문서요약 – IEC 61508 개요 by exida

제목: IEC 61508 개요(IEC 61508 Overview Report)

저자: exida, 미국

문서유형: 업체 기술보고서(총 29페이지), 2006년

 

기능적 안전성(functional safety)에 대한 국제 표준인 IEC 61508에 대하여 소개한 자료

---

 

IEC 61508

• 전기(Electrical), 전자(Electronic), 프로그래밍가능한 전자(Programmable Electronic) 장비의 “기능적 안전성(functional safety)”을 위한 국제 표준
• 국제 표준화 단체인 IEC(International Electrotechnical Commission)가 1980년대 중반에 개발을 시작한 표준으로 리스크 기반의 안전성 관련 시스템 설계에 중점을 둔다.
• IEC 61508 표준 전체는 아래의 7개 부분으로 나뉨(Part 1~3은 기술적 요구사항, Part 4~7은 지원 정보)
  - Part 1: 일반 요구사항(General requirements)
  - Part 2: 전기/전자/프로그래밍가능한 전자(E/E/PES)의 안전 관련 시스템을 위한 요구사항
  - Part 3: 소프트웨어 요구사항(Software requirements)
  - Part 4: 정의 및 약어(Definitions and abbreviations)
  - Part 5: 안전 무결성 기준(safety integrity levels) 결정을 위한 방법들
  - Part 6: Part 2와 Part 3 적용에 대한 가이드라인
  - Part 7: 기법 및 측정(techniques and measures)에 대한 개요
• Part 1, 3, 4, 5는 1998년에 승인되었고, Part 2, 6, 7은 2000년 2월에 승인을 받음

 

범위(Scope)

• 61508 표준은 하나 또는 여러 개의 기계적/전기/전자/프로그래밍가능한 전자 장비(즉, E/E/PE 기기)를 포함하고 있는 안전성 관련 시스템(safety-related systems)을 다룬다.
• IEC 61508은 E/E/PE 안전성 관련 시스템에 의해 수행되는 안전 기능(safety functions)이 실패할 때 야기될 수 있는 위험(hazards)을 다룬다. 즉, 안전성의 측면 중 시스템의 기능에 관한 것인 “기능적 안전성(functional safety)”을 다룸
• 전기 충격(electric shock), 유해한 낙하(hazardous falls), 독극물에 장기간 노출 같은 안전성 이슈는 다루지 않는다(이런 이슈들은 다른 표준에서 커버됨).

 

기본 개념(Fundamental Concepts)

• IEC 61508 표준은 ‘안전 생명 주기(safety life cycle)’와 ‘안전 무결성 기준(safety integrity levels: SIL)’의 두 가지 기본 개념에 기반한다.
• 안전 생명 주기는 요구되는 기능적 안전성(functional safety)을 달성하는데 필요한 모든 단계(steps)를 포함하는 엔지니어링 프로세스로 정의된다(아래 그림 참조).
• 안전 생명 주기에 깔린 기본 철학은 안전성 계획(a safety plan)을 개발 및 문서화하고, 이 계획을 실행하고, 실행을 문서화하고(계획이 충족되었는지 보이기 위함), 적절한 추가 작업을 통해 해당 안전성 계획을 시스템 생명이 끝날(decommissioning) 때까지 지속적으로 준수하는 것이다.

 

[IEC 61508의 안전 생명 주기]

 

• 안전 무결성 기준(SIL)은 리스크 감소(즉, 타겟 실패율) 차수의 레벨을 나타낸다. 아래 표처럼 IEC 61508에는 4개의 SIL이 정의됨(SIL1이 가장 낮은 레벨의 리스크 감소를 가지고, SIL4가 가장 높은 레벨의 리스크 감소를 가짐)
• Low demand 모드는 안전 관련 시스템으로의 오퍼레이션 요청 횟수가 proof check 횟수(시스템이 “fully operational”함을 확인하는 테스트 빈도)의 2배가 넘지 않는 경우, High demand(또는 continuous) 모드는 안전 관련 시스템으로의 오퍼레이션 요청 횟수가 proof check 횟수의 2배가 넘는 경우임

 

[SILs – demand mode]

 

[SILs – continuous mode]

 

 

 

IEC 61508 Part 3: 소프트웨어 요구사항(Software Requirements)

• IEC 61508 Part 3은 안전 관련 소프트웨어(safety-related software)를 위한 요구사항을 다룬다.
• 기능적 안전성이 Clause 6의 ‘소프트웨어 품질 관리 시스템(a software quality management system: QMS)’의 범주에서 다루어진다. 즉, 상세한 기능적 안전성 계획(A detailed functional safety plan)이 QMS의 한 부분으로 실현됨
• Clause 6의 소프트웨어 기능적 안전성 계획은 안전 관련 시스템의 SIL 레벨에서 요구하는 바대로 소프트웨어 조달(procurement), 개발(development), 통합(integration), 검증(verification), 확인(validation), 변경(modification)에 대한 전략을 정의한다. 또한 이 계획은 구성 관리 시스템(a configuration management system)도 명세해야 한다.
• Clause 7은 소프트웨어 안전 생명 주기(software safety life cycle)에 대해 다룬다(아래 그림 참조). 이 프로세스는 회사 나름의 필요/선호에 따라 커스토마이징 가능하며, 적절한 품질 및 안전 보장 절차도 포함되어야 한다. 소프트웨어 안전 생명 주기의 각 스텝은 기능(functions), 입력(inputs), 출력(outputs)이 명세된 기본 활동(elementary activities)들로 세분되어야 한다. 또한 프로세스의 각 스텝 동안 적절한 기법과 측정(techniques and measures)도 사용되어야 한다.

 

[소프트웨어 안전성 생명 주기]

 

Clause 7은 아래와 같은 서브 항목들을 가진다.

• Clause 7.2 소프트웨어 안전성 요구사항 명세(Software Safety Requirements Specification): 소프트웨어를 위한 기능적 안전성 요구사항을 명세. 요구사항이 설계와 구현 그리고 기능적 안전성 평가(a functional safety assessment)를 허용할 정도로 충분히 상세해야 하며, 안전 무결성 기준(SIL)에 적합해야 하며, 안전 관련 시스템의 안전성 요구사항 명세로 역추적 가능해야 한다.
• Clause 7.3 소프트웨어 안전성 확인 계획(Software Safety Validation Planning): 소프트웨어가 명세서에 정의된 안전성 요구사항을 충족시킴을 증명하기 위한 계획 수립. 분석 기법과 테스팅 기법의 조합이 허용되며, 선정된 기법들은 반드시 계획서에 명시되어야 한다.
• Clause 7.4 소프트웨어 설계 및 개발(Software Design and Development): 추상화, 모듈화, 정보 은폐(information hiding) 같은 좋은 소프트웨어 엔지니어링 관행을 지원하는 설계 방법을 선정. 아키텍쳐 설계, 상세 설계, 코딩이 소프트웨어 안전 생명 주기를 준수하며 수행됨. 코딩 표준이 사용되어야 하며(좋은 프로그래밍 관행을 명세하고 불안전한 언어 특징의 사용을 금지), 소스 코드 문서화 절차도 명세해야 한다.
• Clause 7.5 통합 및 테스팅(Integration and Testing): 설계 및 개발 단계 동안 하드웨어와 소프트웨어 간의 통합이 테스트 된다. 이 통합 테스팅 결과는 각각의 테스트와 그 성공/실패 판정을 명시함
• Clause 7.7 소프트웨어 안전성 확인(Software Safety Validation): 소프트웨어 설계가 소프트웨어 안전성 요구사항을 충족시킴을 보증하기 위한 전반적인 체크 작업. 반드시 적절한 문서화를 포함해야 한다. 확인의 주된 방법은 테스팅이며 분석은 이를 보완하기 위한 목적으로만 사용된다.
• Clauses 7.6과 7.8 운영 및 변경(Operation and Modification): 소프트웨어 변경은 안전성 계획에서 명세한 절차에 따른 승인(authorization)을 필요로 하며, 요구되는 안전 무결성 기준(SIL)이 유지되도록 보장해야 한다. 변경 프로세스는 제안된 소프트웨어 변경이 기능적 안전성에 미치는 영향을 분석하는 것에서부터 시작되며, 이 분석에 의해 어느 정도의 안전 생명 주기가 반복되어야 하는지가 결정된다.
• Clause 7.9 소프트웨어 검증(Software Verification): 소프트웨어 안전 생명 주기 각 단계의 결과가 해당 단계의 입력 정보에 대하여 정확하고 일관성 있는지를 테스트하고 평가한다.