SIS Final Element의 Common Cause Failure 검토 방법
SIS(Safety Instrumented System)에서 SIL Verification을 수행할 때 Final Element의 Common Cause Failure, 즉 CCF(공통원인고장)는 반드시 검토해야 하는 중요한 항목입니다.
특히 Shutdown Valve를 2개 이상 구성하거나, Solenoid Valve와 Actuator를 이중화한 경우에는 단순히 장치를 여러 개 설치했다고 해서 신뢰성이 자동으로 높아지는 것은 아닙니다.
왜냐하면 서로 독립적으로 동작해야 하는 장치들이 하나의 공통된 원인으로 동시에 기능을 잃을 가능성이 있기 때문입니다.
쉽게 말하면 다음과 같습니다.
“설비를 2개 설치했지만 하나의 원인이 두 설비를 동시에 고장 나게 한다면, 실제 이중화 효과는 크게 줄어든다.”
이러한 고장을 Common Cause Failure라고 합니다.
1. Common Cause Failure란?
Common Cause Failure는 두 개 이상의 장치가 동일하거나 공통된 원인에 의해 동시에 또는 거의 동시에 고장나는 현상을 의미합니다.
예를 들어 원료 공급을 차단하기 위해 Shutdown Valve 두 개를 직렬로 설치했다고 가정하겠습니다.
정상적으로 기대하는 기능은 다음과 같습니다.
| 상태 | SDV-A | SDV-B | 원료 차단 가능 여부 |
|---|---|---|---|
| 정상 | 정상 | 정상 | 가능 |
| 단일 고장 | 고장 | 정상 | 가능 |
| 단일 고장 | 정상 | 고장 | 가능 |
| 동시 고장 | 고장 | 고장 | 불가능 |
두 Valve가 서로 독립적으로 고장한다면 하나가 고장 나더라도 다른 하나가 정상적으로 작동하여 안전기능을 수행할 수 있습니다.
하지만 두 Valve가 동일한 Instrument Air를 사용하고 있고 공통 Air Header가 상실되어 두 Valve가 동시에 원하는 위치로 이동하지 못한다면 문제가 됩니다.
이 경우 두 개의 Valve가 설치되어 있더라도 하나의 공통원인에 의해 동시에 안전기능을 잃을 수 있습니다.
2. Final Element에서 CCF가 중요한 이유
Final Element는 Logic Solver의 명령을 받아 실제 공정을 Safe State로 전환하는 역할을 합니다.
대표적인 Pneumatic Shutdown Valve 계통을 보면 다음과 같은 구성요소가 포함될 수 있습니다.
| 구성요소 | 주요 역할 | 대표적인 고장 |
|---|---|---|
| Output Module | Trip 신호 출력 | Output Failure |
| Solenoid Valve | Instrument Air 전환 | Solenoid Sticking |
| Actuator | Valve 구동 | Actuator Failure |
| Instrument Air | 구동에너지 공급 | Air Failure |
| Shutdown Valve | 실제 유체 차단 | Valve Sticking |
따라서 CCF를 검토할 때는 단순히 Valve Body 두 개가 독립적인지만 확인해서는 부족합니다.
두 Final Element가 공유하고 있는 Power, Air, Wiring, Output, 환경, 정비절차까지 함께 확인해야 합니다.
3. Redundancy와 Independence는 서로 다른 개념
SIS 설계에서는 Redundancy, 즉 이중화를 많이 사용합니다.
예를 들어 두 개의 Shutdown Valve를 다음과 같이 구성할 수 있습니다.
SDV-101A + SDV-101B
둘 중 하나만 닫혀도 원료 공급이 차단되는 구조라면 기능적으로 높은 신뢰성을 기대할 수 있습니다.
하지만 중요한 것은 Redundancy 자체가 아니라 Independence를 얼마나 확보했는가입니다.
| 구분 | 의미 |
|---|---|
| Redundancy | 동일한 안전기능을 수행하는 장치를 여러 개 구성 |
| Independence | 한 장치의 고장이나 원인이 다른 장치에 영향을 주지 않도록 구성 |
| CCF | 공통된 원인으로 여러 장치가 동시에 실패 |
즉,
Redundancy가 있어도 Independence가 부족하면 CCF에 취약할 수 있습니다.
4. Final Element CCF 검토의 기본 질문
Final Element의 CCF를 검토할 때 가장 먼저 해야 하는 질문은 다음과 같습니다.
“두 Final Element가 정말 서로 독립적으로 고장하는 구조인가?”
이 질문을 세부적으로 나누면 다음과 같습니다.
| 검토분야 | 확인해야 할 질문 |
|---|---|
| Utility | 동일한 Instrument Air 또는 Hydraulic Supply를 사용하는가? |
| Power | 동일한 전원, Fuse, MCC를 사용하는가? |
| Output | 동일한 Output Module 또는 Channel을 사용하는가? |
| Wiring | 동일 Cable, Junction Box, Cable Tray를 사용하는가? |
| Equipment | 동일 제조사·모델·설계인가? |
| Environment | 동일 화재, 침수, 진동, 온도에 노출되는가? |
| Maintenance | 동일 정비 오류가 여러 장치에 영향을 줄 수 있는가? |
| Proof Test | 동일 시험절차 오류가 동시에 발생할 가능성이 있는가? |
이 항목을 하나씩 확인하면 CCF 발생 가능성을 보다 체계적으로 검토할 수 있습니다.
5. Common Instrument Air 검토
Final Element에서 자주 확인해야 하는 항목 중 하나가 Instrument Air입니다.
예를 들어 두 Shutdown Valve가 모두 동일한 Instrument Air Header에서 Air를 공급받고 있다고 가정하겠습니다.
이때 단순히
“Air가 공통이므로 CCF다.”
라고 바로 판단해서는 안 됩니다.
더 중요한 것은 Air가 상실되었을 때 두 Valve가 어떤 상태로 이동하는가입니다.
| Air Failure 시 상태 | CCF 관점의 영향 |
|---|---|
| 두 Valve 모두 Fail Close | Safe State로 이동 가능 |
| 두 Valve 모두 Fail Open | 차단기능 상실 가능 |
| Actuator가 Last Position 유지 | 위험상태에 따라 추가 검토 필요 |
| 한 Valve Close, 한 Valve Failure | 부분적인 안전기능 확보 가능 |
즉, 공통 Utility가 존재하는지뿐만 아니라 공통 Utility가 상실되었을 때 SIF가 원하는 Safe State를 확보할 수 있는지를 확인해야 합니다.
6. Common Power Supply 검토
Final Element가 전기식 Actuator나 Solenoid Valve를 사용하는 경우 공통 전원도 CCF의 원인이 될 수 있습니다.
예를 들어 SDV-A와 SDV-B의 Solenoid Valve가 동일한 Power Supply에서 전원을 공급받는다고 가정하겠습니다.
공통 Power Supply가 고장 나면 두 Solenoid Valve에 동시에 영향을 줄 수 있습니다.
하지만 여기에서도 Fail-Safe 설계 여부가 중요합니다.
예를 들어 Solenoid Valve가 De-energize to Trip 구조라면 전원 상실 시 Valve가 Safe Position으로 이동하도록 설계할 수 있습니다.
따라서 다음 항목을 확인해야 합니다.
| 확인항목 | 검토내용 |
|---|---|
| 전원 Source | 공통 전원을 사용하는가? |
| Fuse | 동일 Fuse 또는 Circuit을 사용하는가? |
| 전원 상실 시 상태 | Safe State로 이동하는가? |
| UPS | 공통 UPS 고장이 영향을 주는가? |
| Wiring | 동일 Cable Route를 사용하는가? |
7. Logic Solver Output의 공통원인
두 개의 Shutdown Valve가 각각 독립되어 있더라도 Logic Solver의 출력구조가 공통이면 문제가 될 수 있습니다.
예를 들어 두 Valve가 하나의 Output Module에 연결되어 있다고 가정하겠습니다.
| 구성 | CCF 가능성 |
|---|---|
| 동일 Output Module | Module Failure로 두 Valve 동시 영향 가능 |
| 동일 Output Channel | 단일 Channel Failure 영향 가능 |
| 독립 Output Module | 공통고장 가능성 감소 |
| 독립 I/O + 독립 Wiring | Independence 향상 |
따라서 Final Element CCF를 검토할 때는 Valve부터 시작하는 것이 아니라 Logic Solver Output부터 Final Element까지 전체 Signal Path를 확인하는 것이 중요합니다.
8. Cable과 Junction Box도 확인해야 한다
두 Final Element가 서로 다른 Valve라고 하더라도 Wiring이 공통이면 하나의 사고가 두 장치에 동시에 영향을 줄 수 있습니다.
예를 들어 다음과 같은 구조를 생각해 볼 수 있습니다.
- 동일 Junction Box 사용
- 동일 Cable Tray 사용
- 동일 Cable Route 사용
- 동일 Fire Zone 통과
이 경우 화재나 Cable Damage가 발생하면 두 Final Element의 제어신호가 동시에 상실될 수 있습니다.
| 검토항목 | CCF 가능 사례 |
|---|---|
| Cable | 동일 Multicore Cable 사용 |
| Junction Box | 동일 JB Failure |
| Cable Tray | 동일 Tray Fire |
| Cable Route | 동일 구간에서 물리적 손상 |
| Penetration | 동일 Wall Penetration 영향 |
따라서 고신뢰성 SIF에서는 가능한 범위 내에서 Wiring과 Cable Route의 물리적 분리도 검토할 필요가 있습니다.
9. 동일 제조사와 동일 모델은 무조건 CCF인가?
두 Shutdown Valve가 동일 제조사, 동일 모델이라고 해서 무조건 Common Cause Failure라고 판단하는 것은 적절하지 않습니다.
하지만 동일한 설계결함이나 제조결함이 존재한다면 여러 장치가 동일한 방식으로 실패할 가능성이 있습니다.
따라서 다음과 같이 이해하는 것이 좋습니다.
| 조건 | 판단 |
|---|---|
| 동일 제조사 | CCF 가능성을 검토할 요소 |
| 동일 모델 | 동일 설계결함 가능성 검토 |
| 동일 Production Batch | 제조결함의 공통 영향 가능 |
| 서로 다른 제조사 | CCF 완전 제거를 의미하지 않음 |
| 서로 다른 기술방식 | Diversity 향상 가능 |
중요한 질문은 항상 동일합니다.
“하나의 원인이 두 장치에 동시에 영향을 줄 수 있는가?”
10. Diversity를 이용한 CCF 감소
CCF를 줄이기 위한 방법 중 하나가 Diversity입니다.
Diversity는 동일 기능을 수행하더라도 서로 다른 설계나 기술을 사용하는 방법입니다.
예를 들어 다음과 같이 구성할 수 있습니다.
| 동일 구성 | Diversity 적용 예시 |
|---|---|
| 동일 Valve 제조사 | 서로 다른 제조사 |
| 동일 Actuator Type | 서로 다른 구동방식 |
| 동일 Sensor Type | 서로 다른 측정기술 |
| 동일 Power Source | 독립 Power Source |
하지만 Diversity를 적용했다고 해서 CCF가 완전히 제거되는 것은 아닙니다.
예를 들어 서로 다른 제조사의 Shutdown Valve를 사용했더라도 두 Valve가 동일 Instrument Air Header를 사용한다면 공통 Air Failure의 영향은 여전히 존재합니다.
따라서 Diversity는 CCF 감소수단 중 하나이지 CCF를 완전히 제거하는 방법은 아닙니다.
11. Physical Separation도 확인해야 한다
두 Final Element가 물리적으로 가까운 위치에 설치되어 있다면 동일한 외부사건에 동시에 영향을 받을 수 있습니다.
대표적인 공통 환경요인은 다음과 같습니다.
- Fire
- Explosion
- Flooding
- High Temperature
- Vibration
- Corrosive Environment
- Mechanical Impact
예를 들어 두 Shutdown Valve가 동일한 Fire Zone에 설치되어 있다면 하나의 화재가 두 Valve와 Actuator, Cable을 동시에 손상시킬 수 있습니다.
| 검토항목 | 확인내용 |
|---|---|
| 설치거리 | 두 장치가 지나치게 근접해 있는가? |
| Fire Zone | 동일 화재에 동시에 노출되는가? |
| Flood Zone | 동일 침수영향을 받는가? |
| Cable Route | 동일 환경사건의 영향을 받는가? |
| Heat Exposure | 동일 고온 또는 복사열에 노출되는가? |
공정 특성상 Final Element를 멀리 분리하기 어려운 경우도 있으므로 물리적 분리와 함께 Utility 및 Signal Independence를 종합적으로 검토해야 합니다.
12. Maintenance Error도 Common Cause Failure가 될 수 있다
CCF는 하드웨어 문제만으로 발생하는 것은 아닙니다.
정비나 시험 과정에서 동일한 Human Error가 여러 장치에 동시에 영향을 줄 수도 있습니다.
예를 들어 두 Shutdown Valve를 같은 시기에 같은 정비팀이 Overhaul했다고 가정하겠습니다.
두 Valve에 동일한 부품을 잘못 조립하거나 동일한 Setting 오류를 적용하면 두 Valve가 동시에 같은 방식으로 실패할 수 있습니다.
대표적인 사례는 다음과 같습니다.
| Maintenance CCF 사례 | 결과 |
|---|---|
| 동일 부품 오조립 | 두 Valve 동시 기능저하 |
| 동일 Calibration 오류 | 두 장치에 동일 Setting 오류 |
| 동일 Lubricant 오사용 | 여러 Valve Sticking 가능 |
| Proof Test 후 Bypass 미복구 | 여러 SIF 기능 동시 상실 |
| 동일 절차서 오류 | 반복적인 공통 오류 발생 |
따라서 CCF 검토에서는 설비뿐만 아니라 Maintenance Procedure와 Human Factor까지 함께 확인해야 합니다.
13. Proof Test 과정의 공통오류
Proof Test 역시 CCF를 발생시킬 수 있는 관리요소입니다.
예를 들어 이중화된 두 Final Element를 동시에 시험하면서 두 장치 모두 Bypass했다고 가정하겠습니다.
시험 중 실제 Demand가 발생하면 SIF가 위험감소 기능을 수행하지 못할 수 있습니다.
또한 시험이 끝난 후 두 Bypass가 모두 해제되지 않는 공통오류도 생각할 수 있습니다.
| Proof Test 확인항목 | 주요 검토사항 |
|---|---|
| 동시 Test | 두 Channel을 동시에 비활성화하는가? |
| Bypass | 공통 Bypass 기능을 사용하는가? |
| Restoration | 시험 후 복구 확인절차가 있는가? |
| Independent Check | 제3자 또는 별도 확인이 있는가? |
| Test Procedure | 동일 오류가 반복될 가능성이 있는가? |
따라서 이중화 시스템에서는 시험과 정비 과정에서도 Independence를 유지하는 것이 중요합니다.
14. Beta Factor란?
CCF를 SIL Verification에 정량적으로 반영할 때 많이 사용하는 개념 중 하나가 Beta Factor(β Factor)입니다.
Beta Factor는 전체 위험고장 중에서 공통원인에 의해 발생하는 위험고장의 비율을 나타내는 개념입니다.
예를 들어 전체 위험고장률이 1 × 10⁻⁶ /h이고 Beta Factor를 5%라고 가정하겠습니다.
| 항목 | 값 |
|---|---|
| 전체 위험고장률 | 1 × 10⁻⁶ /h |
| Beta Factor | 0.05 |
| 공통원인고장 부분 | 5 × 10⁻⁸ /h |
즉, 전체 고장 중 일부를 공통원인고장으로 별도로 반영하여 이중화의 효과가 과도하게 평가되지 않도록 합니다.
15. Beta Factor가 중요한 이유
두 Final Element가 완전히 독립적으로 고장한다고 가정하면 이중화 구조의 PFDavg는 매우 낮게 계산될 수 있습니다.
하지만 실제 현장에서는 완전한 독립성을 확보하기 어렵습니다.
예를 들어 두 Valve의 개별 고장확률은 매우 낮더라도 공통 Instrument Air Failure 하나가 두 Valve를 동시에 무력화할 수 있습니다.
따라서 CCF를 무시하면 다음과 같은 문제가 발생할 수 있습니다.
| CCF 미반영 시 | CCF 반영 시 |
|---|---|
| 이중화 효과가 과대평가될 수 있음 | 실제 독립성 수준 반영 |
| PFDavg가 지나치게 낮아질 수 있음 | 현실적인 PFDavg 산정 |
| Achieved SIL 과대평가 가능 | Target SIL 충족 여부 현실적 검토 |
| 설계상 취약점이 숨겨질 수 있음 | 개선 필요사항 확인 가능 |
따라서 SIL Verification에서 Redundant Architecture를 계산할 때 CCF 반영 여부를 반드시 확인해야 합니다.
16. Beta Factor를 모든 SIF에 동일하게 적용해도 되는가?
실무에서 편의상 일정한 Beta Factor를 사용하는 경우가 있지만, 모든 SIF에 무조건 동일한 값을 적용하는 방식은 주의가 필요합니다.
CCF 가능성은 실제 설계와 관리상태에 따라 달라질 수 있기 때문입니다.
예를 들어 다음 두 시스템을 비교해 보겠습니다.
| 검토항목 | System A | System B |
|---|---|---|
| Instrument Air | 공통 | 분리 또는 독립성 강화 |
| Output Module | 공통 | 독립 |
| Junction Box | 공통 | 분리 |
| Cable Route | 동일 | 분리 |
| 설치위치 | 근접 | 물리적 분리 |
| Maintenance | 동시에 수행 | 독립적 관리 |
| CCF 가능성 | 상대적으로 높음 | 상대적으로 낮음 |
따라서 Beta Factor를 선정할 때는 적용 근거를 명확하게 문서화하는 것이 중요합니다.
17. Final Element CCF 검토 시 필요한 자료
Final Element의 CCF를 제대로 검토하려면 P&ID 하나만 봐서는 부족합니다.
여러 자료를 함께 확인해야 합니다.
| 자료 | 주요 확인내용 |
|---|---|
| P&ID | Valve 구성, Fail Position |
| Cause & Effect Matrix | Trip Logic, Final Action |
| SIF Specification | Target SIL, Safe State |
| Valve Datasheet | Valve 및 Actuator 구조 |
| Solenoid Datasheet | SOV 구조 및 전원 |
| Instrument Air Diagram | 공통 Air Supply 여부 |
| Electrical Diagram | Power Source 및 Fuse |
| Wiring Diagram | Output 및 Cable 구조 |
| Junction Box Drawing | 공통 JB 여부 |
| Cable Routing | 공통 Cable Tray 여부 |
| SIL Verification Report | Beta Factor, PFDavg 반영 |
| Proof Test Procedure | 시험방법, Bypass 관리 |
| Maintenance Procedure | 정비 독립성 및 Human Error 관리 |
즉, CCF 검토는 계장·전기·기계·운전·정비 자료를 종합적으로 확인하는 작업이라고 볼 수 있습니다.
18. Final Element CCF 검토 절차
실무에서는 다음과 같은 순서로 접근하면 CCF를 체계적으로 검토할 수 있습니다.
| 검토단계 | 주요 내용 | 확인사항 |
|---|---|---|
| ① SIF 확인 | 어떤 안전기능인지 확인 | Hazard, Target SIL |
| ② Final Element 구조 확인 | 1oo1, 1oo2 등 | Valve 및 Actuator 구성 |
| ③ Utility 확인 | 공통 Utility 여부 | Air, Hydraulic, Power |
| ④ Signal Path 확인 | 공통 Output 여부 | I/O, Cable, JB |
| ⑤ Physical Separation | 공통 환경사건 확인 | Fire, Flood, Heat |
| ⑥ Equipment Diversity | 동일 설계 취약성 확인 | Manufacturer, Model |
| ⑦ Maintenance 검토 | Human Error 가능성 | Test, Repair, Bypass |
| ⑧ CCF Parameter 결정 | β Factor 등 선정 | 적용근거 문서화 |
| ⑨ PFDavg 재계산 | CCF 포함 Verification | Achieved SIL 확인 |
| ⑩ 개선 필요성 판단 | Target SIL 충족 여부 | 설계·시험·관리 개선 |
이 순서로 검토하면 단순히 “Valve가 2개 있으므로 안전하다”는 판단을 피할 수 있습니다.
19. 실무 예제로 이해하기
다음과 같은 SIF가 있다고 가정하겠습니다.
| 항목 | 내용 |
|---|---|
| SIF No. | SIF-001 |
| Hazard | Reactor Overpressure |
| Safety Action | Feed Isolation |
| Target SIL | SIL 2 |
| Final Element | SDV-101A + SDV-101B |
| Architecture | 1oo2 |
두 Valve 중 하나만 닫혀도 원료공급이 차단되므로 처음에는 높은 신뢰성을 가진 구조처럼 보입니다.
하지만 실제 설계를 확인한 결과 다음과 같다고 가정하겠습니다.
- 동일 Instrument Air Header
- 동일 Safety PLC Output Module
- 동일 Junction Box
- 동일 Cable Tray
- 동일 Valve Manufacturer
이 경우 단순히 1oo2라는 Architecture만 보고 높은 위험감소 성능을 인정해서는 안 됩니다.
다음과 같은 질문을 해야 합니다.
| 검토질문 | 판단 목적 |
|---|---|
| Air Failure 시 두 Valve는 Fail Close 하는가? | 공통 Utility Failure 영향 확인 |
| Output Module 고장 시 두 Valve가 동시에 영향받는가? | Logic Output CCF 확인 |
| JB 화재 시 두 Signal이 모두 상실되는가? | Wiring CCF 확인 |
| 동일 Valve Model에 공통 설계결함은 없는가? | Equipment CCF 확인 |
| 두 Valve를 동시에 정비하는가? | Maintenance CCF 확인 |
이러한 검토결과를 바탕으로 CCF Parameter를 적용하고 SIL Verification을 다시 수행해야 합니다.
20. CCF를 줄이는 대표적인 방법
CCF를 감소시키기 위해서는 설계뿐만 아니라 운전 및 유지관리까지 함께 개선해야 합니다.
| 개선분야 | 대표적인 개선방법 |
|---|---|
| Utility | 가능한 범위에서 Utility Independence 확보 |
| Power | 독립 Power 또는 Fail-Safe 구조 적용 |
| Logic Output | 독립 Output Channel/Module 사용 |
| Wiring | Cable 및 Junction Box 분리 |
| Cable Route | 물리적으로 분리된 Route 적용 |
| Physical Separation | Fire, Flood 등 공통 영향 최소화 |
| Diversity | 제조사, 모델, 기술방식 다양화 검토 |
| Proof Test | Channel별 독립시험 및 복구확인 |
| Maintenance | 동시 Human Error 방지 |
| Bypass | 승인, 기록, 해제확인 강화 |
중요한 것은 하나의 대책만으로 CCF가 완전히 사라진다고 생각하지 않는 것입니다.
여러 독립성 확보 방법을 함께 적용해야 실제 CCF 가능성을 낮출 수 있습니다.
21. PSM과 LOPA 관점에서 CCF가 중요한 이유
LOPA에서 SIF를 IPL(Independent Protection Layer)로 인정하면 해당 SIF가 일정 수준의 Risk Reduction을 제공한다고 가정합니다.
예를 들어 LOPA 결과 SIF에 RRF 500이 필요하여 Target SIL 2가 결정되었다고 가정하겠습니다.
하지만 실제 설계에서 Final Element CCF를 제대로 반영하지 않았다면 SIL Verification 결과가 과도하게 좋게 계산될 수 있습니다.
| 단계 | 주요 내용 |
|---|---|
| ① HAZOP | 위험 시나리오 도출 |
| ② LOPA | 기존 IPL을 고려한 위험수준 평가 |
| ③ Required RRF | 추가 위험감소량 결정 |
| ④ SIL Assessment | Target SIL 결정 |
| ⑤ SIF 설계 | Sensor–Logic Solver–Final Element 구성 |
| ⑥ CCF 검토 | Redundancy의 실제 독립성 확인 |
| ⑦ SIL Verification | CCF 포함 PFDavg 계산 |
| ⑧ 최종 확인 | Target SIL 충족 여부 판단 |
따라서 CCF는 단순한 Reliability Calculation 문제가 아니라 LOPA에서 기대한 위험감소가 실제 설계에서도 확보되는지를 확인하는 과정입니다.
22. CCF 검토에서 자주 발생하는 오류
실무에서는 다음과 같은 오류를 주의해야 합니다.
첫째, Valve가 2개이므로 자동으로 독립적이라고 판단하는 경우입니다.
Valve 자체는 2개라도 Air, Power, Output, Wiring이 공통이면 CCF 가능성이 존재합니다.
둘째, Beta Factor를 계산 프로그램의 Default 값 그대로 사용하는 경우입니다.
적용된 값이 실제 설계의 독립성 수준을 반영하는지 확인해야 합니다.
셋째, Valve Body만 검토하는 경우입니다.
Final Element에는 Solenoid Valve, Actuator, Utility 등도 포함될 수 있습니다.
넷째, Hardware만 보고 Human Error를 무시하는 경우입니다.
정비, Proof Test, Bypass 과정도 공통원인이 될 수 있습니다.
다섯째, Diversity를 적용했으므로 CCF가 없다고 판단하는 경우입니다.
다른 제조사의 Valve라도 공통 Utility나 환경에 노출되면 CCF는 여전히 발생할 수 있습니다.
23. 핵심 정리
SIS Final Element의 Common Cause Failure를 검토할 때 가장 중요한 질문은 다음과 같습니다.
“서로 독립적으로 작동해야 하는 Final Element들이 하나의 원인 때문에 동시에 기능을 잃을 수 있는가?”
이를 판단하기 위해 다음 항목을 체계적으로 확인해야 합니다.
| CCF 검토분야 | 주요 확인사항 |
|---|---|
| ① Architecture | Final Element가 어떻게 이중화되어 있는가? |
| ② Instrument Air | 공통 Air Failure의 영향은 무엇인가? |
| ③ Power Supply | 공통 전원고장이 두 Channel에 영향을 주는가? |
| ④ Logic Output | 공통 I/O Module 또는 Channel이 있는가? |
| ⑤ Wiring / JB | Cable, Junction Box가 공통인가? |
| ⑥ Physical Environment | Fire, Flood, Heat 등의 공통 영향을 받는가? |
| ⑦ Equipment | 동일 설계·제조결함 가능성이 있는가? |
| ⑧ Maintenance | 동일 Human Error가 동시에 영향을 줄 수 있는가? |
| ⑨ Proof Test / Bypass | 시험과 복구과정의 공통오류 가능성이 있는가? |
| ⑩ Beta Factor | CCF가 SIL 계산에 적절히 반영되었는가? |
| ⑪ SIL Verification | CCF 반영 후에도 Target SIL을 만족하는가? |
결국 Final Element의 이중화에서 중요한 것은 장치가 몇 개 설치되어 있는가가 아니라, 그 장치들이 얼마나 실제로 독립적으로 기능할 수 있는가입니다.
따라서 다음과 같이 이해하면 좋습니다.
| 개념 | 의미 |
|---|---|
| Redundancy | 장치를 여러 개 구성하여 단일 고장에 대비 |
| Independence | 한 장치의 고장이 다른 장치에 영향을 주지 않도록 구성 |
| CCF | 공통원인으로 여러 장치가 동시에 실패 |
| Beta Factor | CCF의 영향을 정량적으로 반영 |
| SIL Verification | CCF를 포함한 실제 위험감소 성능 확인 |
결국 Redundancy만으로는 충분하지 않습니다.
Final Element의 Utility, Power, Output, Wiring, Environment, Maintenance까지 함께 검토하여 CCF를 현실적으로 반영하고, 그 결과가 Target SIL을 만족하는지 확인하는 것이 핵심입니다.
Analyst
댓글 0
첫 댓글을 남겨보세요.