SIL Target Level 산정 절차와 Risk Reduction Factor 관계
SIL(Safety Integrity Level)을 적용할 때 가장 중요한 질문 중 하나는 “어느 수준의 SIL이 필요한가?”입니다.
SIL 1, SIL 2, SIL 3은 임의로 정하는 값이 아닙니다. 먼저 해당 공정의 위험수준을 평가하고, 기존 보호계층을 적용한 뒤에도 남아 있는 위험이 허용 가능한 수준보다 높은지를 확인해야 합니다.
그리고 그 차이를 줄이기 위해 추가적으로 얼마만큼의 Risk Reduction이 필요한지 계산한 후 Target SIL을 결정합니다.
즉, SIL Target Level 산정의 핵심은 다음과 같습니다.
“필요한 위험감소량을 먼저 계산하고, 그 결과를 SIL Level로 연결한다.”
1. SIL Target Level이란?
SIL Target Level은 특정 SIF(Safety Instrumented Function)가 어느 정도의 안전무결성을 가져야 하는지 결정한 목표 수준입니다.
예를 들어 반응기의 압력이 과도하게 상승하여 Vessel Rupture 가능성이 있다고 가정하겠습니다.
기존에 다음과 같은 보호수단이 있을 수 있습니다.
- High Pressure Alarm
- Operator Action
- PSV
- BPCS Interlock
하지만 기존 보호수단을 고려해도 위험이 충분히 낮아지지 않는다면 추가적인 SIF를 적용할 수 있습니다.
예를 들어,
Reactor Pressure High-High → Feed SDV Close
라는 SIF를 추가한다고 가정하겠습니다.
그다음 확인해야 하는 것은 단순히 SIF가 존재하는지가 아니라,
“이 SIF가 얼마만큼의 위험을 감소시켜야 하는가?”
입니다.
이 요구수준이 Target SIL로 연결됩니다.
2. Target SIL을 먼저 정하면 안 되는 이유
실무에서 다음과 같이 접근하는 경우가 있습니다.
“이 공정은 위험하니까 SIL 2로 적용하자.”
하지만 이런 방식은 위험기반 접근이라고 보기 어렵습니다.
Target SIL은 위험의 크기와 기존 보호계층을 고려하여 결정해야 합니다.
| 잘못된 접근 | 적절한 접근 |
|---|---|
| 위험해 보이므로 SIL 2 선정 | 실제 위험수준 계산 |
| 경험적으로 SIL 3 적용 | 기존 IPL 효과 반영 |
| Vendor가 제안한 SIL 적용 | 허용 위험수준과 비교 |
| SIL을 먼저 결정 | Required RRF를 먼저 계산 |
즉, SIL은 결과이고 Risk Reduction Requirement가 원인이라고 이해하는 것이 좋습니다.
3. Risk Reduction Factor란?
Risk Reduction Factor, 즉 RRF는 위험을 몇 배 줄여야 하는지를 나타내는 값입니다.
Low Demand Mode에서는 개념적으로 다음 관계로 이해할 수 있습니다.
RRF ≈ 1 / PFDavg
여기서 PFDavg는 Average Probability of Failure on Demand입니다.
즉, SIF가 실제로 요구되었을 때 작동하지 않을 평균 확률입니다.
예를 들어,
PFDavg = 0.01
이라면,
RRF ≈ 100
입니다.
즉, 해당 SIF가 약 100배 수준의 위험감소 성능을 제공한다고 이해할 수 있습니다.
4. PFDavg와 RRF의 관계
PFDavg와 RRF는 서로 반대 방향으로 움직입니다.
| PFDavg | RRF | 의미 |
|---|---|---|
| 높음 | 낮음 | 위험감소 성능 낮음 |
| 낮음 | 높음 | 위험감소 성능 높음 |
| 0.1 | 약 10 | 낮은 위험감소 |
| 0.01 | 약 100 | 중간 수준 위험감소 |
| 0.001 | 약 1,000 | 높은 위험감소 |
따라서 Target SIL을 이해하려면 PFDavg와 RRF를 함께 봐야 합니다.
5. SIL 1·2·3과 RRF 관계
Low Demand Mode에서 일반적인 SIL과 PFDavg, RRF의 관계는 다음과 같습니다.
| SIL | PFDavg 범위 | RRF 범위 |
|---|---|---|
| SIL 1 | 10⁻² 이상 ~ 10⁻¹ 미만 | 약 10 ~ 100 |
| SIL 2 | 10⁻³ 이상 ~ 10⁻² 미만 | 약 100 ~ 1,000 |
| SIL 3 | 10⁻⁴ 이상 ~ 10⁻³ 미만 | 약 1,000 ~ 10,000 |
이 표에서 중요한 점은 SIL이 한 단계 올라갈 때마다 요구되는 위험감소 성능도 약 10배 증가한다는 것입니다.
6. SIL Target Level 산정의 전체 절차
Target SIL 산정은 다음 순서로 접근하면 이해하기 쉽습니다.
| 단계 | 주요 업무 | 결과 |
|---|---|---|
| ① Hazard Scenario 확인 | HAZOP 결과 검토 | 사고 시나리오 |
| ② Initiating Event Frequency 산정 | 사고 시작원인 빈도 평가 | 발생빈도 |
| ③ 기존 IPL 확인 | 독립보호계층 검토 | IPL PFD |
| ④ 잔여 위험수준 계산 | 기존 IPL 적용 | Mitigated Frequency |
| ⑤ 허용 위험수준 확인 | 회사 Risk Criteria 적용 | Tolerable Frequency |
| ⑥ Risk Gap 계산 | 현재 위험과 허용 위험 비교 | 부족한 위험감소량 |
| ⑦ Required RRF 산정 | 추가 위험감소량 계산 | Required RRF |
| ⑧ Target SIL 결정 | RRF와 SIL 범위 비교 | SIL 1·2·3 |
| ⑨ SIF 설계 | Sensor–Logic Solver–Final Element 구성 | 실제 SIF |
| ⑩ SIL Verification | 실제 PFDavg 또는 PFH 계산 | Target SIL 충족 여부 |
이 흐름을 이해하면 Target SIL은 갑자기 정해지는 값이 아니라 위험평가 결과에서 자연스럽게 도출되는 값이라는 것을 알 수 있습니다.
7. HAZOP에서 SIL Target Level로 연결되는 과정
SIL Assessment는 일반적으로 HAZOP 결과에서 시작합니다.
예를 들어 HAZOP에서 다음 Scenario가 도출되었다고 가정하겠습니다.
| 항목 | 내용 |
|---|---|
| Deviation | High Pressure |
| Cause | Cooling Water Failure |
| Consequence | Reactor Overpressure |
| 최종 결과 | Loss of Containment 가능 |
| 기존 Safeguard | High Pressure Alarm, PSV |
HAZOP에서는 위험 Scenario를 찾고 기존 Safeguard를 확인합니다.
그다음 LOPA 등을 수행하여 기존 보호계층을 적용한 후에도 위험이 충분히 낮은지 평가합니다.
즉, HAZOP은 위험을 찾는 단계이고 SIL Assessment는 필요한 위험감소 수준을 결정하는 단계라고 볼 수 있습니다.
8. Initiating Event Frequency 확인
Target SIL을 산정하려면 먼저 사고를 시작시키는 원인의 발생빈도를 확인해야 합니다.
예를 들어 Cooling Water Failure의 발생빈도를 다음과 같이 가정하겠습니다.
Initiating Event Frequency = 1 × 10⁻¹ /year
즉, 평균적으로 10년에 한 번 수준의 발생빈도입니다.
이 값에 기존 IPL의 위험감소 효과를 반영하여 잔여 사고빈도를 계산합니다.
9. 기존 IPL의 위험감소 효과 반영
예를 들어 기존 보호계층으로 다음 두 개의 IPL이 인정되었다고 가정하겠습니다.
| IPL | PFD |
|---|---|
| Alarm + Operator Action | 0.1 |
| Independent Shutdown Function | 0.1 |
그러면 잔여 사고빈도는 다음과 같이 계산할 수 있습니다.
1 × 10⁻¹ × 0.1 × 0.1 = 1 × 10⁻³ /year
즉, 기존 보호계층을 모두 고려하면 사고빈도가 10⁻³ /year 수준으로 감소합니다.
10. 허용 가능한 위험수준과 비교
이제 계산된 잔여 위험수준을 회사 또는 프로젝트에서 정한 Tolerable Risk 기준과 비교합니다.
예를 들어 허용 가능한 사고빈도가,
1 × 10⁻⁵ /year
이라고 가정하겠습니다.
| 구분 | 값 |
|---|---|
| 현재 잔여 사고빈도 | 1 × 10⁻³ /year |
| 허용 사고빈도 | 1 × 10⁻⁵ /year |
현재 위험이 허용기준보다 높기 때문에 추가적인 Risk Reduction이 필요합니다.
11. Required RRF 계산
추가적으로 필요한 RRF는 다음과 같이 계산할 수 있습니다.
Required RRF = 현재 잔여 사고빈도 ÷ 허용 사고빈도
따라서,
Required RRF = 10⁻³ ÷ 10⁻⁵ = 100
입니다.
즉, 추가 SIF를 통해 위험을 최소 약 100배 더 감소시켜야 한다는 의미입니다.
| 항목 | 값 |
|---|---|
| 현재 잔여 위험 | 1 × 10⁻³ /year |
| 허용 위험 | 1 × 10⁻⁵ /year |
| Required RRF | 100 |
12. Required RRF를 Target SIL로 연결
Required RRF가 계산되면 이를 SIL 범위와 비교합니다.
| Required RRF | 검토 SIL |
|---|---|
| 약 10 ~ 100 | SIL 1 |
| 약 100 ~ 1,000 | SIL 2 |
| 약 1,000 ~ 10,000 | SIL 3 |
예를 들어 Required RRF가 500이라면 SIL 2 수준이 요구됩니다.
Required RRF가 5,000이라면 SIL 3 수준이 요구됩니다.
다만 100, 1,000, 10,000과 같은 경계값에서는 정확한 PFDavg 범위를 기준으로 판정하는 것이 중요합니다.
13. 경계값에서 주의해야 하는 이유
예를 들어 Required RRF가 정확히 100이라고 가정하겠습니다.
RRF 100은 SIL 1의 상한과 SIL 2의 경계에 해당할 수 있습니다.
따라서 단순히 숫자만 보고 SIL을 결정하기보다는 정확한 PFDavg 요구범위와 회사 기준을 함께 확인해야 합니다.
| 경계값 | 주의사항 |
|---|---|
| RRF 100 | SIL 1 / SIL 2 경계 |
| RRF 1,000 | SIL 2 / SIL 3 경계 |
| RRF 10,000 | SIL 3 / SIL 4 경계 |
실무에서는 경계값에 여유가 거의 없는 설계보다 충분한 Design Margin을 확보할 수 있는지도 검토할 필요가 있습니다.
14. Required RRF와 Target SIL은 같은 개념인가?
같은 개념은 아닙니다.
Required RRF는 필요한 위험감소량을 숫자로 표현한 값이고 Target SIL은 그 위험감소 요구를 SIL 등급으로 표현한 것입니다.
| 구분 | 의미 |
|---|---|
| Required RRF | 위험을 몇 배 더 줄여야 하는가? |
| Target SIL | 어느 수준의 안전무결성이 필요한가? |
| PFDavg | SIF가 Demand 시 실패할 평균 확률 |
| Achieved RRF | 실제 설계가 달성한 위험감소 수준 |
예를 들어 Required RRF가 500이라면 Target SIL은 SIL 2 범위가 됩니다.
하지만 실제 설계된 SIF가 RRF 500을 달성하는지는 별도로 Verification해야 합니다.
15. Target SIL이 결정되면 끝나는가?
아닙니다.
Target SIL은 말 그대로 목표 수준입니다.
예를 들어,
Target SIL = SIL 2
가 결정되었다면 그다음 실제 SIF를 설계해야 합니다.
| 구성 | 예시 |
|---|---|
| Sensor | PT-101A/B/C |
| Voting | 2oo3 |
| Logic Solver | Safety PLC |
| Final Element | SDV-101 |
| Safe State | Feed Isolation |
그리고 실제 Hardware의 Failure Rate, Proof Test Interval, Diagnostic Coverage, CCF 등을 이용하여 PFDavg를 계산합니다.
이 과정이 SIL Verification입니다.
16. Target SIL과 Achieved SIL의 차이
실무에서는 Target SIL과 Achieved SIL을 반드시 구분해야 합니다.
예를 들어 SIL Assessment 결과가 다음과 같다고 가정하겠습니다.
| Assessment 결과 | 값 |
|---|---|
| Required RRF | 500 |
| Target SIL | SIL 2 |
이후 Verification 결과가 다음과 같다고 가정하겠습니다.
| Verification 결과 | 값 |
|---|---|
| Calculated PFDavg | 0.002 |
| Achieved RRF | 500 |
| Achieved SIL | SIL 2 |
| 결과 | PASS |
이 경우 요구된 위험감소 수준과 실제 설계 성능이 일치합니다.
반대로 Achieved RRF가 80밖에 되지 않는다면 Target SIL을 만족하지 못한 것입니다.
17. 높은 SIL이 요구된다면 다른 보호수단도 검토해야 한다
Required RRF가 매우 커서 SIL 3 수준이 요구된다면 하나의 SIF에 너무 많은 위험감소를 의존하고 있는 것은 아닌지 검토할 필요가 있습니다.
다음과 같은 방법을 함께 고려할 수 있습니다.
| 개선방법 | 주요 내용 |
|---|---|
| Inherent Safety | 공정 자체의 위험 감소 |
| Inventory Reduction | 위험물질 보유량 감소 |
| Process Condition 변경 | 압력·온도 감소 |
| Mechanical Protection | PSV 등 추가 보호 |
| Independent IPL 추가 | 별도 보호계층 확보 |
| Alarm Management 개선 | 인정 가능한 Operator Response 확보 |
| Layout 개선 | 사고 영향 감소 |
즉, SIL을 무조건 높이기보다 다양한 독립보호계층을 이용하여 Risk Reduction을 분산하는 접근이 중요합니다.
18. 기존 IPL을 과대평가하면 Target SIL도 잘못된다
LOPA에서 기존 IPL을 과도하게 인정하면 잔여 위험이 실제보다 낮게 계산됩니다.
그 결과 Required RRF가 작아지고 Target SIL도 실제 필요수준보다 낮게 결정될 수 있습니다.
예를 들어 다음과 같은 Safeguard를 모두 IPL로 인정했다고 가정하겠습니다.
- Alarm
- Operator Action
- BPCS Control
- Interlock
- Relief Valve
하지만 이들이 실제로 독립성을 확보하지 못했다면 동일 사고원인에 의해 함께 실패할 가능성이 있습니다.
따라서 Target SIL 산정 전에 각 IPL이 실제로 독립보호계층 인정조건을 충족하는지 검토하는 것이 매우 중요합니다.
19. Conditional Modifier도 확인해야 한다
LOPA에서는 단순히 Initiating Event Frequency와 IPL만 계산하는 것이 아니라 Scenario에 따라 Conditional Modifier를 적용할 수 있습니다.
대표적인 항목은 다음과 같습니다.
- Probability of Ignition
- Probability of Personnel Presence
- Probability of Fatality
- Occupancy Factor
이러한 요소가 Scenario에 적절하게 적용되면 최종 위험빈도에 영향을 줄 수 있습니다.
따라서 Target SIL 산정 시 Conditional Modifier를 임의로 낮게 적용하여 위험을 과소평가하지 않도록 주의해야 합니다.
20. SIL Target Level 산정에서 확인해야 할 자료
실무에서 Target SIL을 검토하려면 다음 자료를 함께 확인하는 것이 좋습니다.
| 자료 | 주요 확인내용 |
|---|---|
| HAZOP Report | Cause, Consequence, Safeguard |
| LOPA Worksheet | Initiating Event, IPL, Modifier |
| Risk Matrix | Severity 및 Likelihood |
| Tolerable Risk Criteria | 허용 가능한 위험기준 |
| Accident Scenario | 사고결과와 영향 |
| IPL Data | PFD 및 Independence |
| SIF List | 필요한 Safety Function |
| SIL Assessment Report | Required RRF, Target SIL |
| Cause & Effect Matrix | 실제 Trip 기능 |
| SIL Verification Report | Achieved PFDavg/RRF |
이 자료들이 서로 일치해야 위험성평가에서 결정한 Target SIL이 실제 설계까지 제대로 연결됩니다.
21. HAZOP–LOPA–SIL Assessment–Verification의 연결
전체 과정을 한 번에 정리하면 다음과 같습니다.
| 단계 | 핵심 질문 | 결과 |
|---|---|---|
| ① HAZOP | 어떤 위험이 발생할 수 있는가? | Hazard Scenario |
| ② LOPA | 기존 보호계층을 고려해도 위험한가? | Residual Risk |
| ③ Risk Gap 확인 | 허용 위험수준보다 높은가? | 추가 위험감소 필요 여부 |
| ④ Required RRF | 위험을 몇 배 더 줄여야 하는가? | RRF |
| ⑤ SIL Assessment | 어느 SIL이 필요한가? | Target SIL |
| ⑥ SIF 설계 | 어떤 구조로 구현할 것인가? | Sensor–Logic–Final Element |
| ⑦ SIL Verification | 실제 설계가 요구성능을 만족하는가? | PFDavg/PFH |
| ⑧ Validation | 설치 후 실제 기능이 동작하는가? | Functional Test |
| ⑨ Proof Test | 운전 중 요구성능을 유지하는가? | Lifecycle 관리 |
이 흐름을 이해하면 Target SIL은 독립적인 숫자가 아니라 전체 위험관리 과정의 중간 결과라는 것을 알 수 있습니다.
22. 실무에서 자주 발생하는 오류
SIL Target Level을 산정할 때 다음과 같은 오류를 주의해야 합니다.
첫째, SIL을 먼저 정하고 계산을 맞추는 경우입니다.
먼저 Required RRF를 계산해야 합니다.
둘째, 모든 Safeguard를 IPL로 인정하는 경우입니다.
독립성, 기능성, 신뢰성 등을 확인해야 합니다.
셋째, Initiating Event Frequency를 근거 없이 낮게 적용하는 경우입니다.
위험을 과소평가할 수 있습니다.
넷째, Conditional Modifier를 과도하게 적용하는 경우입니다.
위험빈도가 지나치게 낮아질 수 있습니다.
다섯째, Target SIL 결정 후 Verification을 수행하지 않는 경우입니다.
Target SIL은 요구조건일 뿐 실제 성능이 아닙니다.
여섯째, Verification 결과의 Achieved RRF가 Required RRF보다 작은데도 SIL 등급만 보고 PASS라고 판단하는 경우입니다.
실제 요구된 위험감소량까지 함께 확인해야 합니다.
23. SIL Target Level 산정 예제 정리
앞의 예제를 한 번에 정리하면 다음과 같습니다.
| 항목 | 값 |
|---|---|
| Initiating Event Frequency | 1 × 10⁻¹ /year |
| IPL-1 PFD | 0.1 |
| IPL-2 PFD | 0.1 |
| 잔여 사고빈도 | 1 × 10⁻³ /year |
| Tolerable Frequency | 1 × 10⁻⁵ /year |
| Required RRF | 100 |
| Target SIL | SIL 1 상한 / SIL 2 경계 검토 |
| 이후 업무 | SIF 설계 및 Verification |
이 표에서 가장 중요한 것은 Target SIL보다 그 앞의 Required RRF 계산과정입니다.
24. 핵심 정리
SIL Target Level은 임의로 정하는 값이 아니라 허용 가능한 위험수준을 달성하기 위해 추가적으로 필요한 Risk Reduction Factor를 기준으로 결정하는 값입니다.
| 단계 | 핵심 내용 |
|---|---|
| ① Hazard Scenario 확인 | HAZOP에서 주요 위험 발굴 |
| ② Initiating Event 확인 | 사고 시작원인의 빈도 결정 |
| ③ 기존 IPL 검토 | 인정 가능한 보호계층 확인 |
| ④ Residual Risk 계산 | 기존 보호계층 적용 후 위험수준 |
| ⑤ Tolerable Risk 비교 | 허용 위험수준과 비교 |
| ⑥ Required RRF 계산 | 추가적으로 필요한 위험감소량 |
| ⑦ Target SIL 결정 | SIL 1·2·3으로 연결 |
| ⑧ SIF 설계 | Sensor–Logic Solver–Final Element 구성 |
| ⑨ SIL Verification | 실제 PFDavg/PFH 계산 |
| ⑩ 최종 확인 | Achieved Risk Reduction이 요구조건을 만족하는지 확인 |
가장 중요한 관계는 다음과 같습니다.
| 개념 | 의미 |
|---|---|
| Required RRF | 위험을 몇 배 더 줄여야 하는가? |
| Target SIL | 그 위험감소를 어느 수준의 SIF로 달성할 것인가? |
| PFDavg | SIF가 Demand 시 실패할 평균 확률 |
| Achieved RRF | 실제 SIF가 달성한 위험감소 성능 |
| SIL Verification | 실제 성능이 Target 요구사항을 만족하는지 확인 |
결국 RRF는 필요한 위험감소량을 숫자로 나타낸 것이고, Target SIL은 그 위험감소 요구를 안전무결성 등급으로 표현한 것입니다.
따라서 SIL Target Level 산정에서 가장 중요한 것은 SIL 숫자 자체가 아니라 현재 위험이 얼마인지, 기존 보호계층이 실제로 얼마나 위험을 줄이는지, 그리고 허용 가능한 위험수준까지 얼마만큼의 추가적인 Risk Reduction이 필요한지를 정확하게 평가하는 것입니다.
Analyst
댓글 0
첫 댓글을 남겨보세요.