산업 설비 기능안전 엔지니어링, 위험 식별부터 검증까지

• 목록
• 답변
• 글쓰기
• 옵션
  • 수정
  • 삭제

새 설비의 시운전 날짜는 다가오는데 안전 요구사항은 ‘비상정지 버튼 추가’ 수준에 머물러 있습니까? 센서와 안전 PLC를 고급 제품으로 구성해도 위험 시나리오, 허용 가능한 잔여 위험, 검증 기준이 연결되지 않으면 기능안전 엔지니어링은 완성되지 않습니다. 이번 인터뷰에서는 제조·물류 설비의 안전 시스템을 설계해 온 기능안전 전문가 류가온 컨설턴트에게 위험 식별부터 안전 요구사항 작성, 구현, 검증까지의 실제 흐름을 물었습니다.

인터뷰의 핵심은 안전 부품을 고르는 방법보다 판단 근거를 추적할 수 있는 구조를 만드는 데 있습니다. 자동화 설비를 신설하는 담당자뿐 아니라 기존 장비의 개조, 생산량 증대, 로봇 셀 추가를 검토하는 실무자도 바로 적용할 수 있도록 비용 변수와 문서 예시, 자주 놓치는 조건을 함께 담았습니다.

위험을 찾고 안전 기능의 경계를 정하는 과정

Q. 기능안전 프로젝트는 어디서부터 시작해야 합니까?

A. 첫 출발점은 제품 카탈로그가 아니라 설비의 ‘의도된 사용’과 ‘합리적으로 예상 가능한 오사용’을 정의하는 일입니다. 누가 어떤 운전 모드에서 접근하는지, 원료 투입과 청소는 어떻게 이루어지는지, 막힘을 제거할 때 동력이 남아 있는지를 확인해야 합니다. 자동 운전만 관찰하면 작업자가 가장 자주 위험에 노출되는 교대, 점검, 수동 복구 상황을 놓치기 쉽습니다.

예를 들어 컨베이어가 멈췄다는 사실만으로 안전하다고 판단할 수는 없습니다. 경사 구간의 적재물이 중력으로 움직이거나 공압 실린더에 저장된 에너지가 풀리고, 다른 공정의 재기동 신호가 유입될 수 있기 때문입니다. 따라서 설비 경계에는 기계 본체뿐 아니라 전원, 공압, 유압, 네트워크, 상·하류 장비와 작업자의 이동 동선까지 포함해야 합니다. 기술을 단순한 장치가 아니라 목적을 실현하는 수단과 체계로 이해하려면 기술의 기본 개념도 함께 참고할 만합니다.

인터뷰 현장에서 가장 먼저 작성하는 자료는 복잡한 보고서가 아니라 한 장짜리 범위도입니다. 설비 배치도에 위험원, 사람의 접근 방향, 에너지 공급 지점, 제어권이 바뀌는 인터페이스를 표시합니다. 독자님의 공장에서는 장비 공급사와 생산팀이 말하는 ‘설비 범위’가 정말 같습니까? 이 질문에 즉시 답하기 어렵다면 아직 안전 기능을 선정할 때가 아닙니다.

• 운전 모드: 자동, 수동, 설정, 청소, 유지보수, 고장 복구 상태를 분리합니다.
• 사람의 역할: 작업자, 보전 담당자, 협력업체, 방문자의 접근 빈도와 숙련도를 구분합니다.
• 에너지원: 전기뿐 아니라 중력, 열, 압력, 관성, 장력과 축적 에너지를 확인합니다.
• 인터페이스: 상·하류 설비, 원격 제어, 무선 단말, 생산관리 시스템이 보내는 명령을 표시합니다.
• 수명주기: 설치와 생산뿐 아니라 운송, 시운전, 변경, 해체 단계의 위험도 포함합니다.

전문가 조언: “위험성 평가 회의에서 ‘정상적으로는 그런 일이 없다’는 말이 나오면 오히려 그 상황을 기록해야 합니다. 사고는 정상 운전보다 예외 처리와 복구 과정에서 더 자주 시작됩니다.”

Q. 위험성 평가 결과를 안전 기능으로 어떻게 바꿉니까?

A. 위험원을 나열한 뒤에는 각 위험 시나리오를 ‘원인-위험 사건-피해-보호 조치’로 연결합니다. 회전체에 손이 닿을 수 있다는 설명만으로는 부족합니다. 방호문이 열린 상태에서 회전이 지속되는 조건, 노출되는 사람, 예상 피해, 기존 방호 수단과 실패 가능성을 구체적으로 적어야 안전 기능의 입력과 출력이 선명해집니다.

그다음 본질적으로 안전한 설계, 물리적 방호, 제어 시스템에 의한 보호, 정보 제공 순으로 대안을 검토합니다. 위험한 돌출부를 제거할 수 있는데도 센서부터 추가하는 접근은 유지관리 항목만 늘릴 수 있습니다. 반대로 공정상 접근이 불가피하다면 방호문 인터록, 안전 속도 감시, 양수 조작, 안전 정지처럼 상황에 맞는 엔지니어링 솔루션을 조합해야 합니다.

1. 위험한 동작 자체를 제거하거나 에너지와 속도를 낮출 수 있는지 검토합니다.
2. 고정식 또는 가동식 방호물로 접근을 물리적으로 제한합니다.
3. 접근이 필요한 작업에는 감지 장치와 안전 관련 제어 기능을 설계합니다.
4. 보호 조치가 작동한 뒤에도 남는 잔여 위험을 경고, 교육, 작업 절차에 반영합니다.
5. 각 조치의 책임자와 검증 방법, 변경 시 재평가 조건을 문서에 연결합니다.

이때 작성하는 안전 기능 문장은 시험 가능한 형태여야 합니다. “작업자를 안전하게 보호한다”보다 “자동 운전 중 방호문이 열리면 구동 토크를 차단하고, 문이 닫혀도 별도의 재시작 조작 전에는 동작하지 않는다”가 좋습니다. 입력 조건, 안전 상태, 응답 방식, 재시작 조건을 한 문장에 담으면 이후 설계 검토와 인수 시험에서 해석 충돌이 줄어듭니다.

요구사항을 회로와 제어 로직으로 구현하는 과정

Q. 안전 부품의 등급만 높이면 설계도 안전해집니까?

A. 그렇지 않습니다. 고성능 센서와 안전 PLC를 사용해도 공통 원인 고장, 잘못된 배선, 진단 범위의 공백, 부적절한 리셋 위치가 남으면 전체 기능은 기대한 수준에 도달하지 못합니다. 기능안전은 개별 부품의 인증서를 더하는 계산이 아니라 센서에서 논리부, 최종 구동 요소까지 이어지는 하나의 안전 기능을 평가하는 작업입니다.

예를 들어 광전자식 방호 장치가 사람을 감지해도 접촉기의 용착을 진단하지 못하거나, 안전 출력이 일반 PLC의 통신 상태에 과도하게 의존하면 위험한 고장이 숨어 있을 수 있습니다. 반대로 무조건 이중화하면 비용과 배선, 고장 지점이 늘어납니다. 목표 안전 수준, 요구 작동 빈도, 환경 조건, 시험 주기와 고장 시 대응 능력을 함께 보고 구조를 정해야 합니다.

안전 기능 명세서에는 최소한 작동 조건, 안전 상태, 최대 허용 응답시간, 재시작 방식, 우회 조건, 진단 반응, 예상 사용 빈도를 기록합니다. 특히 응답시간은 센서 반응만 계산해서는 안 됩니다. 논리 처리, 네트워크 지연, 출력 소자의 개방, 모터 감속, 기계 관성까지 포함한 총 정지시간을 기준으로 안전거리를 정해야 합니다.

• 인증서의 적용 범위와 사용 조건이 실제 회로 구성에 맞는지 확인합니다.
• 두 채널이 같은 전원, 케이블 경로, 커넥터에 의존하는지 살펴봅니다.
• 온도, 분진, 세척수, 전자파, 진동이 진단 기능에 미치는 영향을 반영합니다.
• 우회와 뮤팅은 허용 조건, 표시 방식, 시간 제한, 로그 기록을 함께 설계합니다.
• 소프트웨어 블록은 버전과 검토자, 시험 결과를 연결해 변경 이력을 남깁니다.

Q. 기술 컨설팅 비용과 기간은 어느 정도로 잡아야 합니까?

A. 비용은 장비 대수보다 위험 시나리오와 인터페이스의 수에 더 크게 좌우됩니다. 단일 독립 설비의 위험성 평가와 요구사항 검토는 비교적 짧지만, 여러 로봇 셀과 물류 장치가 연동되고 기존 생산을 중단하기 어려운 현장은 현장 조사, 정지시간 측정, 회로 검토, 검증 시험이 반복됩니다. 따라서 견적을 받을 때 ‘보고서 한 권’의 가격보다 산출물과 현장 참여 범위를 비교해야 합니다.

국내 중소 규모 프로젝트를 가정한 실무 예산은 범위 정의와 위험성 평가 중심의 자문이 수백만 원대에서 시작할 수 있고, 안전 요구사항 명세·회로 검토·계산·검증 시험까지 포함하면 수천만 원대로 확대될 수 있습니다. 여러 라인, 해외 인증 대응, 야간 시험, 설비 개조 공사가 포함되면 그 이상이 될 수 있습니다. 이는 고정 시세가 아니라 발주 범위를 잡기 위한 예시이며, 출장 횟수와 시험 장비, 문서 언어, 재시험 조건에 따라 달라집니다.

기간도 같은 방식으로 봐야 합니다. 소규모 장비는 자료가 준비되어 있으면 수 주 안에 핵심 검토가 가능하지만, 복합 라인은 설계 변경과 시운전 일정 때문에 수개월이 필요할 수 있습니다. 초기 견적서에는 회의 횟수, 현장 확인 일수, 검토할 도면 수, 수정 라운드, 검증 대상 기능 수를 적는 것이 좋습니다. 이 항목이 없으면 낮아 보였던 견적이 변경 비용으로 커지기 쉽습니다.

1. 착수 전: 배치도, 전기·공압 도면, 동작 설명서와 사고·고장 이력을 준비합니다.
2. 개념 설계: 위험 시나리오별 보호 원칙과 안전 기능 목록을 승인합니다.
3. 상세 설계: 회로, 부품, 로직, 응답시간과 진단 구조를 검토합니다.
4. 구현 확인: 도면과 현장 배선, 프로그램 버전이 일치하는지 확인합니다.
5. 검증 시험: 정상 조건뿐 아니라 단선, 고착, 통신 상실과 복구 동작을 시험합니다.

최근에는 음향이나 영상 데이터를 활용해 이상 상태를 감지하는 기술도 빠르게 확장되고 있습니다. 실제로 소리 기반 AI로 가축 질병 징후를 판단한 사례처럼 감지 기술의 활용 범위는 넓어졌습니다. 다만 AI가 제공하는 이상 징후와 사람의 생명을 보호하는 안전 기능은 요구되는 증거와 실패 대응 방식이 다릅니다. 예지진단 결과를 활용하더라도 최종 안전 조치의 독립성과 검증 가능성을 별도로 확보해야 합니다.

비용 절감 팁: “컨설턴트를 상세 설계가 끝난 뒤 부르면 수정 비용이 커집니다. 배치와 운전 모드가 정해지는 시점에 위험성 평가를 시작하면 방호 공간, 배선 경로, 제어 구조를 한 번에 조정할 수 있습니다.”

현장 검증을 통과하고 변화에 맞춰 증거를 갱신하는 과정

Q. 시운전 현장에서는 무엇을 어떻게 검증합니까?

A. 검증은 비상정지 버튼을 한 번 누르는 행사가 아닙니다. 안전 요구사항마다 시험 항목을 만들고, 예상 결과와 실제 결과, 측정값, 시험자, 사용 장비, 프로그램 버전을 남겨야 합니다. 문서 검토로 확인할 항목과 현장 시험이 필요한 항목을 나누면 누락을 줄일 수 있습니다.

먼저 전원이 켜졌을 때 예상하지 않은 자동 재시작이 없는지 확인합니다. 이어 각 방호문과 센서의 단선, 채널 불일치, 접촉기 용착 피드백, 네트워크 단절을 모의합니다. 정지시간은 설비가 가벼운 상태만이 아니라 가능한 한 불리한 하중과 속도 조건에서 측정해야 하며, 측정 장비의 교정 상태도 기록해야 합니다.

작업자 관점의 시험도 중요합니다. 리셋 버튼 위치에서 위험 구역 전체를 볼 수 있는지, 표시등의 의미가 교대조마다 동일하게 이해되는지, 고장 복구 절차가 생산 압박 속에서도 지켜질 수 있는지 확인하십시오. 보호 장치가 지나치게 잦은 오정지를 만들면 작업자가 센서를 가리거나 우회할 유인이 커집니다. 사용성이 나쁜 안전 설계는 현장에서 지속되기 어렵습니다.

• 문서 일치: 승인 도면, 프로그램, 부품 형식과 현장 설치 상태를 대조합니다.
• 기능 시험: 모든 안전 입력과 출력, 모드별 동작, 재시작 방지를 확인합니다.
• 고장 주입: 단선, 단락, 고착, 피드백 상실, 통신 오류에 대한 반응을 시험합니다.
• 성능 측정: 총 정지시간, 안전거리, 잔류 압력과 감속 동작을 수치로 남깁니다.
• 운영 확인: 우회 권한, 열쇠 관리, 점검 주기, 교육 기록과 예비품 정책을 검토합니다.
• 부적합 처리: 책임자, 수정 기한, 재시험 범위와 승인 조건을 지정합니다.

검증 결과는 합격과 불합격만 표시하지 말고 요구사항 식별번호와 연결해야 합니다. 위험성 평가의 시나리오, 안전 기능 명세, 회로와 로직, 시험 성적서가 같은 식별번호를 공유하면 변경 영향 분석이 쉬워집니다. 이것이 추적성이며, 사고 조사나 고객 감사 때 설계 판단의 근거를 빠르게 제시하는 수단이 됩니다.

Q. 준공 후에는 어떤 변화가 안전 근거를 흔듭니까?

A. 설비 인수 서명이 안전 활동의 종료를 의미하지는 않습니다. 생산 속도를 높이거나 제품 규격을 바꾸고, 로봇 툴과 모터를 교체하면 정지시간과 충돌 에너지가 달라질 수 있습니다. 소프트웨어 업데이트, 원격 접속 추가, 일반 PLC와 안전 PLC 사이의 통신 변경도 재평가 대상입니다. 외형이 그대로라서 안전 성능도 같을 것이라고 추정해서는 안 됩니다.

변경관리 절차에는 변경 요청자가 안전 영향 여부를 스스로 ‘해당 없음’으로 끝내지 못하도록 검토 관문을 두는 편이 좋습니다. 변경 전후의 운전 모드, 속도, 하중, 접근 방식, 안전거리, 프로그램 버전을 비교하고 영향을 받는 요구사항과 시험 항목을 선택합니다. 작은 수정이라도 기존 위험 시나리오에 연결되지 않는다면 새로운 위험성 평가 항목을 만들어야 합니다.

해외 실증이나 수출을 염두에 둔 기업은 현지 운영 환경과 요구 문서도 일찍 확인해야 합니다. 국내 디지털 기술의 글로벌 실증 성과 사례가 보여주듯 기술은 실제 환경에서 증거를 확보할 때 시장성을 얻습니다. 기능안전 역시 계산서만으로 끝나지 않으며, 설치된 환경에서의 시험과 운영 기록이 설계 주장을 뒷받침해야 합니다.

1. 안전 관련 고장과 우회 발생 횟수를 월별로 추적하고 반복 원인을 분류합니다.
2. 보호 장치의 시험 주기와 실제 고장 발견 능력이 초기 가정과 맞는지 확인합니다.
3. 부품 단종 시 단순 호환품 교체로 처리하지 말고 응답시간과 진단 기능을 재검토합니다.
4. 생산량, 하중, 레이아웃, 작업 방식이 바뀌면 정지 성능과 안전거리를 다시 측정합니다.
5. 교육 자료와 작업표준서가 최신 화면, 경보 문구, 복구 절차를 반영하는지 살펴봅니다.
6. 사고가 없어도 아차사고와 반복 오정지 데이터를 위험성 평가에 되돌려 반영합니다.

2026년 현재 검토한 규격과 법령, 부품 인증 범위, 사이버보안 요구사항이 설비의 전체 사용 기간 동안 그대로 유지된다고 장담할 수는 없습니다. AI 감지 기능의 역할, 원격 유지보수 방식, 기계와 소프트웨어의 경계도 계속 변할 수 있습니다. 그래서 최종 산출물에는 적용 기준의 판과 확인 날짜, 다음 정기 검토 시점, 재검토를 촉발하는 변경 조건을 함께 남겨야 합니다. 시간이 지나도 유효한 것은 특정 부품명이 아니라 위험과 요구사항, 구현과 시험 증거를 다시 연결할 수 있는 엔지니어링 체계입니다.