내결함성(Fault Tolerance): 중요 시스템의 신뢰성·가용성·안전성 강화

내결함성이 없는 시스템은 본질적으로 신뢰성이 낮습니다. RAMS(신뢰성, 가용성, 유지보수성, 안전성)에 집중하는 엔지니어에게 내결함성 설계는 필수적이며, 특히 고장이 전체 시스템을 위태롭게 할 수 있는 중요 설비에서는 더욱 그렇습니다.

이 글에서는 내결함성 시스템의 핵심 특성과 이중화 설계가 신뢰성을 어떻게 높이는지 설명합니다.

내결함성이란?

내결함성은 고장 발생 시 시스템이 계속 작동하는 능력입니다. 하드웨어 이중화, 소프트웨어 이중화, 능동 모니터링 등 고내결함성 설계는 단일 고장점(SPOF)을 제거하여 부분적 또는 완전한 운영을 유지해야 합니다.

내결함성 설계의 본질

내결함성 설계를 개발하려면 장비 수명주기 전반의 잠재 고장 모드, 근본 원인, 결과적 영향을 깊이 이해해야 합니다. 엔지니어는 원하는 신뢰성과 비용·자원 제약 사이에서 균형을 맞춰야 합니다. 내결함성 시스템이 모든 가능한 고장을 방어해야 한다는 것은 오해입니다. 대신, 비용 효율적 최적화를 위해 내결함성 수준을 고장의 중요도에 맞춰야 합니다.

내결함성 시스템의 특성

내결함성 시스템 구축은 사양, 설계, 검증 및 확인(V&V), 유지보수, 운영, 폐기 등 모든 수명주기 단계에서 의도적 행동을 요구합니다. 일반적으로 적용되는 기법은 다음과 같습니다.

1. 고장 탐지 및 표시
2. 고장 진단 및 격리
3. 고장 마스킹 및 보상

1) 고장 탐지 및 표시

탐지는 모든 내결함성 설계의 기초 요소입니다. 정확한 고장 감지와 알림 없이는 후속 완화 계층이 작동할 수 없습니다. 예를 들어 타이어 공기압 모니터링 시스템(TPMS)은 압력 센서로 타이어 과다 공기압 시 운전자에게 경고합니다. 이 경우 허용 가능한 내결함성은 정확한 탐지와 경고뿐이며, 시정 조치는 TPMS 범위 밖입니다.

TPMS 활성화 표현

2) 고장 진단 및 격리

중요 애플리케이션에서는 탐지 후 진단 알고리즘이 고장 위치를 찾아 격리 조치를 트리거합니다. 공정 플랜트용 분산 제어 시스템(DCS)은 센서를 모니터링하여 비정상 압력을 식별하고 안전 밸브를 자동으로 열어 초과 압력을 플레어 스택으로 배출, 화재나 폭발을 예방합니다.

DCS 시스템 표현

3) 고장 마스킹 및 보상

고장 마스킹은 사이버 공격이 허위 데이터를 주입할 수 있는 IoT 지원 설비에서 특히 가치가 있습니다. 비정상적 데이터 스트림을 탐지하고 올바른 값으로 대체함으로써 시스템은 잘못된 상태 정보 전파를 방지합니다. 전력망에서 SCADA 시스템은 전압과 주파수를 모니터링하는데, 이를 조작하는 사이버 공격은 정전을 유발할 수 있습니다. 마스킹 알고리즘이 이러한 변조를 방어합니다.

SCADA 시스템 표현

이중화 설계로 내결함성 향상

이중화(Redundancy) - 주 시스템 고장 시 기능을 인계할 대체 시스템 배치 - 는 내결함성을 높이는 가장 직관적 방법입니다. 하지만 무분별한 이중화는 비용과 복잡성을 부풀리므로, 결정은 엄격한 비용-편익 분석으로 정당화되어야 합니다.

이중화는 내결함성을 개선하지만, 시스템을 마구 추가하는 것이 목적이 되어서는 안 됩니다. 새 시스템 추가에 드는 비용이 달성 가능한 신뢰성 이득을 크게 초과할 수 있기 때문입니다.

이중화 유형은 크게 능동(Active)과 수동(Passive)으로 나뉩니다.

능동 이중화(Active Redundancies)

능동 이중화는 여러 장치를 동시에 가동합니다. 간단한 예로 두 펌프를 반 용량으로 운전하여 목표 압력을 달성하는 것입니다. 더 고도화된 K-of-N 이중화와 우아한 성능 저하(Graceful Degradation) 방식은 일부 장치를 온라인 상태로 유지하면서 다른 장치를 핫 스페어로 두어 구성요소 고장 시에도 지속 운전을 보장합니다.

K-of-N 이중화는 미리 정해진 부분집합을 가동시켜 더 큰 예비 풀을 확보하여 고장 시 인계합니다. 우아한 성능 저하는 구성요소 손실에 비례해 시스템 성능이 저하되도록 하여 값비싼 동일 예비 세트 필요성을 없앱니다.

수동 이중화(Passive Redundancies)

수동 이중화는 주 시스템 고장 시에만 활성화되는 대기 설비를 둡니다. 두 변형이 있습니다.

1. 가동 수동 이중화(Operating Passive Redundancies) – 무부하 상태로 대기하는 핫 스페어. 예: 주 발전기 고장 시 자동 동기화되는 예비 발전기.
2. 비가동 수동 이중화(Non-Operating Passive Redundancies) – 전원 투입이나 수동 시동이 필요한 콜드 스페어. 주 펌프 고장 시 수동 가동하는 상수도 펌프가 전형적 예.

내결함성 분석을 위한 신뢰성 기법

내결함성 분석은 검증된 신뢰성 엔지니어링 도구에 의존합니다. 고장 모드 영향 분석(FMEA)과 고장 트리 분석(FTA). FMEA는 개별 구성요소를 상향식(Bottom-up) 관점에서, FTA는 고장 전파를 하향식(Top-down) 관점에서 모델링합니다. 마르코프 모델과 몬테카를로 시뮬레이션은 고장 확률의 시간적 변화와 불확실성이 전반적 성능에 미치는 영향을 추가로 정량화합니다.

내결함성과 유지보수 운영

내결함성 시스템이 유지보수를 없애는 것은 아니지만, 개입 간격을 연장하는 안전 완충제를 제공합니다. 컴퓨터 지원 유지보수 관리 시스템(CMMS)은 누적 고장이 파멸적 고장을 초래하기 전에 시정 조치를 예약하는 데 여전히 필수적입니다. 실무적으로 내결함성은 유지보수 팀에 숨통을 틔워주어, 중요 수리를 우선시하고 비긴급 작업을 미룰 수 있게 합니다.

초기 비용과 설계 복잡성이 더 높음에도, 내결함성 설계는 설비 신뢰성과 시스템 가동률에서 측정 가능한 이득을 제공합니다.