곧 사고를 의미하는 것은 아니다.

중요한 것은 그 고장이 사고시퀀스에서 어떤 역할을 하는가이다.

따라서 최종 분석은 다음과 같이 연결된다.

개시사건

↓

안전기능 요구

↓

다중고장 발생

↓

중복채널 감소

↓

CCF·잠재고장·지원계통 의존성 반영

↓

안전장치 기능상실

↓

후속 방호계층 작동 여부

↓

사고시퀀스 진행

↓

최종 결과

이러한 접근이 PRA의 핵심적인 사고시퀀스 분석과 연결된다. NRC 역시 PRA에서 개시사건 이후 여러 시스템의 성공·실패 조합을 분석하여 사고시퀀스의 빈도를 산정한다.

---

결론

다중 고장 조건에서 안전장치의 기능상실 확률은 단순히 개별 설비의 고장확률을 합산하여 결정할 수 없다.

전문적인 안전성 평가는

개별고장 → 고장조합 → 잠재고장 → 종속성 → 공통원인고장 → 정비상태 → 안전기능 요구 → 사고시퀀스

의 연계구조를 분석해야 한다.

특히 중복성이 높은 안전계통에서는 독립적인 우발고장보다 공통원인고장과 잠재고장이 다중고장 위험을 지배할 가능성을 반드시 검토해야 한다. NRC의 CCF 연구와 PRA 체계 역시 이러한 종속적 고장 가능성을 별도의 위험요인으로 다루고 있다.

따라서 이 주제의 핵심적인 안전공학적 결론은 다음과 같다.

“안전장치가 몇 번 고장하는가”보다
“어떤 고장들이 어떤 조건에서 결합하면 안전기능을 상실하는가”를 분석해야 한다.

그리고 가장 중요한 전문적 질문은 다음과 같다.

“현재 존재하는 중복설비 중 실제 사고 요구 시점에 독립적으로 사용 가능한 안전채널은 몇 개인가?”

이 질문을 중심으로 Fault Tree, Minimal Cut Set, CCF, 잠재고장, 정비상태 및 PRA를 연결하면 단순한 고장확률 설명을 넘어 시스템 안전성·신뢰성공학 수준의 정량적 분석 주제로 발전시킬 수 있다.