기계설비의 SIL은 설비 전체에 일괄 부여하는 점수가 아니라, 비상정지·도어 인터록·과속 방지처럼 위험을 줄이는 개별 안전기능의 신뢰성 수준입니다. 따라서 SIL 2 부품을 사용했다고 전체 설비가 자동으로 SIL 2가 되는 것은 아니며, 위험성평가와 안전기능 단위의 설계·계산·검증이 함께 필요합니다.
📌 핵심 5줄 요약
1. SIL은 안전기능이 위험한 고장을 일으키지 않고 요구 동작을 수행할 가능성을 평가하는 기준입니다.
2. IEC 61508은 기능안전의 기본 틀을 제시하고 SIL 1부터 SIL 4까지 네 단계로 구분합니다.
3. 기계 분야에서는 IEC 62061의 SIL 또는 ISO 13849-1의 PL을 적용할 수 있습니다.
4. 요구 SIL은 부품 선택보다 먼저 위험성평가와 허용 가능한 위험수준을 기준으로 정합니다.
5. 최종 판단에는 구조, 고장률, 진단범위, 공통원인고장, 시험주기와 실제 검증 결과가 모두 필요합니다.
📌 목차
01 | SIL의 기본 개념
02 | 안전기능과 일반 제어의 차이
03 | SIL 등급의 의미
04 | 요구 SIL을 정하는 순서
05 | 기계설비에서 자주 쓰는 안전기능
06 | IEC 61508의 역할
07 | IEC 62061과 기계안전
08 | ISO 13849의 PL과 비교
09 | 하드웨어 신뢰성 평가
10 | 진단범위와 공통원인고장
11 | 소프트웨어와 안전수명주기
12 | 검증과 밸리데이션
13 | 실무 적용 사례
14 | 적용 시 주의사항
01 | SIL의 기본 개념
SIL은 Safety Integrity Level의 약자로, 안전무결성수준 또는 안전보전성수준으로 번역됩니다. 핵심은 정상 운전 성능이 아니라 안전기능이 요구될 때 위험을 충분히 줄일 수 있는지 평가하는 것입니다.
예를 들어 작업자가 위험구역의 방호문을 열면 모터가 정지해야 한다고 가정할 수 있습니다. 이때 방호문 스위치, 안전제어기, 접촉기와 배선이 하나의 안전기능을 구성하며, 이 기능이 요구 시 실패할 가능성을 평가합니다.
02 | 안전기능과 일반 제어의 차이
일반 제어는 생산성·품질·편의성을 유지하는 목적이 크지만, 안전기능은 사람의 부상이나 중대한 사고를 예방하는 것이 우선입니다. 일반 PLC가 모터를 정지시킬 수 있다는 사실만으로 안전정지 기능의 신뢰성이 입증되지는 않습니다.
안전기능은 고장이 발생해도 위험 상태가 계속되지 않도록 설계해야 합니다. 이를 위해 감시, 이중화, 자기진단, 에너지 차단, 수동 재시작 방지 같은 설계 원칙을 검토합니다.
03 | SIL 등급의 의미
IEC 61508은 안전무결성수준을 SIL 1부터 SIL 4까지 네 단계로 구분하며, 숫자가 높을수록 요구되는 위험저감 능력이 커집니다. SIL 4가 가장 높은 수준이고 SIL 1이 가장 낮은 수준이지만, 모든 기계에 높은 SIL을 적용하는 것이 항상 올바른 것은 아닙니다.
중요한 점은 SIL이 부품의 우열을 단순 비교하는 등급이 아니라는 것입니다. 동일한 부품도 적용 구조, 운전 빈도, 진단 방식과 전체 안전기능 구성에 따라 달라질 수 있습니다.
04 | 요구 SIL을 정하는 순서
요구 SIL은 제품 카탈로그에서 먼저 선택하지 않습니다. 일반적으로 다음 순서로 판단합니다.
- 기계의 위험원을 식별합니다.
- 위험 상황과 예상되는 피해를 분석합니다.
- 노출 빈도, 회피 가능성, 피해 심각도를 검토합니다.
- 기존의 본질안전설계와 보호장치를 반영합니다.
- 남은 위험을 줄이기 위한 안전기능을 정의합니다.
- 각 안전기능에 필요한 SIL 또는 PL을 할당합니다.
IEC 61508-5는 위험과 안전무결성의 관계 및 SIL 결정에 활용할 수 있는 정성적·정량적 방법을 설명하지만, 실제 방법은 산업 분야와 적용 조건에 맞춰 선택해야 합니다.
05 | 기계설비에서 자주 쓰는 안전기능
대표적인 안전기능으로는 비상정지, 방호문 개방 시 정지, 라이트커튼 침입 감지, 양손 조작, 안전속도 감시, 과압·과온 차단, 재시작 방지, 동력 차단 등이 있습니다.
하나의 설비에 여러 안전기능이 존재할 수 있으며, 기능마다 위험도가 다를 수 있습니다. 따라서 설비 전체에 SIL 하나를 표시하기보다 안전기능 목록과 각 기능의 요구 수준을 별도로 관리하는 편이 정확합니다.
06 | IEC 61508의 역할
IEC 61508은 전기·전자·프로그램 가능한 전자 안전관련 시스템의 기능안전을 다루는 기본 표준입니다. 개념과 위험분석부터 시스템 설계, 소프트웨어, 설치·운전·유지보수, 변경관리와 폐기까지 안전수명주기 관점에서 접근합니다.
기계 분야에서 IEC 61508을 그대로 적용하기도 하지만, 일반적으로는 기계에 특화된 IEC 62061이나 ISO 13849를 함께 검토합니다.
07 | IEC 62061과 기계안전
IEC 62061:2021은 기계의 안전관련 제어시스템을 설계·통합·검증하기 위한 기계 분야 표준입니다. IEC 61508 체계를 기반으로 하면서 기계의 안전기능과 제어시스템 적용에 맞춘 요구사항을 제시합니다. 현재 IEC 공식 자료에는 2024년 개정사항이 반영된 통합본도 유효한 버전으로 표시되어 있습니다.
이 표준을 적용할 때는 안전기능 정의, 하위시스템 구성, 최대 SIL, 소프트웨어, 정기시험, 독립적인 검증과 밸리데이션을 함께 확인해야 합니다.
08 | ISO 13849의 PL과 비교
기계안전에서는 SIL과 함께 ISO 13849-1의 PL, Performance Level을 많이 사용합니다. PL은 안전관련 제어시스템의 성능수준을 나타내며, ISO 13849-1:2023은 전기·유압·공압·기계 등 다양한 기술의 안전관련 제어부 설계 방법론을 다룹니다.
| 구분 | 확인할 내용 |
|---|---|
| SIL | IEC 61508 계열을 기반으로 안전기능의 무결성과 위험저감 성능을 평가합니다. |
| PL | ISO 13849 계열을 기반으로 구조, 평균위험고장률, 진단범위 등을 이용해 성능수준을 평가합니다. |
| 적용 판단 | 제품·기계의 관련 표준, 기술 구성, 고객 요구사항에 따라 적용 체계를 선택합니다. |
SIL과 PL은 비슷한 목적을 가지지만 계산법과 표현 체계가 동일하지 않습니다. 둘을 단순히 숫자만 대응시켜 판단하지 말고, 적용 표준의 범위와 요구사항을 확인해야 합니다.
09 | 하드웨어 신뢰성 평가
안전기능의 신뢰성은 안전센서 하나의 고장률만으로 결정되지 않습니다. 입력부, 논리부, 출력부를 연결한 전체 경로와 각 부품의 고장 형태를 분석해야 합니다.
대표적으로 요구 시 위험고장 확률, 연속 운전에서의 위험고장 빈도, 하드웨어 고장허용능력, 안전고장비율, 진단시험 간격 등을 검토합니다. 적용 모드가 저요구·고요구·연속요구 중 무엇인지에 따라 평가 방법도 달라질 수 있습니다.
10 | 진단범위와 공통원인고장
이중화만으로 높은 안전무결성이 보장되지는 않습니다. 두 채널이 같은 전원, 같은 배선, 같은 환경 스트레스 또는 같은 소프트웨어 오류의 영향을 받으면 동시에 고장할 수 있기 때문입니다.
따라서 진단기능이 고장을 얼마나 발견하는지, 채널 간 독립성이 확보되는지, 공통원인고장을 줄이는 설계가 되어 있는지 확인해야 합니다. 배선 분리, 전원 감시, 단락 검출, 주기적 시험과 환경조건 관리가 이에 포함될 수 있습니다.
11 | 소프트웨어와 안전수명주기
안전 PLC나 안전제어 소프트웨어를 사용하더라도 프로그램 로직, 파라미터, 변경 이력, 접근권한과 검증 절차가 관리되어야 합니다. IEC 62061:2021은 소프트웨어 검증의 독립성과 파라미터 설정, 구성관리 등에 관한 요구사항을 강화했습니다.
설비를 수정하거나 센서·접촉기·펌웨어를 교체할 때는 기존 평가를 그대로 유지할 수 있는지 재검토해야 합니다. 작은 변경이라도 안전기능의 응답시간과 진단 동작에 영향을 줄 수 있습니다.
12 | 검증과 밸리데이션
설계 계산이 끝나면 실제 안전기능이 요구사항대로 동작하는지 확인해야 합니다. 검증은 설계와 계산이 기준에 맞는지 확인하는 과정이고, 밸리데이션은 완성된 안전기능이 실제 사용조건에서 의도한 위험저감 기능을 수행하는지 확인하는 과정으로 이해할 수 있습니다.
시험 항목에는 센서 단선·단락, 전원 이상, 제어기 오류, 접촉기 용착, 방호장치 개방, 비상정지, 재시작 방지, 복구 절차와 응답시간 등이 포함될 수 있습니다. 시험 결과는 날짜, 대상, 조건, 판정과 조치사항을 포함해 기록해야 합니다.
13 | 실무 적용 사례
예를 들어 자동화 프레스의 방호문이 열리면 위험한 슬라이드가 정지해야 한다고 가정할 수 있습니다. 이때 방호문 스위치만 설치하는 것이 아니라, 스위치의 신호를 안전제어기가 감시하고, 출력 측에서는 구동 에너지가 실제로 차단되었는지 확인하는 구조를 검토합니다.
이후 위험성평가로 요구 SIL 또는 PL을 정하고, 센서와 출력장치의 제조사 데이터, 배선 구조, 진단범위, 시험주기와 고장 조건을 반영해 달성 수준을 계산합니다. 마지막으로 실제 방호문 개방, 센서 고장, 접촉기 용착과 복구 동작을 시험해 문서화합니다.
14 | 적용 시 주의사항
SIL 인증 제품을 설치했다는 사실만으로 전체 안전기능이 인증되는 것은 아닙니다. 제품 인증은 특정 제품 또는 하위시스템의 조건을 전제로 하며, 최종 설비의 배선·프로그램·환경·정비 방식까지 자동으로 보증하지 않습니다.
또한 SIL은 일반적인 설비 품질등급이나 생산성 지표가 아닙니다. 위험성평가 없이 높은 등급을 선택하면 비용과 복잡성만 커질 수 있고, 반대로 필요한 수준보다 낮게 설계하면 위험저감 목표를 달성하지 못할 수 있습니다.
기계 안전 설계에서는 IEC 62061과 ISO 13849-1 중 어느 기준을 적용할지 먼저 정하고, 해당 기준의 최신 유효판과 기계별 제품표준을 확인해야 합니다. ISO 13849-1:2023도 특정 기계에 필요한 안전기능이나 요구 PL을 대신 결정해 주지는 않으므로, 위험성평가가 선행되어야 합니다.
☑ 체크리스트
- 안전기능을 설비 전체가 아닌 기능 단위로 정의했는가?
- 위험성평가를 통해 요구 SIL 또는 PL을 정했는가?
- 센서·안전제어기·출력장치의 전체 경로를 평가했는가?
- 진단범위와 공통원인고장 대책을 확인했는가?
- 소프트웨어, 파라미터, 배선 변경을 관리할 절차가 있는가?
- 고장 조건과 복구·재시작 방지 동작을 실제로 시험했는가?
- 계산서, 회로도, 시험기록과 밸리데이션 결과를 보관했는가?
📖 자주하는 질문 Q&A
SIL이 높을수록 무조건 더 안전한가요?
높은 SIL은 더 큰 위험저감 성능을 요구하지만, 위험성평가와 설계가 적절하지 않으면 등급만 높아도 안전이 보장되지 않습니다. 요구 수준에 맞는 구조·진단·시험·운영관리가 함께 필요합니다.
SIL과 PL은 같은 기준인가요?
목적은 유사하지만 표준 체계와 계산 방식이 다릅니다. 기계의 적용 표준과 제어기술에 따라 IEC 62061의 SIL 또는 ISO 13849의 PL을 선택하고, 서로를 단순 숫자처럼 환산하지 않는 것이 안전합니다.
안전 릴레이를 사용하면 SIL이 자동으로 결정되나요?
아닙니다. 안전 릴레이는 안전기능을 구성하는 한 요소일 뿐입니다. 입력장치, 배선, 출력장치, 전원, 시험주기와 사용조건을 포함한 전체 안전기능을 평가해야 합니다.
설비를 개조하면 SIL 평가를 다시 해야 하나요?
안전기능에 영향을 줄 수 있는 센서, 제어기, 소프트웨어, 구동부, 배선 또는 시험주기를 변경했다면 기존 평가의 유효성을 재검토해야 합니다. 영향이 확인되면 관련 계산과 밸리데이션을 갱신해야 합니다.
📝 마무리
기계설비의 SIL은 안전기능이 요구될 때 위험을 충분히 줄일 수 있는지를 평가하는 기준입니다. 요구 SIL은 위험성평가로 정하고, 실제 달성 여부는 안전기능 전체의 구조·진단·고장률·시험과 검증 결과를 종합해 판단해야 합니다.