사례① 킴벌리 클라크社
안전 검증으로 프로젝트 완벽성 높이다

장비제조업체들은 작업자를 보호하고 안전표준에 맞는 안전 회로와 설계작업의 검증에 더욱 주안점을 두고 있다. 킴벌리 클라크사 또한 안전 시스템 검증으로 물리적 접근 및 소프트웨어 접근 관리와 영역별 안전 코드를 만드는 것이 가능해졌으며 기계 출고 후 안전 시스템 재검증 필요성이 줄었다.

지능형 안전 시스템 설계는 IEC 61508와 IEC 62061 규격에 명시된 바와 같이 체계적이며 엄격한 안전 수명 주기 방식(그림 1)을 따른다. 안전 수명 주기 엔지니어링 프로세스의 각 구성 요소들은 모두 동일하게 중요하다.



장비 제조업체 안전검증에 주목

밀접하게 통합된 5단계 폐쇄 고리의 각 단계는 그 다음 단계를 활성화하여 수행하도록 돕는 역할을 한다. 동시에 안전 시스템은 필요한 안전 요구 사항이 충족될 거라는 절대적인 확신을 사용자에게 줄 수 있어야 한다. 더 복잡해지고 있는 안전 자동화 기술을 구현하는 경우는 특히 더 그렇다.
그래서 장비제조업체는 검증 단계와 이와 관련된 성공 사례에 특별한 관심을 기울일 필요가 있다.
안전 수명 주기의 전형적인 6가지 단계를 준수하면 프로젝트를 완벽하게 수행하는 것이 가능해진다.
그 단계들은 다음과 같다.

① 안전 평가 : 위험 요인 식별 및 관련 위험 예측
② 완화 방법 선정 : 업계에서 허용된 솔루션에 기반해 안전 보호 옵션 평가
③ 안전 시스템 설계 : 설계 시스템 아키텍처, 안전 핵심 회로 설계 및 방어 설계
④ 프로젝트 실행 : 자재 조달, 조립, 통합 테스트, 시운전
⑤ 검증 : 정의된 파라미터 이내에서의 시스템 작동 여부와 해당 규격 충족 여부 검증
⑥ 유지보수 : 제어 변경

먼저, 안전 수명 주기 3단계 ‘검사’와 5단계 ‘검증’의 차이를 명확히 구분 짓는 것이 중요하다.
검사는 성능 수준(PL)이 위험 평가 및 필요 성능 수준(PLr)에 상응하는지를 확인하는 분석적이고 수학적인 접근 방식이다. 그러나 PL 산출치를 달성했다고 해서 시스템이 안전한 것은 아니다.
한편, 검증은 정상과 비정상 조건을 포함한 실제 운전 조건으로 설계를 실험하여 안전 솔루션에 실질적인 힘을 실어 준다. EN ISO 13849-2 규격은 검증을 다음과 같이 정의한다.

“검증은 정적 및 동적 테스트와 기타 방식을 모두 사용하며, 모든 부품이 제대로 상호 작용하여 의도된 안전 기능을 수행하고 의도되지 않은 기능은 발생하지 않는다는 것을 보여주는 과정이다.”

다시 말하면, 검증은 안전 회로나 디자인을 입증하는 작업이다. 검증은 모든 안전 기능이 제대로, 그리고 의도된 바와 같이 작동하고 있다는 증거를 제공한다. 오늘날 기계 제어와 자동화로 가능해진 수많은 것들을 고려할 때 검사와 검증 수행은 무리한 요구인지도 모른다.



킴벌리 클라크에서 얻은 교훈

2000년대 초반에 킴벌리 클라크는 안전 프로그래머블 로직 컨트롤러(PLC)를 온라인으로 처음 사용했다. 그 후로 모든 기계에는 안전 컨트롤러가 따라왔다.
유연성은 복잡한 안전 기능 구현 능력을 증가시키지만, 더불어 부정확한 검증의 위험도 증가시킨다. 또한, 안전 컨트롤러를 검증하는 데는 하드웨어 릴레이를 검증하는 것보다 훨씬 더 많은 시간과 인력이 소요된다.
킴벌리 클라크의 접근 방식은 제어 시스템의 안전 관련 부분(SRP/CS)에 대한 다음의 점진적인 세 가지 검증 단계에 중점을 두었다.

· 시험 : 개별 SRP/CS 컴포넌트가 정상적인 운전 요구 사항에 맞춰 설치, 테스트, 작동 및 유지 보수되었는지 확인
· 시운전 : 모든 SRP/CS 기능이 정상 운전 요구 사항에 맞춰 설계, 설치, 테스트, 운전 및 유지 보수되었는지 확인
· 확인 : 비정상적이거나 오류 상황에서 시운전된 모든 SRP/CS 기능의 행동 평가

실패 이벤트에 대한 반응을 테스트하기 위해 안전 시스템에 오류를 발생시키는 확인 단계는 특히 사용자와의 협업을 고려하는 장비업체에 ‘향상을 위한 기회’를 제공한다. 물론 쉬운 일은 아니다.
의도된 상황과 의도되지 않은 상황, 정상 및 비정상 상태를 테스트해야 하는 관계로 킴벌리 클라크에서는 확인 단계의 구성 요소들을 이해하고 완벽하게 마스터하는데 대략 2년이라는 시간을 들였다.
예를 들어, 오류 발생 시 시스템이 올바르게 반응하는지 확인하기 위해 이중 채널을 필요로 하는 범주 3 구조에는 어떻게 단락(shorts)과 개방(opens)을 발생시킬 것인가 하는 결정이 포함된다.
마찬가지로, 케이블이 절단되거나 통신이 실패하면 어떤 결과가 나타날지를 확인 단계에서는 모든 잠재적인 이벤트를 기록하여 문서화하고 의도되지 않은 상황까지 검증할 수 있게 양식을 마련하는 것이 필요하다.
킴벌리 클라크는 기계별로 확인 계획을 수립할 것을 권장하는데, 이는 여러 독특한 시스템의 수를 고려할 때 자칫 번거로운 업무처럼 보일 수도 있지만, 실제로는 무동력 정지, e-stop, 방어 회로 또는 안전 접근 회로, 에너지 제어 회로 같은 대여섯 개의 서로 다른 안전 기능이 있을 뿐이다.
기존에 검증된 기능을 위한 공통 코드와 공통 하드웨어를 사용하면 장비제조업체의 기계 설계팀은 안전 코드와 안전 설계를 재사용하여 효율성을 향상할 수 있다. 위에서처럼 특정한 예를 따로 떼어 언급하면, 검증 단계가 마치 한 체크 리스트에 포함된 개별적인 일련의 이벤트들처럼 보일 수도 있다.
사실 이는 기업이 각 핵심 운전 기능들에 지정해 놓은 주안점, 전략 및 계획의 종류를 정당화하는 아주 중요한 과정이다.
킴벌리 클라크는 검증을 위한 특별한 표준을 수립한 후 지난 3년간 특정 기계에서만 24시간 지속적으로 소요되어 최대 3일까지 걸리던 과정을 12시간으로 줄였다. 어떤 경우, 이 과정은 적게는 6시간 안에 완료된다.

검증된 성공 사례

다음은 몇 가지 성공 사례이다.

· 영역 검증 : 전체 프로세스의 전원을 제거하는 대신 운전자나 유지보수 담당자가 접근할 필요가 있는 섹션의 전원만을 비활성화하기 위해 안전 코드를 영역별로 정의한다. 영역별 안전 기능은 공통적인 경우가 많다. 공기압, 유압, 동력 등 동일한 에너지 제어 형식 내에서는 영역에서 영역까지 동일한 안전 코드를 만드는 것이 가능하다. 장비제조업체가 안전 하드웨어 선정에 일관성을 유지하면 성능 레벨 산출이 단순화되고 사용자가 동일한 안전 소프트웨어와 설정을 사용할 수 있다.
· 물리적 접근과 소프트웨어 접근 관리 : 오류 생성과 정상 운전 확인을 위해 필요한 접근 필요성의 맥락에서 기계 설계를 생각한다. 검증을 단순화하기 위해 어떻게 안전 시스템을 안전 영역 이외에서 지속시킬 수 있는지 고려한다. 기계의 내부가 아닌 외부에 있는 I/O 모듈에서 오류를 생성하기가 더 쉽다. 장치의 방호문을 개방하여 작업, 유지보수, 점검, 문제 해결을 해야 할 필요가 있으므로 가드 내부에 안전밸브 I/O를 위치시키는 설계를 피한다.
출고 후 재검증 최소화 : 킴벌리 클라크는 장비제조업체의 검증 시 임석을 선호한다. 배선 분리를 최소화하면 최적화된 기계 설계가 가능해지고 기계 출고 후 고장이 난 경우에도 안전 시스템 재검증 필요성이 줄어든다. 안전 I/O 하드웨어 장치가 안전 I/O 분산 모듈에서 분리되지 않도록 하는 설계는 네트워크와 재검증의 필요를 현저하게 감소시킨다.
· 전용 안전 네트워크 사용 : 안전 전용 네트워크를 사용하면 HMI에 정보를 추가 입력한다거나 기계에 새로운 섹션을 추가하는 경우 등 변경이 필요한 경우에도 생산성을 보호할 수 있다. 예를 들어 안전 회로가 모든 인버터와 동일한 네트워크상에 있으면, 대역폭 집약적인 변경은 안전 시스템에 영향을 미친다. 안전 시스템이 원래 의도된 바대로 반응하지 않는 경우 안전 상태로 전환되어 잠재적으로 생산에 문제를 야기할 수 있다.

검증은 길을 건너기 전에 양방향을 확인하는 것과 같다. 다른 점이라면 이는 6주 또는 6개월 후에 발생할지도 모르는 오류를 감지하는 것이 목적이라는 점이다. 안전 검증은 시간, 리소스, 비용이 소요된다. 그러나 일단 기계 장애가 발생하면 검증은 모든 다른 투자를 능가하는 가치를 회수할 수 있다.

Steve Zuberbier 킴벌리 클라크 엔지니어링 기술 리더