ISO 13849-1 PL a·b·c·d·e 안전성능등급 해석｜PLr과 PFH 계산 개념

산업기계의 안전릴레이, 안전센서, Safety PLC 데이터시트를 보면 PL d, PL e, Cat.3, Cat.4 같은 표기를 자주 볼 수 있습니다.

여기서 PL은 Performance Level의 약자로, 기계의 안전 관련 제어시스템이 필요한 안전기능을 얼마나 신뢰성 있게 수행할 수 있는지를 나타내는 등급입니다.

ISO 13849-1에서는 Performance Level을

PL a → PL b → PL c → PL d → PL e

5단계로 구분합니다.

a에서 e로 갈수록 위험측 고장이 발생할 수 있는 빈도가 낮아지고, 더 높은 수준의 위험감소 능력을 요구합니다.

ISO 13849-1은 어떤 규격일까?

ISO 13849-1은 기계류의 **안전 관련 제어시스템(SRP/CS)**을 설계하고 평가하는 방법을 규정합니다.

2026년 현재 현행판은

ISO 13849-1:2023, Edition 4

입니다.

적용대상은 전기회로에만 한정되지 않습니다.

전기·전자 시스템뿐 아니라 공압, 유압, 기계식 요소가 포함된 안전기능에도 적용할 수 있습니다.

예를 들어

비상정지
안전문 인터록
라이트커튼
안전매트
Safety PLC
안전릴레이
모터 차단회로

같은 안전기능을 평가할 때 사용됩니다.

PL과 PLr은 무엇이 다를까?

이 부분을 가장 먼저 구분해야 합니다.

PL

실제로 설계한 안전제어시스템이 달성한 Performance Level

PLr

위험성 평가 결과 해당 안전기능에 필요한 Required Performance Level

입니다.

따라서 안전설계의 기본조건은

달성 PL ≥ 요구 PLr

이 되어야 합니다.

예를 들어 위험성 평가 결과

PLr = d

가 필요하다면 실제 안전회로도 최소한 PL d를 달성하도록 설계해야 합니다.

PL a·b·c·d·e는 어떻게 구분할까?

PL은 위험측 고장 빈도인 PFH와 관계가 있습니다.

대표적인 범위는 다음과 같습니다.

Performance Level	위험측 고장 빈도 PFH 범위(1/h)
PL a	≥10⁻⁵ ~ <10⁻⁴
PL b	≥3×10⁻⁶ ~ <10⁻⁵
PL c	≥10⁻⁶ ~ <3×10⁻⁶
PL d	≥10⁻⁷ ~ <10⁻⁶
PL e	≥10⁻⁸ ~ <10⁻⁷

숫자가 작을수록 시간당 위험측 고장이 발생할 가능성이 낮다는 의미입니다.

따라서 PL e가 가장 높은 Performance Level입니다.

PFH는 무엇을 의미할까?

PFH는 안전기능이 위험한 방향으로 고장 나는 빈도를 시간당 값으로 표현한 것입니다.

예를 들어

PFH = 5×10⁻⁸ /h

라고 되어 있다면 안전기능의 위험측 고장 빈도를 시간당 5×10⁻⁸ 수준으로 평가했다는 의미입니다.

다만 이 값을

몇 년 동안 반드시 고장이 나지 않는다

라고 해석하면 안 됩니다.

PFH는 기능안전 계산에 사용하는 통계적인 고장빈도 지표이며 개별 장비의 수명을 보장하는 값은 아닙니다.

PLr은 어떻게 결정할까?

ISO 13849-1에서는 위험성 평가를 통해 필요한 PLr을 정할 때 대표적으로 세 가지 요소를 사용합니다.

S = Severity, 부상의 심각성

S1은 일반적으로 회복 가능한 경미한 부상, S2는 회복이 어렵거나 사망까지 포함할 수 있는 심각한 부상을 의미합니다.

F = Frequency / Exposure

F1은 위험에 노출되는 빈도가 낮거나 노출시간이 짧은 경우, F2는 빈번하거나 지속적으로 노출되는 경우입니다.

P = Possibility of Avoidance

P1은 특정 조건에서 위험을 피하거나 피해를 제한할 수 있는 경우, P2는 위험을 피하기 어려운 경우입니다.

이 S·F·P 조합을 Risk Graph에 적용해 필요한 PLr을 결정합니다.

실제 위험성 평가 예를 들어보자

ISO 13849-1의 예제에서는 안전문이 열렸을 때 위험한 모터동작을 정지시키는 안전기능을 다룹니다.

위험조건이

S2 = 심각한 부상 가능

F1 = 위험노출 빈도가 비교적 낮거나 노출시간이 짧음

P1 = 특정 조건에서 위험회피 가능

이라면 Risk Graph를 통해

PLr = c

가 도출되는 사례가 있습니다.

즉 이 안전기능은 최소한 PL c 수준의 위험감소 능력을 갖도록 설계해야 한다는 의미입니다.

PL은 부품 하나만 보고 결정할 수 있을까?

그렇지 않습니다.

예를 들어 Safety Sensor 데이터시트에

PL e

라고 적혀 있다고 해서 해당 기계의 전체 안전기능이 자동으로 PL e가 되는 것은 아닙니다.

실제 안전기능은 일반적으로

Input → Logic → Output

구조로 이루어집니다.

예를 들어

Safety Light Curtain
↓
Safety PLC
↓
Contactor
↓
Motor Stop

구조라면 센서, Safety PLC, Contactor와 회로구조 전체를 함께 평가해야 합니다.

한 부품의 PL 등급만 보고 전체 시스템의 PL을 판단해서는 안 됩니다.

Category B·1·2·3·4는 PL과 같은 것일까?

같은 개념이 아닙니다.

Category는 안전제어시스템의 구조와 고장에 대한 대응방식을 나타냅니다.

ISO 13849-1에서는

Category B

기본적인 안전원칙을 적용한 구조

Category 1

신뢰성이 높은 부품과 안전원칙을 사용하는 구조

Category 2

안전기능을 일정한 방식으로 시험하는 구조

Category 3

일부 고장이 발생하더라도 안전기능을 유지할 수 있도록 이중화 등을 적용

Category 4

높은 수준의 고장감지와 다중 고장에 대한 안전성까지 고려한 구조

로 구분합니다.

하지만 Category 4 = 무조건 PL e처럼 단순하게 연결하면 안 됩니다.

PL을 결정하는 요소는 무엇일까?

Performance Level을 결정할 때 Category만 보는 것이 아닙니다.

대표적으로

Category

안전회로의 구조

MTTFd

위험측 고장까지의 평균시간과 관련된 신뢰성 지표

DCavg

Diagnostic Coverage, 고장을 얼마나 잘 검출하는지 나타내는 진단범위

CCF

Common Cause Failure, 이중 채널이 하나의 원인으로 동시에 고장 나는 문제

등을 함께 평가합니다.

따라서 같은 Category 3 회로라도 사용한 부품의 신뢰성과 진단능력이 다르면 달성하는 PL이 달라질 수 있습니다.

MTTFd가 높으면 무엇이 좋을까?

MTTFd는 Mean Time To Dangerous Failure의 약자입니다.

쉽게 말하면 부품이나 채널이 위험측 고장에 이르는 신뢰성을 나타내는 값입니다.

MTTFd가 높을수록 위험측 고장이 발생할 확률이 낮아지는 방향으로 평가됩니다.

하지만

MTTFd가 높다 = PL e

는 아닙니다.

안전회로의 구조와 Diagnostic Coverage, Common Cause Failure 등도 함께 만족해야 합니다.

DCavg는 무엇일까?

DCavg는 Average Diagnostic Coverage입니다.

안전시스템 내부에서 발생할 수 있는 위험한 고장을 얼마나 잘 발견할 수 있는지를 나타냅니다.

예를 들어 이중채널 안전회로에서 한 채널의 접점이 용착되었을 때 Safety Controller가 이를 감지할 수 있다면 진단기능이 작동하는 것입니다.

고장이 발생해도 이를 발견하지 못한다면 위험한 상태가 장시간 유지될 수 있습니다.

따라서 높은 PL을 달성하려면 단순한 이중화뿐 아니라 고장을 검출할 수 있는 진단기능도 중요합니다.

CCF는 왜 중요할까?

두 개의 안전채널을 사용한다고 해도 두 채널이 같은 원인으로 동시에 고장 나면 이중화 효과가 사라집니다.

이것을

CCF = Common Cause Failure

라고 합니다.

예를 들어

같은 전원 이상
과도한 온도
진동
수분 침투
잘못된 배선

등이 두 채널에 동시에 영향을 주면 CCF가 발생할 수 있습니다.

따라서 높은 Performance Level을 설계할 때는 단순히 릴레이를 두 개 사용했다고 끝나는 것이 아니라 공통원인 고장까지 고려해야 합니다.

PL e 제품을 사용하면 PL e 시스템이 될까?

이 부분도 많이 오해합니다.

예를 들어

Safety Sensor = PL e

Safety PLC = PL e

라고 해도 최종 출력 Contactor나 배선구조가 요구수준을 만족하지 못하면 전체 안전기능의 PL이 낮아질 수 있습니다.

따라서 실제 평가에서는

Sensor → Logic → Output

전체 안전기능의 PFH를 평가합니다.

안전부품 데이터시트의 PL은 해당 부품 또는 서브시스템이 특정 조건에서 사용할 수 있는 성능정보로 보는 것이 좋습니다.

실제 안전센서 데이터시트를 읽어보자

안전스위치에 다음과 같은 사양이 있다고 가정하겠습니다.

ISO 13849-1: PL e

Category 4

PFH = 8×10⁻⁹ /h

이 제품은 자체 안전성능이 높은 제품이라고 볼 수 있습니다.

하지만 기계설계자는 여기에

Safety Controller
출력장치
배선
진단회로

를 결합한 전체 안전기능이 요구되는 PLr을 만족하는지 확인해야 합니다.

즉 데이터시트에서 PL e 한 줄만 보고 설계를 끝내면 안 됩니다.

흔히 잘못 해석하는 부분

첫 번째는

“PL e가 붙은 부품을 사용하면 기계 전체가 PL e다.”

라는 생각입니다.

PL은 전체 안전기능의 구조와 구성요소를 함께 평가해야 합니다.

두 번째는

“Category 4면 자동으로 PL e다.”

라는 생각입니다.

Category뿐 아니라 MTTFd, DCavg, CCF와 다른 요구사항을 만족해야 합니다.

세 번째는

“PLr e면 모든 안전기능을 e로 만들어야 한다.”

는 생각입니다.

PLr은 각 안전기능별 위험성 평가를 통해 결정합니다.

같은 기계 안에서도 비상정지, 안전문, 라이트커튼 등의 안전기능마다 요구 PLr이 다를 수 있습니다.

정리

ISO 13849-1의 Performance Level은 안전 관련 제어시스템이 안전기능을 얼마나 신뢰성 있게 수행할 수 있는지를 평가하는 지표입니다.

핵심은

PL a → 낮은 Performance Level

PL e → 높은 Performance Level

이며,

PLr = 위험성 평가를 통해 필요한 목표 Performance Level

PL = 실제 설계가 달성한 Performance Level

입니다.

실제 기계 안전시스템을 확인할 때는

위험성 평가 → PLr 결정 → Category 선택 → MTTFd → DCavg → CCF → PFH 계산 → 달성 PL 검증

순서로 보는 것이 좋습니다.

즉 PL e 제품을 사용했는가보다 중요한 것은 전체 안전기능이 요구되는 PLr을 만족하도록 설계되었는가입니다.

참고자료

• ISO 13849-1:2023, Edition 4 – Safety of machinery — Safety-related parts of control systems — Part 1: General principles for design. 안전 관련 제어시스템의 설계·통합과 Performance Level 평가방법을 규정하는 현행 국제표준입니다. ISO 공식 페이지에서 2023년 4월 발행된 Edition 4임을 확인할 수 있습니다. ISO
• Pilz – EN ISO 13849-1 Performance Level – PLr을 결정할 때 S(부상 심각도), F(위험 노출빈도), P(위험 회피 가능성)를 이용하는 Risk Graph와 PL a~e의 개념을 설명합니다. Pilz
• Rockwell Automation – Safebook 5 – PL a~e에 해당하는 PFH 범위와 Category·MTTFd·DCavg를 이용해 Performance Level을 평가하는 구조를 설명합니다. Rockwell Automation
• SICK – Guide for Safe Machinery – ISO 13849-1에 따른 Category B·1·2·3·4, MTTFd, Diagnostic Coverage와 전체 안전기능의 PL 평가방법을 설명합니다.