제어시스템에서의 안전무결성등급(SIL)결정에 관한 지침(KOSHA GUIDE) - 2015.11

E - 149 - 2015 제어시스템에서의 안전무결성등급(SIL)결정에 관한 지침(KOSHA GUIDE) - 2015.11

​

1. 목적

이 지침은 사업장에서 사용하는 전기·전자 프로그래머블 안전시스템으로 구성된 제어시스템의 신뢰도 확보에 관련된 안전무결성등급(SIL) 결정에 필요한 사항을 정함을 목적으로 한다.

​

​

​

2. 적용 범위

이 지침은 제어시스템의 안전무결성등급(safety integrity level, SIL) 결정하는 경우에 적용한다.

​

​

​

3. 용어의 정의

3.1 “안전무결성(safety integrity)”이라 함은 안전관련 시스템이 주어진 시간동안 모든 운전상태에서 요구되는 안전기능을 만족스럽게 수행할 수 있는 확률을 말한다.

​

3.2 “전기·전자 프로그래밍전자장치(electric/Electronic/Programmable electronic devices)”라 함은 전기·전자 프로그램이 가능한 전자기술을 기반으로 한 장치를 말한다.

​

3.3 “프로그래밍 전자장치(programmable electronic devices, PED)”라 함은 하드웨어, 소프트웨어 및 입출력 장치로 구성된 컴퓨터 기술을 기반으로 한 전자장치를 말한다.

​

3.4 “안전시스템(safety system)”이라 함은 운전설비의 안전상태를 유지하도록 안전기능을 수행하는 전기 전자 프로그램 가능형 시스템, 다른 기술로 구성된 시스템 또는 외부의 위험감소 설비 등을 말한다.

​

3.5 “안전무결성등급(safety integrity level, SIL)”이라 함은 전기 전자 프로그램 가능형 전자장치로 구성된 안전시스템에서, 기능안전의 안전무결성 요건(safety integrity requirements)을 명시한 별개의 등급(1∼4)을 말하며 그 중 등급 4가 가장 높고 등급 1이 가장 낮다.

​

3.6 “기능안전(functional safety)”이라 함은 운전설비 또는 운전제어 시스템의 일부인 전기 전자 프로그램 가능형 안전시스템, 다른 기술로 구성된 안전시스템 또는 외부의 위험감소 설비가 올바르게 동작하도록 하는 기능과 관련된 안전을 말한다.

​

3.7 “필요한 최소 위험 감소(necessary minimum risk reduction, NMRR)”라 함은 안전무결성등급을 결정하는데 필요한 위험 감소 추정치를 말한다.

​

3.8 “위험 그래프 방법론(risk graph methodology)”이라 함은 IEC 61508-5를 기준하여 인적안전, 환경피해, 재산피해의 안전무결성등급 값을 구한 후에 요구수준 안전무결성등급(required SIL)을 결정하는 방법론을 말한다.

​

3.9 “위험 변수(risk parameter)”라 함은 결과, 빈도와 노출시간, 유해위험 회피가능성, 원하지 않는 사고발생의 가능성 등의 변수들을 말한다.

​

3.10 “안전무결성등급 분석 작업표(SIL classification worksheets)”라 함은 요구수준 안전무결성등급을 산정하기 위하여 공정의 위험성 분석 등을 기술하는 작업양식을 말한다.

​

3.11 “제어안전시스템(safety instrumented system, SIS)”이라 함은 하나 또는 그 이상의 제어안전기능을 사용하는 계장시스템을 말하며 제어안전시스템(SIS)은 센서, 논리시스템, 최종 구성요소의 조합으로 이루어진다.

​

3.12 “제어안전기능(safety instrumented function, SIF)”이라 함은 기능안전에 필요한 명시된 안전무결성등급의 안전기능으로, 계장안전의 보호기능 또는 계장안전의 제어기능을 말한다.

​

​

4. 안전관련 시스템의 구성

이 지침에서 안전기능을 수행하는데 이용되는 전기·전자프로그램어블 전자장치시스템의 안전수명을 정하는데 필요한 절차, 방법 등은 다음과 같다.

​

​

4.1 일반사항

(1) 안전기능 시스템은 안전에 영향을 미치는 시스템으로써 이에는 컴퓨터와 같은 프로그래밍 전자장치가 일반적으로 사용된다.

​

(2) 프로그래밍 전자시스템(Programmable Electronic System, PED)은 컴퓨터를 기본으로 하는 부분적인 시스템을 말하며, 프로그래밍 전자시스템을 갖춘 기계설비의 프로그래밍 전자시스템이 안전과 관련된 시스템의 정지기능을 갖는 경우에는 일반적으로 안전시스템이 된다. 안전시스템의 기능안전에 관한 상세내용은 프로그램 가능형 안전시스템의 기능안전 확보에 관한 안전가이드(KOSHA GUIDE E-12-2009)를 참조한다.

​

(3) 프로그래밍 전자시스템(PED)은 <그림 1>과 같이 데이터 하이웨이(data highway)나 기타 통신선을 통해 기기의 센서 및 기타 입력장치로부터 기기의 동작부나 기타 출력장치로 연결된다. 원칙적으로 안전시스템을 운전하는 작업자의 작업방법도 고려하여야 하나, 일반적으로 생략되는 경우가 많다.

<그림 1> 프로그래밍 전자시스템(PED)의 구조

​

(4) 일부 안전기능 시스템에서는 <그림 2>와 같이 제어시스템(control system)과 보호시스템(protection system)으로 이원화되어 사용될 수 있다. 제어시스템은 설비가 정상적으로 운전되도록 하는 시스템이고, 보호시스템은 고장조건을 취급하거나, 위험상황의 피해 최소화를 위한 출력을 발생하거나, 또는 위험한 사고를 예방하기 위한 시스템이다.

<그림 2> 제어시스템과 보호시스템

(5) 프로그래밍 전자시스템의 핵심은 프로그램이 가능한 전자부품이며, 이는 다른 프로그램을 사용하거나 지시 시퀀스를 바꾸게 되면 다른 시각 또는 다른 운전방식으로 작업을 수행할 수 있다.

​

(6) 프로그래밍 전자시스템의 강점은 다양한 활용에 있으나, 프로그램인 소프트웨어는 안전시스템의 매우 중요한 요소이므로 이의 품질은 매우 중요하다. 이에 대한 내용은「프로그램 가능형 안전시스템의 소프트웨어 안전을 위한 가이드(KOSHA GUIDE E-24-2009)」를 참조한다.

​

​

4.2 안전무결성 등급의 결정

안전무결성등급의 결정 및 방법은 5항에서, 인적안전분야는 6항, 환경피해분야는 7항, 재산피해분야에 대해서는 8항에 각각 기술한다.

​

​

​

5. 안전무결성 등급 결정

5.1 안전무결성 등급의 기준 및 적용

(1) 위험과 운전분석(hazard and operability, HAZOP) 등 정성적 위험성평가에서 확인된 모든 사고 시나리오에 대해 제어안전기능의 필요여부를 판단하고, 각 제어 안전기능에 대하여 규명된 안전무결성등급의 값을 부여하여야 하므로 안전무결성등급 검토는 원칙적으로 위험과 운전분석(HAZOP) 등 정성적 위험성평가 후에 수행하는 것이 바람직하다.

​

(2) 안전무결성등급 검토는 화학플랜트의 비상정지시스템(ESD system)과 같이 안전과 관련된 제어계통을 대상으로 수행한다.

​

5.1.1 인적안전의 기준 및 적용

안전무결성등급 위험목표기준(risk target criteria)의 구분을 위하여 인적안전에 대한 안전무결성등급을 산정하는 기술적 내용을 제시한다.

​

5.1.2 환경피해의 기준 및 적용

안전무결성등급 위험 목표기준의 구분을 위하여 인적안전에 대한 안전무결성등급을 산정하는 기술적 내용을 제시한다.

​

5.1.3 재산피해의 기준 및 적용

안전무결성등급 위험 목표기준의 구분을 위하여 재산피해에 대한 안전무결성등급을 산정하는 기술적 내용을 제시한다.

​

​

5.2 안전무결성등급의 산정

(1) 제어안전시스템과 관련한 시나리오에서 요구수준 안전무결성등급(SIL)은 안전무결성등급 분석 작업표 상에 기입한 인적안전 안전무결성등급, 환경피해 안전무결성등급, 재산피해 안전무결성등급의 값들과 동일하거나 낮도록 산정 한다.

​

(2) 요구운전방식(demand mode of operation)에서 제어안전기능의 목표평균 고장확률에 대한 안전무결성등급은 <표 1>을 참조한다.

​

(3) 일반적으로 정유플랜트, 석유화학 및 화학플랜트, 가스플랜트, 발전플랜트, 제철플랜트 등에서의 제어계통 설계기준은 “안전무결성등급 3” 이상을 요구하며, 아울러 기기공급업자(vendor)로부터 제3자 인증(certificate)을 요구하기도 한다.

<표 1> 안전무결성등급:고장고장확률(probability of failure on demand)(IEC 61511-1 참조)

​

(4) 안전무결성등급 3은 제어기기의 고장확률이 1천분의 1 미만이면서 1만분의 1 이상의 신뢰도를 말한다. 즉, 제어기기의 신뢰도가 99.9 % 이상이면서 99.99 % 미만인 것을 의미한다.

​

(5) 바람직한 안전무결성등급 검토를 위하여는 각각의 제어계통에 대한 요구수준 안전무결성등급을 산정한 후에 이를 검증하는 과정을 수행 한다.

​

(6) 요구에서 안전무결성등급에 따른 각각의 위험감소목표는 <표 2>와 같다.

<표 2> 안전무결성등급: 목표 위험 감소(target risk reduction)(IEC 61511-1 참조)

​

<표 3> ISA-S84.01에 따른 안전무결성등급의 성능요구사항(ISA-S84.01 참조)

​

​

​

6. 인적안전무결성등급 산정절차

인적안전 안전무결성등급 값은 <그림 3>의 위험 그래프 방법을 이용하여 결정하되. 이에 대한 위험 변수는 <표 4>와 같이 결과(C), 빈도와 노출시간(F), 유해위험 회피가능성(P), 원하지 않는 사고발생의 가능성(W)을 참고한다.

 

<그림 3> 인적안전에 대한 위험 그래프 방법론

​

(1) 결과 위험 변수(C)에 대한 설명

결과 위험 변수(C)는 인명에 대한 사고피해의 등급으로서 경미한 사고는 C1, 다수의 중상 또는 사망사고 1명은 C2, 사망 2인 이상 사고는 C3, 다수가 사망한 사고는 C4 등급으로 구분하며 사고피해를 예측한 데이터를 참고하여 선정한다.

​

(2) 빈도와 노출시간 위험 변수(F)에 대한 설명

빈도와 노출시간 위험 변수(F)는 위험요인 지역에 노출되는 빈도의 등급으로서 매우 희박하게 노출되는 경우 F1, 빈번히 노출되는 경우에는 F2 등급으로 구분하여 선정한다.

​

(3) 유해위험 회피가능성 위험 변수(P)에 대한 설명

유해위험 회피가능성 위험 변수(P)는 위험요인에 회피할 수 있는 정도를 결정하는 등급으로서 위험상황에 대하여 회피가능하거나 사전에 경고가 가능한 경우 P1 등급, 위험상황에 대하여 회피가 불가능하거나 사전에 경고가 불가능한 경우에는 P2 등급으로 구분하며 다음의 고려조건을 참고하여 선정한다.

(가) 공정운전(즉, 숙련자 또는 비숙련자에 의한 운전 시 관리감독을 받는지 또는 관리감독을 받지 않는지)

(나) 위험요인 사상의 진행률(예: 급작스럽게, 빠르게 또는 느리게)

(다) 위험 인식의 용이성(예: 즉각적인 발견, 기술적인 혹은 비기술적인 측정에 의한 감지)

(라) 위험요인 사상의 회피(예: 대피로의 가능성 또는 조건부 회피)

(마) 실제 안전경험(동일한 제어 하의 기기 또는 이와 유사한 제어 하의 기기에 대한 경험의 유무)

​

(4) 원하지 않는 사고 발생의 가능성 위험 변수(W)에 대한 설명

원하지 않는 사고발생의 가능성 위험 변수(W)는 안전시스템이 추가로 설치되지 않았을 경우 사고발생 정도를 결정하는 등급으로서 사고발생 건수가 연간 0.1건 미만일 경우 W1, 사고발생 건수가 연간 0.1건 이상 1건 이하일 경우 W2, 사고발생 건수가 연간 1건을 초과하여 10 이하일 경우 W3 등급으로 구분하며 아래의 고려 조건을 참고하여 선정한다.

(가) 사고발생확률은 위험감축장비는 구비하였으나 안전시스템이 추가로 설치되지 않았을 경우 발생 가능한 사고빈도를 추정함.

(나) 제어 하의 기기 시스템의 사용경험 또는 이와 유사한 경험이 없다면, 사고발생확률 추정은 계산방법에 의하며 그 확률은 최악의 예상치를 적용함.

<표 4> 인적안전에 대한 위험 데이터

(5) 인적안전에 대한 안전무결성등급 산정방법

(가) 인적안전에 대한 위험 변수인 결과 변수(C), 빈도와 노출시간 (F), 유해위험회피가능성(P), 원하지 않는 사고발생의 가능성(W)에 대하여 각각의 등급에 따라 부록의 <그림 4>에서 보는 바와 같이 시작점에서 출발하여 우선적으로 결과 변수(C) 등급에 따라 C1, C2, C3, C4 등급 중 하나를 결정하고 빈도와 노출시간(F), 유해위험 회피가능성(P), 원하지 않는 사고발생의 가능성(W)을 각각의 등급에 따라 결정하여 필요한 최소 위험 감소(necessary minimum risk reduction)를 구한다.

(나) 그 다음에 최종적으로 <그림 3>에서 명시한 바와 같이 필요한 최소 위험 감소(NMRR)인 '-', 'a', 'b', '1', '2', '3', '4'에 상응하는 인적안전 안전무결성 등급을 산정한다.

​

(6) 인적안전에 대한 안전무결성 산정의 예

인적안전에 대한 안전무결성등급을 산정하는 예는 아래 <그림 4>, <표 5>와 같다. 예를 들어, 결과 변수(C)는 C2, 빈도와 노출시간(F)은 F2, 유해위험 회피가능성 (P)은 P2, 원하지 않는 사고발생의 가능성(W)은 W3등급일 경우 아래 <그림 4>과 같이 시작점에서 출발하여 C2 → F2 → P2 → W3의 필요한 최소 리스크 감소(NMRR)인 ‘3’을 결정하면 ‘3’은 <그림 4>에서 명시한 바와 같이 인적안전 안전무결성등급 3으로 산정한다.

<그림 4> 인적안전에 대한 안전무결성 등급 산정 방법

<표 5> 등급분류에 따른 인적안전 안전무결성등급 산정

​

​

​

7. 환경피해 안전무결성등급 산정 절차

환경피해에 대한 위험 변수는 <표 6>과 같이 결과 변수(C), 유해위험 회피가능성(P), 원하지 않는 사고발생의 가능성(W)으로 구성되어 지며, 이 값들을 사용하여 <그림 5>의 위험 그래프 방법론을 통해 인적안전 안전무결성등급 값을 산정한다.

<그림 5> 환경피해에 대한 위험그래프 방법론

(1) 결과 위험 변수(C)에 대한 설명

결과 위험 변수(C)는 환경에 대한 사고피해의 등급으로서 소량누출 피해는 C1, 사업장 내부 누출피해는 C2, 사업장 외부로 누출피해가 발생하였으나 빠른 방제가 가능한 경우는 C3, 사업장 외부로 지속적으로 누출피해가 발생하는 경우는 C4 등급으로 구분하며 아래의 고려조건을 참고하여 선정한다.

(가) 밸브나 플랜지에서 보통의 누출, 소규모 액체 유출 또는 지하수에 영향이 없는 소규모 토양오염

(나) 플랜지 개스킷 블로우 아웃(blow-out)이나 압축기 밀봉(seal)의 파열에 의한 단위공정 외부로 매우 불쾌한 증기운(vapor cloud)의 이동

(다) 식물, 동물에 일시적 피해를 야기하는 증기 또는 분무상태(aerosol)의 누출, 강 또는 바다로 액체 유출

(라) 식물, 동물에 지속적 피해를 야기하는 증기 또는 분무상태(aerosol)의 누출.

(마) 고체의 낙진(먼지, 촉매, 그을음, 화산재) 또는 지하수에 영향을 주는 액체 누출

​

(2) 빈도와 노출시간 위험 변수(F)에 대한 설명

빈도와 노출시간 위험 변수(F)는 점유(occupancy)의 개념을 적용하지 않아 사용하지 않는다.

​

(3) 유해위험 회피가능성 위험 변수(P)에 대한 설명

유해위험 회피가능성 위험 변수(P)는 위험요인에 회피할 수 있는 정도를 결정하는 등급으로서 위험상황에 대하여 회피가능하거나 사전에 경고가 가능한 경우 P1 등급, 위험상황에 대하여 회피가 불가능하거나 사전에 경고가 불가능한 경우에는 P2 등급으로 구분하며 다음의 고려조건을 참고하여 선정한다.

(가) 공정운전(즉, 숙련자 또는 비숙련자에 의한 운전 시 관리감독을 받는지 혹은 관리감독을 받지 않는지)

(나) 위험요인 사상의 진행률(예: 급작스럽게, 빠르게 또는 느리게)

(다) 위험 인식의 용이성(예: 즉시 발견, 기술적 또는 비기술적 측정에 의한 감지)

(라) 위험요인 사상의 회피(예: 대피로의 가능성 또는 조건부 회피)

(마) 실제 안전경험(동일한 제어 하의 기기 또는 이와 유사한 제어 하의 기기에 대한 경험의 유무).

​

(4) 원하지 않는 사고 발생의 가능성 리스크 변수(W)에 대한 설명

원하지 않는 사고발생의 가능성 리스크 변수(W)는 안전시스템이 추가로 설치되지 않았을 경우 사고발생 정도를 결정하는 등급으로서 사고발생 건수가 연간 0.1건 미만일경우 W1, 사고발생 건수가 연간 0.1건 이상 1건 이하일 경우 W2, 사고발생 건수가 연간 1건을 초과하여 10 이하일 경우 W3 등급으로 구분하며 아래의 고려조건을 참고하여 선정한다.

(가) 사고발생확률은 위험감축장비는 구비하였으나 안전시스템이 추가로 설치되지 않았을 경우 발생 가능한 사고빈도를 추정함.

(나) 제어 하의 기기 시스템의 사용경험 또는 이와 유사한 경험이 없다면, 사고발생확률 추정은 계산방법에 의하며 그 확률은 최악의 예상치를 적용함

​

(5) 환경피해에 대한 안전무결성등급 산정방법

(가) 환경피해에 대한 리스크 변수인 결과 변수(C), 유해위험 회피가능성(P), 원하지 않는 사고발생의 가능성(W)에 대하여 각각의 등급에 따라 <그림 6>에서와 같이 시작점에서 출발하여 우선적으로 결과 변수(C) 등급에 따라 C1, C2, C3, C4 등급 중 하나를 결정하고 빈도와 노출시간(F), 유해위험 회피가능성(P), 원하지 않는 사고발생의 가능성(W)을 각각의 등급에 따라 결정하여 필요한 최소 리스크 감소NMRR(necessary minimum risk reduction)을 구한다.

(나) 그 다음에 최종적으로 <그림 5>에서 명시한 바와 같이 필요한 최소 위험 감소(NMRR)인 '-', 'a', 'b', '1', '2', '3', '4'에 상응하는 환경피해 안전무결성등급을 산정한다.

​

<표 6> 환경피해에 대한 위험 데이터

​

(6) 환경피해에 대한 안전무결성 산정의 예

환경피해에 대한 안전무결성등급을 산정하는 예는 아래 <그림 6>, <표 7>과 같다. 예를 들어, 결과 변수(C)는 C2, 유해위험 회피가능성(P)은 P2, 원하지 않는 사고발생의 가능성(W)은 W3등급일 경우 <그림 6>과 같이 시작점에서 출발하여 C2 → P2 → W3의 필요한 최소 리스크 감소(NMRR)인 ‘3’을 결정하면 ‘3’은 <그림 6>에서 명시한 바와 같이 인적안전 안전무결성등급 3으로 산정한다.

<그림 6> 환경피해에 대한 안전무결성 등급 산정 방법

 

<표 7> 등급분류에 따른 환경피해 안전무결성등급 산정

​

​

​

8. 재산피해 안전무결성등급 산정 절차

재산피해에 대한 위험 변수는 <표 8>과 같이 결과 변수(C), 유해위험 회피가능성(P), 원하지 않는 사고발생의 가능성(W)으로 구성되어 지며, 이 값들을 사용하여 <그림 7>의 위험 그래프 방법론을 통해 인적안전 안전무결성등급 값을 산정한다.

<그림 7> 재산피해에 대한 위험 그래프 방법론

(1) 결과 위험 변수(C)에 대한 설명

결과 위험 변수(C)는 재산에 대한 사고피해의 등급으로서 6천만원 미만의 피해는 C1, 6천만원 이상 1억2천만원 미만의 피해는 C2, 1억2천만원 이상 12억원 미만의 피해는 C3, 12억원 이상의 피해는 C4 등급으로 구분하며 아래의 고려조건을 참고하여 선정한다.

(가) 1∼2일 생산손실 또는 미약한 설비손상

(나) 1주 생산손실 또는 약간의 설비손상

(다) 1달 생산손실 또는 상당한 설비손상

(라) 6개월 이상의 막대한 생산손실 또는 설비손상.

​

(2) 빈도와 노출시간 위험 변수(F)에 대한 설명

빈도와 노출시간 위험 변수(F)는 점유(occupancy)의 개념을 적용하지 않아 사용하지 않는다.

​

(3) 유해위험 회피가능성 위험 변수(P)에 대한 설명

유해위험 회피가능성 위험 변수(P)는 위험요인에 회피할 수 있는 정도를 결정하는 등급으로서 위험상황에 대하여 회피가능하거나 사전에 경고가 가능한 경우 P1 등급, 위험상황에 대하여 회피가 불가능하거나 사전에 경고가 불가능한 경우에는 P2 등급으로 구분하며 다음의 고려조건을 참고하여 선정한다.

(가) 공정운전(즉, 숙련자 또는 비숙련자에 의한 운전 시 관리감독을 받는지 혹은 관리감독을 받지 않는지)

(나) 위험요인 사상의 진행률(예: 급작스럽게, 빠르게 또는 느리게)

(다) 위험 인식의 용이성(예: 즉각적인 발견, 기술적인 혹은 비기술적인 측정에 의한 감지)

(라) 위험요인 사상의 회피(예: 대피로의 가능성 또는 조건부 회피)

(마) 실제 안전경험(동일한 제어 하의 기기 또는 이와 유사한 제어 하의 기기에 대한 경험의 유무)

​

(4) 원하지 않는 사고 발생의 가능성 리스크 변수(W)에 대한 설명

원하지 않는 사고발생의 가능성 리스크 변수(W)는 안전시스템이 추가로 설치되지 않았을 경우 사고발생 정도를 결정하는 등급으로서 사고발생 건수가 연간 0.1건 미만일경우 W1, 사고발생 건수가 연간 0.1건 이상 1건 이하일 경우 W2, 사고발생 건수가 연간 1건을 초과하여 10 이하일 경우 W3 등급으로 구분하며 아래의 고려조건을 참고하여 선정한다.

(가) 사고발생확률은 위험감축장비는 구비하였으나 안전시스템이 추가로 설치되지 않았을 경우 발생 가능한 사고빈도를 추정하다.

(나) 제어 하의 기기 시스템의 사용경험 또는 이와 유사한 경험이 없다면, 사고발생확률 추정은 계산방법에 의하며 그 확률은 최악의 예상치를 적용한다.

<표 8> 재산피해에 대한 위험 데이터

​

(5) 재산피해에 대한 안전무결성등급 산정방법

재산피해에 대한 리스크 변수인 결과 변수(C), 유해위험 회피가능성(P), 원하지 않는 사고발생의 가능성(W)에 대하여 각각의 등급에 따라 <그림 8>에서와 같이 시작점에서 출발하여 우선적으로 결과 변수(C) 등급에 따라 C1, C2, C3, C4 등급 중 하나를 결정하고 빈도와 노출시간(F), 유해위험 회피가능성(P), 원하지 않는 사고 발생의 가능성(W)을 각각의 등급에 따라 결정하여 필요한 최소 리스크 감소 NMRR(necessary minimum risk reduction)을 구한다. 그 다음에 최종적으로 <그림 7>에서 명시한 바와 같이 필요한 최소 위험 감소(NMRR)인 '-', 'a', 'b', '1', '2', '3', '4'에 상응하는 환경피해 안전무결성등급을 산정한다.

​

(6) 재산피해에 대한 안전무결성 산정의 예

재산피해에 대한 안전무결성등급을 산정하는 예는 아래 <그림 8>, <표 9>와 같다. 예를 들어, 결과 변수(C)는 C2, 유해위험 회피가능성(P)은 P2, 원하지 않는 사고발생의 가능성(W)은 W3등급일 경우 아래 <그림 8>과 같이 시작점에서 출발하여 C2 → P2 → W3의 필요한 최소 리스크 감소(NMRR)인 ‘2’를 결정하면 ‘2’는 <그림 8>에서 명시한 바와 같이 인적안전 안전무결성등급 2로 산정한다.

<그림 8> 재산피해에 대한 안전무결성 등급 산정 방법

​

<표 9> 등급분류에 따른 재산피해 안전무결성등급 산정

​

​

9. 안전무결성등급(SIL) 분석 작업표 작성방법

9.1 안전무결성등급 분석 과정

(1) 안전안전무결성등급 분석은 작성된 제어안전시스템에 대하여 IEC 61508 및 IEC 61511을 기준으로 한 위험 그래프 방법론(risk graph methodology)을 사용하여 요구수준 안전무결성등급을 산정하는 과정이다.

​

(2) 안전무결성등급 구분은 다음과 같은 구성원을 팀으로 하여 실행한다.

(가) 공정전문가(process specialist)

(나) 공정제어기술자(process control engineer)

(다) 생산관리자(operations management)

(라) 안전전문가(safety specialist)

(마) 대상 공정의 운전경험자(person who has practical experience of operating the process under consideration) 등

​

​

9.2 안전무결성등급의 위험 목표기준(risk target criteria) 결정

(1) 안전무결성등급 분석에서 위험 등급은 각 분야 전문가들의 회의를 통해 위험 그래프 방법론(risk graph methodology)을 사용하여 결정하며, 다음과 같은 항목을 결정한다.

(가) 공정 위험(결과, 빈도) 반영

(나) 실패확률 및 반영

(다) 인적안전 위험 반영

(라) 환경피해 위험 반영

(마) 재산피해 위험 반영

(바) 허용 위험 반영

(사) 안전무결성등급 결정

​

(2) 안전무결성등급 결정은 KS C IEC 61508 및 KS C IEC 61511을 참조하여 결정한다.

​

​

9.3 안전무결성등급 분석 작업표

안전무결성등급 분석 작업표는 다음과 같은 항목들을 포함하여 작성한다.

(1) 제어안전시스템 번호

제어안전시스템(SIS)의 번호(Tag No. 등)를 기입한다.

​

(2) 공정배관․계장도 번호

공정배관․계장도(P&ID)의 번호를 기입한다.

​

(3) 제어안전기능 설명

제어안전기능(SIF)에 대한 설명을 기입한다.

​

(4) 설계의도

설계자의 설계의도 및 설계사양을 기입한다.

​

(5) 요구 시나리오

사고발생의 시나리오를 기입한다.

​

(6) 사고발생결과

사고발생의 결과인 인적안전, 환경피해 및 재산피해를 기입한다.

​

(7) 현재안전조치

각각의 요구 시나리오에 대해 관심 대상의 제어안전기능을 제외한 현재안전조치(Safeguard)를 기입한다.

​

(8) 결과 변수(consequence risk parameter) : (C)

결과 위험변수를 기입한다.

​

(9) 빈도와 노출시간(frequency of, and exposure time in, the hazardous zone) : (F)

폭발위험장소(hazardous zone)에 노출되는 빈도와 시간을 기입한다.

​

(10) 유해위험 회피가능성(possibility of avoiding the hazardous event) : (P)

유해위험(hazardous event)의 회피 가능성을 기입한다.

​

(11) 원하지 않는 사고발생의 가능성(probability of the unwanted occurrence) : (W)

원치 않는 사고발생의 가능성을 기입한다.

​

(12) 인적안전

인적안전무결성등급 산정 절차(6항 참조)에 따라 해당하는 값을 기입한다.

​

(13) 환경피해

환경피해 안전무결성등급 산정 절차(7항 참조)에 따라 해당하는 값을 기입한다.

​

(14) 재산피해

재산피해안전무결성등급 산정 절차(8항 참조)에 따라 해당하는 값을 기입한다.

​

(15) 요구수준 안전무결성등급

인적안전 안전무결성등급, 환경피해 안전무결성등급, 재산피해 안전무결성등급 값들 중 가장 높은 안전무결설등급 값을 기입한다.

​

(16) 안전무결성등급 분석 작업표의 양식은 <표 10>을 기준으로 한다.

​

(17) 안전무결성등급 분석 작업표의 작성 예는 <부록>을 참조한다.

<표 10> 안전무결성등급 분석 작업표

​

​

<부록> 안전무결성등급 분석 작업표 예시

​

​