산업자동화는 멈춰야 더 오래 돈다, 안전계장시스템의 역설
공장을 세우는 장치가 생산성을 지킨다고요?
Q. 산업자동화에서 정지는 곧 손실 아닌가요?
서민규 에디터: 생산량만 보면 그렇습니다. 하지만 공정 이상을 무시한 채 설비를 계속 돌리면 작은 손실이 화재, 설비 파손, 장기 셧다운으로 번질 수 있습니다. 안전계장시스템 전문가인 이정훈 엔지니어는 ‘멈추지 않는 공장’보다 위험할 때 정확히 멈추는 공장이 실제 가동률도 높다고 설명합니다.
이정훈 엔지니어: 안전계장시스템(SIS)은 온도·압력·유량·수위 같은 계측값이 위험 한계를 넘을 때 밸브를 닫거나 펌프와 히터를 정지시킵니다. 일반 제어시스템이 생산을 최적화한다면 SIS는 사고가 확대되기 전에 공정을 안전 상태로 이동시키는 독립 방어선입니다. 기본 개념은 제어시스템 용어 정의와 함께 보면 이해하기 쉽습니다.
- 일반 제어: 설정값을 유지하고 생산량과 품질을 높입니다.
- 알람 시스템: 운전원에게 이상을 알리고 판단할 시간을 줍니다.
- 안전계장: 정해진 위험 조건에서 사람의 개입을 기다리지 않고 동작합니다.
- 기계식 보호장치: 안전밸브처럼 전기 신호 없이도 최후 방어를 담당합니다.
“정지는 실패가 아닙니다. 위험 에너지가 사고로 바뀌기 전에 공정이 스스로 선택하는 가장 값싼 대응입니다.”
따라서 모든 트립을 생산 방해로 취급하면 안 됩니다. 먼저 어떤 위험을 막기 위한 정지인지, 정상 제어와 독립성이 확보됐는지부터 물어야 합니다.
PLC가 있는데 안전 PLC를 또 두는 이유
Q. 기존 PLC에 정지 로직을 넣으면 비용을 줄일 수 있지 않나요?
서민규: 현장에서는 가장 자주 나오는 질문입니다. 센서도 있고 PLC도 있으며 출력 릴레이도 있는데 별도 시스템이 왜 필요하냐는 것이죠. 단순 비상정지는 일반 PLC로 구현할 수 있지만, 위험도가 높은 공정에서는 한 번의 고장이나 잘못된 프로그램 변경이 제어 기능과 보호 기능을 동시에 무력화할 가능성을 살펴야 합니다.
이정훈: 핵심은 장비 이름보다 독립성, 진단 능력, 고장 시 안전 방향입니다. 일반 PLC와 안전 기능이 전원, 입력 모듈, 네트워크, 프로그램 권한까지 공유하면 공통 원인 고장이 생길 수 있습니다. 안전 PLC는 내부 진단과 이중화 구조를 제공하지만, 설치만 했다고 안전성이 자동으로 완성되는 것도 아닙니다.
- 공정 위험을 분석하고 허용할 수 없는 사고 시나리오를 정합니다.
- 각 시나리오에 필요한 안전 기능과 목표 성능을 결정합니다.
- 센서부터 로직 솔버, 최종 제어요소까지 하나의 루프로 설계합니다.
- 운전용 제어시스템과의 공유 지점 및 공통 고장 가능성을 검토합니다.
- 변경 권한, 시험 주기, 우회 관리 절차까지 문서화합니다.
Q. 화면과 네트워크도 완전히 분리해야 합니까?
이정훈: 무조건 물리적으로 모두 나누는 것보다 위험도에 맞는 분리 원칙이 중요합니다. HMI에서 SIS 상태를 읽어 표시할 수는 있지만 운전 화면에서 임계값과 로직을 자유롭게 바꾸게 해서는 안 됩니다. 연결이 필요하다면 읽기 중심 구성, 접근 권한 분리, 변경 기록과 통신 장애 시 동작을 명확히 정해야 합니다.
비싼 센서보다 설치 위치가 먼저입니다
Q. 계측 정확도가 높으면 안전 기능도 좋아지나요?
서민규: 고정밀 압력계나 온도센서를 사면 위험을 더 잘 감지할 것 같지만, 전문가는 다른 답을 내놓았습니다. 측정 범위가 맞지 않거나 배관 막힘, 응축수, 진동, 열 복사 영향을 받는 위치에 설치하면 사양서의 정확도는 현장에서 의미가 작아집니다. 좋은 계측기는 올바른 공정점을 볼 때만 좋은 데이터를 만듭니다.
이정훈: 예를 들어 압력 탭이 막히면 트랜스미터 자체는 정상 신호를 계속 보낼 수 있습니다. 제어시스템은 숫자가 안정적이라 판단하지만 실제 공정 압력은 이미 변했을 수 있죠. 이 때문에 센서 고장뿐 아니라 임펄스 라인, 매니폴드 밸브, 케이블, 전원, 설치 환경을 함께 봐야 합니다. 계측과 자동화 직무의 범위는 산업설비자동화과 소개에서도 참고할 수 있습니다.
- 범위 선정: 정상 운전값이 측정 범위의 한쪽 끝에 몰리지 않게 합니다.
- 응답 시간: 필터를 과도하게 적용해 실제 위험 신호가 늦어지지 않는지 확인합니다.
- 설치 조건: 진동, 수분, 주변 온도와 방폭 등급을 함께 검토합니다.
- 중복 측정: 같은 배관과 전원을 공유하는 센서가 진정한 독립성을 갖는지 따집니다.
- 고장 방향: 단선이나 전원 상실을 정상값으로 오인하지 않도록 신호 범위를 설정합니다.
Q. 센서를 세 개 달면 무조건 안전합니까?
이정훈: 2oo3 투표 구조는 오동작 정지를 줄이면서 위험 감지 신뢰도를 높일 수 있지만 비용과 시험 항목도 늘어납니다. 세 센서가 같은 노즐, 같은 전원, 같은 케이블 트레이를 사용한다면 하나의 문제가 모두를 흔들 수 있습니다. 수량보다 공통 원인 고장을 제거하는 설계가 먼저입니다.
트립의 범인은 센서보다 밸브일 때가 많습니다
Q. 안전 루프에서 가장 놓치기 쉬운 장치는 무엇인가요?
서민규: 현장 회의에서는 PLC와 센서 이야기가 길지만, 실제로 공정을 안전하게 만드는 마지막 행동은 밸브·차단기·모터 접촉기 같은 최종 제어요소가 수행합니다. 신호가 완벽하게 전달돼도 밸브 스템이 붙어 있거나 공압이 부족하면 배관은 차단되지 않습니다. 그래서 최종 제어요소의 고장 가능성과 실제 작동 시간을 별도로 관리해야 합니다.
이정훈: 특히 제어밸브를 안전 차단밸브로 겸용하면 비용은 줄지만 공통 고장이 늘어날 수 있습니다. 밸브가 평소 자주 움직여 고장을 빨리 발견할 수 있다는 장점도 있으므로 무조건 분리가 답은 아닙니다. 공정 위험, 누설 허용량, 요구 차단 시간과 정비 여건을 놓고 판단해야 합니다.
- 솔레노이드 밸브의 코일과 공기 공급 상태를 점검합니다.
- 실제 스트로크 시간이 설계된 안전 시간보다 짧은지 측정합니다.
- 닫힘 위치 스위치가 명령이 아닌 실제 위치를 반영하는지 확인합니다.
- 밸브 시트 누설 기준과 정비 후 시험 방법을 합의합니다.
- 부분 행정 시험이 완전 폐쇄 시험을 대체한다고 오해하지 않습니다.
Q. 운전 중 밸브 시험은 생산에 위험하지 않습니까?
이정훈: 부분 행정 시험은 밸브를 소폭 움직여 고착을 조기에 찾는 방법입니다. 다만 시험 이동량과 복귀 실패 시 대응, 공정 변동 허용 범위를 먼저 검토해야 합니다. 작업허가 없이 임의로 실행하거나 여러 밸브를 동시에 시험하면 오히려 새로운 위험을 만들 수 있습니다.
“안전 루프는 신호가 아니라 행동으로 평가하십시오. 화면에 ‘CLOSE’가 떴다는 사실과 유체가 실제로 차단됐다는 사실은 다릅니다.”
정기 시험은 자주 할수록 좋다는 착각
Q. 시험 주기를 짧게 하면 위험도 계속 낮아지나요?
서민규: 시험을 자주 하면 숨어 있는 고장을 빨리 찾을 수 있으니 안전해 보입니다. 그러나 시험을 위해 바이패스를 걸고 배선을 분리하거나 밸브를 움직이는 과정 자체가 오조작과 설비 충격을 만들 수 있습니다. 인력과 예산이 부족한데 횟수만 늘리면 기록을 복사하거나 핵심 항목을 생략하는 형식적 점검으로 흐르기 쉽습니다.
이정훈: 시험 주기는 위험 분석 결과, 장치 고장률, 진단 범위와 과거 시험 데이터를 근거로 정해야 합니다. 새 장비의 권장값을 그대로 쓰기보다 현장에서 발견된 고장 유형과 정비 이력을 반영해야 하죠. 생산자동화 실무 역량의 폭은 생산자동화산업기사 항목을 통해서도 확인할 수 있습니다.
- 시험 전: 대상 태그, 예상 공정 영향, 우회 범위와 복구 책임자를 확정합니다.
- 시험 중: 입력 신호만 강제하지 말고 가능한 범위에서 센서부터 최종 장치까지 검증합니다.
- 복구 전: 강제값, 점퍼, 바이패스와 정비 모드를 이중 확인합니다.
- 시험 후: 작동 시간과 발견 결함을 기록하고 다음 주기의 근거로 활용합니다.
Q. 시험 비용은 어느 정도로 잡아야 하나요?
이정훈: 장비 구매가보다 공정 정지 시간, 작업 인원, 교정 장비, 밸브 접근성에 따라 차이가 큽니다. 견적을 받을 때 ‘루프당 단가’만 비교하면 복구 확인과 결과 보고서가 빠질 수 있습니다. 시험 범위, 성적서 형식, 실패 시 재시험 비용과 야간 작업 할증을 분리해 확인하는 편이 현실적입니다.
자동 정지가 항상 가장 안전한 답은 아닙니다
Q. 위험 신호가 나오면 전부 자동으로 멈추게 하면 되지 않나요?
서민규: 마지막으로 반대 관점을 묻겠습니다. 자동 정지가 안전하다면 더 많은 계측 신호를 트립에 연결할수록 좋은 것 아닐까요? 전문가는 불필요한 트립이 잦아지면 운전원이 우회 기능을 상시 사용하거나 알람을 불신하게 된다고 경고합니다. 보호 기능의 수가 많다는 사실보다 각 기능의 위험 시나리오와 동작 결과가 분명해야 합니다.
이정훈: 일부 공정은 즉시 전원을 끄는 것보다 냉각수 공급을 유지하거나 압력을 단계적으로 낮추는 편이 안전합니다. 회전체, 반응기, 고온로처럼 잔류 에너지가 큰 설비는 정지 뒤에도 위험이 계속됩니다. 따라서 ‘전원 차단’이라는 단일 처방 대신 안전 상태가 무엇인지 공정별로 정의해야 합니다.
- 정지 후 냉각·윤활·퍼지 기능 가운데 유지해야 할 장치를 구분합니다.
- 복구되지 않은 위험이 있는데 자동 재기동되지 않도록 조건을 설정합니다.
- 운전원이 수동 대응해야 한다면 판단 가능 시간과 현장 접근성을 검증합니다.
- 바이패스에는 승인자, 만료 시간, 화면 표시와 교대 인계 규칙을 둡니다.
- 오동작 정지는 삭제보다 원인 분석을 거쳐 센서 위치나 투표 구조를 개선합니다.
Q. 그렇다면 사람의 판단을 더 믿어야 합니까?
이정훈: 자동화와 사람 중 하나를 고르는 문제가 아닙니다. 빠르고 반복 가능한 대응은 안전계장시스템이 맡고, 복합 상황의 판단과 복구는 훈련된 운전원이 담당해야 합니다. 반대로 자동화가 지나치게 복잡해 운전원이 현재 상태를 이해하지 못한다면 설계가 안전을 가린 셈입니다.
좋은 산업자동화는 모든 상황을 기계에 맡기지 않습니다. 자동 정지의 범위, 사람이 개입할 순간, 정지 이후 필요한 보조 기능을 함께 설계할 때 제어시스템은 생산성과 안전을 동시에 지킬 수 있습니다. 때로는 자동화를 하나 더 추가하는 것보다 불필요한 연동 하나를 제거하고 남은 기능을 제대로 시험하는 편이 더 안전합니다.
- 다음글산업자동화의 다음 표준은 스마트 계측 데이터가 결정합니다 26.08.12
등록된 댓글이 없습니다.