SIL 1·2·3의 Risk Reduction Factor 비교
SIL(Safety Integrity Level)을 이해할 때 가장 핵심적으로 함께 봐야 하는 개념이 Risk Reduction Factor, 즉 RRF입니다.
SIL 1, SIL 2, SIL 3은 단순히 숫자가 높아지는 등급이 아닙니다. 각각 얼마만큼의 위험감소 성능을 요구하는가를 나타냅니다.
쉽게 말하면 다음과 같습니다.
| 구분 | 의미 |
|---|---|
| SIL 1 | 비교적 낮은 수준의 위험감소 요구 |
| SIL 2 | SIL 1보다 약 10배 높은 수준의 위험감소 요구 |
| SIL 3 | SIL 2보다 다시 약 10배 높은 수준의 위험감소 요구 |
즉, SIL이 한 단계 올라갈수록 요구되는 Risk Reduction도 크게 증가합니다.
1. Risk Reduction Factor란?
RRF는 Risk Reduction Factor의 약자로, 위험을 몇 배 감소시켜야 하는지를 나타내는 값입니다.
Low Demand Mode에서는 일반적으로 다음 관계로 이해할 수 있습니다.
RRF ≈ 1 / PFDavg
여기서 PFDavg는 Average Probability of Failure on Demand, 즉 SIF가 실제로 필요할 때 작동하지 않을 평균 확률입니다.
예를 들어 PFDavg가 0.01이라면,
RRF ≈ 1 / 0.01 = 100
이 됩니다.
즉, 해당 SIF는 약 100배 수준의 위험감소 성능을 제공하는 것으로 이해할 수 있습니다.
2. PFDavg와 RRF의 관계
PFDavg와 RRF는 서로 반대 방향으로 움직입니다.
| PFDavg 변화 | RRF 변화 | 의미 |
|---|---|---|
| 감소 | 증가 | SIF의 위험감소 성능 향상 |
| 증가 | 감소 | SIF의 위험감소 성능 저하 |
따라서 PFDavg가 낮을수록 더 높은 수준의 안전무결성이 요구되고, RRF는 더 커집니다.
3. SIL 1·2·3의 기본 비교
Low Demand Mode에서 SIL 1, SIL 2, SIL 3을 비교하면 다음과 같습니다.
| SIL | PFDavg 범위 | RRF 범위 |
|---|---|---|
| SIL 1 | 10⁻² 이상 ~ 10⁻¹ 미만 | 약 10 ~ 100 |
| SIL 2 | 10⁻³ 이상 ~ 10⁻² 미만 | 약 100 ~ 1,000 |
| SIL 3 | 10⁻⁴ 이상 ~ 10⁻³ 미만 | 약 1,000 ~ 10,000 |
이 표에서 가장 중요한 것은 SIL이 한 단계 높아질 때마다 요구되는 위험감소 수준이 약 10배씩 증가한다는 점입니다.
4. SIL 1의 Risk Reduction Factor
SIL 1은 Low Demand Mode에서 일반적으로 약 10~100 수준의 RRF와 연결됩니다.
예를 들어 현재 사고빈도가 다음과 같다고 가정하겠습니다.
현재 사고빈도 : 1 × 10⁻² /year
허용 가능한 사고빈도가 다음과 같다면,
허용 사고빈도 : 1 × 10⁻³ /year
필요한 RRF는 다음과 같습니다.
Required RRF = 10⁻² ÷ 10⁻³ = 10
따라서 약 10배의 위험감소가 필요하므로 SIL 1 범위에서 검토할 수 있습니다.
| 항목 | 값 |
|---|---|
| 현재 사고빈도 | 1 × 10⁻² /year |
| 허용 사고빈도 | 1 × 10⁻³ /year |
| Required RRF | 10 |
| 검토 SIL | SIL 1 수준 |
5. SIL 2의 Risk Reduction Factor
SIL 2는 일반적으로 약 100~1,000 수준의 RRF와 연결됩니다.
예를 들어 현재 사고빈도가 다음과 같다고 가정하겠습니다.
현재 사고빈도 : 1 × 10⁻³ /year
허용 가능한 사고빈도는 다음과 같습니다.
허용 사고빈도 : 1 × 10⁻⁶ /year
그러면 필요한 RRF는,
Required RRF = 10⁻³ ÷ 10⁻⁶ = 1,000
이 됩니다.
즉, 현재 위험을 약 1,000배 수준으로 감소시켜야 합니다.
| 항목 | 값 |
|---|---|
| 현재 사고빈도 | 1 × 10⁻³ /year |
| 허용 사고빈도 | 1 × 10⁻⁶ /year |
| Required RRF | 1,000 |
| 검토 SIL | SIL 2 상한 또는 SIL 3 경계 검토 |
이처럼 경계값에 해당하는 경우에는 정확한 PFDavg 범위를 기준으로 판단해야 합니다.
6. SIL 3의 Risk Reduction Factor
SIL 3은 일반적으로 약 1,000~10,000 수준의 RRF와 연결됩니다.
예를 들어 현재 사고빈도가 다음과 같다고 가정하겠습니다.
현재 사고빈도 : 1 × 10⁻² /year
허용 가능한 사고빈도가,
1 × 10⁻⁶ /year
이라면,
Required RRF = 10⁻² ÷ 10⁻⁶ = 10,000
이 됩니다.
즉, 약 10,000배 수준의 위험감소가 필요합니다.
| 항목 | 값 |
|---|---|
| 현재 사고빈도 | 1 × 10⁻² /year |
| 허용 사고빈도 | 1 × 10⁻⁶ /year |
| Required RRF | 10,000 |
| 검토 SIL | SIL 3 상한 또는 그 이상 검토 필요 |
이처럼 매우 큰 RRF가 요구되는 경우에는 단순히 높은 SIL 하나에 모든 위험감소를 맡기기보다 다른 독립보호계층 추가, 공정설계 개선, 위험원 자체 감소 등을 함께 검토하는 것이 중요합니다.
7. SIL이 한 단계 올라갈 때 위험감소 성능은 얼마나 달라지는가?
SIL 1, 2, 3의 차이는 다음과 같이 이해할 수 있습니다.
| SIL | 대략적인 위험감소 수준 | 쉽게 이해하면 |
|---|---|---|
| SIL 1 | 10 ~ 100배 | 수십 배 수준 |
| SIL 2 | 100 ~ 1,000배 | 수백 배 수준 |
| SIL 3 | 1,000 ~ 10,000배 | 수천 배 수준 |
즉, SIL이 한 단계 올라갈 때마다 요구되는 위험감소 수준도 한 자릿수 정도 커지는 구조입니다.
8. SIL 숫자가 높다고 무조건 좋은 것은 아니다
SIL 3이 SIL 2보다 높고, SIL 2가 SIL 1보다 높기 때문에 “그럼 모든 SIF를 SIL 3으로 설계하면 더 안전하지 않은가?”라고 생각할 수 있습니다.
하지만 실제 설계에서는 그렇지 않습니다.
SIL이 높아질수록 다음과 같은 요구가 함께 증가합니다.
- 더 높은 신뢰성
- 더 엄격한 Architecture
- 더 높은 Diagnostic Coverage
- 더 짧거나 정교한 Proof Test
- 더 엄격한 유지보수
- 더 높은 설계 및 검증 수준
- 더 높은 비용
따라서 SIL은 무조건 높게 적용하는 것이 아니라 해당 위험을 허용 가능한 수준까지 낮추는 데 필요한 만큼 적용하는 것이 중요합니다.
9. 같은 SIL 안에서도 RRF는 다를 수 있다
SIL 2라고 해서 모든 SIF의 RRF가 동일한 것은 아닙니다.
예를 들어 두 개의 SIF가 모두 SIL 2라고 가정하겠습니다.
| 구분 | PFDavg | RRF |
|---|---|---|
| SIF-A | 0.009 | 약 111 |
| SIF-B | 0.002 | 500 |
두 SIF 모두 SIL 2 범위에 들어갈 수 있지만 실제 위험감소 성능은 다릅니다.
즉, SIL 등급만 보는 것보다 실제 계산된 PFDavg와 RRF를 함께 확인하는 것이 중요합니다.
10. Required RRF는 어떻게 결정하는가?
실무에서는 먼저 현재 위험수준과 허용 가능한 위험수준을 비교합니다.
기본 개념은 다음과 같습니다.
Required RRF = 현재 위험수준 ÷ 허용 가능한 위험수준
예를 들어,
현재 사고빈도 : 1 × 10⁻³ /year
허용 사고빈도 : 1 × 10⁻⁵ /year
이라면,
Required RRF = 100
입니다.
이 값을 SIL 범위와 비교합니다.
| Required RRF | 검토 SIL |
|---|---|
| 약 10 ~ 100 | SIL 1 |
| 약 100 ~ 1,000 | SIL 2 |
| 약 1,000 ~ 10,000 | SIL 3 |
즉, SIL을 먼저 정하는 것이 아니라 필요한 위험감소량을 먼저 계산하고 그 결과에 따라 Target SIL을 결정하는 방식이 기본입니다.
11. LOPA와 RRF의 관계
LOPA에서는 Initiating Event Frequency와 인정 가능한 IPL의 PFD를 반영하여 잔여 사고빈도를 계산합니다.
예를 들어 다음과 같은 Scenario가 있다고 가정하겠습니다.
| 항목 | 값 |
|---|---|
| Initiating Event Frequency | 1 × 10⁻¹ /year |
| IPL-1 PFD | 0.1 |
| IPL-2 PFD | 0.1 |
기존 IPL을 적용하면,
Mitigated Event Frequency = 1 × 10⁻¹ × 0.1 × 0.1
즉,
1 × 10⁻³ /year
입니다.
허용 가능한 사고빈도가 1 × 10⁻⁵ /year라면 추가적으로 필요한 RRF는,
10⁻³ ÷ 10⁻⁵ = 100
이 됩니다.
이 결과를 바탕으로 Target SIL을 결정합니다.
12. RRF와 Target SIL의 관계
RRF는 단순한 계산값이 아니라 SIF가 얼마나 큰 위험감소를 담당해야 하는지 결정하는 기준입니다.
| 단계 | 주요 내용 |
|---|---|
| ① 현재 위험수준 확인 | LOPA 등으로 사고빈도 계산 |
| ② 허용 위험수준 확인 | 회사 Risk Criteria와 비교 |
| ③ Risk Gap 계산 | 부족한 위험감소량 확인 |
| ④ Required RRF 산정 | 추가적으로 필요한 위험감소 수준 |
| ⑤ Target SIL 결정 | SIL 1, 2, 3 등 지정 |
| ⑥ SIF 설계 | Sensor–Logic Solver–Final Element 구성 |
| ⑦ SIL Verification | 실제 설계가 Required RRF를 만족하는지 확인 |
따라서 RRF가 Target SIL을 결정하는 중요한 연결고리라고 볼 수 있습니다.
13. Target SIL과 Achieved RRF는 구분해야 한다
SIL Assessment에서 Target SIL 2가 결정되었다고 해서 실제 SIF가 자동으로 SIL 2 성능을 갖는 것은 아닙니다.
예를 들어,
Required RRF = 500
따라서,
Target SIL = SIL 2
가 결정되었다고 가정하겠습니다.
이후 실제 SIF를 설계하고 SIL Verification을 수행했더니,
PFDavg = 0.002
가 나왔다면,
Achieved RRF = 1 / 0.002 = 500
입니다.
| 구분 | 의미 |
|---|---|
| Required RRF | 위험성평가에서 필요한 위험감소량 |
| Target SIL | 요구되는 SIL 등급 |
| Calculated PFDavg | 실제 설계의 실패확률 |
| Achieved RRF | 실제 설계가 제공하는 위험감소량 |
즉, Assessment에서는 필요한 RRF를 정하고, Verification에서는 실제 RRF를 확인합니다.
14. SIL Verification에서 RRF를 같이 봐야 하는 이유
SIL Verification 결과가 단순히 “SIL 2 PASS”라고 되어 있다고 가정하겠습니다.
이 결과만으로는 실제 성능이 SIL 2 범위의 어디에 위치하는지 알기 어렵습니다.
예를 들어 다음 두 결과를 비교해 보겠습니다.
| 구분 | PFDavg | RRF | SIL |
|---|---|---|---|
| SIF-A | 0.0095 | 약 105 | SIL 2 |
| SIF-B | 0.0012 | 약 833 | SIL 2 |
둘 다 SIL 2이지만 실제 위험감소 성능에는 큰 차이가 있습니다.
따라서 Verification Report에서는 SIL 등급뿐 아니라 PFDavg와 RRF를 함께 확인하는 것이 중요합니다.
15. SIL 경계값에서는 주의가 필요하다
RRF가 100, 1,000, 10,000처럼 정확히 경계에 해당하는 경우에는 단순히 “100이니까 SIL 1”처럼 판단하면 혼동이 생길 수 있습니다.
이 경우에는 PFDavg의 정확한 범위와 적용기준을 확인하는 것이 중요합니다.
| 경계값 예시 | 주의사항 |
|---|---|
| RRF = 100 | SIL 1 상한 / SIL 2 경계 |
| RRF = 1,000 | SIL 2 상한 / SIL 3 경계 |
| RRF = 10,000 | SIL 3 상한 / SIL 4 경계 |
따라서 실무에서는 RRF 숫자만 외우기보다 PFDavg 범위와 함께 이해하는 것이 안전합니다.
16. SIL 3이 요구된다면 다른 Risk Reduction도 검토해야 한다
Required RRF가 매우 커서 SIL 3 수준이 요구되는 경우에는 하나의 SIF에 너무 많은 Risk Reduction을 부담시키고 있는지 검토할 필요가 있습니다.
예를 들어 다음과 같은 방법을 추가로 검토할 수 있습니다.
| 추가 검토방법 | 내용 |
|---|---|
| 공정설계 개선 | 위험원 자체를 줄임 |
| Inventory 감소 | 사고규모 감소 |
| Pressure/Temperature 감소 | 사고발생 가능성 감소 |
| 독립 IPL 추가 | SIF 이외의 위험감소 확보 |
| Alarm + Operator Action 개선 | 인정 가능한 IPL 확보 검토 |
| Mechanical Protection | PSV 등 독립 보호수단 검토 |
즉, 높은 SIL 하나에 의존하기보다 여러 독립적인 위험감소 수단을 조합하는 것이 더 합리적일 수 있습니다.
17. SIL과 RRF를 실무적으로 기억하는 방법
SIL 1, 2, 3은 다음과 같이 기억하면 쉽습니다.
| SIL | RRF 기억법 |
|---|---|
| SIL 1 | 10²까지 |
| SIL 2 | 10³까지 |
| SIL 3 | 10⁴까지 |
즉,
SIL 1 = 수십 배
SIL 2 = 수백 배
SIL 3 = 수천 배
정도의 위험감소 성능이라고 기억하면 이해하기 쉽습니다.
다만 실제 판정에서는 반드시 정확한 PFDavg와 RRF 범위를 확인해야 합니다.
18. PSM 관점에서 SIL과 RRF를 어떻게 봐야 하는가?
PSM에서 SIL과 RRF는 단순한 계장설계 숫자가 아닙니다.
위험성평가에서 확인된 Scenario가 허용 가능한 수준까지 충분히 감소되는지를 판단하는 핵심 지표입니다.
전체 흐름은 다음과 같습니다.
| 단계 | 주요 내용 |
|---|---|
| ① HAZOP | 위험 Scenario 발굴 |
| ② LOPA | 사고빈도 및 기존 IPL 평가 |
| ③ Risk Gap 확인 | 허용 위험수준과 비교 |
| ④ Required RRF 계산 | 부족한 위험감소량 산정 |
| ⑤ Target SIL 결정 | SIL 1, 2, 3 지정 |
| ⑥ SIF 설계 | Sensor–Logic Solver–Final Element 구성 |
| ⑦ SIL Verification | 실제 PFDavg 및 RRF 계산 |
| ⑧ 운전·Proof Test | 요구 성능 유지 |
이렇게 보면 SIL과 RRF는 HAZOP → LOPA → SIF 설계 → SIL Verification을 연결하는 중요한 기준입니다.
19. 실무에서 자주 발생하는 오류
SIL과 RRF를 검토할 때 다음과 같은 오류를 주의해야 합니다.
첫째, SIL 숫자가 높을수록 무조건 좋은 것으로 생각하는 경우입니다.
필요한 위험감소 수준에 맞게 적용해야 합니다.
둘째, SIL을 먼저 정하고 RRF를 나중에 맞추는 경우입니다.
먼저 필요한 Risk Reduction을 계산하고 Target SIL을 결정해야 합니다.
셋째, 동일 SIL이면 모든 SIF의 위험감소 성능이 같다고 생각하는 경우입니다.
동일 SIL 안에서도 PFDavg와 RRF는 다를 수 있습니다.
넷째, SIL 인증기기를 사용하면 자동으로 해당 SIL을 만족한다고 생각하는 경우입니다.
전체 SIF의 PFDavg를 Verification해야 합니다.
다섯째, LOPA에서 IPL을 과도하게 인정하는 경우입니다.
기존 IPL을 과대평가하면 Required RRF와 Target SIL이 실제보다 낮게 계산될 수 있습니다.
20. SIL 1·2·3 비교 한눈에 보기
| 구분 | SIL 1 | SIL 2 | SIL 3 |
|---|---|---|---|
| PFDavg 범위 | 10⁻² ~ 10⁻¹ | 10⁻³ ~ 10⁻² | 10⁻⁴ ~ 10⁻³ |
| RRF 범위 | 약 10 ~ 100 | 약 100 ~ 1,000 | 약 1,000 ~ 10,000 |
| 위험감소 수준 | 수십 배 | 수백 배 | 수천 배 |
| 설계 난이도 | 상대적으로 낮음 | 중간 | 높음 |
| 검증 수준 | 기본 | 더 엄격 | 매우 엄격 |
| Proof Test 요구 | 중요 | 매우 중요 | 더욱 엄격한 관리 필요 |
| CCF 관리 | 필요 | 중요 | 매우 중요 |
이 표를 보면 SIL이 높아질수록 단순히 RRF만 증가하는 것이 아니라 설계, 시험, 유지관리, CCF 관리 수준도 함께 높아져야 한다는 점을 알 수 있습니다.
21. 핵심 정리
SIL 1, SIL 2, SIL 3의 가장 큰 차이는 요구되는 Risk Reduction Factor의 크기입니다.
| SIL | PFDavg | RRF | 쉽게 이해하면 |
|---|---|---|---|
| SIL 1 | 10⁻² ~ 10⁻¹ | 약 10 ~ 100 | 위험을 수십 배 감소 |
| SIL 2 | 10⁻³ ~ 10⁻² | 약 100 ~ 1,000 | 위험을 수백 배 감소 |
| SIL 3 | 10⁻⁴ ~ 10⁻³ | 약 1,000 ~ 10,000 | 위험을 수천 배 감소 |
실무에서는 다음 순서로 접근하는 것이 중요합니다.
| 단계 | 확인내용 |
|---|---|
| ① 현재 위험수준 확인 | 사고빈도 또는 Risk Level 확인 |
| ② 허용 위험수준 확인 | 회사 Risk Criteria와 비교 |
| ③ Required RRF 산정 | 부족한 위험감소량 계산 |
| ④ Target SIL 결정 | Required RRF에 맞는 SIL 선정 |
| ⑤ SIF 설계 | 요구성능을 만족하도록 구성 |
| ⑥ SIL Verification | 실제 PFDavg와 Achieved RRF 확인 |
결국 RRF는 “얼마나 위험을 줄여야 하는가”를 숫자로 표현한 값이고, SIL은 그 위험감소 수준을 등급으로 표현한 개념입니다.
따라서 SIL을 단순히 1, 2, 3이라는 숫자로 외우기보다 PFDavg와 RRF의 관계를 함께 이해하는 것이 실무적으로 훨씬 중요합니다.
Analyst
댓글 0
첫 댓글을 남겨보세요.