열차제어시스템 안전성 평가를 위한 안전무결성 등급(SIL)의 고찰

초록

열차제어시스템은 다른 어느 제어시스템보다 높은 안전성을 요구하고 있으나, 최근의 컴퓨터 기술의 발달에 따라 열차제어시스템에서 소프트웨어의 비중이 증가함에 따라 안전성의 검증 및 평가가 매우 어렵다, 이러한 이유로 유럽을 중심으로 철도시스템의 안전성 확보를 위한 안전성 활동 및 평가를 위한 절차 및 요구사항들이 국제규격화(IEC 61508, IEC 62278, IEC 62425)되고 있다. 국내에서도 이러한 국제규격화에 따라 열차제어시스템을 위한 안전성 활동관련 연구가 수행되고 있다. 이러한 소프트웨어에 의존성이 높은 열차제어시스템의 안전성 분석 및 평가를 위해서는 국제규격에서 안전무결성등급(SIL : Safety Integrity Level)이라는 개념을 제시하고 있다. 국내의 철도분야에 SIL 개념이 도입되면서 많이 언급되고 있지만, SIL의 정확한 개념보다는 피상적인 접근에 그치는 경우가 있거나 SIL이라는 개념이 정량적인 개념으로 오도되는 경우도 있다. 본 논문에서는 안전성 분석 및 평가에 있어서 매우 중요한 개념인 이러한 국내의 철도분야에서 잘못 이해되고 있거나 오도되고 있는 SIL에 대한 다양한 측면과 철도 이외의 다른 분야 규격(MISRA-SIL 등)에서 언급하고 있는 SIL 개념의 분석을 통해 철도시스템에 적용되고 있는 SIL 등급을 정리하고자 한다. 최근의 열차제어시스템과 같이 하드웨어 중심이 아닌 소프트웨어 의존성이 높은 시스템의 안전성 분석 및 평가를 위해 SIL 개념이 도입되었다. 즉 소프트웨어 고장은 Random 고장이 아닌 Systematic 고장에 기인하므로, 확률론적 접근보다는 정성적인 리스크 분석 방법이 필요하게 되었다. SIL은 이처럼 정량화할 수 없는 정성적인 고장에 기인하는 리스크의 분석 및 평가를 위해 도입되었으나, 국제규격(IEC 62425) 규격에서 THR(Tolerable Hazard Rate)이라는 고장확률로 표현되어 있다. 이러한 표에 의해 국내 일부에서는 해당 시스템이 THR을 만족할 경우 요구되는 SIL 등급을 만족하는 것으로 오도되는 경우도 간혹 있다. 국제규격에서 이러한 신뢰성 기반의 비교표를 제시한 것은 SIL이라는 개념의 사용 편의성 및 정성적인 수준이 정량적으로 어느 정도인지를 비교하기 위한 자료로 제시된 것 일뿐이며, 기본적으로 SIL은 정성적인 리스크 분석방법에 의해 달성되어야 한다. 이에 따라 시스템 안전요구사항에서의 SIL 등급은 시스템 개발과정에서의 적절한 과정(안전성 활동)이 엄격히 정의되고, 그 과정과 결과가 ISA(Independent Safety Assessor)에 의해 확인되고 평가되어야 한다. 즉, SIL은 개발과정에 대한 가이드를 제공하는 것으로, SIL을 확률론적 기반의 안전성 등급으로 오도하는 것은 잘못된 접근이라 할 수 있다. 따라서 SIL이라는 개념이 안전성 목표 설정 및 평가에 있어서 도움이 될 수도 있지만 오도될 수도 있기 때문에 도움이 되지 않을 수도 있다. 즉, SIL 개념은 단지 도구일 뿐이므로 유효한 범위 내에서 이용할 경우에는 유용하지만, 이를 벗어나 이용되는 경우에는 위험할 수 있으므로 정확한 이해를 바탕으로 활용하는 것이 필요하다.