제 2 장  리스크 분석 및 평가기법

리스크 분석 및 평가 (Risk Assessment)는 제품안전 (Product Safety) 업무 중 핵심부분이며, 그 목적은 제품의 전 수명 주기를 통해서 위험상태를 적시에 파악하고, 그 위험성이 정해진 수준 이하에 있는가의 여부를 확인하여, 필요한 대책을 마련하기 위한 것이다. 이 때 리스크란 사고로 인한 경제적 손실의 추정액이라고 할 수 있으므로, 사고의 발생빈도와 피해정도를 종합적으로 고려하여야 함은 물론이다.

) 의미는 약간 다르지만 통상 리스크 분석 및 평가 (risk assessment) 는 간단히 리스크 분석 (risk analysis) 이라고 통칭하기도 한다.

그러나, 재해사고의 특성상 재해사고로 인한 피해정도는 확률적인 요인 또는 우연적인 요인 (random factors) 이 관련된 경우가 많으므로, 현실적인 의미에서 리스크 분석 및 평가는 경제적인 손실액을 제외하고, 일단 물리적인 사고발생의 위험성을 대상으로 하는 분석의 형태로 이루어진다.

따라서, 공학적이거나 기술적인 측면에서는 리스크 분석 및 평가를 간단히 위험성 분석 및 평가 (Hazard Assessment), 또는 의미는 약간 다르지만 통상 위험성 분석 (Hazard Analysis) 이라고 하며, 이 때문에 앞으로 살펴 볼 여러 가지 분석기법들도 대부분의 경우 단순히 위험성 분석이라고 부르는 경우가 많다.

2-1. 위험성 분석 및 평가기법의 선정

(1) 분석기법의 선정요령

일단 위험성 분석을 수행하기로 결정되고 분석목적과 범위가 결정되면, 적절한 분석 및 평가기법을 선택하는 것은 매우 중요한 일이다. 물론 분석 및 평가기법은 해당제품의 특성, 생산공정, 분석 목적 등 표 2-1 에서 보는 바와 같이 여러 가지 요인들에 근거하여 분석기법이 선정되어야 한다.

표 2-  위험성 분석기법의 선정요인

- 제품의 개발단계

- 분석 목적

- 제품과 분석되는 위험성의 유형

- 잠재적 강도수준

- 인력, 전문지식과 요구자원의 보유정도

- 정보와 자료의 가용성

- 분석결과의 수정 및 가감의 필요성

- 법규나 계약상의 요구사항

더욱이 전기 및 전자기기에 관련된 국제 규격 IEC 300-3-9 에서는 이런 점에 관련하여 그림 2-1 과 같은 검토 요령을 제시하고 있다.

그러므로 사전에 다양한 분석 및 평가기법들의 특성과 장단점을 파악해 놓으면 크게 도움이 되는데, 이 때 주의하여야 할 것은 위험성 분석기법은 어디까지나 기법이지 과학이라고 볼 수는 없으므로, 결과선정에 정답이란 있을 수 없으며, 경우에 따라서는 몇 가지 기법을 병행하여 분석할 필요도 있다는 점이다.

그러나, 일반적으로 적절하고 우수한 기법의 3 가지 조건이란 다음과 같이 정리될 수 있다. 즉,

과학적 견지에서 볼 때 합리적이어야 하며, 분석대상인 제품에 적절하여야 한다.

위험성의 성질이 어떠한지, 그리고 그것이 어떻게 통제될 수 있는지를 이해하는 데 기여할 수 있는 결과를 제공하여야 한다.

실제적으로 다양한 수행자에 의해 추적될 수 있고, 반복 가능하며, 입증가능한 형태로 활용될 수 있어야 한다.

그림 2-1  분석 유형 및 연구심도 선택상의 고려사항 (ISO 60300-3-9)

시스템 개발 중 어느 단계인가 ?				구상 상세 설계 기타
연구의 목적은 무엇인가 ?				리스크 저감 대책의 선택 리스크 목표와 비교 대안들 간의 비교 기타
어떤 유형의 시스템과 위험성이 분석되는가 ?				단순한 리스크 복잡한 리스크 기술적 위험성 기타
잠재적 강도는 어떠한가 ?				다수의 재난 단일 상해나 재난 환경적 손상 경제적 손실 기타
어떤 수준의 자원이 활용 가능한가 ?				제한 시간과 전문 지식 전문지식 획득을 위한 광범위한 시간 및 능력 기타
시스템에 관하여 어떤 정보가 활용 가능한가 ?				개념 설계 상세 설계 운용 기타
연구가 장차 갱신될 필요성이 있는가 ?				일시적 활용 지속적 활용
법규나 계약적 요구사항인가 ?				아니오 제한된 선택 없음

(2) 분석기법의 분류

분석기법에는 여러 가지가 있으며, 그 각각의 특성과 장단점도 가지고 있다. 그러므로 분석기법은 여러 가지 기준에 따라 분류될 수 있는데, 간단히 그 내용을 살펴보면 다음과 같다.

1) 제품개발상의 실시 단계에 따른 분류

제품을 개발하는 단계에 따라 분석기법을 분류하면 다음과 같다. 이것은 주로 활용가능한 정보나 자료의 양이나 질에 의존하므로, 분석기법의 분류라기보다는 각 단계에서 수행할 수 있는 분석의 특성에 따른 분류라고 할 수 있다.

- 예비 위험성 분석 PHA

- 결함 위험성 분석 FHA

- 운용 위험성 분석 OHA

- 시스템 위험성 분석 SHA

2) 분석의 수리적 방법에 따른 분류

분석을 수행함에 있어서, 위험성을 정성적인 등급과 언어적 표현에 의하여 판단하는가, 아니면 정량적인 척도에 의하여 판단하는가에 따라 다음과 같이 두 가지로 분류한다.

- 정성적 분석 (qualitative analysis)

- 정량적 분석 (quantitative analysis)

3) 논리적 추론과정에 따른 분류

분석을 진행하여 가는 방법에 따라 다음과 같이 두 가지로 분류한다. 여기에서 귀납적 기법 (inductive technique) 이란 고장발생원인으로부터 그 고장이 제품 전체에 미치는 결과쪽으로 시간의 흐름에 따라 분석하여 가는 방법을 말하며, 연역적 기법 (deductive technique) 이란 시스템이나 제품의 고장으로부터 시간의 경과를 거슬러 그 원인을 추론해 가는 방법이다.

- 귀납적 기법 (inductive techniques)

예비 위험성 분석 PHA

결함 위험성 분석 FHA

운용 위험성 분석 OHA

시스템 위험성 분석 SHA

고장 모드 및 영향분석 FMEA

사상수목분석 ETA 등

- 연역적 기법 (deductive techniques)

결함수목분석 FTA

4) 시스템 구성수준상의 분석방향에 따른 분류

제품을 구성하는 최상위 수준에서부터 개별적인 부품쪽으로 분석수준을 낮추어가면서 분석하느냐, 아니면 개별적인 부품의 고장이 제품 전체에 미치는 영향을 추정하면서 분석수준을 높여 가느냐에 따라 다음과 같이 분류한다.

- 상향성 접근기법 (bottom-up approaches)

예비 위험성 분석 PHA

결함 위험성 분석 FHA

운용 위험성 분석 OHA

시스템 위험성 분석 SHA

고장 모드 및 영향분석 FMEA

사상수목분석 ETA 등

- 하향성 접근기법 (top-down approaches)

결함수목분석 FTA

결과적으로, 대부분의 귀납적 기법은 상향성 접근방식을 취하고 있으며, 연역적 기법은 하향성 접근반식을 취하고 있음을 알 수 있다.

2-2. 제품개발상의 실시단계에 따른 분석 기법

(1) 예비 위험성 분석 (Preliminary Hazard Analysis ; PHA)

예비 위험성 분석기법은 제품 관련 정보가 적은 상태에서도 비교적 쉽게 수행할 수 있으므로 여러 가지 위험성 분석기법 중 가장 먼저 수행되는 기법이다. 이 기법은 또한 이후에 수행될 결함 위험성 분석 (Fault Hazard Analysis, FHA), 제품 위험성 분석 (System Hazard Analysis, SHA), 운용 위험성 분석 (Operating Hazard Analysis, OHA) 등이 모두 이 기법과 유사하므로 상세히 살펴 볼 필요가 있다.

1) 개요

분석명칭이 표현하는 대로 PHA 는 본격적인 위험성 분석을 수행하기 위한 준비단계에서의 위험성 분석을 의미한다.

원래 이 기법은 미 육군의 군용규격 MIL-STD-882 로부터 유래된 기법으로서, 제품 설계안에 내재되어 있거나 관련되어 있는 위험요인, 위험상황, 사건 등을 제품 설계단계 초기에 구명해 내고자 하는 것이다. 구체적으로는, 제품 내의 어디에 어떤 위험요소가 존재하는가, 어느 정도의 위험 상태에 있는가, 안전기준 및 시설의 수준은 어떠한가를 정성적으로 평가한다.

이렇게 함으로써, 제품 설계사항의 변경 및 수정으로 인한 비용이나 시간 중 적어도 안전 측면에 기인하는 것을 제거하거나 최소화하고자 하는 것이다.

따라서, 이 분석기법은 그림 2-2 에 보는 바와 같이 제품 수명주기 중 제품에 관한 정보가 거의 없는 제품 구상단계 혹은 초기 개발단계에서 수행되기 때문에, 다음의 위험성 분석들을 위한 선구 () 라고 볼 수 있다.

그림 2-2  PHA 의  실시 시기

시스템 구상
		시스템 정의
				시스템 개발
							시스템 생산
	<------ PHA -------->
									시스템 가동

2) 분석절차 및 내용

PHA 를 수행하기 위해서는 제품과 관련된 기본적인 여러 가지 자료들을 필요로 한다. 그러나, 워낙 제품을 구상하는 초기단계에서 시행되는 분석이기 때문에, 해당 제품에 관련된 구체적인 자료는 일반적으로 충분치 않은 것이 보통이다. 그러므로 대상이 되는 제품에 대해서뿐만 아니라, 유사한 제품에 관한 자료까지 가능한 한 많은 자료를 수집하여야 한다. 정히 없으면 비슷한 장비나 물질을 사용하는 다른 제품의 자료까지도 수집한다.

수집자료에는 제품과 관련된 주요 취급물질 및 원재료, 그것들의 반응성, 반응한계 결정을 위한 실험적 연구결과, 중간반응물질 및 최종 생산품에 대한 요약, 예상되는 반응 지속시간, 공정 변수, 공정 흐름도 (process flow diagram), 물동량, 대략적인 재고의 파악뿐만 아니라, 주요 장비의 형태 및 크기, 그리고 사용 목적이나 기본요구성능에 이르기까지 폭넓은 자료가 포함된다.

한편, 분석을 직접 수행할 사람도 결정하여야 한다. 경험많은 전문가라면, 상당히 정확하게, 그리고도 남들이 예상 못한 부분까지 추정할 수 있다. PHA 는 바로 이런 능력을 가진 사람들에 의해 수행되는 것이 바람직하다. 물론 안전공학 분야의 배경을 가진 한두 사람이 수행할 수도 있지만, 제품이 대형화될수록 여러 분야의 전문가들의 공동작업을 필요로 하며, 특히 제품이 다양한 기능을 갖는 복잡한 제품이라면 더욱 그러하다.

분석내용은 주로 제품과 관련된 위험한 재료와 주요 공정에 초점을 맞추어 원하지 않는 결과를 초래할 수 있는 주요 위험요인과 위험상황들을 구명해내는 것인데, 구체적으로 주의깊게 검토되고 고려되는 위험요인이나 위험 상황은 다음과 같다.

표 2-2  PHA 의 분석사항

- 원재료, 중간 및 최종제품, 촉매물질, 폐기물, 연료 등 에너지 원과 반응물질들의 위험성 및

반응성

- 고압 제품, 에너지 저장 제품 등의 제품 운용장비와 관련된 사항

- 설비배치와 관련된 사항

- 지진, 진동, 홍수, 고온, 한냉, 정전기, 습도 등 제품 구성요소나 재료에 영향을 줄 수 있는

제품 운용환경의 영향

- 운용, 검사, 보전, 긴급사태 대응 등 운용활동절차

- 재료간의 상호작용, 착화 및 화염전파, 제어정지 등 제품 요소간의 인터페이스와 관련된

사항

- 저장, 검사장비, 교육, 훈련, 전기가스수도 등의 설비 지원 제품

- 경감 시스템 (mitigating systems), 중복구조, 화재진압, 개인용 보호장비 등의 소방 및 안전장비

그리고, 그 결과에 대해서는, 각각의 잠재적 위험상황에 위험성 범주를 부여하는 것이 보통이다. 가장 기초적인 방법으로는 MIL-STD 882 A 에서 제안하는 바와 같이 4 단계 범주 즉, 범주 무시 (negligible), 범주 한계적 (marginal), 범주 치명적 (critical), 그리고 범주 파국적 (catastrophic) 이라는 범주들을 이용한다.

이와 같은 과정을 통하여 분석자는 제품 설계와 관련된 위험요인들의 정성적 표현을 얻을 수 있다. 이렇게 부여된 범주들은 다음 단계에서 위험성을 감소시키거나 제거하기 위해 개선대안들의 우선순위를 정하는 데 이용될 수 있는 위험상황들의 정성적 순위를 제공하며, 제품 설계자들은 이 결과를 토대로 위험성을 제거시키거나 감소시킬 수 있는 제안들을 모색하게 되는 것이다.

PHA 의 분석결과는 표를 이용하면 쉽게 나타낼 수 있다. 표 2-3 은 MIL-STD-882 에서 권장하는 PHA 보고표이지만, 각 기업에서는 사후조치 책임자, 주요 개선사항에 대한 실천계획, 실제 조치된 실천사항 등을 기입하기 위한 여백을 적절히 가감하여 사용하는 것이 보통이다.

표 2-3  전형적인 PHA 양식의 예

	예비 위험성 분석표
분 야 :							날 짜 :
도 면 번 호 :							참 가 자 :
위 험 성	원 인					주 요 영 향	위험성 범주	사후/예방 대책

3) 분석사례

전동 모터를 이용하여 칼날을 회전시켜 커피 원두를 파쇄시키는 커피 분쇄기에 대하여 PHA 를 실시한 사례가 표 2-4 이다. 사용중 전기가 누전된다든지, 작동도중에 뚜껑이 열려 내용물이 비산한다든지, 아니면 기기의 마무리가 조악하여 케이스 일부에 날카로운 부분이 있다든지 하여 상해가 발생할 수 있으므로, 그에 대하여 제품을 상세 설계하기 전에 분석해 본 결과이다.

4) 기타사항

이와 같은 과정을 통하여 제품의 주요 위험요인은 시작단계부터 제거되거나 최소화되고, 혹은 통제될 수 있게 되는 것이다.

그러므로 PHA 의 장점으로는 다음과 같은 점들을 지적할 수 있다.

최소의 비용으로, 제품의 설계를 가능한 한 해체하지 않고 위험요인이 수정될 수 있을 때 위험요인을 구명할 수 있다.

제품의 수명주기를 통하여 활용할 수 있는 운용 지침을 개발하는 데 도움이 된다.

이 분석결과들은 이외에도 이후 수행될 결함수분석 (Fault Tree Analysis) 이나 위험성분석들의 기본자료로, 그리고 다른 관리활동이나 설계측면에서의 절충안 연구의 기초자료로 활용된다.

PHA 의 지원 도구로서 이제까지 소개된 상용 컴퓨터 프로그램으로는 HAZOPtimizer (A.D. Little, Inc., Cambridge, Massachussetts), PHA-PC (Primatech, Inc., Columbus, Ohio) 등이 있다.

표 2-4  가정용 커피 분쇄기의 PHA

예비 위험성 분석
제품 : 가정용 전동 커피 분쇄기
위험성	발생 (원인)		영향	발생빈도	가능한 안전장치	비고 및 참고
전기	110V 교류전원 사용 (1) 2중 절연없이 금속 케이스가 사용되면, 케이스에의 누전으로 사용자가 충격을 받을 수 있다.		치명적일 수 있는 전기적 충격	(1) 2중 절연 없음 : 충분히 그럴 수 있음	(1) 2중 절연	U.L.Std 73, 모터로 작동되는 가전제품 은 충분히 안전한 제품을 만드는 데 부적절함
	(2) 물속에 잠기는 것도 치명적이다.			(2) 물에 잠김 : 충분히 그럴 수 있음	(2) (a) 방수 (b) 분쇄기 및 사용설명서에 경고표시
작동 상해	(1) 원두를 갈기 위하여 사용되는 회전칼날은 중상을 초래할 만큼의 출력을 가지고 있다.		(1) 칼날이 회전할 때 손가락이 위험한 위치에 있다면 손가락 절단	(1) 충분히 그럴 수 있음	(1) 연동장치나, 분쇄기가 작동하면 사용자가 칼날에 접촉할 수 없게 만드는 디자인을 가진 뚜껑 (2) 분쇄기 분리에 대한 경고표시	(1) 제안된 디자인이 정상작동시 및 이상작동시에 이러한 요구기능이 충족되는가를 결정
피부 상해	조악한 생산 또는 파손으로 인한 날카로운 끝이나 거친 표면		날카로운 끝이나 위험점은 피부에 자상이나 찰과상을 초래할 수 있다.	충분히 그럴 수 있음	(1)(a) 날카로운 가장자리, 위험점, 거친 표면 등은 모두 곡면처리되어야 한다. (b) 파손되어도 쉽게 날카로운 가장자리나 위험점을 만들어내지 않는 재료로 분쇄기를 만든다.	(1)(a) 생산결함 때문에 가장 많이 발생. 생산 및 품질관리를 관찰
비산물 상해	(1) 회전칼날 조립품은 고속의 작용속도로 이탈될 수 있다. 특히 단단한 물체가 실수로 분쇄기 속에 투입되었을 경우 더욱 그러하다. (2) 뚜껑없이 작동하는 분쇄기는 원두나 가루 커피가 원심력으로 비산하게 만든다.		고속으로 비산되는 분쇄기의 부품이나 파편은 사용자에게 상해를 줄 수 있다. 고속으로 비산되어 눈에 부딪치는 원두나 가루 커피는 심각한 상해를 초래할 수 있다.	충분히 그럴 수 있음	(1)(a) 작동중 밖으로 노출되지 않도록 안전한 칼날을 디자인한다. (b) 회전속도에 기인하는 스트레스가 강도보다 크지 않은가 확인한다. (c) 비산되는 모든 부품이나 파편들을 견딜 수 있을 만큼 케이스와 뚜껑을 단단하게 만든다.	통상 분쇄기를 작동하는 사람은 그것을 잡고 있으므로, 근접한다. 그러므로 비산하는 파편이나 부품은 누군가를 타격할 가능성이 충분하다.
고온	전동력 상실이나 기계적 동작은 고온을 초래할 수 있다.		고온표면에 접촉하는 사용자에게 화상	(1) 금속표면 : 충분히 그럴 수 있음 (2) 플라스틱 표면 : 희박함	(1)(a) 동력 및 마찰 상실을 가능한 한 낮은 수준으로 유지한다. (b) 여전히 고온의 열원이 존재하면 분쇄기를 냉각시킨다. (c) 외부표면을 안전한 온도로 유지하도록 절연조치한다.

(2) 결함 위험성 분석 (Fault Hazard Analysis ; FHA)

1) 개요

현대의 제품은 혼자 만드는 경우가 거의 없다. 아무리 단순한 제품이라 하더라도 제품의 구상, 설계에서부터 제조, 판매에 이르기까지에는 여러 사람들이 각각 역할을 분담하게 마련이다. 더욱이 제품이 조금만 복잡해지면, 각각의 조립부품들을 각기 다른 생산업자로부터 구매하거나, 여러 사람이 제작한 부품들을 조립하여 하나의 제품을 구성하는 것이 일반적이다. 이렇게 여러 사람, 또는 여러 조직이 하나의 목적을 위해 기술력을 합하는 경우, 아무리 주의한다고 하여도 부품이나 하부 시스템 (subsystem) 간에는 예상치 못한 문제가 발생할 수 있다. 특히 안전문제에 관해서는 사소한 불일치라 할지라도 기능장애나 고장뿐만 아니라, 커다란 재해를 불러 올 수도 있기 때문에 주의를 게을리 해서는 안 된다.

) 전체 제품을 하나의 시스템으로 간주할 때, 그 시스템보다 한 수준 낮은 시스템 구성요소

따라서, 복잡한 전체 제품을 몇 개의 하부 제품으로 나누어 분할 제작하는 경우, 하부 제품간의 인터페이스 (interface) 를 조사하여, 각 하부 제품이 다른 하부 제품 또는 전체 제품의 안전성에 악영향을 미치지 않도록 분석, 보증하는 기법이 필요하다. 이러한 목적을 위해 개발된 기법이 결함 위험성 분석 (Fault Hazard Analysis) 기법인데, 미국에서 미닛트 맨 (Minute Man)  미사일을 개발하는 데 처음으로 사용되었다.

제품을 개발하는 초기 단계에서는 아직 여러 가지 정보들이 안정되어 있지 못하고, 그 중 어떤 자료들은 제품의 후기 개발단계에서 정돈되는 것도 있으며, 더욱이 하부 제품에 대한 설계가 어느 정도 진행되어야 경계면의 문제들을 파악할 수 있기 때문에, FHA 는 통상 PHA 보다 약간 늦은 제품 개발단계에서 수행된다. 그러므로, FHA 는 제품 정의 및 개발단계에서 수행되는 것이 보통이며, 그림 2-3 은 이런 점을 보여주고 있다.

그림 2-3  FHA 의  실시 시기

시스템 구상
		시스템 정의
				시스템 개발
							시스템 생산
	<----- PHA	-------------->
		<--------- FHA --------->							시스템 가동

2) 분석절차 및 내용

PHA 와 마찬가지로, FHA 도 특정한 상황으로부터 일반적인 사항으로 발전시켜 가는 귀납적 분석기법이다. 그러므로, FHA 에서는 작은 부품이나 사상 (event) 이 제품이나 하부 제품의 안전에 미치는 영향이 검토된다. 즉, FHA 는 분석을 통하여 제품 내의 각 부품에 대해 두 가지 질문을 제기한다.

- 해당 부품은 어떻게 고장나는가 ?

- 그 고장의 결과 제품이나 하부 제품에 어떤 영향을 미치는가 ?

이 질문들에 답하기 위하여 FHA 는 표 2-5 과 같은 양식을 이용한다. 각 부품은 한 가지 이상의 고장모드를 가질 수 있으며, 각각의 고장모드는 정상적인 제품 기능에 위험을 초래할 수 있으므로, 부품의 위험성 모드이나, 위험성의 원인, 그리고 제품이나 하부 제품에 미치는 영향 등, 제품이나 하부 제품에 관한 상세한 조사가 필요하다. 이 때 관련된 손상이나 기능저하가 제품에 미치는 영향은 발생확률과 강도를 이용하여 간략히 서술되는 것이 보통이다.

표에서 고장모드 (Failure Mode), 운용모드 (Operation Mode) 등은 좀 생소하기는 하지만, 이 기법 자체가 군용규격에서 차용된 것이기 때문에 분석목적을 명확히 하기 위하여, 제품 안전분야에서도 그냥 그대로 많이 사용되고 있다. 한편, 2 차 요인이란 제품의 고장을 확장시키는 요인으로서 주로 관리적 요인을 가리킨다.

표 2-5  FHA 서식의 예

결함 위험성 분석표 프로젝트 : 제품 : 계약번호 :
부품 명칭	부품 고장모드	제품 운용모드	하부시스템에의 위험	제품기능 상실위험	환경요인	2차 요인	위험수준	위험관리

이와 같이 FHA 는 통상 고장모드 및 영향분석 (FMEA) 이나 고장모드, 영향 및 치명도 분석 (FMECA) 의 분석양식과 비슷하지만, 대상요소가 고장발생이 직접적으로 재해발생에 연결되는 것에 한정되며, 2 차 고장이나 축차 고장에 관한 검토가 이루어진다는 점에 차이가 있다. 특히 이것은 이후 수행될 결함수 분석 (FTA) 을 위해 매우 중요한 자료를 제공한다. 그런 까닭에, 표 2 와 같이 입력사항들을 세분하여 분석함으로써, 이후의 다른 위험성 분석들을 위한 자료를 미리 준비하기도 한다.

여기에서 2 차부품 고장의 발생원인란에는, 부품의 고장이 발전하여 다른 부품의 고장이나 기능저하 같은 2 차 고장을 발생시킬 수 있는 운용상의 요인이나 환경적인 요인들의 구체적 기준들을 나열한다.

3) 분석사례

표 2-6 은 고압가스를 저장함는 탱크에 대하여 FHA를 적용한 분석사례이다. 그러나, 이 분석결과는 FHA 의 활용방법을 예시하기 위하여 몇 개의 부품만 간단히 분석한 것이다.

4) 기타사항

제품 설계 초기에 수행된 FHA 결과를 과신하여서는 안 되며, 제품에 관한 중요한 정보들이 추가될 때마다 제품의 안전성이 여전히 확보되고 있는지를 확인할 수 있도록, 가급적 자주 반복적으로 수정되어야 한다.

표 2-6  FHA 의 예

결함 위험성 분석표 계획 : 제품 : 고압가스탱크 계약번호 :
부품 명칭	부품 고장모드	제품 운용모드	하부제품에의 위험	임무에 대한 위험	환경요인	2차 요인	위험수준	위험관리
안전 밸브	닫힌 고장	고압	과압	탱크의 고장	부식	작업자의 근접	강도: 근접 작업자에게는 파국적 빈도: 드묾	자주 밸브를 검사할 것
	열린 고장	고압	압력 불충분	제품 작동불능	부식	압력의 필요성	강도: 한계적 빈도: 가끔	작업 전에 밸브 밀폐상태 확인
압력 감지기	압력 과대평가	고압	압력 불충분	압력 불충분	없음	압력의 필요성	강도: 한계적 빈도: 드묾	정기적인 감지기 검사
	압력 과소평가	고압	과압	2차 제품이 정상작동하면 영향없음 제품전체의 고장	없음	압력 배출 부품의 신뢰도	강도: 근접 작업자에게는 파국적, 장비손상 빈도: 드묾	정기적인 감지기 검사, 압력 배출 제품의 추가설치

(3) 운용 위험성 분석 (Operating Hazard Analysis ; OHA)

1) 개요

바람직하지 않은 사상이 발생하려면 제품 어딘가에 고장이 발생하여야 할 것이라고 예상할 수는 있지만, 실제로 반드시 그렇다고는 할 수 없다. 왜냐하면 일단 제품이 생산되어 소비자에게 사용되기 시작하면, 예상치도 못한 여러 가지 상황에서 전혀 예상치 못한 방법으로 제품을 사용하는 일이 발생하기 때문이다.

운용 위험성 분석 (OHA) 은 바로 이런 목적을 위해 인간공학, 훈련과 교육, 인간-기계 인터페이스를 강조하면서 제품의 사용과 보전 (Maintenance) 에 관련된 위험성을 분석하기 위한 것이다.

다시 말하자면, 지정된 제품의 모든 사용단계 중에 발생할 수 있는 생산, 보전, 시험, 운송, 저장, 운전, 비상탈출, 구조, 훈련 및 폐기 등 다양한 업무활동에 대하여, 이에 소요되는 인원, 순서, 설비에 관한 위험을 발굴하고 제어하며 그들의 안전요건을 결정하는 것이다.

OHA 를 수행하는 분석자는 사용가능한 지원설비를 포함하여, 제품에 대한 공학적 정보를 가지고 있어야 한다. 그러나 이 때, 분석에 필요한 정보의 일부인 안전성 요구조건이나 업무상의 절차는 분석대상 제품의 성격에 따라 확정되는 시기가 서로 다르다.

예를 들어, 만약 최종 제품이 단순히 기존 제품의 수정판이라면 다양한 운용 및 보전절차를 제품 개발 초기에 적용할 수 있고, 최종 사용자의 특성도 이미 파악되어 있다고 할 수 있다. 이런 상황에서는 분석이 초기 설계단계에서 시작될 수 있으며, 설계단계의 종료 전까지 완료되거나 거의 완료될 수 있다. 그러나 완전히 새로운 제품, 특히 시제품의 생산과 검사를 포함하는 제품의 경우에는, 후기 설계단계에서 시작되어 주로 생산단계에 수행되기도 한다.

또 한편으로는, 제품이 생산된 후 그 양불량을 검사할 때 이용되어야 하는 기술적 사항들을 제공하여야 하기 때문에, OHA 는 가급적 제품 개발의 초기단계에 시작되어야 한다.

이 두 가지 사항을 모두 충족시키기 위하여 OHA 는 후기 설계단계 또는 초기 생산단계에 시작되어, 생산단계가 종료되기 이전에 완료되는 것이 보통이다. 좀 더 구체적인 시기는 최종 제품의 특성에 크게 좌우된다. 그림 2-4 는 OHA 의 분석시기를 나타낸다.

그림 2-4  OHA 의  실시 시기

시스템 구상
	시스템 정의
			시스템 개발
	<-------- OHA --------->				시스템 생산
							시스템 가동

2) 분석절차 및 내용

분석방법은 PHA 와 유사하다. 위험성을 발굴하기 위해 표가 사용되며, 표의 양식 또한 PHA 의 그것과 유사하지만, 운용상의 활동들을 주요 분류항목으로 이용한다는 점에 차이가 있다.

그러므로 이 분석을 위해서는 잠정적인 것이든 최종적인 것이든 생산, 보전, 시험, 운송, 저장, 운전, 비상탈출, 구조, 훈련 및 폐기 등 제품과 관련된 다양한 운용활동의 절차가 필요하다. 또한 관련장비의 상세한 작동범위와, 크기, 재질, 기술수준 등에 관련된 자료, 제품을 사용하거나 보전하는 요원들에 대한 설명도 필요하다.

표 2-7  전형적인  OHA 양식의  예

운용 위험성 분석 프 로 젝 트 : 날 짜 : 도 면 번 호 : 참 가 자 :
사용중의 사건	위험성	위험성의 영향	위험대책	안전 요구사항	비고

간단한 OHA 양식은 표 2-7 과 같은데, 그 기입요령은 다음과 같다. 제품 사용중의 사건 란에는, 분석할 운용단계를 수행하는 데 필요한 업무를 나열하고 각 업무의 기능에 관하여 간단히 서술한다. 이 때 업무에는 관련기기도 포함한다. 또한 운용단계를 업무별로 나눌 때에는, 차례대로 분류되도록 고려하는 것이 바람직하며, 각 업무에는 적절한 번호를 붙여 식별하도록 한다.

위험성 란에는 예상될 수 있는 위험 상황을 가능한 한 상세하게 서술한다. 특히 에너지 원 및 방출에 관하여 충분히 검토하여야 하며, 정상운전이나 보전작업 중 발생할 수 있는 인간과오에 대해서도 고려하여야 한다.

안전 요구사항에는 발굴된 위험성의 제거 또는 제어에 필요한 사항을 서술한다. 만약 안전 요구를 충족시키기 위해 추가업무가 발생할 때에는, 그 추가업무를 사용중의 사건 란에 추가하는 동시에, 그에 따라 새로운 위험성이 발생하지 않는가 분석하여야 한다.

마지막으로, 비고 란에는 관계자료, 표준 등의 적절한 정보와, 기타 필요한 사항들을 기입한다.

이와 같이 OHA 는 운용 및 보전조직과 절차를 포함하는 제품에 대한 서술뿐만 아니라, 발견된 주요 위험요인과 권장대책에 대한 서술을 포함하여야 한다. 그러므로, OHA 의 분석결과는 다음과 같은 안전관련사항들에 대하여 의사결정을 내리는 데 대한 근거를 제공한다.

사용중 위험발생의 염려가 있는 시기와 제품 기능의 구명

위험성을 제거하고, 안전장치나 안전방호장치들을 제공하기 위한 설계변경

제품의 작동, 훈련, 취급, 저장, 운송 등을 위한 특별한 절차

사용상의 경고, 주의, 특별지시, 긴급조치 등의 결정

안전장치 및 설비에 대한 필요조건과 그들의 고장을 검출하기 위해 필요한 보전순서의 결정

3) 기타사항

제품 특성과 관련된 정보들이 추가됨에 따라 반복적으로 OHA 결과가 지속적으로 수정되어야 하는 것은 물론이며, 이를 통하여 제품 설계완료 이전에 제안된 변경사항, 추가사항, 그리고 기능적 제품 운용모드가 개발되고 평가되게 된다.

(4) 시스템 위험성 분석 (System Hazard Analysis, SHA) 과 하부 시스템 위험성 분석 (Subsystem Hazard Analysis, SSHA)

1) 개요

제품은 대형화되고 복잡해질수록 여러 개의 부품으로 구성되므로, 하나의 제품은 한 가지 이상의 기능을 수행할 수 있는 여러 개의 하부구조로 이루어진다고 생각할 수 있다. 자동차를 하나의 예로 들어 보면, 연료를 공급하기 위한 부분, 구동력을 일으키고 전달하기 위한 부분, 방향을 전환하기 위한 부분, 충격을 완화하기 위한 부분, 그리고 필요한 곳에 전기를 공급하는 부분 등 다양한 기능을 하는 여러 개의 부분으로 구성되어 있다.

이처럼 독립적으로 기능할 수 있는 구성요소들을 시스템 공학에서는 시스템 (system) 이라고 하므로, 보는 시각에 따라서 자동차는 하나의 시스템이고 각 부분들은 시스템을 구성하는 요소들이다. 그러나 연료를 공급하는 부분이라고 해도 더 세분하면 연료탱크, 노즐, 펌프 등 더욱 상세한 부품들로 구성되는 것이 일반적이므로, 이것은 통상 하부 시스템 (subsystem) 이라고 부르는 것이다.

이런 시각에서 제품을 하나의 시스템으로 파악하여, 하부 시스템이 시스템 전체에 미치는 위험성을 분석하는 것, 다시 말해 제품의 구성부분들이 하나의 제품으로 통합되었을 때 상호간의 불균형과 기능충돌로 인하여 제품전체의 안전성에 어떠한 영향을 미치는가를 분석하는 것이 시스템 위험성 분석 (System Hazard Analysis, SHA) 이고, 각 부분의 위험성을 분석하는 것이 하부시스템 위험성 분석 (Subsystem Hazard Analysis, SSHA) 이다.

결과적으로, 시스템 위험성 분석 (SHA) 은 제품 전체와 관련된 위험성에 대한 상세 분석이고, 하부 시스템 위험성 분석 (SSHA) 은 구체적인 하부 시스템에 관련된 위험성에 대한 상세분석이라는 데 차이가 있다고 할 수 있다. 그러나 하부 시스템은 다시 하위수준의 구성요소로 분해될 수 있으니, 또 하나의 시스템이라고 생각할 수 있고, 그런 점에서 SHA 와 SSHA 는 크게 다르지 않다고 예상할 수 있을 것이다.

다만, 대상으로 하는 제품의 복잡성과 특성에 따라 SSHA 는 모든 하부 시스템에 대하여 수행될 수도 있고, 특정 하부 시스템에 대해서만 수행될 수도 있으며, 또 전혀 수행되지 않을 수도 있다.

SHA 는 다음과 같은 사항들을 찾아내는 귀납적인 기법이다.

위험성을 만들어 내는 제품 설계특성이나 부품

위험성을 만들어 내는 제품 요소들간의 인터페이스

여러 가지 제품 위험성 분석의 통합을 촉진하는 제품 정보

SHA 는 OHA 와 마찬가지로, 시스템 정의단계나 시스템 개발의 초기 설계단계에서, 일반적으로 시스템 설계가 35 % 내지 90 % 완료된 시점에서 수행된다. 구체적인 시기는 하부 시스템과 시스템 설계자료의 활용 가능성에 따라 결정된다.

그림 2-5  SHA 의  실시 시기

시스템 구상
	시스템 정의
			시스템 개발
	<-------- SHA --------->				시스템 생산
							시스템 가동

2) 분석절차 및 내용

분석내용은 원칙적으로 부품들과 그 부품 고장들의 결과, 또는 검토되는 시스템 기능에 대한 부적절한 운용에 집중된다. 그러므로 시스템 운용모드는 위험의 성질을 결정하는 데 있어서 가장 중요한 요인이다.

예를 들어, 커넥터 분리가 이루어져서는 안 되는 운용단계에서 커넥터가 분리되는가, 아니면 애당초 커넥터가 분리되도록 설계된 운용단계 중에 커넥터가 분리되는가 하는 차이에 따라, 시기상조의 전선 커넥터의 분리는 서로 다른 형태의 위험성을 초래할 수 있으므로, 시스템 위험성 분석은 이러한 위험성의 차이를 반영하여야 하는 것이다.

이러한 분석목적을 위해 이용되는 분석양식은 표 2-8 와 같다. 보는 바와 같이 하나의 부품이나 업무상의 활동의 시스템의 임무수행에, 혹은 기능수행에 어떠한 영향을 미치는가를 확인할 수 있다. 그러므로 SHA 의 수행은 각 하부 시스템의 부품과 위해 가능성을 확장시키는 결과를 가져온다.

표 2-8  전형적인 SHA 양식의 예

시스템 위험성 분석 프로젝트 : 날 짜 : 도면 번호 : 참 가 자 :
위험촉발 사상/부품	원인요소	위험성 모드	제품 운용모드	위험성 영향	대 책	비 고

3) 기타사항

이런 까닭에 SHA 의 분석내용에는 하부 시스템에 대한 묘사, 최종 시스템의 위험성에 대한 제어의 적절성, 위험제어기법이 적용된 후의 잔여 위험성 수준, 심층분석이나 검사의 권장안 등에 관련된 주요 구명사항에 대하여 추가적인 설명이 포함되어야 하는 것이다. 또한 여기에는 위험성 평가나 위험성 허용기준을 포함하여, 분석을 수행하는 데 활용된 기법이나 방법론이 서술되어야 한다.

2-3. 정성적 분석 기법

(1) What If Analysis

1) 개요

이 기법은 가장 단순한 분석 기법들 중의 하나라고 할만큼 특별한 정량적인 방법이나 대규모의 사전 계획을 필요로 하지 않는다.

분석내용은, 제품을 생산하고 사용함에 있어서 발생할 수 있는 여러 가지 사건이나 상황을 가정하여 그 결과 초래될 수 있는 위험을 평가하고 개선대안을 모색하는 것이다. 즉, 제품 사용에 관련된 여러 가지 변수들의 영향을 검토하는 귀납적 기법으로서, 만약  한다면 (what if ) ? 하는 질문들이 구성되고 응답된다.

분석대상은 건물, 동력체계, 원재료, 제조물, 저장, 재료운반, 플랜트내 환경, 운용절차, 작업훈련, 관리훈련, 플랜트 보안 등 제품 설계나 생산공정, 사용상의 어떤 측면도 분석될 수 있으므로, 제품의 설계안, 제어 제품과 안전 장비, 그리고 보전장비 및 절차의 적절성도 평가된다. 물론 처리되는 물질의 영향도 검토되며 사용상의 기록도 평가될 수 있다.

이 기법은 특별한 분석기법을 요하지 않기 때문에, 기존 제품에 변화를 주고자 하는 경우에는 제품의 기능이나 구조가 변경되었을 때 제품에 미치는 영향을 파악하기 위하여 제품의 사용단계에서 실시되며, 개발중인 제품에 대해서는 제품개발 초기단계에서 또는 초기 시범 사용시에 실시되는 것이 보통이다. 따라서 분석에 소요되는 시간과 경비는 분석하고자 하는 공정의 수와 크기에 따라 크게 좌우된다.

2) 분석절차 및 내용

What If 분석은 HAZOP 이나 FMECA 처럼 정확하게 구조화되어 있지 않으므로 사용자가 특별한 상황에 맞추어 기본개념을 수정해 가면 된다. 그러나 다음과 같은 순서에 따라 실시되는 것이 일반적이다.

범위의 정의

먼저, 제품에 미치는 위험의 유형을 정의함으로써 분석범위를 설정한다. 여기에서 말하는 위험에는 전기적기계적 충격, 화재, 폭발, 유해위험 가스 및 화학물질의 유출, 방사능 유출, 부적절한 반응 등 어떤 위험도 포함될 수 있다.

분석 팀의 선정

What If 분석은 제품의 공학적 설계, 사용, 보전과정 및 훈련, 안전 등과 같은 다양한 분석분야에 기여할 수 있는 학제간 분석팀이 구성되는 것이 중요하며, 더욱이 이 분석팀은 가급적이면 외부지원없이 팀 자체내에서 질문에 답할 수 있어야 한다. 그러므로, 분석팀에는 최소한 제품 사용자, 제품설계기사, 보전기사, 그리고 안전공학자 등이 포함되어야 한다.

질문의 구성 및 검토

다음에는 점검표 형식의 질문들을 만든다. 이 때, 제품에 대한 관계 서류들은 상세히 검토되어야 하며, 서류와 제품구조에 차이가 없는가에 대한 확인도 필수적이다.

질문들은, 제품에 만약 이런 일이 발생한다면 (what if ) ? 하는 형식으로 정리되어, 분석전에 작성되어야 하는데, 제품의 사용 시작에서부터 폐기까지 추적함으로써 최적의 질문들이 체계적으로 준비될 수 있다.

실제 분석회합은 제품에 대한 전문지식과 아울러, 전반적인 지식을 가진 제품 관계자가 제품의 기본 공정을 설명하는 것으로 시작한다. 이 설명에 제품 안전의 예방책, 안전장비, 보건관리절차 등도 포함되어야 하는 것은 물론이다.

제품에 대한 전반적인 설명이 끝나고 나면, 준비된 질문들을 중심으로 제품의 위험성을 확인해 간다. 주의하여야 할 점은, 질문과 응답이 사전 준비된 것에 한정하여서는 안 되며, 오히려 분석이 완벽하였다고 팀 구성원들이 스스로 믿을 수 있도록, 필요하다고 판단되는 어떤 문제나 질의도 거론될 수 있는 자유스러운 분위기에서 이루어져야 한다는 것이다.

질문에 대한 답안 정리

검토 및 분석이 이루어지는 동안 팀 구성원들이 활발히 위험성 구명에만 전념할 수 있도록 별도로 팀의 리더와 기록자가 선임되어야 한다.

분석결과는 What If 질문과 응답외에, 주요 문제점에 대한 위험요소, 분석결과, 공학적 안전장치, 가능한 문제해결책 등이 포함되어야 하며, 통상 표 2-9 과 같은 양식으로 제시된다.

표 2-9  What If 분석표의 예

What If 분석표
분 야 :					날 짜 :
도면번호 :					구성원 :
What If 질문		결과/위험요소		안전장치			권장사항

특히 화학물질을 다루는 제품의 경우에는 다음과 같은 항목에 근거하여 치명도도 평가한다.

- 추정유출량

- 현장에서의 피해자 수

- 관계기관에 보고하여야 하는 유출인지의 여부

- 장비 손실

3) 분석사례

표 2-10 는 DAP (Diammonium phosphate) 반응기에 대한 분석 사례이다. 이 공정에서는 인산 (phosphoric acid) 용액과 암모니아 용액이 제어밸브에 의해 통제되는 파이프를 통해 교반기에 투입되며, 이 두 용액은 서로 반응하여 DAP 를 형성하게 된다.

이 때 발생할 수 있는 상황, 예를 들어 투입되어야 할 인산 대신 다른 물질이 투입된다든가, 투입되는 인산의 농도가 규정치 미달이라든가, 오염된 인산인 경우와 같이 정상적인 생산활동의 진행으로부터 벗어나 예상될 수 있는 사고요인과 그 영향을 파악하고자 하는 것이다.

표 -10  DAP 반응기에 대한 What If 분석사례

What If 분석표
제 품 :	DAP 반응기				날 짜 :
도면번호 :					구성원 :
What If 질문		결과/위험요소		안전장치		권장사항
인산대신 잘못하여 다른 물질이 투입되면 ?		오몀물질을 함유하는 인산반응이나 암모니아 반응, 또는 규격외 제품의 생산으로 인하여 잠재적으로 위험함		신뢰성있는 제조자 플랜트 물질 취급절차		적절한 물질 취급 및 수용절차인지, 그리고 경고 라벨 확인
인산의 농도가 지나치게 낮다면 ?		반응하지 않은 암모니아가 DAP 저장탱크로 운반되어, 결국에는 작업장에 유출됨		신뢰성있는 제조자 암모니아 감지장치 및 경보		저장탱크에 충전하기 전 인산농도 검증
인산이 오염되었다면 ?		오몀물질을 함유하는 인산반응이나 암모니아 반응, 또는 규격외 제품의 생산으로 인하여 잠재적으로 위험함		신뢰성있는 제조자 플랜트 물질 취급절차		적절한 물질 취급 및 수용절차인지, 그리고 경고 라벨 확인
인산제어용 밸브가 닫혔다면 ?		반응하지 않은 암모니아가 DAP 저장탱크로 운반되어, 결국에는 작업장에 유출됨		정기적인 보전 암모니아 감지장치 및 경보 인산 흐름라인에 흐름표시장치		밸브를 지나는 암모니아에 대하여 경보/차단

4) 장단점 및 용도

장점으로는 이미 앞에서 말한 바와 같이 쉽다는 데 가장 큰 장점이 있으며, 그 외에도 다음과 같은 것들을 들 수 있다.

1. 특별한 기법이나 계산과정이 필요하지 않다.

2. 제품 수명주기의 어느 단계에서도 활용할 수 있다.

3. 상대적으로 비용이 적게 든다.

4. 분석결과를 단순한 표로 제시한다.

그러나 쉬운 만큼 단점도 있는데, 주요한 단점으로는 다음과 같은 것들이 자주 지적된다.

1. 분석에 팀의 노력을 필요로 한다.

2. 질문에 대하여 팀 구성원의 경험과 직관에 의존한다.

3. 주관적인 측면이 강하다.

4. 수리적인 결과없이, 정성적인 결과만이 얻어진다.

현재 알려져 있는 What If 분석지원용 소프트웨어로는 WHAT IF-PC (Primatech, Inc., Columbus, Ohio) 와 SAFEPLAN (Du Pont, Westlake Village, California) 등이 있다.

(2) 고장 모드 및 영향 분석 (Failure Modes and Effects Analysis ; FMEA)

1) 개요

이 기법은 What If 분석을 좀 더 체계화한 것이다. 즉, 만약 게 된다면 어떻게 될까 (what happens if ) ?" 라는 질문을 염두에 두어 하나의 재료, 부품, 장비 등이 고장났을 경우 그것이 전체 제품이나 사용자, 혹은 제품기능에 어떠한 영향을 미치는가, 생각의 범위를 점차 넓혀가면서 상위수준으로 분석하여 가는 것이다.

그러므로 이 기법은 전형적인 귀납적 분석방법이며 상향성 (bottom-up), 정성적인 위험성 분석기법의 대표라고 할 수 있으며, 특히 결함과, 다음 상위 수준의 기능적 제품에 미치는 영향과 메커니즘을 연구하는 데 적합하다.

IEC 812 는 이 기법의 목적을 다음과 같이 밝히고 있다.

- 원인이 무엇이든 제품 기능적 구조의 다양한 수준에서, 각각의 규정된 품목의 고장모드가 초래할 수 있는 사건의 영향과 연쇄를 평가한다.

- 각 고장모드가 제품의 정상적 기능이나 성능, 또는 관련된 과정의 신뢰도나 안전성에 미치는 중요성이나 치명도를 결정한다.

- 판명된 고장모드를 검출성 (detectability), 진단성 (diagnosability), 시험성 (testability), 교체성 (replaceability), 보상 및 운용성, 기타 적절한 특성에 따라 분류한다.

- 자료의 가용여부에 따라 중요도와 고장확률을 추정한다.

시기적으로, 이 분석은 제품 구상, 계획, 정의단계에서 시행될 수는 있으나 제품의 구성과 기능에 관계된 구체적이고도 많은 자료를 필요로 하기 때문에 그 효과가 한정적이어서, 주로 제품 설계단계와 개발단계에서 이루어지는 것이 보통이다.

2) 분석절차 및 내용

FMEA 분석절차는 대체로 표 2-11 과 같은 과정을 따르는 것이 일반적이다.

표 2-11  FMEA 의 절차 (IEC 812)

주) * FMECA 의 경우

1. 제품과, 그 기능적 최소 운용요구조건의 정의

2. 기능적 신뢰도 블록 다이어그램, 기타 다이어그램 또는 수학적 모형의 개발과 설명

3. 분석 수행상의 기본원칙과 그에 상응하는 문서양식의 설정

4. 고장모드, 그들의 원인과 영향, 상대적인 중요성, 그리고 그 연쇄들의 구명

5. 고장검출과 격리규정 및 방법의 구명

6. 특히 바람직하지 않은 사건에 대한 설계 및 운용규정의 구명

7. 사건 치명도 (event criticality) 의 결정	*

8. 고장확률의 평가	*

9. 필요한 경우, 고려되어야 하는 특정조합의 다중고장에 대한 탐색

10. 권장사항

구체적인 분석사항은 다음과 같다.

분석과제 정의 및 분석준비

가장 먼저 이루어져야 할 것은, FMEA 에 포함되어야 할 구체적인 항목과, 그것들이 분석되어야 할 조건들을 규정하는 일로서, 적절한 분석수준과 분석의 경계 조건들을 정의하는 것을 말한다.

그리고 나서, 다음과 같은 일들을 차례대로 수행하게 된다.

1. 제품을 효율적으로 다룰 수 있게 어셈블리로 분할한다.

2. 제품과 어셈블리의 기능 다이어그램, 구성도, 도면 등을 검토하여 그들의 연관관계를 결정한다.

3. 분석되어야 할 각 어셈블리에 대하여 완벽한 구성부품목록을 준비한다.

분석의 실시

분석 수행시 가장 중요한 것은, 치명적인 상호작용과 숨겨져 있는 제품 설계상의 상호작용을 도출하기 위하여 분석자가 부품의 구조와 기능에 관하여 충분한 지식을 가지고 있어야 한다는 점이다.

FMEA 는 결함수 분석 (Fault Tree Analysis) 과 같이 제품 구성요소간의 상세한 기능적 연관관계나 종속성에 관한 정보를 제공하지는 않으므로 이 부족한 상세사항은 분석팀의 경험과 지식으로 보충되어야 한다. 문제는 이러한 경험과 지식을 갖춘 전문가가 누구냐 하는 것으로, FMEA 가 여러 분야의 전문가들의 협력에 의하여 학제간 연구 (multidisciplinary study) 로 이루어져야 하는 까닭이 여기에 있다.

그러므로, 최소한 분석 팀에는

- 제품의 설계와 운용을 잘 아는 제품 공학자나 사용 전문가

- 전기적 제어설계, 논리, 사용장비 등을 잘 아는 제어 전문가

가 반드시 참여하여야 한다.

직접 수행되는 구체적인 분석내용은 다음과 같다.

4. 제품에 영향을 미치는 운용상의 또는 환경적인 스트레스를 설정한다.

5. 공학적 도면이나 기능 다이어그램의 분석으로부터 구성요소에 영향을 미칠 수 있는 중요한 고장 메커니즘을 결정한다.

6. 모든 구성부품의 고장모드를 판명한다.

7. 운용, 스트레스, 인적반응조치, 사건들의 조합에 있어서 고장이나 손상의 가능성을 증가시키는 특별한 기간이 있는지, 구성부품에 영향을 미치는 각 조건들을 나열한다.

8. 위험성 범주를 평가한다.

9. 위험성을 제거하거나 최소화하기 위한 예방대책 또는 사후대책을 나열한다.

이 작업은 일반적으로 표를 이용하여 정리되는데 기본적인 양식은 표 2-12 와 같다.

각 기입내용을 살펴보면 다음과 같다.

항목번호는 도면이나 블록 다이어그램에서 식별할 수 있는 식별기호를 나타낸다.

장비특성에는 장비유형, 운용모드, 기타 고장모드와 효과에 영향을 미칠 수 있는 기능 특성, 예를 들어 고온, 고압, 부식 등을 기입한다.

고장모드에는 장비특성과 관련된 부품의 모든 고장모드를 나열한다. 이 때 각각의 고장은 제품 내의 다른 고장들과 관계없이 독립적으로 발생한다고 가정한다.

고장원인을 나열하는 이유는, 고장 시나리오를 함축적으로 서술함으로써 고장의 성질을 명확히 하기 위한 것이다.

표 2-12  FMEA 의 기본양식

고장모드 및 영향분석
날 짜 :							페이지 :		/ 쪽
제품명 :							분석자 :
항목 번호	장비특성기능	고장모드	예상원인		고장의 영향		검출법	시정조치		치명도	비 고
					하부 시스템	제품

고장영향에는 고장위치에 미치는 부품고장의 직접적인 효과와, 다른 장비나 전체적인 제품에 미치리라 예상되는 기대효과를 모두 기입한다. 특히 제품의 사고를 예방하기 위해서는, 제품 설계내에 존재하는 안전방호장치가 정상적으로 작동하지 않는다고 가정하고, 그 결과 예견될 수 있는 최악의 상황을 염두에 두고 영향을 평가하여야 한다.

고장검출방법은 고장모드를 어떻게 검출할 것인가 하는 방법을 말한다.

시정조치에는 해당 고장모드와 관련된 효과의 발생 가능성을 감소시킬 수 있는 모든 사후조치를 나열한다. 만약 제품의 자동제어기능이 별다른 손실없이 고장의 영향을 흡수해 버릴 수 있다면 이 사실도 기입되어야 한다.

FMEA 에서는, 피해규모의 경중에 차이없이 제품 기능 상실을 초래하는 고장들의 위중함이 모두 같다고 가정되지만, 실제로 고장이 제품에 미치는 영향은 서로 다르기 때문에 집중적으로 관리할 필요성이 대두되기 때문에, 이를 위해 제품 기능에 미치는 치명성을 언급하는 공란을 추가하거나 비고란을 추가하여 이에 대한 사항을 기입한다. 표 2-12 에서 보는 치명도는 바로 이러한 목적을 위해 이용된다.

이와 같은 기본모드는 분석목적이나 분석대상에 따라 첨삭되는 것이 보통이다.

분석결과의 정리 및 심층 분석

이상의 분석이 끝나면 해당 구성요소의 고장이 각 제품 수준에 미치는 대략적인 영향을 파악할 수 있다. 그러나 좀 더 정확하고 비교가 가능한 척도를 얻기 위하여 고장확률을 계산하기도 한다.

구체적인 내용은 다음과 같다.

10. 각 구성부품의 고장발생확률을 기입한다.

11. 하부 어셈블리, 어셈블리, 제품의 고장확률을 계산한다.

12. 구성부품의 치명도를 계산하는 등 분석을 계속하고, 고장이 임무수행에 가져올 수 있는 영향을 분석한다.

3) 분석사례

표 2-13 는 가정용 커피분쇄기에 대한 FMEA 사례이다.

표 2-13  가정용 커피 분쇄기의  FMEA 사례

고장모드 및 영향분석
제품: 가정용 전동 커피분쇄기
부품 명칭/ 번호	기능	고장모드 및 원인	고장영향		고장 확률 (10-6)	사후 또는 권장조치
			다음 상위품목	최종품목/제품
뚜껑	커피가 쏟아지는 것을 막는다. 회전칼날에 의해 다치지 않도록 사용자가 컵속에 손가락을 집어넣지 못하게 한다.	플라스틱 파편들과 부품들이 분리된다. 단단한 표면에 부서지기 쉬운 플라스틱이 낙하한다. 실제 사용시 밟히거나 지나치게 과다한 힘의 영향을 받는다.	없음	없음	1	깨지지 않는 플라스틱을 선택
스위치 작동레버 암	분쇄기를 작동시키려면 스위치 작동레버암의 개방단(free end) 을 금접구멍까지 내리눌러 그 상태를 유지하여야 한다.	사용자의 거친 취급, 밟힘, 또는 낙하에 의한 파손	뚜껑을 약하게 할 우려가 있음. 또한 만약 작동레버 암이 뚜껑 부위에서 파손되는 경우에는 파손됨	제품을 불안전하게 만들 소지가 있다.	100	재디자인. 스위치를 뚜껑밑에 위치시킴으로써 암을 제거
플라스틱 케이스	다른 조립부품들을 유지하는 주요구성부품. 이동하는 물체나 전기적 부품과의 접촉으로부터 제품을 보호.	충격이나 충돌에 의하여 파손될 수 있음	-	결과적으로 날카로운 단들과 위험점들을 만들 수 있다.	0.5	내충격 플라스틱 사용
진동 완충기 (2)	케이스 속에 장착된 고무 패드. 플라스틱 케이스로부터 금속 모터 프레임을 격리시킴으로써 진동과 소음의 저감	고무의 기능열화. 제 위치에 고정되어 있지 않기 때문에 기능이 상실될 수 있다.	파손되기 쉬운 플라스틱의 피로	파손되기 쉬운 플라스틱에 대한 피로	0.01	접착제 사용
순간 스위치	모터에 전력을 공급하기 위한 회로를 구성한다.	개방고장 : 누름 버튼이 파손된다. 외부 연결이 분리된다. 내부 전기경로가 파손된다.	모터의 작동실패	모터의 작동실패	35	고신뢰도 부품 사용
		폐쇄고장 : 내부의 용접 접촉부위. 내부 스프링 파손	모터가 상시 작동	뚜껑이 벗겨진 채 작동		고신뢰도 부품 사용 직렬구조인 두 스위치
		성능열화 : 내부 스프링이 취약성에 기인한	간헐 작동	간헐 작동		고신뢰도 부품 사용

보는 바와 같이 제품을 구성하는 부품들의 명칭을 나열하고 기능을 서술한 후, 그 고장이 발생하는 원인과 고장모드를 기입하며, 마지막에는 대책을 제시한다. 그리고 필요하다면 표에서 보는 바와 같이 발생확률란을 추가한다.

4) 기타사항

무엇보다도 FMEA 는 체계적으로 인과관계를 구명함으로써, 치명적일 수 있는 고장모드, 특히 전파될 수 있는 단일결함의 최초 징후를 제공한다는 점이 가장 큰 장점이며, 또한 비전문가도 이해하기 쉽고, 다른 복잡한 기법들, 예를 들어 FTA 나 MORT 보다 시간이 적게 걸린다는 장점도 무시할 수 없다.

그러므로 FMEA 의 분석결과는 제품의 운용수명을 증가시키기 위하여 부품과 설계의 어느 부분이 개선되어야 하는가를 결정하는 데 아주 긴요하게 활용된다. 이 외에도 FMEA 의 장점으로는 여러 가지가 있지만, IEC 812 는 표 2-14 와 같이 정리하고 있다.

표 2-14  FMEA 의 장점 (IEC 812)

1. 개별적으로 발생하였을 때 수용할 수 없거나 중요한 영향을 미치는 고장을 구명하고, 기대되거나 요구되는 운용에 심각한 영향을 미칠 수 있는 고장모드를 결정한다.

2. 다음과 같은 사항에 대해 필요성을 결정한다.

- 중복성

- 고장발생시 고장나도 안전 (fail-safe) 한 결과의 발생확률을 증가시키는 설계구조

- 추가적인 감률 (derating) 이나 설계 단순화

3. 대안적인 재료, 부품, 장치, 구성요소들에 대한 선택 필요성을 결정한다.

4. 심각한 고장결과를 구명()하고, 설계 심사나 수정의 필요성을 결정한다.

5. 제품의 이례적인 운용조건의 확률을 평가하는 데 필요한 논리 모형을 제공한다.

6. 안전상의 위험성 및 책임영역, 또는 법규상의 비준수사항을 노출시킨다.

7. 시험 프로그램이 잠재적인 고장모드를 검출하는지 확인한다.

8. 마모고장을 예상하고 회피하는 가동주기를 설정한다.

9. 품질, 검사, 제조공정관리를 집중시킬 주요 영역을 찾아낸다.

10. 설계결함의 조기 구명에 의해 값비싼 수정을 회피한다.

11. 자료기록과 감시의 필요성을 결정한다.

12. 예방보전이나 사후보전점을 선택하거나, 문제해결 방안, 내장 시험장비, 적절한 시험점 등의 개발에 관한 정보를 제공한다.

13. 예를 들어 성능시험이나 신뢰도 시험과 같은 시험기준, 시험계획, 진단절차의 결정을 촉진하거나 지원한다.

14. 종종 변수편차와 관련된 고장모드에 대해 요구되는 최악상황분석 (worst case analysis) 이 필요한 회로를 구명한다.

15. 결함격리순서의 설계를 지원하고, 운용모드의 대안과 구조 재편계획을 지원한다.

16. 다음과 같은 정보교환을 촉진한다.

- 일반기사와 전문기사

- 장비 제조자와 공급자

- 제품 사용자와 설계자, 또는 제조자

17. 분석자의 지식과 연구분석 대상장비의 거동에 대한 이해를 향상시킨다.

18. 제품 설비의 연구분석에 대한 체계적이고 정밀한 접근방법을 제공한다.

반대로 단점도 소홀히 할 수 없다. 주요한 단점으로는 다음과 같은 것들이 지적된다.

- 부품수가 많아지거나, 고장의 영향이 크면 많은 시간과 노력이 소요된다.

- 원인과 결과 사이에 직접적인 연관관계가 없으면 복잡하고 방대하여 감당할 수 없게 되는 경우도 있다.

- 제품 내 상이한 부품들에 발생하는 결함들간의 다중 종속성이나 복잡한 상호작용을 고려하기에도 곤란하다.

- 제품에 미치는 영향을 정량화하기 위하여 균일한 근거를 제공할 수 있을 만큼 상세하지 못하다.

- 통상 인간과오나 환경적인 영향 등 공통모드고장 (common mode failure) 또는 공통원인고장 (common cause failure) 의 원인을 고려할 수 없다.

이런 점과 관련하여, 특히 제품 사용시의 위험성에 미치는 결과를 분석하기 위하여, 아예 FMEA 를 인간의 과오나 불안전행동의 분석에 활용하는 것을 오용 모드 및 영향분석 (Misuse Mode & Effects Analysis, MMEA) 또는 인간과오 모드 및 영향분석 (Human Error Mode & Effects Analysis, HEMEA) 이라고 한다.

표 2-15 는 자동차용 어린이 보호장치에 대한 MMEA 의 예로서, 발생율과 재해강도가 0 부터 10 까지의 평점으로 평가되는 한편, 위험 우선수 (Risk Priority Number ; RPN) 라는 척도는 개별적인 발생율 평점과 강도 평점의 곱으로 얻어진다.

표 2-15  자동차용 어린이 보호장치에 대한 오용모드 및 영향분석 (MMEA) 사례

오용모드 및 영향분석
제 품 명 : 자동차용 어린이 보호장치 번호 : CA82-35E
공급자 성명 : 김이박 용지 : -3257
부품/기능	잠재적 오용모드	오용의 영향	오용의 원인	최초 평가			취해진 조치	재평가			요구되는 후속조치
				발생	강도	RPN		발생	강도	RPN
1) 잠금기구	잠금장치가 작동되지 않는다	좌석외형이 세워진 자세에서 눕혀진 자세로 넘어질 수 있다	잠금기구의 자동 작동 부재	7	8	56	스프링이 장착된 잠금 기구	0	0	0	없음
2) 자동차 안전띠의 조임쇠와 틀의 접촉 부분	조임쇠가 틀위에 놓여질 수 있다.	충돌시 조임쇠가 파괴될 수 있다.	틀이 좌석 바닥과 등받이의 교차부분에 너무 가깝다.	7	9	63	교차선으로부터 거리가 15 mm 가 되도록 틀의 재설계가 요구된다.	0	0	0	없음
발생 가능성 강도 (안전에 대한 영향) 날짜 : 오용 없음 = 0 안전에 영향 없음 = 0 오용이 있을 것 같지 않음 = 1 주목할 만한 영향 없음 = 1 비교적 오용이 거의 없음 = 2 - 3 중요하지 않은 고장 = 2 - 3 가끔 오용 = 4 - 6 보통의 고장 = 4 - 6 반복되는 오용 = 7 - 8 심각한 고장 = 7 - 8 거의 불가피한 오용 = 9 - 10 매우 심각한 고장 = 9 - 10 서명 :

결과적으로 이 기법은 부품의 수가 증가함에 따라 많은 노력이 든다는 단점은 있지만, 특별한 교육을 받지 않고도 제품의 위험성을 분석할 수 있다는 점에서 널리 활용되고 있는 것이다.

한편, 형식상으로는 대체로 이미 앞에서 보아 왔던 위험성 분석기법들, 즉 PHA, FHA, SHA 등과 비슷하기 때문에, 하부 시스템 위험성 분석 (Subsystem Hazard Analysis; SSHA) 이나 시스템 위험성 분석 (System Hazard Analysis; SHA) 에도 많이 이용된다.

더욱이 치명도 분석 (Criticality Analysis, CA) 와 함께 고장모드, 영향, 및 치명도 분석 (Failure Mode, Effect, and Criticality Analysis, FMECA) 를 구성하여 이용되는 것도 추진되어 왔다. 이렇게 하면 고장 간격이나 확률을 추정할 수 있기 때문에 특히 항공분야에서 보전주기 (maintenance interval) 와 요구사항을 결정하는 데 널리 이용되고 있다.

분석결과는, 자료의 확보와 구체성으로 인하여, 제품의 구체적인 설계안이 확정되어 관련자료가 풍부해지고 수정될 때마다 최신정보를 활용하여 제품 특성에 맞게 새로이 수정되어야 한다.

분석경험을 지원하기 위하여 현재까지 개발되어 소개된 소프트웨어로는 CARA (Technica, Inc., Columbus, Ohio), FMEA-PC (Primatech, Inc., Columbus, Ohio), HAZOPtimizer (A.D.Little, Cambridge, Massachusetts), SAFEPLAN (Du Pont, Westlake Village, California) 등이 있다.

(3) HAZOP (Hazard and Operability Study)

1) 개요

이 분석의 기본 전제는, 제품이 원래 설계된 대로 작동하는 한 근본적인 위험성이나 운용상의 문제는 없다는 것이다. 그러나, 만일 무엇인가의 이유로 인해 이상요인이 발생하게 되면, 제품이 그 충격을 감당할 수 있느냐 없느냐에 따라 사고가 발생한다는 것이다.

이 기법은 영국의 임페리얼 화학공업주식회사 (Imperial Chemical Industries Ltd., ICI) 에서 개발되어 미국 화공기술자협회 화학공정안전센터 (American Institute of Chemical Engineers  Center for Chemical Process Safety) 에서 정리된 기법으로서, 여러 전문분야의 구성원들로 이루어진 분석 팀이 조직적으로 난상토론 (brainstorming) 을 하는 과정에서 시스템의 위험요소들과 운용상의 문제점을 구명하는 것이다.

방법론과 분석내용으로 보아서는 앞에서 살펴 본 What If 분석과 크게 다르지 않지만, 분석을 연구 절점 (study nodes) 이라고 하는 특정부분에 집중시키며, 지침어 (guide words) 라고 하는 독특한 분석지침을 도입하기 때문에 좀 더 조직적이고 체계적으로 분석을 할 수 있다는 점에 차이가 있다.

그러므로 HAZOP 의 분석목적은 다음과 같이 정리될 수 있다.

- 의도된 설계기능이나 조건 등을 포함하여, 제품이나 시스템의 상세한 설명을 제공한다.

- 시스템이나 제품의 모든 부분을 체계적으로 검토함으로써, 설계의도로부터의 일탈이 어떻게 발생하는가를 파악한다.

- 이러한 일탈들이 위험이나 사용상의 문제들을 초래할 수 있는지 결정한다.

HAZOP 에서는 기본적으로, 제품의 기능특성이 제품의 상태변수를 통해 표현되어야 한다. 제품의 상태변수 (process parameters) 란 제품의 기능이나 운용상태를 나타내기 위한 물리적 변수들을 말하는데, 표 2-16 에서 보는 바와 같이 온도, 습도, 압력, 유속, 반응속도 등이 그 예이다.

표 2-6  HAZOP 분석시 공정변수들의 예

흐름 압력 온도 수준	시간 구성 산성도 (pH) 속도	빈도 점도 전압 정보	혼합 추가 분리 반응

2) 분석절차 및 내용

HAZOP 의 분석순서는 What If 분석의 그것과 크게 다르지 않다.

목적 및 분석범위의 설정

분석목적과 범위를 결정한다. 지나치게 많은 분석 대상은 많은 노력을 필요로 하기 때문에, 보통은 위험성이 높다고 판단되는 부분을 선정하여 분석을 집중하는 것이 보통이다.

분석 팀의 구성

분석 팀은 학제간 연구가 가능하여야 한다. 이것은 최초 ICI 사에서 규정한 HAZOP 의 정의에서도 분명히 규정하고 있는 사항이다. 그러므로 분석 팀은 전문가들이 참여하여야 하고, 아울러 관리가능하여야 하기 때문에 대체로 57 인 정도로 유지하는 것이 중요하지만, 작은 제품의 경우에는 경험많은 전문가 23 인으로도 가능하다.

분석팀의 구성원이 분석에 전념할 수 있도록 하기 위해서는 기록이나 보고서 작성을 위한 인원이 추가적으로 필요할 수도 있다.

예비조사

예비작업은

- 필요한 자료의 획득

- 획득된 자료를 적절한 형태로 전환하거나 분석하기 위한 절차의 수립

- 회의일정의 계획

으로 진행되는 것이 보통이다.

HAZOP 을 실시하기 위해서는 사전에 대상 제품에 대하여 충분히 숙지하고 있어야 한다. 또한 제품변수를 파악하고 그 결과를 예측하기 위해서는 제품설계도, 사용절차, 공정 흐름도 등 상세한 공정설명과 관계자료를 확보하고 있어야 함은 말할 나위도 없다. 이 때 확보되고 검토되어야 하는 자료들은 다음과 같다.

- P&IDs

- 제품설계도

- 제품흐름도

- 선형 다이어그램

- 제품설명

- 사용설명서/절차

- 제품재료정보 및 규격

여기에 논리 다이어그램 등이 추가될 수도 있다.

난상토론의 실시

팀 구성원들이 함께 모여 난상토론을 한다. 난상토론 (brainstorming) 의 주된 장점은 팀 구성원들의 다양한 전문지식과 의견교환을 통하여 창조력과 상상력을 자극하여 다양한 아이디어를 만들어낸다는 점이다.

이 때, 분석 및 검토대상은 보통 연구 절점 (study node) 이라고 부르는 제품변수들의 일탈이 조사될 제품 구조 및 기능상의 위치를 말한다. 또한 여기에서 말하는 일탈 (deviation) 이란 지침어를 체계적으로 적용시킴으로써 발견되는, 의도된 기능으로부터 벗어남을 가리킨다.

지침어 (guide word) 란 HAZOP 만이 가지고 있는 독특한 기법으로, 난상토론을 통해 쉽게 일탈을 발견할 수 있도록, 의도된 기능을 정성화 또는 정량화하는 데 사용되는 간단한 용어들을 말한다. 각 지침어는 공정변수들과 적절히 결합될 수 있으며 연구절점, 제품의 일부, 사용단계 등 어떤 대상점에 대해서도 활용될 수 있다. 예를 들어 표 2-17 과 같은 결합이 가능하다는 뜻이다.

표 2-17  HAZOP 지침어의 예

지침어	운용상의 일탈
없음 (None)	흐름 없음 No Flow 역류 Reverse Flow 무반응 No Reaction
과다 (More)	과다 흐름 Increased Flow 과다 압력 Increased Pressure 과다 온도 Increased Temperature 과다 반응률 Increased Reaction Rate
과소 (Less)	과소 흐름 Reduced Flow 과소 압력 Reduced Pressure 과소 온도 Reduced Temperature 과소 반응률 Reduced Reaction Rate
부분적 (Part of)	재료 유입률의 변경 Change of ratio of materials presents
대등한 (As well as)	대체 재료 Different Materials presents
기타 (Other)	비정상 공정조건 Different Plant Conditions from normal operation

그러므로 공정변수들의 종류와 성격에 따라 많은 지침어들이 만들어질 수도 있고, 그렇지 않을 수도 있다. 예를 들어 온도의 경우에는 적정온도 이상 혹은 이하의 두 가지만 있을 뿐이다. 반면 어떤 변수들에 대해서는 이 지침어들이 적절하지 않을 수도 있으므로 약간의 수정을 가하여 활용하기도 한다.

분석결과의 기록

난상토론을 통하여 얻어지는 결과로는

- 발견된 위험요소 또는 제품 사용상의 문제

- 안전성 향상을 위해 수행되어야 하는 설계 및 사용절차의 수정사항

- 미진한 분석결과를 보완하기 위하여 수행되어야 하는 심층분석

등을 들 수 있다.

이 결과들 역시 표를 이용하여 정리하는 것이 보통인데 표 2-18 는 그 전형적인 양식을 보여주고 있다.

표 2-18  HAZOP 분석용지의 예

HAZOP
분석팀 :					도면번호 :
날 짜 :					수정번호 :
품목번호	일탈		원인	결과	안전장치	조치

3) 분석사례

표 2-19 역시 What If 분석에서 보았던 DAP (Diammonium phosphate) 반응기에 대한 분석 사례이다. 이미 밝힌 바와 같이 이 공정에서는 인산 (phosphoric acid) 용액과 암모니아 용액이 제어밸브에 의해 통제되는 파이프를 통해 교반기에 투입되며, 이 두 용액은 서로 반응하여 DAP 를 형성하게 된다. 이 때 발생할 수 있는 규정치로부터의 일탈과 그 영향을 평가하는 것이다.

4) 기타사항

제품은 운용하는 도중에도 여러 가지 이유로 인해 크고 작은 수정이 가해지게 된다. 이러한 제품의 변경은 제품의 기능변화는 물론 동시에 기능장애나 사고의 가능성도 도입되기 때문에, 이 기법은 제품을 수정하거나 보정을 하는 경우 권장할 만한 도구로 알려져 널리 활용되고 있다.

분석을 위해 이 정도의 변수들을 파악하고 있자면 적어도 공정흐름 다이어그램 (Process Flow Diagram, PFD), 파이프 및 기기 다이어그램 (Pipe and Instrument Diagram, P&ID) 가 결정된 단계에서 실행되어야 한다. 그러므로 HAZOP 은 설계단계나 운용단계 중 어느 때에도 수행될 수 있지만, 가장 좋은 시기는 제품 설계가 상당히 완성되었을 때이다. 새로운 제품에 대해서는 설계가 거의 완성된 시점에서 실시하는 것이 좋고, 기존공정에 대해서는 재설계가 계획되는 단계에서 실시하는 것이 좋다.

현재 알려져 있는 소프트웨어로 HAZOP 분석을 지원하는 것으로는

- CAHAZOP (NUS Corp., San Diego, California)

- HAZOP-PC (Primatech, Inc., Columbus, Ohio)

- HAZOPtimizer (A.D.Little, Cambridge, Massachusetts)

- HAZSEC (Technica, Inc., Columbus, Ohio)

- HAZTEK (Westinghouse Electric Corp., Pittusburgh, Pennsylvania)

- LEADER (JBF Associates, Inc., Knoxville, Tennessee)

- SAFEPLAN (Du Pont, Westlake Village, California)

등이 있다.

표 2-19  DAP 반응기에 대한 HAZOP 사례

HAZOP
분석팀 : HAZOP Team #3				도면번호 : 70-0BP-57100
날 짜 : 12 / 27/ 99				수정번호 : # 2
품목번호	일탈	원인	결과	안전장치	조치
1.0 용기 - 암모니아 용액 저장 탱크. 상온 상압에서 암모니아 저장
1.1	과다 수준	암모니아 저장 탱크내에 적절한 공간이 없는데 투입구에서 암모니아 투입 암모니아 저장 탱크 수준표시기가 과소표시	암모니아의 잠재적 대기방출	저장탱크에 수준표시기 대기로 난 암모니아 저장 탱크의 릴리프밸브	투입전 저장 탱크에 적절한 공간이 있는지 확인하는 암모니아 투임 절차 검토 릴리프밸브 방출기를 세정기로 보내는 방안을 검토 암모니아 저장 탱크에 과다수준 경보기를 독립적으로 추가설치하는 방안 검토
2.0 라인 - DAP 에 암모니아 공급.
2.1	과다 흐름	암모니아 공급라인의 밸브가 고장으로 열림 흐름표시기가 고장으로 과소표시 운용자가 암모니아 유출속도로 과다책정	반응하지 않은 암모니아가 DAP 저장탱크로 운반되어, 결국에는 작업장에 유출됨	밸브의 정기보전 암모니아 감지기 및 경보	반응기에 암모니아 과다유입에 대하여 추가적인 경보/제품 차단 방안 검토 밸브가 적절한지 정기검사와 보전을 확인 적절한 환기가 이루어지고 있는지 확인 밀폐된 DAP 저장 탱크의 사용 검토

(4) MORT

1) 개요

경영소홀 및 리스크 수목분석 (Management Oversight and Risk Tree ; MORT) 이라 불리는 이 기법은, 원래 원자력 산업분야에서 이미 상당 수준 안전이 확보되어 있는 제품에 대하여 더욱 고도의 안전을 달성할 목적으로, 1980 년에 미국 에너지 연구개발청 (ERDA) 의 Johnson 등에 의해 개발된 새로운 제품 안전 프로그램이다.

이 기법은

- 안전과 관련된 경영소홀, 과오, 생략사항의 예방

- 잔존 리스크의 구명 및 평가와, 적절한 관리활동 수준의 참조

- 안전 프로그램과 구체적인 제어사항에 대한 안전자원의 최적 할당

등을 통하여

- 특정한 사고의 분석

- 안전관리 프로그램의 평가

- 시스템이나 제품의 운용준비도 (operational readiness) 검토

등에 유용한 기법이다.

형식상으로는 나무 모양의 분석 도구를 기본으로, FTA 와 동일한 논리기호를 이용해서 관리, 설계, 생산, 보전 등 기업경영 차원에서 제품의 안전과 관련된 광범위한 요인들을 검토한다.

2) 분석절차 및 내용

수목을 구성하는 맨 위에는 분석하고자 하는 바람직하지 않은 사상, 다시 말해 제품사용 중의 사고가 기입된다. 결함수목분석 (FTA) 의 경우와 마찬가지로, 정상사상의 발생에 영향을 미치는 몇 가지 기본 원인들의 논리적 결합으로 분해되고, 원인이 되는 요소들은 다음 하위수준에 나열되며, 그 사이는 논리 기호로 연결된다. 원인 요소들은 다시 그 다음 하위 수준의 기본 원인들의 논리적 결합으로 분해된다.

이 때마다 각 원인요소들의 분할은, 미리 준비된 98 개의 기본적인 질의와 원인요소에 의해 세분되어 가는데, 최대 약 1,500 여 개의 원인요소로 세분되기도 한다.

기본적인 질의는 각 사항마다 그림 2-5 에서 보는 바와 같이, 사전에 정해진 양식에 따라 진행된다. 예를 들어 에너지 원에 대한 기본적인 고려사항으로서는 표 2-20 와 같은 사항에 대한 질문들이 주어지며, 이에 대해 해당되는 것이 있으면, 다시 다음 하위 수준의 수목가지가 추가되는 것이다.

그림 2-5  MORT 분석에서의 표준검토 사항

표 2-20  고려되어야 하는 에너지 원

전기적 원자력 질량, 중력, 위치 압력-부피 운동-선형 운동-회전 부식	폭발-자연발화성 독극물-병원학적 연소성 열적 알파, 베타, 감마 선 음향 노출 열적 복사

3) 분석사례

이 기법에 대해서는 특별히 분석사례를 들 필요가 없다. 모든 분석사례가 같은 분석항목, 분석 요인을 중심으로 확인되어야 하기 때문에, 각 사례의 상황에 따라, 특정 요인이 해당되는가 되지 않는가 여부에 따라 해당가지의 분지가 결정될 뿐, 기본적으로는 모두 같기 때문이다. 그림 2-5 는 최상위 수준의 주요 검토사항을 나타내는데, 분석시의 검토사항은 각 사상 아래로 계속 확장되어 총 1500 여 가지의 사항들을 검토하게 된다.

4) 기타사항

최종적으로 얻게 되는 것은 단순한 제품의 안전성 향상이 아니라, 시스템이나 제품의 안전관련사항을 개선하기 위하여 조치하여야 하는 사항들의 집합이다. 그러므로 이 기법은 경영상의 체질적 안전을 도모하기 위한 것이며, 결과적으로 품질경영, 환경경영과 관련하여 시사하는 바가 많다.

그러나 이미 밝힌 바와 같이 기본적 검토사항의 우수성에 비해 검토항목이 원칙적으로 지나치게 많아, 현대에는 간략화된 형태의 약식기법이 활용되는 경향이 높다.

(5) 미주회로 분석 (Sneak Analysis)

1) 개요

제품이 원활한 기능을 수행하기 위해서는 제품의 기능을 제어하는 시스템이 잘 구성되어 있어야 함은 말할 필요도 없다. 그러나 제품이 복잡해질수록 부품들간의 상호관계가 미묘해져서 비전문가가 이해하기에 극히 어려운 부분이 많아졌다. 그 결과, 제품에 따라서는 사용도중의 부식이나 기능열화 등 뜻하지 않은 요인에 의해 제품이 원하지 않는 때에, 원하지 않는 방식으로 작동하여 재해사고를 초래하는 경우도 있다. 이렇게 제품 설계자의 의도와 관계없이 흐르는 전류를 미주전류 (sneak current) 라고 하며 이 때 형성된 회로를 미주회로 (sneak circuit) 라고 한다.

이 분석은 특히 설계단계에서 다음과 같은 사항들을 검토한다.

- 설계상의 과오 : 설계자는 예측하지 못한 미주경로의 발견

- 양립성이 결여된 설계 : 서로 다른 설계자나 설계조직에 의해 제공되는 하부 시스템들간의 양립성이 결여될 수 있는 설계

- 설계변경의 영향 : 미주회로가 발생할 수 있는 경로가 생성되는가의 여부

이 기법은 여러 가지 무기 시스템 연구에서 출발하였는데, 점차 그 분석의 중요성이 인식되어 군대뿐만 아니라, Boeing 사나 General Dynamics 사 등 항공우주산업 분야에서 널리 이용되고 있으며, 더욱이 항공기의 수용능력과 사고로 인한 잠재 손실비용이 증가함에 따라 더 활발히 보급될 것으로 기대된다.

2) 분석절차 및 내용

일반적인 분석절차는 다음과 같다.

1. 제품내의 미주회로로 인하여 발생했을지도 모르는 과거의 사건 및 사고들을 확인한다. PHA 나 FMEA, FTA 등의 분석양식을 이용하여 이전에 발생하였던 사건이나 사고 등 바람직하지 않은 모든 사상들을 확인한다.

2. 블록 다이어그램, 도식적 그림, 인터페이스에 대한 완벽한 목록, 제품 사용간격 및 부품 그리고 용도변경에 이용되는 회로, 그리고 각 부품의 기능과 운용들에 대한 상세한 목록 등 심층분석에 필요한 자료들을 검토한다.

3. 전반적인 분석이 점 더 용이하게 이루어질 수 있도록 회로에 분할점을 표시한다.

4. 직선도 (straight line topograph) 등을 이용하여 부분적인 회로를 가장 간단하게 나타냄으로써, 회로분석에 대한 단서를 찾아낸다.

5. 각각의 경로들에 대하여 그 출발점과 도착점들을 나타내고 참조번호를 부여한다.

6. 필요하다면 모든 부품과 신호경로를 포함하도록 하여 자료들을 컴퓨터에 입력할 수 있는 형태로 부호화한다.

7. 시스템에 대한 모든 연결점의 연속적인 경로를 평가할 수 있도록 적합한 소프트웨어를 이용하여 자료들을 처리한다.

8. 미주회로의 단서를 이용하여 미주전류의 문제를 확인하고, 대책을 수립한다.

3) 분석사례

그림 2-6 은 자동차 전기계통에서의 미주회로 사례를 보여준다. 자동차에서 전류가 흐를 수 있는 곳은 라디오 뿐만 아니라, 그림에서 보듯이 전원, 발전기, 배터리, 점화 스위치 등 매우 다양하다. 그러므로 이런 상황에서 자칫 전류가 누설되어 미주전류가 흐르게 되면, 점화 스위치를 켜려고 하는 순간에 브레이크 등(brake lamp), 라디오, 파워 윈도우, 와이퍼 등의 모든 전기기기가 작동할 수도 있다는 것을 나타낸다.

그림 -6  자동차 전기계통에서의 미주회로 사례

4) 장단점 및 용도

이 분석기법의 주요 이점으로는 다음과 같은 것들을 들 수 있다.

- 사용에 앞서 시스템의 사용 신뢰도, 가용도, 안전도에 대한 신뢰감을 개선

- 시험, 설계변경, 수명주기 비용의 감소

- 결함/고장 분석의 보완

- 시스템 하드웨어에 대한 전반적 견해를 제공

- 공통원인고장 때문에 발생할 수 있는 미주회로 문제의 확인

이 기법은 결국 하드웨어에 내재되어 있을 수 있는 미주회로 중의 미주경로 (sneak paths) 를 찾아내어 그 대책을 수립하기 위한 것이다. 따라서 대략 절점이 20 여 개 이내인 회로에 대해서는 전문가에 의해 분석할 수 있으나, 그 이상인 경우에는 경로를 모두 구명한다는 것이 사실상 불가능하여서 일반적으로 관련 지원도구에 의존하지 않으면 안 된다.

그러나, 최근의 제품이나 기기들이 모두들 전기전자 계통의 제어회로에 의하여 제어되고 있다는 점을 염두에 둔다면, 앞으로 시스템이나 제품이 복잡해질수록 미주회로의 중요성은 더욱 부각될 것이므로 기법의 활용가치도 높다고 볼 수 있다.

(6) 중복고장 행렬법 (Double Failure Matrix ; DFM)

1) 개요

대부분의 위험성 분석기법은 하나의 부품이 고장나는 것을 다룬다. 이렇게 하나의 부품이 고장이 나는 것을 단일고장 (single failure) 이라고 하는 반면, 두 개의 부품이 동시에 고장나는 것을 중복고장 (double failure) 이라고 하고, 또 더 많은 부품이 동시에 고장나는 것은 다중고장 (multiple failure) 이라고 한다.

중복고장 행렬법은 이 중 두 개의 부품이 동시에 고장나는 상황의 위험성을 행렬형식의 표를 이용하여 분석하는 기법이다.

이 기법도 역시 제품 정의단계나 초기설계단계에서 여러 개의 제품 설계대안들 (alternatives) 을 비교, 분석하는 데 활용되는 기법이다.

2) 분석절차 및 내용

구체적인 분석내용으로는, 각 부품이 고장날 수 있는 고장모드를 구명하고, 그것들이 동시에 발생하였을 때 전체 제품에 어떤 위험을 초래하는가를 위험범주에 근거하여 정성적으로 비교, 분석한다.

3) 분석사례

그림 2-7 은 모터에 연료를 공급하는 장치를 나타낸 것인데, 블록 밸브 A, B 는 모두 전면 개방되거나 전면 폐쇄되는 기능만 가지고 있는 반면, 제어 밸브 A, B 는 모두 부분적인 개방과 폐쇄가 가능하여 연료의 공급량을 조절할 수 있다고 하자.

그림 2-7  연료공급장치 모식도

또, 이 때 각 밸브의 고장은 개방고장과 폐쇄고장의 두 가지로 나타날 수 있으며, 고장상태의 위험등급은 MIL-STD-882 의 위험범주에 따라 4 개 등급으로 나누었다고 가정하자. 그 결과 필요할 때 연료공급이 중단되면  등급재해, 연료공급이 중단되지 않아 과잉공급이 되면  등급 재해가 된다고 하자.

특히, 이 제품의 경우에는 제품의 특성상 분석의 정밀도를 높이기 위하여, 두 번째 부품고장에 의해 등급 (치명적, 과잉공급) 고장으로 발전할 우려가 있으므로 A, 두 번째 부품고장에 의해 등급 (파국적, 공급중단) 고장으로 발전할 우려가 있는 경우에는 B 라고 구분하여 평가하기로 하였다고 하자.

이렇게 준비가 되면, 표 2-21 와 같은 행렬을 준비한다. 보다시피 가로축에나 세로축에나 부품들을 나열하고, 각 부품 밑에는 고장의 형태를 기입한다. 표에서 Open, Closed 라고 표기된 것이 그것에 해당하는데, 각각 해당밸브가 개방형 고장, 즉 연료가 과잉공급되는 고장, 아니면 폐쇄형 고장, 즉 연료가 중단되는 고장을 가리킨다.

표 2-21  연료공급장치 설계대안의 DFM 분석

		BVA		CVA		BVB		CVB
		Open	Closed	Open	Closed	Open	Closed	Open	Closed
BVA	Open	A 한 가지			B	A	A 또는 B	A	A 또는 B
	Closed		B 두 가지	B	B	A 또는 B		A 또는 B
CVA	Open		B	A 한 가지		A	A 또는 B	A	A 또는 B
	Closed	B	B		B 두 가지	A B		A 또는 B
BVB	Open	A	A 또는 B	A	A 또는 B	A 한 가지			B
	Closed	A 또는 B		A 또는 B			B 두 가지	B	B
CVB	Open	A	A 또는 B	A	A 또는 B		B	A 한 가지
	Closed	A 또는 B		A 또는 B		B	B		B 두 가지

분석결과, 전체 발생가능한 상황중 범주 에 해당하는 것은 몇 회, 범주  에 해당하는 것은 몇 회,  이렇게 집계하여 비교하면 된다.

4) 기타사항

기법의 논리는 단순하지만, 각 상황에서 발생하는 위험성을 평가하는 데 많은 노력을 필요로 하는 기법이다. 그래서 이 기법은 제품의 구성이 복잡하지 않은 비교적 단순한 구조에만 적용된다.

2-4. 정량적 분석 기법

정성적인 분석기법들과는 달리 정량적인 기법은 제품의 안전성을 분석하는 데 수량화된 척도를 사용한다. 이러한 특성은 계산상의 난점은 있으나, 비교가 용이하고 민감도 분석 (sensitivity analysis) 등 컴퓨터 분석을 도모할 수 있다는 점에서 시대적인 요구를 충족시킬 수 있다는 장점이 있다.

정량적인 분석에도 여러 가지 기법이 있다. 구조의 형태가 축약가능 (reducible) 한가 그렇지 못한가에 따라 기본적인 부품 자료들로부터 제품의 신뢰도나 가용도를 예측하기 위하여, 단순한 부울 대수 (Boolean Algebra) 기법, 진리표 (truth table), 그리고 경로집합 (path set) 과 절단집합 (cut set) 분석이 활용될 수 있다.

(1) 부품계수법 (Part Count Approach)

1) 개요

하나의 부품이 고장나면 모든 제품이 고장나는 것이라고 가정하는 것은 아마 가장 단순하면서도 가장 보수적인, 다시 말하자면 가장 비관적인 가정일 것이다. 하지만, 이것만큼 현실적인 가정도 없다.

제품의 고장이란 보는 사람에 따라 대수롭지 않은 고장일 수도 있고, 아주 심각한 고장일 수도 있다. 이런 측면에서 본다면, 제품의 어느 부품이라도 고장나면 그것은 곧 제품이 100% 성능을 발휘할 수 없다는 점에서 이 기법은 제품 고장이라고 간주한다. 이렇게 정의하면, 제품 전체의 고장률은 각 구성부품의 고장률을 모두 합산함으로써 계산될 수 있다.

분석시기로는, 제품 고장률의 근사값을 얻기 위하여 제품 정의단계나 초기 설계단계에서 활용되는 것이 보통이다.

2) 분석절차 및 내용

제품의 최대 고장률 (failure rate) 을 구하는 방법은 간단하다. 즉, 제품 내의 부품들을 나열하고, 그 옆에 각 부품의 고장률을 나열한다. 그리고 나서 각 부품의 고장률을 모두 합하면 제품의 고장률을 얻을 수 있다. 이 때 고장률은 고장확률 (unreliability) 이 될 수도 있고, 비가용도 (unavailability) 가 될 수도 있다. 물론, 그 값들이 작고 부품수가 그다지 많지 않을 때에 한정된다.

3) 분석사례

어떤 오디오 기기 안에 앰프가 두 대 배치되어 있다고 하자. 또, 앰프 A 의 고장확률은 110-3 이고 앰프 B 의 고장확률도 110-3 이라고 하자. 즉,

[eqn: f_A = 1 times 10^-3 , ~~f_B = 1 times 10^-3]

이다.

이런 경우, 부품 계수법에 의한 제품의 고장확률은 앰프의 구조에 관계없이

[eqn: f_A + f_B = 1 times 10^-3 + 1 times 10^-3 = 2 times 10^-3]

이 된다.

여기에서 주의하여야 할 것은 제품의 물리적 구조가 병렬구조라 하더라도 분석은 직렬구조와 동일하다는 점이다. 결과적으로 부품계수법은 제품을 아주 비관적으로 보고 있으며, 추정되는 고장확률이나 고장률도 과대평가된다는 것을 알 수 있다.

4) 기타사항

이 기법은 제품 내에 아주 치명적인 부품이 제품 내의 곳곳에 여러 개가 중복적으로 존재한다면 해석하는 데 어려운 문제점이 발생하지만, 그래도 제품의 특성을 간단히 파악하는 데에는 매우 우수하므로 민감도 분석에 곧잘 이용된다.

(2) 성공경로모형 (Success Path Model)

1) 개요

제품을 하나의 회로로 생각하면 입력으로부터 출력까지 끊어지지 않고 원활히 연결되는 것이 제품의 정상적인 기능이라고 할 수 있다. 그런데 만약 회로가 도중에 끊어진다면, 다시 말해 제품의 원활한 흐름이 도중에 어디선가 막혀 버린다면 제품은 고장나는 것이다. 이런 의미에서 제품을 고장나게 하는 구성요소들의 집합을 절단집합 (cut set) 이라고 하며, 반대로 제품의 원활한 수행을 위하여 필요한 구성요소들의 집합을 경로집합 (path set) 이라고 한다.

성공경로모형은 이와 같이 제품이 정상적으로 작동하는 데 필요한 요소들을 나열하고, 그 요소들이 정상적으로 작동할 확률을 계산하여 제품의 성공적 작동확률을 구함으로써 제품의 고장확률을 평가하는 방법이다.

분석시기로는, 제품이 정상적으로 작동하기 위한 경로를 파악하고 있어야 하므로 제품의 구성이 어느 정도 구체화된 시점, 즉 제품 정의 및 개발단계에서 실시되는 것이 보통이다.

2) 분석절차 및 내용

제품이 정상적으로 작동하기 위해서는 어떤 순서로, 어떤 동작이 발생하여야 하는가를 나열한다. 이것을 성공경로 (success paths) 라고 한다. 다음에는 각 경로를 구성하는 단위동작들의 정상적 작동확률을 설정한다. 이것은 기존의 신뢰도 시험이나 축적된 고장관계자료를 이용하는 것이 보통이다. 마지막으로는 각 단위동작들의 발생이 통계적으로 독립이라는 가정 하에, 확률들의 곱을 구하여 신뢰도를 추정한다.

3) 분석사례

그림 2-8 과 같이 두 개의 밸브로 이루어진 내연 기관이 있다고 하자.

그림 2-8  두 개의 밸브를 갖는 내연 제품

먼저 제품이 정상적으로 작동하기 위해 필요한 조건을 검토한다. 이 제품의 경우에는 다음과 같은 조건이 충족되어야 한다고 가정하자. 즉,

- 제품의 작동은 2 단계로 이루어진다.

- 각 단계에서 최소한 하나의 밸브가 개방되어야 한다.

- 각 단계의 종료점에서 두 밸브는 모두 닫혀야 한다.

다음에는 이러한 조건을 만족시키는 경로를 검토한다. 이 제품에는 다음과 같은 3 가지의 경로가 생각될 수 있는데, 밸브의 상태는 닫히고 열리는 경우밖에 없으므로,

[eqn: R subo sup i ~: i ```번째 ~밸브가~열릴~확률,~i=1,2## R subc sup i ~: i ```번째 ~밸브가~닫힐~확률,~i=1,2]

라고 표시하기로 하면,

경로 1 : 두 밸브가 두 단계 동안 모두 정상적으로 작동하는 경우

1 단계 밸브 1 과 밸브 2 가 열리고, 1 단계가 종료되면 두 밸브 모두 닫힌다. 2 단계가 되면 다시 두 밸브가 모두 열리고, 2 단계가 종료되면 다시 두 밸브가 모두 닫힌다.

[eqn: R_p1 = (R_o R_c )^4]

경로 2 : 1 단계 초기에 이미 하나의 밸브가 열리지 않는 고장이 발생한 채, 다른 밸브 하나만 정상적으로 2 단계 동안 열렸다 닫혔다 하는 경우이다.

[eqn: R_p2 = 2(1-R_o ) (R_o R_c )^2]

경로 3 : 1 단계 초기에는 두 밸브가 모두 정상적으로 작동하지만, 2 단계가 시작될 때 밸브 하나가 고장나서 나머지 밸브 하나만 정상적으로 작동하는 경우이다.

[eqn: R_p3 = 2(1-R_o ) (R_o R_c )^3]

결과적으로 제품의 총 신뢰도는

[eqn: R=&R_p1 + R_p2 + R_p3 # = &(R_o R_c )^4 + 2(1-R_o ) (R_o R_c )^2 + 2(1-R_o ) (R_o R_c )^3]

가 된다.

4) 기타사항

이 기법을 이용하려면 사전에 성공경로를 구체적으로 파악하고 있어야 한다는 부담이 있는데, 실제로 제품이 조금만 복잡해지면 제품의 성공적 경로를 사전에 파악한다는 것이 어렵기 때문에, 제품의 구조와 기능을 쉽게 파악할 수 있는 간단한 제품에 적용된다.

(3) 신뢰도 블록 다이어그램 분석 (Reliability Block Diagram Analysis)

1) 개요

신뢰도 그래프 분석 (Reliability Graph Analysis) 이라고도 불리는 이 기법은, 제품의 설비나 구성요소를 각각 하나의 블록으로 나타내고, 제품의 기능논리를 이용해 구성요소 상호간을 연결시켜서, 제품의 정상작동확률과 작동경로를 파악하는 기법이다. 그러므로 연역적이고 하향성 (top-down) 접근기법이라는 특성을 갖는다.

이 기법은 제품의 구조가 구체화되고 구성요소들에 대한 자료를 활용할 수 있는, 제품의 정의단계 후반이나 개발단계에서 활용한다.

2) 분석절차 및 내용

정성적인 분석에는 여러 가지 기법들이 활용될 수 있다. 첫 번째 단계는 제품의 성공적 작동을 정의하는 것이다. 두 번째 단계는 분석목적에 맞게 제품을 적절히 몇 개의 기능적 블록으로 분해하는 일이다. 이 때 어떤 블록들은 제품을 구성하는 하부 시스템을 나타낼 수도 있으며, 이 하부 시스템은 다시 다른 신뢰도 블록 다이어그램으로 표현될 수 있다.

다음 단계에서는 성공경로를 형성하는 블록들을 연결하는 다이어그램을 구성한다. 입력항과 출력항을 연결하는 다양한 경로는 시스템이 기능하기 위하여 반드시 작동하여야 하는 블록 조합들을 지나가게 된다.

끝으로, 구성된 다이어그램을 근거로, 각 블록들의 신뢰도 (reliability) 로부터 제품 전체의 신뢰도를 계산한다. 만약, 제품이 수리가능한 시스템이라면, 신뢰도 대신에 가용도 (availability) 를 이용한다.

이 때 시스템의 블록 다이어그램이 그림 2-9 과 같이 축약가능한 (reducible) 구조를 가지고 있다면, 블록들을 축차적으로 간략화시켜 가면서 신뢰도를 계산하고, 만약 그렇지 못하다면 조건부 확률 규칙 (Conditional Probability Rule) 이나 부울 진리표 (Boolean Truth Table), 혹은 몬테카를로 시뮬레이션 (Monte Carlo Simulation) 기법을 이용하는 것이 일반적이다.

그림 2-9

위의 다이어그램은, 점선으로 표현된 4 개의 블록 집단 [eqn: X1, ~X2, ~X3,] 그리고 [eqn: X4] 로 분할하여 각각의 신뢰도를 평가하면, 그림 2-10a 에 보여진 것처럼 하나로 축약될 수 있고, 이것은 다시 그림 2-10b 와 같이 축약될 수 있다.

그림 2-10 (a)

그림 2-10 (b)

그러므로 최종 시스템 신뢰도는 다음과 같이 주어진다.

[eqn: R_S = R_X1 R_X2 +R_X3 R_X4 -R_X1 R_X2 R_X3 R_X4]

3) 분석사례

그림 2-11 은 의료기기인 심장보조장치의 신뢰도를 계산하기 위한 신뢰도 블록 다이어그램의 예를 보여준다. 심장보조장치의 고장은 환자의 생명과 직결되는 문제이기 때문에, 제품의 신뢰도를 항상 최고의 상태로 유지할 필요가 있으므로, 의료기기 모두는 제품의 신뢰도 분석이 활발하게 이루어져야 하는 분야이다.

그림 2-12  심장보조장치의 신뢰도 분석을  위한  블록 다이어그램  구성  사례

4) 기타사항

만약 부품들간의 고장이나 수리 (repair) 가 독립이 아닐 때에는 마르코브 (Markov) 분석과 같은 좀 더 복잡한 분석이 필요하다.

(4) 치명도 분석 (Criticality Analysis, CA)

1) 개요

위험성이 높은 요소, 특히 고장이 직접 제품의 손상이나 사람의 사상()으로 발전할 우려가 있는 요소에 대해 얼마나 자주 고장이 발생하는지, 그 영향은 얼마나 되는지, 그리고 특히 그 중에서도 제품의 기능과 구조에 대하여 치명적인 고장은 얼마나 차지하는지 파악하여 사전에 조치해 놓는 것이 중요하다. 이런 목적을 위해 제품의 치명적 고장률을 분석하는 것이 치명도 분석이다.

2) 분석절차 및 내용

치명도 지수  (criticality index) 는  다음과  같이  표현된다.

[eqn: C sub r = sum from j=1 to n ( sub E ~ sub A sub G ~t 10 sup 6 )]

여기에서

G	: 시간당 또는 사이클 당 고장수로 표시된 부품 요소의 명목상의 고장률

t	: 한 가지 사명 (mission) 당 제품 구성요소의 운용시간 또는 가동 사이클

수

이다.

그러므로, G t 는 사명을 완수하는 데 예상되는 명목상의 고장률 명목상의 고장률 (nominal failure rate) 이다. 하지만, 사용중의 고장률을 추정하는 데 명목상의 고장률이 그대로 적용될 수는 없다. 왜냐하면 사용현장의 환경이나 사용자의 사용습관에 따라서도 고장률은 변화하기 때문이다.

따라서

E	: G 가 측정된 상황과 그 구성요소가 실제로 사용되는 상황과의

환경강도를  조정하기 위한 조정계수

A	: G 가 측정된 상황과 그 구성요소가 실제로 사용되는 상황과의

운전강도를  조정하기 위한 조정계수

를 이용한다.

결과적으로 E A G t 는 임의의 사용현장에서 임의의 사용자가 사명완수를 위해 일정 기간 제품을 사용하는 경우에 당면할 수 있는 현실적인 고장률이다.

더욱이

: 위험한 고장양식 중 특정한 고장양식이 차지하는 비율

: 위험한 고장양식이 발생하였을 때, 그 영향이 실제로 나타날 조건부 확률

을 도입하면, EAG t 는 실제 현장에서 사명을 완수하기 위해 활동하는 중 특정한 고장양식에 의해 경험하게 될 고장이 실제로 제품의 운용에 치명적인 결과를 초래하게 되는 고장률을 가리킨다.

따라서,

Cr	: 100 만 시간당의 고장횟수 또는 부품 100 만 개당의 고장갯수로 표현되는

제품 구성요소의 치명도 지수

를 의미한다.

3) 분석사례

이 계산을 보기 쉽게 도표화한 것이 표 2-22 이다. 이것은 항공기의 추진 시스템에 대하여, 치명적 고장률을 근거로 치명도 지수를 계산하고, 시스템의 개선과 대책을 수립하는 에 있어서 우선순위를 결정하는 근거로 활용된다.

4) 장단점 및 용도

이 기법은 계산하는 과정에 많은 노력이 소요되고, 각 제품 구성요소의 고장요인이 제품이나 사명에 구체적으로 어떠한 영향을 미치는지 파악하기 곤란하다는 단점이 있다.

이 때문에, 미국의 자동차공학 기술자 협회 (SAE) 는 이 기법의 장점도 살리고, FMEA 의 장점도 동시에 살려서 활용할 수 있도록 FMECA (Failure Mode, Effect, & Criticality Analysis) 를 개발하였다. 형식은 대략 FMEA 와 같지만, 고장발생확률과 치명도 계산이 포함되어 있다는 점에서 정성적 분석과 정량적 분석기법의 장점을 모두 포함하고 있다는 것을 알 수 있다.

표 2-22  항공기 추진 시스템에 대한 CA 사례

치명도 분석표
계획 : 항공기 3#-A									제품 : 추진시스템						계약번호 : 83F6K-26
부품식별				치명적 고장					치명도 평가
(1)	(2)	(3)	(4)	(5)	(6)		(7)	(8)	(9)	(10)	(11)	(12)	(13)	(14)		(15)	(16)	(17)
명칭	번호	도면번호	논리도면번호 / 기능번호	기능	고장 양식		운용양식	고장 영향	신뢰도 자료 출처 코드	고장파급 확률	고장 양식 비율	환경계수 [eqn: K_E]	운용계수 [eqn: K_A]	기준고장률 f/h or f/c [eqn: scale 80 lambda _G]		총 운용 시간 t	치명고장 형태기여 [eqn: K_E][eqn: K_A] [eqn: scale 80 lambda _G `t]106	요소 치명도지수 (16)Cr
파이롯트밸브	#10	32E-03	32E- L03	압력유지	닫히지않음		추력비행	실제 임무 실패	MIL- HDBK -217	1.0	0.1	50	100	0.0510-4		10	250	400
					열림 상태 유지 실패		상동	임무 실패 확률 있음	상동	0.6	0.1	50	100	0.0510-4		10	150
릴리 프밸브	#20	32E-05	32E- L05	과압해소	닫힘 상태 유지 실패		상동	임무 실패 확률 있음	상동	0.5	0.1	50	100	0.0510-4		10	25	34
					외부 누출		상동	임무 실패 가능	상동	0.03	0.6	50	100	0.0510-4		10	9

표 -23  FMECA 작성용지의 예 (IEC TC 56)

FMECA 작성표
제 품 :									분석자 :
날 짜 :									설계자 :
구성요소	기능	구분번호	고장양식	고장원인	고장의 영향		검출방법	중요성 및 대책	고장발생확률	치명도 순위	비고
					부분적 영향	제품 전체

(5) 사상수목분석 (Event Tree Analysis ; ETA)

1) 개요

만약 제품을 사용하는 중에 발생할 수 있는 여러 가지 상황들을 다 그려볼 수만 있다면 재해사고예방은 좀 더 효과적일 것이다. 바로 이런 목적을 위해 개발된 것이 사상수목분석이다. 즉, 이 기법은 의사결정수목 (Decision Tree) 의 원리를 이용, 재해사고의 발생과정을 재해요인들의 연쇄로 파악하여, 재해발생의 초기사상 혹은 촉발사상 (initiating event) 으로부터 재해사고까지의 연쇄적 전개를 나뭇가지 형태로 표현하는 귀납적인 제품 안전성 분석기법이다.

더욱이 각 재해발생요인들의 발생확률을 알고 있다면, 정성적인 분석기법인 동시에 정량적인 분석기법의 장점도 활용할 수 있다.

2) 분석절차 및 내용

어떤 사고에든 여러 가지 재해발생요인들이 연관되어 있다. 이 요인들을 도표 상단에 왼쪽에서부터 오른쪽으로 차례대로 나열한다. 이 때 가장 왼쪽의 요인은 제품에 고장이나 사고가 발생하게 되는 부정적인 사상, 다시 말해 사고의 촉발사상을 기입하는 것이 보통이고, 오른쪽 끝은 제품 구성요소의 상태조합에 의한 결과상황들이 나열되는 것이니까, 그 중간의 재해요인들은 가급적 시간경과에 따라 재해사고가 전파되거나 혹은 확산되는 데 관계되는 요인들을 나열하도록 한다.

재해촉발사상이 결정되었으면 그 점에서 다음 요소의 발생사상에 따라 가지를 나눈다. 이 때 성공사상, 다시 말해 제품 구성요소가 정상적으로 작동하는 경우를 맨 윗가지에, 정상적으로 작동하지 못하는 고장상태를 맨 아래 가지에 할당한다. 필요하다면 다양한 고장양식에 따라 그 중간에 여러 개의 가지를 더 만들 수 있다. 그 다음 단계에서는 벋어진 가지의 끝 점에서, 또 다시 다음 재해발생요소의 성공, 실패에 따라 가지를 나누어 간다. 이렇게 하여 결과상황까지 벋어 나가면, 제품에 발생할 수 있는 모든 상황들이 오른쪽 가지 끝에 나열되게 되며, 각 결과상황들은 상호 배반적이라는 통계적 성질을 유지하게 된다.

그림 2-11 은 이렇게 하여 만들어진 기본적인 사상수목을 보여주고 있다. 초기사상 즉 촉발사상에 해당하는 것은 파이프 파단이며, 재해요인들이 5 개이니까 최종적인 결과사상은 [eqn: 2^(5-1) =2^4 = 16] 가지가 나열된다. 일반적으로 재해요인들이 n 개라면 결과사상들의 가지수는 [eqn: 2^(n-1)] 가지이다.

그림 2-11  기본형 사상수목의 구성예

A	B	C	D	E
pipe 파단	전원	긴급노심냉각장치 (ECCS)	방사능 물질 제거	격납용기의 충실성
촉발사상

그러나 경우에 따라서는 이렇게 많은 가지들을 각각 모두 고려할 필요가 없을 수 있다. 왜냐하면 어떤 요인의 성공 혹은 고장여부는 이후 다른 요인들의 성패에 관계없이 제품의 상태를 결정해버리기 때문이다.

예를 들어 위의 그림에서 전원의 공급이 이루어지지 않으면 그 이후의 긴급노심냉각장치 (ECCS), 방사능제거, 격납용기의 건전성 등에 관한 분석은 하나마나이다. 그러므로 이런 경우에는 전원공급실패 이후에는 가지를 분지()하지 않고 그냥 하나의 가지로 남도록 가지를 잘라 버린다. 이 작업을 전지(, pruning) 작업이라고 하며, 그 결과는 그림 2-12 와 같이 나타나게 된다.

그림 2-12  전지된 사상수목의 예

A		B	C	D	E
pipe 파단		전원	긴급노심냉각장치 (ECCS)	방사능 물질 제거	격납용기의 건전성
촉발사상

마지막으로, 재해요인들의 정상적 작동확률 (신뢰도) 이나 고장발생확률 (불신뢰도) 을 알 수 있다면, 각각의 요소에 그 수치들을 기입하고, 그 확률들을 곱하면 결과적으로 발생될 수 있는 상황의 발생확률을 얻게 된다. 이 때 모든 상황에 대한 확률들의 최종합이 1 이 되어야 하는 것은 물론이다.

3) 분석사례

그림 2-13 은 가스압력을 자동제어하는 제품에 있어서 고압가스폭발에 의한 화재사고를 사상수목분석한 사례이다. 최초의 촉발사상은 가스 폭발로부터 시작하며, 발화로부터 스프링클러와 화재경보 시스템의 작동여부에 따라 어떤 결과가 발생할 수 있는지, 그리고 그 확률은 대체로 얼마인지 추정할 수 있음을 보여주고 있다.

4) 기타사항

이렇게 하면 어떤 과정을 거쳐 사고가 발생하는지 상호 배반적인 상황의 전개를 눈으로 확인할 수 있어서 종래에는 보아 넘기기 쉬웠던 재해의 확대 요인을 쉽게 검출할 수 있다.  그러므로 사상수목분석결과는 이후에 설명할 결함수목분석 (Fault Tree Analysis) 을 수행하기 위한 기초자료를 제공한다는 점에서 매우 중요하다. 즉, 이 분석기법은 FTA 를 이용하여 더 상세히 분석되어야 할 사상들을 구명하는 데 효과가 높다.

한편, ETA 는 분석의 목적에 따라 어떤 요인이라도 촉발사상으로 삼을 수 있다. 똑같은 자동제어 제품이라 할지라도 분석자의 시점에 따라 재해연쇄 (accident sequence) 를 어떻게 이해하느냐, 즉 관련요소들의 나열순서가 어떻게 되느냐에 따라 또 다른 사상수목을 구성할 수 있기 때문에 제품 분석의 융통성이 매우 높은 기법이다.

이 때 주의하여야 할 것은 각 고장요인들의 고장발생이 서로 독립이라고 가정하고 있다는 것이며, 만약 각 고장요인들의 고장발생이 서로 독립이 아니라면 엄격한 의미에서 곱셈계산에 의한 확률추정은 잘못된 것이다.

그림 2-13  분진 폭발에 대한 사상수목의 보기

촉발사상	화재시작	스프링클러 시스템작동	화재경보기 작동		결과	빈도 (/년)
			예		경보로 제어된 화재	7.910-3
			0.999
			아니오		경보없이 제어된 화재	7.910-6
			0.001
			예		경보에도 불구하고 제어되지 않은 화재	8.010-5
폭발			0.999
10-2/년			아니오		경보도 없고 제어되지도 않은 화재	8.010-8
			0.001
	아니오				화재 없음	2.010-3
	0.2

(6) 인간신뢰도분석 (Human Reliability Assessment)

1) 개요

모든 사고에는 어떤 형태로든 인적요인과 물적요인이 관련되어 있다. 그러므로, 인간과 기계, 어느 쪽의 요소도 성공적으로 기능하지 않고서는 전체 제품이 성공적으로 기능할 수는 없다. 그런데, 생산기술이 고도로 발달된 현대에 이르러, 기계의 고장률은 상당히 높은 신뢰성을 갖고 있는 데 반해, 인간의 고장률은 여전히 상대적으로 매우 취약하기 때문에, 최근에 발생하는 인간-기계 시스템의 고장은 대부분 인간의 과오에 의한 것이다. 다시 말해, 제품 고장이나 오용으로 인한 사고의 많은 부분은 사용자 자신의 과오에 의한 것이 많다는 것이다.

그러므로 인간신뢰도평가 (Human Reliability Assessment) 란 인간은 과연 얼마나 신뢰할 수 있는가 ? 라는 질문에 답하기 위하여 사용자의 인간과오가 제품에 미치는 영향을 정량적으로, 특히 확률적인 기법을 이용하여 평가하는 기법이다.

분석목적은, 다음의 두 가지로 요약될 수 있다.

- 인간의 과오확률을 모형화하고 추정하기 위한 방법론의 제시

- 과오가 발생하기 쉬운 상황의 인지와 구명

현재 실제로 활용되고 있는 인간신뢰도 분석기법에는 표 2-24 와 같이 다양한 기법들이 있다.

이 중 시뮬레이션 모형 (Simulation Models) 이란 인간-기계 시스템의 작업과정을 하나의 모형으로 도식화하고, 이것을 컴퓨터 시뮬레이션 (computer simulation) 기법에 의해 반복적으로 수행함으로써 그 결과를 예측, 분석하는 기법이다.

또한 전문가 판단법 (Expert Judgement Method) 이란 제품의 성능이나 위험성 비교에 경험이 많은 전문가들을 동원, 그들의 경험을 바탕으로 제품의 안전성을 평가하는 방법을 말한다.

분석적 방법 (Analytical Method) 이란 이제까지 살펴 본 바와 같이 제품을 몇 개의 개별적인 구성요소들로 분해한 후 각각의 신뢰도 특성을 파악하고, 이를 다시 종합함으로써 제품 전체의 신뢰도 특성을 파악하는 기법이다.

한편 인간 인지 신뢰도 (Human Cognitive Reliability, HCR) 모형은 작업수행도에 영향을 미치는 작업수행도 형성요인 (Performance Shaping Factors) 들의 영향을 염두에 두고, 허용된 시간 내에 인간이 인지과정을 통하여 적절히 반응할 수 있는가 하는 확률의 변화를 반영한다.

표 2-24  인간신뢰도 분석기법들의 예

공학적 모형에 근거한 기법들	시뮬레이션 모형	MPPS (Maintenance Personnel Performance Simulation Model) SAINT (Systems Analysis of Intergrated Networks of Tasks) DYLAM (Dynamic Logical Analytical Methodology)
	전문가 판단모형	Paired Comparison Absolute Probability Judgment Rating-roiented Methods SILM (Success Likelihood Index Methodology) Influence Diagram Approach STAHR (Socio-Technical Approach to Assessing Human Reliability)
	분석적 방법	Time Dependent Activities ASEP (Accident Sequence Evaluation Program) THERP (Technique for Human Error Rate Prediction) SHARP (Systematic Human Action Reliability Procedure) HCR (Human Cognitive Reliability) OAET (Operator Action Event Trees) CM (Confusion Matrix) TALENT (Task Analysis-Linked Evaluation Technique) Tree of Causes Variation Trees Time Independent Activities Confusion Matrix Component-specific errors Configuration errors
인지모형에 근거한 기법들	인공지능 모형	CES (Cognitive Environment Simulation)
	심리학적 모형	SRA/GEMS (System Response Analyser/Generic Error Modelling System) SHERAP (Systematic Human Error Reduction and Prediction Approach) AEAM (Action Error Analysis Method) COSIMO SRG (System Response Generator)

이 중에서 특히 가장 기초적이고 널리 알려진 기법은 인간과오율 예측기법 (Technique for Human Error Rate Prediction, THERP) 인데, 이 기법은 시스템 내에서의 인간과오율을 정량적으로 평가하기 위하여 1963 년에 개발되었다. 여기에서는 이것을 주로 설명하기로 한다.

2) 분석절차 및 내용

인간신뢰도분석 (Human Reliability Analysis) 혹은 인간신뢰도평가 (Human Reliability Assessment) 라고 불리는 방법에는 여러 가지 기법이 있지만, 어느 것이나 대체로 그림 2-14 과 같은 순서를 따르는 것이 일반적이며, 특히  직무분석 (task analysis),  인간과오 구명 (human error identification),  인간 신뢰도 정량화 (human reliability quantification) 의 3 부분이 분석의 성패를 좌우한다고 알려져 있다.

그림에서 PSF 란 작업수행도 형성요인 (Performance Shaping Factors) 로서, 작업 결과에 영향을 줄 수 있는 요인들을 통칭한다.

그림 2-14  인간신뢰도 분석절차

현장방문
				1 단계 : 시스템 숙지
FTA 정보 검토
대담
직무분석				2 단계 : 정성적 평가
HRA 사상 수목 개발
인간과오 확률 설정
PSF 의 상대적 영향 추정
의존성 평가				3 단계 : 정량적 평가
성공/실패 확률의 결정
회복요인의 영향 결정
필요시 민감도 분석
				4 단계 : 종합
FTA 에 정보 제공

분석은 다음과 같이 5 단계로 이루어지는 것이 일반적이다.

- 시스템 고장의 정의

- 인간과의 상호작용을 나열 및 분석

- HRA 를 이용한 인간과오확률의 평가

- HRA 를 확률론적 리스크 분석 및 평가 (Probabilistic Risk Assessment) 에

통합

- 개선대안의 추천과 개선효과의 재평가

이 분석에 이용되는 것도 역시 ETA 에서 이용되는 나무모양의 그림인데, 다른 점이 있다면 각각의 절점 (node) 에서 분지되는 왼쪽 가지가 성공적 작업수행을 나타내며, 오른쪽 가지가 실패를 나타낸다는 점이다. 또 한 가지 특징적인 것은 오른쪽 가지로 진입된 작업진행이라 할지라도 작업진행 중의 자기점검이나 반성에 의해 다시 원점으로 회귀할 수 있다는 현실성이 반영되고 있다는 점이다.

그림 2-15 에서 N1 절점에서 N2 절점까지 이미 행위가 이루어졌다고 하고, N2 에서부터의 작업수행만을 고려해 보기로 하자. 절점 N2 에서 다음 작업요소에 성공할 확률은 1 회 수행에 한정된다면 P(B2) 일 것이다.

그림 2-15  THERP 의 분석원리

그러나, 현실적으로는 그 다음 작업을 계속 수행하면서, 자기점검이나 반성을 통해 자신의 과오를 확인할 수 있다. 그래서 다음 순간에는 다시 절점 N2 로 돌아가 작업을 재시도함으로써 작업을 원활히 지속시켜 나갈 수 있는 것이다.

이것을 정량화해 본다면, 1 차 시행에 성공할 확률은 P(B2), 1 차 시행에 실패했지만 2 차 시행에 성공할 확률은 P(B3)P(B2), 2 차 시행에도 실패하고 3 차 시행에 성공할 확률은 P(B3)P(B3)P(B2), . 이렇게 계속해 나가면 최종적인 성공확률 P(N3) 은

[eqn: P(N_3 ) = &P(B_2 ) + P(B_3 ) P(B_2 ) + P^2 (B_3 ) P(B_2 ) + P^3 (B_3 ) P(B_2 )+ ## = &P(B_2 ) [1+P (B_3 )+ P^2 (B_3 ) + P^3 (B_3 ) + P^4 (B_3 ) + ]## = &P(B_2 ) /[1- P (B_3 ) ]]

로 계산된다. 물론 이 때에도 작업요소간의 실패 혹은 고장은 상호독립이라고 가정된다.

만약 독립이 아닌 경우에는 연속되는 직무들간의 의존성에 근거하여 조건부 확률 (conditional probability) 를 추정하여 이용하며, 추정에 이용되는 식들은 표 2-25 에 보는 바와 같다.

표 2-25  THERP 용 의존도 모형

P(성공|선행직무 성공)	의존도 모형	P(실패|선행직무 실패)
BHSP	독립 (Zero Dependence)	BHFP
[1+19BHSP]/20	저의존 (Low Dependence)	[1+19BHFP]/20
[1+6BHSP]/7	중의존 (Moderate Dependence)	[1+6BHFP]/7
[1+BHSP]/2	고의존 (High Dependence)	[1+BHFP]/2
1	완전의존 (Complete Dependence)	1

표에서 BHSP 와 BHFP 는 각각 작업수행상의 기본 성공확률 (Basic Human Success Probability) 과 기본 실패확률 (Basic Human Failure Probability) 을 나타낸다.

3) 분석사례

이러한 분석을 좀 더 확장한 것이 그림 2-16 이다. 이 예는 원자력 발전소에서 운용자가 신호전원, 제어전원, 밸브 등을 여닫으며 작업하는 상황에 대한 인간신뢰도분석 예이다. 사용 기호 중 a, b, c,  은 해당직무의 성공을 나타내며, A, B, C  등은 실패를 나타낸다.

그림 2-16  THERP 분석의 예

4) 기타사항

THERP 를  비롯한 HRA 의 장점으로는 다음과 같은 것들을 들 수 있다.

- 모든 설계단계에서의 설계, 리스크, 또는 신뢰도 분석에 사용될 수 있다.

- 확률론적 리스크 평가 및 분석 (Probabilistic Risk Assessment) 에 쉽게 활용될

수 있다.

- 고려되는 요소들과 과오들의 논리적이고, 구조적이며, 정제된 기록을 제시한다.

- 다른 기법들에 의해 수집된 자료들도 비교적 활용할 수 있다.

반면, 단점으로는

- 인간 과오 확률 (human error probability) 을 얻기 위하여 상당한 노력을 필요로

한다.

- 진단이나 고차원적인 의사결정을 평가하는 데에는 특별히 우수하지 못하다.

- 명확한 설계 사양을 제시하지는 않는다.

- 시나리오의 구성이나 데이터베이스의 사용에 있어서 균일성 (uniformity) 이

지켜지지 않는다.

등이 지적된다.

(7) 결함수 분석 (Fault Tree Analysis)

1) 개요

이 기법은 결함수 분석, 결함수목분석, 고장수목분석 등 여러 가지 용어로 번역되어 사용되기도 하는데, 고장 (failure) 이란 해당 부품이나 제품이 다시 정상적으로 작동하기 전에 수리를 요하는 기능장애를 말하고, 결함 (fault) 이란 일단 기능장애를 야기시킨 조건이 교정되면 저절로 치유될 수 있는 기능장애를 말한다. 그러므로, 이 차이를 이해한다면, 제품의 안전성을 향상시키기 위해 조사하고 분석해야 할 대상은 고장뿐만 아니라 결함도 망라하여야 하므로, 고장수목분석 이 아니라 결함수분석 또는 결함수목분석 이라고 부르는 것이 바람직하다.

원래 이 기법은 미국의 미닛트 맨 (Minute Man) 미사일 발사 시스템을 개발하던 도중 1962 년 벨 (Bell) 전화 연구소의 왓트슨 (Watson) 이라는 사람에 의해 고안되었는데, 최초 이 기법의 개발 목적은

- 정상사상을 초래하는 원인이나 원인들 조합의 구명

- 특정한 제품 신뢰성 척도가 서술된 요구사항을 충족시키는가 여부의 결정

- 제품의 독립성과 고장의 비관련성에 대하여, 다른 분석들에서 이루어진 가정들이 위배되지 않는가에 대한 결정

- 특정 신뢰도 척도에 가장 심각한 영향을 미치는 요인들과 그 척도를 개선하기 위하여 필요한 변경들의 결정

- 공통적 사상이나 공통원인고장의 구명

등이었으며, 이 목적들은 지금도 충실히 충족되고 있다.

한편, 여기에서 말하는 결함수란 ETA 에서 보았던 나무모양의 구조를 말하는데, 다른 점이 있다면 ETA 의 나무는 촉발사상으로부터 시작되어 제품 상태를 나타내는 결과로 발전하여 가는 귀납적 구조였지만, FTA 의 나무는 정상사상 (top event) 이라고 부르는 바람직하지 않은 사상을 시작으로 그 발생원인이나 거기에 기여하는 조건들이나 요인들을 찾아 시간적 흐름을 거슬러 분석해 가는 연역적 구조라는 점이다. 또한, 정성적인 분석과 정량적인 분석이 모두 가능하고, 제품 구성수준측면에서 보면 하향성 분석방법 (top-down approach) 이며, 수학적 논리는 부울 대수 (Boolean Algebra) 에 의해 지원되고 있다.

2) 분석절차 및 내용

FTA 의 분석절차는 분석 목적이나 분석 수준에 따라 틀리지만 통상 다음과 같은 순서에 따라 진행된다. 즉, 분석범위의 정의 및 분석수준의 결정, 대상 제품의 특성파악, 정상사상의 설정, 결함수의 구성, 결함수의 정성적 분석, 결함수의 정량적 분석, 분석결과의 평가 및 보고라는 단계를 거치는 것이다.

제 1 단계  분석범위의 정의 및 분석수준의 결정

분석되어야 할 제품, 분석목적과 범위, 제품 운용상의 초기조건들과 현재의 조건, 그리고 기본적인 가정사항들을 정의한다. 이 때 기본적인 가정들이란 모든 사용조건 하에서의 제품 성능뿐만 아니라, 예상되는 운용조건들과 보전조건들과 관련된 모든 가정사항들을 포함한다.

제 2 단계  대상제품의 특성 파악

결함수 분석이 성공적으로 이루어지려면 분석자가 제품을 상세히 숙지하고 있어야 한다. 이 때 필요한 지식이란 생산공정의 구성, 기능, 작동 및 작업방법이나 동작 등 현장정보에 의한 제품의 안전보건상의 문제점을 파악하는 데 관계되는 지식들을 말한다. 또한 여기에는 부품, 구성품들의 고장률 자료와 신뢰도 구조를 입수하여, 신뢰도 블록 다이어그램 분석 (Reliability Block Diagram Analysis) 을 행하는 것도 포함되며, 인간과오의 요인, 형태, 발생확률 등의 자료도 확보되어야 한다.

제 3 단계  정상사상의 정의

작업자의 과오나 기계설비로 인한 경과를 모형화하고 대책을 설정할 문제점들에 대해 중요도나 우선순위를 결정하여 분석할 대상이 되는 사항을 정상사상으로 선정한다. 이 때 분석대상이 되는 정상사상은 분석목적과 수준, 범위에 맞게 설정되어야 함은 물론이다.

제 4 단계  결함수의 구성

정해진 기호를 이용하여 재해사고의 발생과 관련된 요인들간의 논리적인 관계를 나무모양으로 구성한다. 사용기호에는 표 2-17 과 같이 여러 가지가 있으나, 분석자의 편의에 따라 첨삭이나 수정이 가능하다.

그림 2-7  결함 수목 기호 (ISO 60300-3-9)

기호	기능	설명
	사상 설명 블록	사상 명칭이나 설명, 사상 코드 그리고 (필요시) 발생 확률. 이 기호 안에 포함되어야 한다
	기본 사상	세분화될 수 없는 사상
	AND 게이트	모든 입력 사상들이 동시에 발생할 때에만 사상이 발생한다
	OR 게이트	하나든 조합이든 어떤 입력사상이라도 발생하면 사상이 발생한다
	전입	결함 수목 내의 다른 곳에서 정의되는 사상

수목을 구성하는 방법으로는, 우선 분석하려고 하는 제품 전체의 고장이라든가 결함과 같은 바람직하지 않은 사상을 정상사상으로 채택하여 최상단에 직사각형을 그리고 그 안에 내용을 기입한다. 이것이 결함수 최정상의 출력사상, 다시 말해 제 1 수준의 출력사항이라고 할 수 있다.

다음에는 정상사상의 하단에 그 재해의 직접원인이 되는 기계 등의 불안전 상태나 작업자의 과오인 결함사상들, 다시 말해 논리 게이트의 입력사상들을 나열한다. 이것은 제 2 수준에 해당한다.

그리고 나서, 입력사상들과 출력사상과의 관계를 고려하여 제 1 수준의 정상사상과 제 2 수준의 기초사상들과를 논리 게이트로 연결한다.

다음 단계에서는 반복적으로 제 2 수준의 결함사상들을 각각 하나의 중간사상으로 하여, 그것들의 직접원인이 되는 결함사상들을 각각 제 3 수준에 쓰고, 제 2 수준의 사상들과 관계를 고려하여 다시 제 2 수준의 사상들과 제 3 수준들과의 사이를 논리 게이트로 연결한다.

이와 같은 과정을 반복해서 위에서부터 아래로, 차례대로 써 나가 최종적으로 모든 나뭇가지의 끝이 모두 다음 중 어느 하나에 해당되면 분지(, branching) 작업을 종료한다.

- 통상사상

- 기본사상

- 미개발 (생략) 사상

- 전이기호

제 5 단계  결함수목의 정성적 분석

결함수의 정성적 분석이란 정량적인 변수들을 이용하지 않고 제품의 구조적 특성이나 각 기본사상들이 정상사상의 발생에 미치는 상대적 중요도 등을 평가하는 분석을 말한다.

이 분석은 다음과 같이 3 단계로 나뉘어진다.

결함수의 타당성 조사

결함수의 축약

절단집합과 경로집합

이 중 가장 중요한 것은 최소절단집합 (minimal cut sets) 의 도출이다. 최소절단집합이란, 정상사상, 즉 원하지 않는 재해사고가 발생하기 위해 동시에 발생하여야 하는 최소한의 기본사상들의집합을 말하는데, 이것은 이후 정량적인 분석을 진행해 나가는 데에도 매우 중요하다.

제 6 단계  결함수목의 정량적 분석

사상 발생확률의 평가

결함수에 대한 정량적 분석의 최대 장점 중의 하나로서, 각 기본사상들의 발생확률만 알고 있다면 몇 가지 가정사항들을 추가함으로써 중간사상들이나 정상사상의 발생확률을 계산할 수 있다.

중요도 지수

중요도란 어떤 기본사상의 발생이 정상사상의 발생에 어느 정도의 영향을 미치는가를 정량적으로 나타낸 것으로서, 재해예방책 선정의 우선 순위를 제시한다. 여기에는 구조중요도, 확률중요도, 치명중요도 등 여러 가지가 있으며, 이 척도들을 이용하면 재해사고의 예방을 위하여 어느 사상부터, 혹은 어떤 부품부터 개선하여야 할 것인가를 결정할 수 있다.

평균고장률과 평균수리시간

만약 제품이 수리가능한 제품이라면, 하위수준의 기본사상이나 중간사상들의 평균고장률 [eqn: lambda] 와 평균수리시간 [eqn: tau] 로부터 정상사상으로 인한 제품의 평균고장률이나 평균수리시간도 쉽게 구할 수 있다.

기타 신뢰도척도의 추정

이 외에도 해당 제품의 여러 가지 신뢰도 특성이나 척도들을 추정할 수 있다. 이런 경우에 매우 유용한 것이 최소절단집합이다.

제 7 단계  분석결과의 평가 및 보고

이상의 과정을 거쳐 정성적 분석 또는 정량적 분석이 종료되면, 최종적인 보고서를 준비한다. 보고서에 포함되어야 하는 기본적인 사항들은 다음과 같이 정리될 수 있으며, 분석목적과 상황에 따라 약간씩 차이가 있을 수 있다.

목적과  범위

제품 설명

- 설계 설명

- 제품 운용

- 상세한 제품 경계정의

가정사항

- 제품 설계 가정

- 운용, 보전, 시험 및 검사의 가정

- 신뢰도 및 가용도 모형의 가정

제품 결함의 정의 및 기준

결함수 분석

- 분석내용

- 자료

- 사용기호

결과 및 결론

이 이외에 결과 보고서에 추가적으로 포함될 수 있는 자료로는

- 제품 블록/회로 다이어그램

- 사용된 신뢰도 및 보전도 자료의 요약

- 컴퓨터 입력 양식의 결함수 표현

등이 있다.

끝으로 이렇게 분석보고까지 끝나면 효과적인 개선안을 검토한다. 최소절단집합은 재해를 예방하기 위한 노력이 어느 곳에 집중되어야 하는가를 나타내기는 하지만 실제적인 비용, 시간, 기술적 이유 등 여러 가지 면에서 제약이 있을 수 있으므로, 여러 가지 중요도 지수와 경제성, 보수성 등을 고려하고, 또 절충연구 (trade-off study) 의 결과와도 비교하여 대책을 수립한다.

3) 분석사례

그림 2-18 는 비상발전기의 자동시동이 실패한 경우를 분석하기 위하여 구성된 결함수목의 예이다. 분석은 이와 같은 결함수목을 근거로 중복사상의 제거, 최소절단집합의 획득, 각 사상들의 발생확률 도출 등의 순서로 진행되지만, 계산상의 과정은 상당히 복잡하여 사실상 조금만 복잡한 제품을 분석하려 해도 지원도구가 필수적이다.

그림 2-18  결함 수목의 예 (ISO 60300-3-9)

4) 기타사항

결함수목분석은 여러 가지 하부 시스템으로 구성된 복잡한 제품을 분석하는 데 적합하다. 또한 부품만이 아니라 인간과오, 소프트웨어 과오, 환경 스트레스에 의한 고장 등 다중고장의 해석이 가능하다.

그러나, 논리적인 분석에 있어서 부울 대수나 최소절단집합, 또는 중요도지수를 이용하므로 일반인이 이해하기 어려운 부분들이 있으며, 시간적 연쇄를 취급하거나, 공통원인고장 등을 고려한 역동적인 분석은 곤란하다.

2-5. 분석기법들의 비교

이상의 검토를 통하여 비교하여 본 여러 가지 기법들을 정리하면 표 2-26 과 같다.

표 2-26  리스크 분석에 사용되는 기법들

a) 일반적인 기법

기 법	설명 및 용도	비고
사상 수목 분석 (ETA)	여러 가지 초기사상으로부터 가능한 결과까지의 귀납적 추리를 이용하는 위험성 구명 및 빈도 분석 기법	ISO 60300-3-9 A.4
고장 모드 및 영향 분석 (FMEA) 고장 모드, 영향 및 치명도 분석 (FMECA)	주어진 품목에 대하여 다른 부품이나 시스템에 영향을 미치는 모든 고장양식을 분석하는 근본적인 위험성 구명 및 빈도 분석 기법	ISO 60812 ISO 60300-3-9 A.2
고장 수목 분석 (FTA)	바람직하지 않은 사상에서부터 시작하여 그것들이 발생할 수 있는 모든 방식을 결정하는 위험성 구명 및 빈도 분석 기법. 회화적으로 표현된다	ISO 61025 ISO 60300-3-9 A.3
위험성 및 운용성 연구 (HAZOP)	시스템의 각 부분을 체계적으로 평가하는 기초 위험성 구명 기법. 설계의도로부터 벗어난 어떤 편차가 발생하며 그것들이 문제를 야기시키는가를 보기 위하여 시스템의 각 부품을 체계적으로 평가하는 근본적인 위험성 구명 기법	ISO 60300-3-9 A.1
인간 신뢰도 분석 (HRA)	인간이 시스템 성능에 미치는 영향을 분석하고 인간 과오가 신뢰도에 미치는 영향을 평가하는 빈도 분석 기법	ISO 60300-3-9 A.6
예비 위험성 분석 (PHA)	위험성을 구명하고 그들의 치명도를 평가하기 위하여 초기 설계 단계에서 사용될 수 있는 위험성 구명 및 빈도 분석 기법	ISO 60300-3-1
신뢰도 블록 다이어그램 (RBD)	전체적인 시스템 신뢰성을 평가하기 위하여 시스템 및 그것의 중복성에 대한 모형을 창출하는 빈도 분석 기법	ISO 61078

b) 추가적인 기법

기 법	설명 및 용도
범주 평정 (Category Rating)	리스크 우선 순위 그룹을 결정하기 위하여 분류된 범주에 따른 리스크를 평정하는 방법.
점검표 (Checklists)	고려될 필요가 있는 전형적인 위험 물질이나 잠재적 사고 근원에 대한 목록을 제공하는 위험성 구명 기법. 규정이나 표준에 적합한가를 평가할 수 있다.
공통 모드 고장 분석 (Common Mode Failure Analysis)	시스템 내에서 여러 부분 또는 부품들의 동시 고장이 가능한지 또 그 전반적인 영향은 어떠한지 평가하는 방법.
결과 모형 (Consequence Models)	사람, 재산 또는 환경에 대한 사상의 영향 추정. 간소화된 분석적 접근방법과 복잡한 컴퓨터 모형 모두 이용할 수 있다.
델파이 기법 (Delphi Technique)	빈도 분석, 결과 모형 및 리스크 추정을 지원하는 전문가 의견을 통합하는 방법.
위험성 지수 (Hazard Indices)	여러 가지 시스템 선택사항을 평가하고 덜 위험한 것을 구명하는 데 사용되는 위험성 구명/평가 방법.
몬테 카를로 시뮬레이션 (Monte Carlo Simulation) 및 기타 시뮬레이션 기법들	입력 상태나 가정 사항의 변화를 평가하기 위하여 시스템 모형을 사용하는 빈도 분석 기법.
쌍대 비교 (Paired Comparisons)	한 번에 단 한 쌍의 리스크를 검토하고 평가하여 리스크를 추정하고 순위를 정하는 방법
과거 자료의 검토 (Review of Historical Data)	잠재적 문제 영역을 구명하고, 사고와 신뢰성 자료에 근거하는 빈도 분석에 정보를 제공하는 데 사용될 수 있는 위험성 구명 기법

이 이외에도 상당히 많은 기법들이 이미 개발되어 있다. 그 이유는 제품을 분석하는 사람마다 분석목적이 다르고, 지식수준도 다르며, 선호하는 기법들이 다양한 데다가 제품의 규모, 기능, 사용환경 등도 다양하기 때문이다.

이들 주요한 기법들을 중심으로 그 특성을 비교하여 정리하면 다음 표와 같다.

표 2-27  분석 기법의 특성

특성 분석 기법	분석 방법이 모형 특성을 다룰 수 있는 능력								속 성 들
	부품 개수	중복 구조	비가략 구조	고장/ 사상 조합과 의존성	시간에 따라 변하는 고장률/ 사상률	복잡한 보전 정책	기능적 과정의 시뮬레이션	상징적 표시	접근		분석		분석 노력 (비용)
									연역적	귀납적	정성적	정량적	정성적	정량적
FMEA	수천까지	(아니오)	아니오	(아니오)	예	아니오	아니오	나열	(nc)	c	c	nc	고	-
FMECA	수천까지	(아니오)	아니오	(아니오)	예	아니오	아니오	나열	nc	c	c	(c)	고	저
FTA	수천까지	예	(예)1)	(예)	예	아니오	아니오	결함 수목	c	nc	c	c	고	중
신뢰도 블록 다이어 그램	수천까지	예	(예)1)	(예)	(예)	아니오	아니오	신뢰도 블록 다이어 그램	c	nc	(c)	c	중	중
마르코브 분석	2 내지 1005)	예	예	예6)	(아니오)7)	예	(예)	시스템 상태 다이어 그램	(nc)	c	c	c	고	중
부품 계수법	1 내지 수천	(아니오)	(예)	아니오	(아니오)	-	-	나열	nc	c	(nc)	c	저	저
원인/결과 분석	수백까지	예	예	(예)	(예)	예2)	아니오	원인/ 결과표	(c)	c	c	c	고	저/고4)
사상 시뮬레이션	수백까지8)	예	예	예	예	예	예	무엇이든	c	c	c	c	고	고
시스템 축약	수천까지9)	예	아니오	(예)	(예)	(예)	아니오	신뢰도 블록 다이어 그램	nc	c	(nc)10)	c10)	중	중
ETA	2 내지 50	예	예	(예)	예	아니오	예	사상 수목	c	c	(nc)	c	저	저
진리표3)	2 내지 505)	예	예	예6)	-	-	-	표	nc	c	c	nc	고5)	-

비고

()  제한이나 예외가 있음

nc 불가능, 또는 적용할 수 없음

c  가능

1)  절단 집합 또는 논리적 축약에 대해.

2)  사상 시뮬레이션, 수학적 적분, 또는 재생 이론에 의함

3)  정성적 시스템 분석을 지원하기 위한, 특히 가능한 시스템 상태를 결정하는 마르코브 분석과 사상  모의시험을 위한 기본적이고 체계적인 방법 (순열 조합론)

4)  낮은 사상발생률, 높은 비가용도 (폐회로가 있는 다이어그램)

5)  시스템 복잡성 (모의실험되어야 하는 확률적 과정) 과 가능한 근사값 (사상 연쇄의 절단) 에 좌우됨.

6)  특히 종속적 사상, 예를 들면, 수동 (대기) 부품을 가진 평행 구조.

7)  특수한 얼랑 (Erlang) 분포 (가상적 - 가상 상태의 도입) 또는 준 마르코브 과정.

8)  다뤄질 수 있는 시스템 크기와 복잡성은 주로 활용 가능한 계산 수단, 사상 발생에 대한 몬테카를로 (Monte Carlo) 시뮬레이션 절차의 유효성과 추정되는 척도의 요구되는 정확성에 좌우된다.

9)  각 축약 수준에서의 독립적인 부품들이 추정된다. 그러므로 관련된 부품의 평가를 위해 어떤 신뢰감 분석 방법도 사용될 수 있다.

10) 주로 주어진 신뢰도 불록 다이어그램의 축약 (대체) 방법에 의한 시스템 신뢰감 척도의 계산

그리고, 이러한 특성을 가진 기법들을, 제품 위험성 분석에 적용하는 요령은 다음과 같다. 그러나, 어느 것이나 하나의 기법으로 만족할 만한 해를 얻기는 어려우며, 다른 기법들과의 균형을 고려하여, 기법 선정과정에서 살펴 본 요령에 따라 상호 보완적으로 적용하여야 한다는 것을 잊어서는 안 된다.

표 2-28  일반적인 분석절차 중의 분석기법  (IEC 60300-3-1)

일반적인 분석절차 중 단계		분석 기법들
단계번호	활 동	FMEA/FMECA 결함모드와 영향 및 치명도 분석	FTA 결함 수목 분석	RBD 신뢰도 블록 다이어그램	Markov 마르코브 분석	Parts Count 부품 계수 신뢰도 예측
1	요구사항들과 시스템 정의	부품 사양과 운용	기능적 시스템 구조	시스템 및 하부 시스템 운전	부품 기능, 기능적 시스템 구조	부품 규격과 고장 자료
2	시스템 결함의 정의	1차 기능수준의 고장	바람직하지 않은 (정상) 사상	시스템 성공(고장)의 기준	시스템 성공과 고장의 기준	첫 번째 기능수준의 고장
3	신뢰도 배분	부품에 적용할 수 있는 경우	하부 시스템에 적용할 수 있는 경우	하부 시스템에 적용할 수 있는 경우	하부 시스템에 적용할 수 있는 경우	부품에 적용할 수 있는 경우
4.1	정성적 분석, 보전 정책	귀납적 (표)	연역적 (결함 수목)	연역적 (블록 다이어그램)	귀납적/연역적 (상태 전이 다이어그램)	직렬 시스템 구조를 가정하고, 부품들을 열거, 평가함
4.2	정량적 분석 (수치적 평가)	결함 치명도/ 확률 분석	시스템 신뢰도와 가용도 척도들의 계산	시스템 신뢰도와 가용도 척도들의 계산	시스템 신뢰도와 가용도 척도들의 계산	부품과 시스템 고장률의 계산
5	충족되어야 하는 요구조건 (종료 절차)	고장의 치명도와 고장 확률이 한계내에 있는가?	바람직하지 않은 사상의 확률이 요구조건 내에 있는가?	신뢰도/가용도 요구조건이 충족 되는가?	신뢰도/가용도 요구조건이 충족 되는가?	추정된 시스템 고장률이 요구조건을 충족시키는가?
5.1	설계 재검토, 취약점 결정	부품 고장 모드, 고장률 등	하부 시스템/ 부품 고장 모드, 고장률, 시스템 구조 등	하부 시스템 신뢰도/ 가용도, 하부 시스템/ 부품 고장률, 시스템 구조 등	부품/하부 시스템/시스템 신뢰도와 가용도, 보전 및 정비 정책, 시스템 구조	가장 최고의 부품 고장률 결정
5.2	설계 대안의 개발	부품 선택과 보전 등	시스템 구조, 중복 할당, 결함 탐지, 보전 등	시스템 구조, 중복 할당, 부품 선택, 보전 등	시스템 구조, 중복 할당, 부품 선택, 수리 방침, 시스템 재구성 등	가장 취약한 부품의 재평가 선택
5.3	절충연구 / 비용평가	가장 경제적인 해법의 결정	가장 경제적인 해법의 결정	가장 경제적인 해법의 결정	가장 경제적인 해법의 결정	비용 추정