SIL 등급이 안전 계장 시스템에 미치는 영향

SIL 등급이 안전 계장 시스템에 미치는 영향

산업 플랜트에서 안전 계장 시스템(SIS, Safety Instrumented System)은 공정에서 위험한 상태가 발생했을 때 설비를 안전한 상태로 전환하기 위한 보호 계층입니다. 이때 SIL(Safety Integrity Level)은 단순히 특정 밸브나 제어기기에 부여되는 성능 등급으로 이해해서는 안 됩니다.

SIL은 특정 안전 계장 기능(SIF, Safety Instrumented Function)이 요구되는 위험 감소 수준을 달성할 수 있는지를 평가하는 개념입니다. 실제 SIF는 센서, 로직 솔버, 최종 요소(final element)가 하나의 기능적 체계를 이루기 때문에 어느 한 구성품의 성능만으로 전체 시스템의 SIL을 결정할 수 없습니다.

특히 차단밸브가 SIF의 최종 요소로 사용되는 공정에서는 밸브 본체뿐 아니라 액추에이터, 솔레노이드 밸브, 계장 공기 공급계통, 진단 기능, Proof Test 및 고장 데이터까지 함께 검토해야 합니다.

SIL과 SIS, SIF의 관계

세 용어는 서로 다른 대상을 의미합니다.

구분	의미	주요 역할
SIS	Safety Instrumented System	안전 계장 기능을 수행하는 전체 시스템
SIF	Safety Instrumented Function	특정 위험 상황에서 설비를 안전 상태로 전환하는 하나의 안전 기능
SIL	Safety Integrity Level	해당 SIF가 요구되는 위험 감소 수준을 달성할 수 있는 정도

예를 들어 반응기 압력이 설정값을 초과하면 원료 공급을 차단하는 안전 기능이 있다고 가정할 수 있습니다.

이 경우 일반적인 SIF 구성은 다음과 같이 연결됩니다.

압력 센서 → 로직 솔버 → 솔레노이드 밸브 → 액추에이터 → 차단밸브

압력 센서가 이상 상태를 감지하고 로직 솔버가 차단 명령을 내리더라도 최종 차단밸브가 닫히지 않으면 해당 안전 기능은 정상적으로 수행되지 않습니다.

따라서 SIL 평가에서는 특정 제어장치의 성능만 확인하는 것이 아니라 SIF 전체의 구조와 고장 가능성을 검토해야 합니다.

SIL은 밸브 자체의 등급과 다릅니다

현장에서 흔히 발생하는 오해 중 하나는 “SIL 2 밸브”라는 표현을 밸브 자체의 품질 등급처럼 받아들이는 것입니다.

실제 안전 계장 설계에서는 특정 밸브 하나에 SIL 등급을 부여하는 것보다 해당 밸브가 포함된 SIF가 요구되는 SIL을 만족할 수 있는지를 평가하는 것이 중요합니다.

예를 들어 동일한 차단밸브라도 다음 조건에 따라 안전 성능은 달라질 수 있습니다.

• 액추에이터의 고장 특성
• 솔레노이드 밸브의 구조
• 계장 공기의 신뢰성
• 밸브의 Fail Position
• 진단 기능
• Proof Test 주기
• Proof Test에서 발견할 수 있는 고장의 범위
• 밸브의 위험 고장률 데이터
• 이중화 구성 여부
• 공통 원인 고장 가능성

따라서 제조사가 제공하는 안전 관련 데이터를 검토하지 않고 밸브에 표시된 SIL 관련 문구만으로 시스템의 안전성을 판단해서는 안 됩니다.

SIL 수준은 요구되는 위험 감소 수준과 연결됩니다

SIL은 일반적으로 안전 계장 기능이 요구되는 위험 감소 수준을 나타내는 지표로 사용됩니다.

저요구빈도(Low Demand) 운전에서 일반적으로 사용되는 PFDavg와 SIL의 관계는 다음과 같이 정리할 수 있습니다.

여기서 PFDavg는 저요구빈도 방식으로 운전되는 안전 기능에서 요구가 발생했을 때 기능이 실패할 평균적인 확률을 평가하는 지표입니다.

따라서 숫자가 작을수록 요구 시 안전 기능이 실패할 가능성을 낮추는 방향을 의미합니다.

다만 실제 SIL 결정은 단순히 위의 수치만 대입해서 결정하는 것이 아니라 위험 분석을 통해 필요한 위험 감소 수준을 먼저 결정하고, 이후 해당 SIF의 구조와 장비 특성, 시험 및 진단 조건 등을 종합적으로 평가해야 합니다.

차단밸브가 SIF의 최종 요소인 이유

프로세스 플랜트의 SIF에서는 밸브가 최종 요소로 사용되는 경우가 많습니다.

예를 들어 고압 상태가 감지되었을 때 연료 공급을 차단하는 시스템에서는 다음과 같은 동작이 필요합니다.

1. 압력 트랜스미터가 비정상 압력을 감지합니다.
2. 로직 솔버가 설정된 안전 조건을 판단합니다.
3. 솔레노이드 밸브에 차단 명령을 전달합니다.
4. 액추에이터가 밸브를 작동시킵니다.
5. 차단밸브가 닫히면서 위험 유체의 공급을 차단합니다.

이 과정에서 앞단의 센서와 로직 솔버가 정상적으로 작동하더라도 마지막 단계에서 밸브가 움직이지 않으면 SIF는 요구된 기능을 수행하지 못합니다.

따라서 최종 요소의 신뢰성이 전체 SIF의 안전 성능에 직접적인 영향을 줄 수 있습니다.

특히 밸브는 장시간 동일한 위치에서 대기하다가 비상 상황에서 갑자기 작동해야 하는 경우가 많기 때문에 정상 운전 중의 제어 성능과 안전 기능으로서의 작동 신뢰성을 구분해서 평가해야 합니다.

밸브에서 검토해야 할 주요 고장 형태

SIS용 차단밸브를 선정할 때는 단순히 밸브가 열리고 닫히는지를 확인하는 것보다 어떤 고장이 안전 기능에 영향을 미치는지를 분석해야 합니다.

고장 항목	발생 가능 문제	검토 방향
Valve Stuck	밸브가 명령 위치로 이동하지 않음	작동 토크 및 마찰 조건 검토
Actuator Failure	필요한 구동력이 발생하지 않음	액추에이터 용량과 Fail Action 검토
Solenoid Failure	공압 신호 전달 실패	솔레노이드 구조와 진단 방식 검토
계장 공기 상실	액추에이터 작동 불가	저장 압력 및 안전 방향 검토
Stem 또는 Packing 문제	작동 저항 증가	마찰력 및 유지관리 조건 검토
내부 누설	차단 후 유체가 통과함	Seat Leakage 요구조건 검토
Feedback Failure	실제 위치 확인 불가	위치 피드백 구성 검토

여기서 중요한 점은 밸브 내부 누설과 밸브의 안전 기능 실패를 동일한 개념으로 취급해서는 안 된다는 것입니다.

예를 들어 안전 기능이 “위험 유체 공급을 차단하는 것”이라면 밸브가 닫힘 명령을 받았음에도 완전히 닫히지 않는 현상이 핵심적인 위험 고장이 될 수 있습니다.

반대로 특정 공정에서는 허용 가능한 수준의 미세 누설과 완전한 차단 실패를 구분해서 평가할 수도 있습니다.

따라서 요구되는 Seat Leakage 등급은 공정의 안전 요구사항과 연결해서 결정해야 합니다.

관련 시험 방법은 [밸브 Seat Leakage 시험 방법 비교]에서 함께 확인할 수 있습니다.

Fail Open과 Fail Close의 결정

SIS용 밸브에서는 정상 운전 위치보다 고장이나 에너지 상실 시 어느 방향으로 이동해야 안전한가가 중요합니다.

대표적인 설정이 Fail Open과 Fail Close입니다.

설정	에너지 상실 시 밸브 상태	일반적인 검토 방향
Fail Open	밸브가 열리는 방향으로 이동	유체 공급 유지가 안전한 경우
Fail Close	밸브가 닫히는 방향으로 이동	위험 유체 차단이 필요한 경우
Fail in Place	기존 위치를 유지하도록 설계	위치 유지가 안전한 경우

예를 들어 연료 공급 차단이 안전 목표라면 Fail Close가 고려될 수 있습니다.

하지만 모든 공정에서 Fail Close가 안전한 것은 아닙니다. 어떤 설비에서는 냉각수 공급을 계속 유지하는 것이 더 안전할 수 있기 때문에 Fail Open이 요구될 수 있습니다.

따라서 Fail Action은 밸브 종류 자체로 결정하는 것이 아니라 공정 위험 분석과 안전 상태의 정의를 기준으로 결정해야 합니다.

[Fail Open과 Fail Close 설정 기준 정리]

Proof Test가 중요한 이유

SIS는 평상시에는 안전 기능을 작동시키지 않고 대기하는 경우가 많습니다.

이 때문에 정상 운전 중에는 발견되지 않는 위험 고장이 존재할 수 있습니다.

예를 들어 차단밸브가 수개월 동안 열린 상태로 운전되다가 실제 비상 상황에서 닫혀야 한다고 가정해 보겠습니다.

평상시 공정 운전에서는 밸브가 계속 열려 있기 때문에 액추에이터나 솔레노이드의 잠재적인 문제가 발견되지 않을 수도 있습니다.

이러한 문제를 찾아내기 위해 정기적인 Proof Test가 필요합니다.

Proof Test에서는 안전 기능을 구성하는 장치가 실제 요구 상황에서 의도한 동작을 수행할 수 있는지를 확인하고, 시험 과정에서 발견된 고장을 기록하고 조치해야 합니다.

따라서 SIS용 밸브를 선정할 때는 단순한 구매 가격이나 밸브 크기만 보는 것이 아니라 다음 항목을 함께 확인할 필요가 있습니다.

• Proof Test 주기
• 시험 방법
• 시험에서 검출 가능한 고장 범위
• 시험에 필요한 운전 조건
• 부분 시험 가능 여부
• 시험 후 복구 절차
• 제조사가 제공하는 안전 관련 데이터

Partial Stroke Test의 활용

공정 차단밸브는 설비 운전 중 완전한 닫힘 시험을 수행하기 어려운 경우가 있습니다.

이때 Partial Stroke Test(PST)는 밸브를 일정 범위까지 부분적으로 움직여 작동계통의 일부 이상을 확인하는 방법으로 활용될 수 있습니다.

PST는 완전한 Proof Test를 대체하는 개념으로 단순화해서 이해해서는 안 됩니다.

시험을 통해 검출할 수 있는 고장과 검출하지 못하는 고장이 다르기 때문입니다.

예를 들어 밸브가 부분적으로 움직이는 것은 확인할 수 있어도 실제 완전 폐쇄 위치에서의 차단 성능이나 특정 내부 고장까지 확인할 수 있는 것은 아닙니다.

따라서 PST를 적용할 경우에는 어떤 고장 모드를 검출할 수 있는지와 전체 Proof Test 계획에서 어떤 역할을 하는지를 함께 검토해야 합니다.

최종 요소의 위험 고장률이 중요한 이유

SIF의 신뢰성을 평가할 때는 센서와 로직 솔버만 검토해서는 충분하지 않습니다.

최종 요소에 포함되는 밸브와 액추에이터, 솔레노이드의 위험 고장 데이터도 평가 대상이 됩니다.

특히 다음과 같은 자료가 활용될 수 있습니다.

• Failure Rate
• Safe Failure Fraction
• Diagnostic Coverage
• Dangerous Detected Failure
• Dangerous Undetected Failure
• Proof Test Coverage
• Mean Time Between Failures
• 제조사 Safety Manual
• FMEDA 기반 안전 데이터

이러한 데이터는 제품의 일반적인 내구성이나 품질평가 데이터와 목적이 다릅니다.

SIL 평가에서는 안전 기능을 수행하지 못하게 만드는 Dangerous Failure가 특히 중요합니다.

예를 들어 일반적인 공정 제어에서 밸브의 응답이 조금 느려지는 현상과 비상 차단 요구가 발생했는데 밸브가 닫히지 않는 현상은 안전 관점에서 동일하게 평가할 수 없습니다.

단일 밸브의 성능만으로 SIL을 판단할 수 없는 이유

SIF는 여러 구성요소가 직렬로 연결된 시스템으로 볼 수 있습니다.

개념적으로는 다음과 같이 표현할 수 있습니다.

Sensor → Logic Solver → Final Element

세 구성요소 중 어느 하나라도 요구 시 안전 기능을 수행하지 못하면 전체 SIF의 기능에 영향을 줄 수 있습니다.

따라서 로직 솔버가 높은 수준의 안전 관련 성능을 갖추고 있다고 해서 전체 SIF가 자동으로 동일한 SIL 수준을 확보하는 것은 아닙니다.

반대로 밸브 제조사가 특정 안전 관련 인증이나 데이터를 제공한다고 해서 그 밸브가 포함된 전체 SIF의 SIL이 자동으로 결정되는 것도 아닙니다.

최종적인 평가는 해당 SIF의 요구사항과 구성, 고장률, 진단, 시험주기 및 운전 조건을 종합해서 이루어져야 합니다.

SIS용 밸브 선정 시 확인해야 할 항목

실제 설계 단계에서는 다음과 같은 순서로 검토하면 밸브의 안전 기능을 보다 명확하게 정의할 수 있습니다.

검토 항목	확인 내용
안전 기능	밸브가 수행해야 하는 최종 안전 동작
Safe Position	에너지 상실 시 요구되는 밸브 위치
Demand Mode	안전 기능이 요구되는 빈도
SIL Target	해당 SIF에 요구되는 SIL
Valve Type	Ball, Butterfly, Gate 등 적용 밸브
Actuator	필요한 토크와 작동시간
Solenoid	정상 및 비상 작동 방식
Air Supply	계장 공기 상실 시 안전 동작
Failure Data	위험 고장률 및 관련 안전 데이터
Diagnostic	고장 진단 가능 범위
Proof Test	시험주기와 검출 범위
PST	부분 스트로크 시험 적용 여부
Leakage	차단 후 허용되는 누설 수준
Feedback	실제 밸브 위치 확인 방법

이 과정에서 특히 중요한 것은 밸브 본체와 액추에이터를 별개의 장비로만 보는 것이 아니라 최종 요소 전체의 작동 체계로 평가하는 것입니다.

제어밸브와 SIS 차단밸브를 구분해야 하는 이유

일반적인 제어밸브와 SIS용 차단밸브는 외형이 비슷하더라도 설계 목적이 다를 수 있습니다.

제어밸브는 정상 운전 중 유량, 압력, 온도 등을 지속적으로 조절하기 위해 사용됩니다. 반면 SIS의 차단밸브는 위험 상황에서 정해진 안전 동작을 수행하는 것이 핵심입니다.

따라서 제어 성능에서 중요한 Cv, Rangeability, 히스테리시스 등의 특성과 SIS에서 중요한 Fail Action, Proof Test, 위험 고장률 등의 요소를 동일한 기준으로 평가해서는 안 됩니다.

제어밸브의 유량 특성과 Cv 산정에 대해서는 [밸브 Cv 값 산정 방법과 유량 제어 성능 분석]과 연계해서 볼 수 있지만, 해당 특성이 곧바로 SIS 성능을 의미하는 것은 아닙니다.

SIL 설계에서 밸브만 교체해서 해결할 수 없는 문제

현장에서 안전 성능을 높이기 위해 밸브를 더 높은 사양의 제품으로 교체하는 방법을 먼저 고려하는 경우가 있습니다.

그러나 실제 위험 감소 수준은 특정 부품의 사양만으로 결정되지 않습니다.

예를 들어 밸브 자체의 위험 고장률을 낮추더라도 Proof Test가 충분하지 않거나, 솔레노이드 밸브에서 발생하는 고장을 검출하지 못하거나, 계장 공기 공급계통에 공통적인 문제가 발생한다면 전체 SIF의 안전 성능에는 한계가 생길 수 있습니다.

따라서 SIL 관련 개선은 다음과 같은 전체적인 관점에서 이루어져야 합니다.

위험 분석 → SIF 정의 → SIL 결정 → 시스템 구조 설계 → 장비 선정 → 고장 데이터 평가 → Proof Test 계획 → 운전 및 유지관리

이 순서가 명확해야 실제 운전 단계에서도 안전 기능이 설계 의도대로 유지될 수 있습니다.

현장에서 특히 주의해야 할 사항

SIS용 밸브를 적용한 후에는 설치 당시의 설계조건만 확인해서는 충분하지 않습니다.

공정조건이 변경되거나 밸브의 작동시간, 계장 공기압, 액추에이터 설정값 등이 변경되면 안전 기능에 영향을 줄 수 있습니다.

특히 다음과 같은 변경은 별도의 검토가 필요합니다.

• 밸브 또는 액추에이터 교체
• 솔레노이드 모델 변경
• 계장 공기압 변경
• Fail Action 변경
• Proof Test 주기 변경
• PST 적용 범위 변경
• 밸브 내부 트림 변경
• 운전 압력 및 온도 변경
• 공정 유체 변경
• 안전 기능의 설정값 변경

SIS는 설치 당시 정상적으로 작동했다고 해서 이후에도 동일한 안전 성능을 자동으로 유지하는 시스템이 아닙니다.

설계 조건과 실제 운전 조건 사이에 차이가 발생하지 않는지 지속적으로 관리해야 합니다.

결론

SIL은 특정 밸브의 품질을 단순히 나타내는 등급이 아니라 안전 계장 기능이 요구되는 위험 감소 수준을 달성할 수 있는지를 평가하기 위한 개념입니다.

SIS에서 밸브가 최종 요소로 사용되는 경우에는 밸브 본체만 검토해서는 충분하지 않습니다. 액추에이터, 솔레노이드 밸브, 계장 공기, Fail Action, 진단 기능, 위험 고장률, Proof Test 및 시험주기까지 함께 고려해야 합니다.

특히 높은 SIL을 요구하는 SIF일수록 개별 장비의 사양보다 전체 안전 기능을 구성하는 각 요소의 고장 가능성과 시험 및 진단 체계가 어떻게 연결되는지를 확인하는 것이 중요합니다.

따라서 SIS용 밸브를 선정할 때는 “SIL 몇 등급 제품인가?”라는 질문에서 끝내기보다 “이 밸브가 포함된 전체 SIF가 요구되는 안전 기능을 어떤 구조와 데이터로 만족하는가?”를 기준으로 검토하는 것이 적절합니다.