IEC 62061 SIL 1·2·3 기계 안전등급 차이｜PFHd와 안전기능 해석

산업용 Safety PLC, 안전릴레이, 서보드라이브 등의 데이터시트를 보면 SIL 1, SIL 2, SIL 3이라는 표시를 볼 수 있습니다.

SIL은 Safety Integrity Level, 즉 안전무결성등급을 의미합니다.

쉽게 말하면 기계의 위험한 상황에서 안전기능이 필요할 때 그 기능이 위험한 방향으로 실패할 가능성을 어느 정도까지 낮추어야 하는지를 나타내는 기능안전 등급입니다.

IEC 62061의 기계 안전분야에서는 주로

SIL 1

SIL 2

SIL 3

으로 구분합니다.

숫자가 커질수록 더 낮은 위험측 고장 확률이 요구됩니다.

IEC 62061은 어떤 규격일까?

IEC 62061은 기계에 사용되는 **안전 관련 제어시스템(SCS)**의 설계·통합·검증을 다루는 국제표준입니다.

예를 들어

비상정지
안전문 인터록
라이트커튼
Safety PLC
안전릴레이
STO 기능
안전 출력회로

등으로 구성되는 안전기능을 평가할 때 사용할 수 있습니다.

현행 IEC 62061의 기본판은 IEC 62061:2021 Edition 2.0이며 이후 2024년 Amendment 1과 2026년 Amendment 2가 발행되어 현재는 이 개정사항까지 포함해 확인하는 것이 좋습니다.

SIL 1·2·3은 무엇이 다를까?

IEC 62061에서 중요한 수치가 PFHd입니다.

PFHd는

Probability of dangerous Failure per Hour

즉 시간당 위험측 고장 빈도를 의미합니다.

대표적인 범위는 다음과 같습니다.

SIL	PFHd 범위
SIL 1	≥10⁻⁶ ~ <10⁻⁵ /h
SIL 2	≥10⁻⁷ ~ <10⁻⁶ /h
SIL 3	≥10⁻⁸ ~ <10⁻⁷ /h

예를 들어 PFHd가

5 × 10⁻⁸ /h

인 안전기능이라면 PFHd 범위만 놓고 보면 SIL 3 영역에 해당합니다.

하지만 SIL은 PFHd 숫자 하나만으로 최종 결정되는 것은 아닙니다.

10⁻⁸은 어느 정도 숫자일까?

지수표기가 익숙하지 않다면 다음처럼 생각하면 됩니다.

10⁻⁵ = 0.00001

10⁻⁶ = 0.000001

10⁻⁷ = 0.0000001

10⁻⁸ = 0.00000001

따라서 SIL 숫자가 높아질수록 허용되는 위험측 고장 빈도가 한 단계씩 더 낮아집니다.

하지만 이를 단순히

SIL 3이면 몇 년 동안 절대 고장이 나지 않는다

라고 해석하면 안 됩니다.

PFHd는 개별 장비의 보증수명이 아니라 기능안전 계산에 사용하는 통계적 고장빈도 지표입니다.

왜 IEC 62061에는 SIL 4가 없을까?

IEC 61508이라는 일반 기능안전규격에서는 SIL 1부터 SIL 4까지 사용합니다.

하지만 기계 분야에 특화된 IEC 62061에서는 안전 관련 제어기능에 SIL 1~SIL 3을 사용합니다.

따라서 기계용 Safety PLC 데이터시트에서

SIL 3

가 표시되어 있다면 IEC 62061의 적용범위에서는 높은 수준의 기능안전 등급입니다.

SIL 4가 없으니 SIL 3 제품은 부족하다고 생각할 필요는 없습니다.

필요한 SIL은 어떻게 정할까?

모든 기계에 무조건 SIL 3을 적용하는 것은 아닙니다.

먼저 위험성 평가를 수행한 뒤 해당 위험을 감소시키기 위해 필요한 목표 SIL을 결정합니다.

IEC 62061에서는 대표적으로

Se = Severity

부상이 얼마나 심각한가

Fr = Frequency and Duration

위험에 얼마나 자주, 오래 노출되는가

Pr = Probability

위험한 사건이 발생할 가능성

Av = Avoidance

피해를 피하거나 제한할 가능성

등을 고려합니다.

이 정보를 이용해 해당 안전기능에 요구되는 SIL을 결정합니다.

실제 위험성 평가 예를 들어보자

어떤 산업기계의 회전부에 작업자가 접근할 수 있다고 가정하겠습니다.

사고가 발생하면 심각한 부상이 가능하고,

작업자가 해당 공간에 자주 접근하며,

위험한 상황이 발생했을 때 피하기 어렵다면

더 높은 위험감소가 필요할 수 있습니다.

이 경우 안전문을 열었을 때 모터를 정지시키는 기능에 SIL 2 또는 SIL 3과 같은 높은 수준이 요구될 수 있습니다.

반대로 피해가 가볍고 노출빈도와 발생가능성이 낮다면 필요한 SIL도 낮아질 수 있습니다.

중요한 것은 먼저 위험을 평가하고 그 결과에 맞는 SIL을 정하는 것입니다.

SIL 3 부품 하나를 사용하면 전체가 SIL 3일까?

아닙니다.

안전기능은 보통 여러 구성요소가 연결되어 있습니다.

예를 들어

Safety Light Curtain

↓

Safety PLC

↓

Safety Output

↓

Contactor

↓

Motor Stop

구조라고 해보겠습니다.

라이트커튼과 Safety PLC가 SIL 3 대응제품이라고 해도 마지막 Contactor와 배선, 진단회로 등이 필요한 조건을 만족하지 못하면 전체 안전기능이 SIL 3이 되는 것은 아닙니다.

따라서 SIL은 안전기능 전체를 기준으로 평가해야 합니다.

PFHd는 어떻게 합산할까?

안전기능이 여러 서브시스템으로 구성되어 있다면 각 요소의 PFHd가 전체 결과에 영향을 줍니다.

단순화한 예를 들어보겠습니다.

입력센서 PFHd

1.0 × 10⁻⁸ /h

Safety PLC

2.0 × 10⁻⁸ /h

출력회로

2.5 × 10⁻⁸ /h

라고 가정해보겠습니다.

독립적인 위험측 고장 기여도를 단순 합산하는 예에서는

1.0×10⁻⁸ + 2.0×10⁻⁸ + 2.5×10⁻⁸

= 5.5×10⁻⁸ /h

가 됩니다.

PFHd 범위만 보면 SIL 3 영역입니다.

하지만 실제 IEC 62061 검증에서는 구조적 제약과 체계적 안전무결성 등 다른 조건도 함께 확인해야 합니다.

따라서 단순 PFHd 합산만으로 SIL 3이라고 최종 판정할 수는 없습니다.

HFT는 무엇일까?

HFT는 Hardware Fault Tolerance, 즉 하드웨어 고장허용도를 의미합니다.

쉽게 설명하면 몇 개의 하드웨어 고장이 발생하더라도 안전기능을 유지할 수 있도록 설계했는가와 관련된 개념입니다.

예를 들어 단일 채널 하나만 있는 구조에서는 하나의 고장이 곧바로 안전기능 상실로 이어질 수 있습니다.

반대로 이중채널 구조에서는 한쪽 채널에 문제가 생겨도 다른 채널이 안전기능을 유지하도록 설계할 수 있습니다.

하지만

이중채널 = 자동 SIL 3

은 아닙니다.

고장진단 능력과 부품 신뢰성 등도 함께 평가해야 합니다.

SFF는 무엇일까?

SFF는 Safe Failure Fraction입니다.

전체 고장 가운데

안전한 방향으로 발생하는 고장과
위험한 고장 중 진단으로 발견되는 고장

이 어느 정도 비율을 차지하는지를 평가하는 지표입니다.

IEC 62061에서는 HFT와 SFF 등의 구조적 조건이 서브시스템이 달성할 수 있는 최대 SIL에 영향을 줍니다.

즉 PFHd가 아주 낮아도 회로구조와 진단능력이 충분하지 않다면 원하는 SIL을 달성하지 못할 수 있습니다.

Diagnostic 기능은 왜 중요할까?

두 개의 출력릴레이를 사용했다고 해도 한쪽 릴레이 접점이 용착됐는데 시스템이 이를 전혀 발견하지 못한다면 안전성이 충분하지 않을 수 있습니다.

그래서 안전시스템은

접점 용착
배선 단락
출력 이상
채널 불일치
센서 고장

등을 가능한 범위에서 감지합니다.

이를 통해 단순한 부품의 신뢰성뿐 아니라 고장이 발생했을 때 얼마나 잘 발견하고 안전상태로 전환하는지까지 평가합니다.

SIL 2 제품과 SIL 3 제품을 어떻게 읽을까?

Safety PLC 데이터시트에 다음과 같이 표시되어 있다고 가정하겠습니다.

IEC 62061: SIL 3

PFHd = 2.0 × 10⁻⁹ /h

이는 해당 제품 또는 안전기능이 제조사가 명시한 사용조건에서 IEC 62061 기준 SIL 3까지 사용할 수 있도록 설계·평가되었다는 의미로 볼 수 있습니다.

하지만 실제 기계 전체가 SIL 3이라는 뜻은 아닙니다.

반드시

센서
Safety PLC
출력회로
구동장치

까지 포함한 전체 안전기능을 검토해야 합니다.

SIL 3이면 SIL 2 용도로도 사용할 수 있을까?

일반적으로 필요한 안전기능이 SIL 2라고 해서 반드시 SIL 2라고 표시된 부품만 사용해야 하는 것은 아닙니다.

해당 시스템과 제조사 조건을 만족한다면 더 높은 SIL 능력을 가진 서브시스템을 낮은 요구수준의 안전기능에 사용할 수 있습니다.

하지만 반대로

요구 SIL 3

인데 서브시스템이 최대 SIL 2까지만 지원한다면 전체 안전기능에서 SIL 3을 충족할 수 없습니다.

따라서 제품 데이터시트에서는 Maximum SIL을 확인하는 것이 중요합니다.

SILCL이라는 표기도 볼 수 있을까?

과거 IEC 62061 자료에서는 **SILCL(SIL Claim Limit)**이라는 표현을 자주 볼 수 있습니다.

그러나 IEC 62061:2021에서는 용어체계가 개정되면서 서브시스템에 대해 Maximum SIL이라는 표현을 사용하는 방향으로 변경되었습니다.

따라서 오래된 장비에서

SILCL 3

이라는 표기를 볼 수 있고 최근 자료에서는

Maximum SIL 3

처럼 표시될 수 있습니다.

예전 문서와 최신 문서를 비교할 때 알아두면 좋은 부분입니다.

SIL만 높이면 안전한 기계가 되는 것은 아니다

SIL은 제어시스템의 기능안전을 다루는 개념입니다.

예를 들어 날카로운 구조물을 제거하거나 위험부위를 가드로 물리적으로 차단하는 문제까지 모두 SIL로 해결하는 것은 아닙니다.

실제 기계안전에서는 먼저

위험 자체를 설계로 제거하거나 줄이고
가드와 보호장치를 적용하고
그다음 안전 관련 제어기능을 설계

하는 전체적인 위험감소 절차가 필요합니다.

따라서 SIL은 기계 안전 전체에서 중요한 요소이지만 안전의 전부를 의미하지는 않습니다.

흔히 잘못 해석하는 부분

첫 번째는

“SIL 3 제품이면 그 기계 전체가 SIL 3이다.”

라는 생각입니다.

SIL은 안전기능 전체를 평가해야 합니다.

두 번째는

“SIL 숫자가 높은 제품을 무조건 사용하면 된다.”

는 생각입니다.

먼저 위험성 평가를 통해 필요한 SIL을 결정해야 합니다.

세 번째는

“PFHd가 SIL 3 범위면 자동으로 SIL 3이다.”

라는 생각입니다.

PFHd뿐 아니라 구조적 제약, HFT, SFF, 체계적 안전무결성 등의 조건도 확인해야 합니다.

정리

IEC 62061의 SIL은 기계의 안전 관련 제어기능이 위험한 방향으로 실패할 가능성을 평가하는 기능안전 등급입니다.

핵심은 다음과 같습니다.

SIL 1 = PFHd 10⁻⁶ 이상 ~ 10⁻⁵ 미만

SIL 2 = PFHd 10⁻⁷ 이상 ~ 10⁻⁶ 미만

SIL 3 = PFHd 10⁻⁸ 이상 ~ 10⁻⁷ 미만

그리고 실제 설계에서는

위험성 평가 → 필요한 SIL 결정 → Input·Logic·Output 구성 → PFHd 계산 → HFT·SFF 확인 → 시스템 검증

순서로 접근해야 합니다.

즉 데이터시트에서 SIL 3이라는 글자 하나만 보는 것이 아니라 어떤 안전기능에서, 어떤 조건으로, 전체 시스템이 어느 수준까지 만족하는지 확인하는 것이 가장 중요합니다.

참고자료

• IEC 62061:2021, Edition 2.0 – Safety of machinery – Functional safety of safety-related control systems. 기계 안전 관련 제어시스템의 설계·통합·검증과 SIL 평가방법을 규정합니다. 2021년판부터 비전기 기술까지 적용범위가 확대되고 SILCL 대신 서브시스템의 maximum SIL 개념을 사용하도록 개정되었습니다. IEC Webstore
• IEC 62061:2021/AMD1:2024 및 AMD2:2026 – 현행 IEC 62061에는 2024년 Amendment 1과 2026년 Amendment 2가 추가되었으며 IEC가 제공하는 통합판에서 함께 확인할 수 있습니다. IEC Webstore
• Pilz – IEC 62061 Safety Integrity Level – SIL 1~3의 PFHd 범위와 위험성 평가의 Se·Fr·Pr·Av, HFT와 SFF에 따른 구조적 제한을 실무적으로 설명합니다. Pilz