같은 날 네 곳의 현장에서 비슷한 일이 벌어졌다고 해 보겠습니다. 밭에서는 트랙터 뒤의 작업기가, 공사장에서는 굴착기의 붐이, 공장에서는 로봇 팔이, 도로에서는 승용차가 아무도 명령하지 않았는데 움직입니다.
네 기계를 만드는 회사들은 서로 다른 표준으로 이 위험을 다룹니다. 자동차는 ASIL, 산업용 로봇은 PL, 농기계는 AgPL, 건설기계는 MPL이라는 서로 다른 등급으로 안전 요구 수준을 말합니다. 이름이 이만큼 다르니 네 산업의 기능안전은 서로 다른 분야처럼 보이기도 합니다. 정말 그럴까요?
네 표준을 나란히 펼쳐 보면 같은 뼈대가 보입니다. 먼저 위험 분석으로 “이 기능이 잘못되면 누가 얼마나 다치는가, 그래서 위험을 얼마나 줄여야 하는가”를 정합니다. 이어서 대책 수립으로 “무엇으로 그만큼 줄이고, 줄였다는 것을 어떻게 보일 것인가”에 답합니다. 표준마다 다른 것은 두 단계를 밟는 세부 방법과 그 밑에 깔린 전제입니다.
이 글에서는 두 단계를 차례로 살펴본 뒤, 하나의 위험을 네 산업에서 같은 순서로 따라가 보고, 산업마다 무엇이 달라지는지 짚어 보겠습니다.
1. 기능안전의 뼈대: 위험을 재고, 그만큼 줄입니다
기능안전은 위험을 줄이는 일을 제어 시스템이 맡을 때, 그 제어가 제대로 동작하는지를 다룹니다. 제어 시스템이 잘못 동작해 직접 위험을 만들기도 하고(아무도 조작하지 않았는데 붐이 내려오는 경우), 위험을 막던 보호 기능이 고장 나 숨어 있던 위험이 드러나기도 합니다(사람이 셀에 들어왔는데 로봇이 멈추지 않는 경우). 어느 산업이든 이 위험은 두 단계로 다룹니다.
- 위험 분석: 기능이 잘못 동작한다고 가정하고, 어떤 상황에서 누구를 얼마나 다치게 하는지 평가해 위험을 얼마나 줄여야 하는지 정합니다.
- 대책 수립: 그 위험을 줄일 대책을 요구사항으로 정하고, 설계하고, 정한 만큼 줄였다는 근거를 남깁니다.
이 두 단계는 특정 표준만의 생각이 아닙니다. 기계류 안전의 기본 표준인 ISO 12100은 제목부터 「위험성 평가와 위험 감소」이고, 기능안전의 기본 표준인 IEC 61508도 위험을 먼저 정한 뒤 그 위험을 허용 가능한 수준까지 줄이도록 시스템을 만듭니다. IEC, IEC 61508 & Functional Safety 네 산업의 표준은 기계 안전과 IEC 61508이라는 두 줄기에서 나와 서로의 개념을 빌려 쓰며 자랐기 때문에, 이름은 달라도 뼈대가 닮았습니다. DGUV Test Information 08
2. 위험 분석: 세 가지 잣대로 재고 요구 등급으로 답합니다
무엇을 분석할지부터 정합니다
위험 분석은 먼저 대상을 정합니다. 무엇을 분석하는지, 어디까지가 그 대상인지, 어떤 조건에서 쓰이는지를 적습니다. 자동차는 이 대상을 아이템, 농기계는 관찰 단위라고 부르고, 일반 기계와 건설기계는 위험을 줄일 안전기능과 이를 맡는 제어 부분을 정합니다. 경계가 흐리면 분석하는 사람마다 서로 다른 기계를 떠올리며 평가합니다.
어긋나는 방식을 가정하고 세 가지를 묻습니다
다음으로 기능이 어긋나는 방식을 하나씩 가정합니다. 명령이 없는데 움직이는지, 필요할 때 움직이지 않는지, 너무 빠르거나 반대로 움직이는지를 따집니다. 그렇게 잘못 움직였을 때 어떤 상황에서 사람이 다치는지 구체화했다면 세 가지를 묻습니다. 이름과 구분은 달라도 네 표준이 묻는 중심은 같습니다.
| 묻는 것 | 자동차, 농기계, 건설기계 | 일반 기계(산업용 로봇 포함) |
|---|---|---|
| 다치면 얼마나 심한가 | 심각도 S | 심각도 S |
| 그 상황에 얼마나 자주, 오래 놓이는가 | 노출 E | 빈도와 노출 시간 F |
| 사람이 피하거나 통제할 수 있는가 | 통제 가능성 또는 회피 가능성 C | 회피 가능성 P |
자동차와 농기계는 이 분석을 HARA(위험원 분석 및 위험 평가), 건설기계는 MCSSA(기계 제어 시스템 안전 분석)라고 부릅니다. 일반 기계는 ISO 12100의 위험성 평가에서 출발해, 심각도, 빈도, 회피 가능성을 차례로 골라 요구 수준을 읽는 갈림길 도표(ISO 13849-1의 위험 그래프) 같은 방법으로 요구 수준을 정합니다. 같은 일반 기계라도 IEC 62061은 여기에 위험 사건이 일어날 확률을 따로 더해 네 가지로 묻습니다.
위험 분석에서는 분석 대상의 대책을 미리 믿지 않습니다
위험 분석에는 중요한 원칙이 하나 있습니다. 분석하려는 제어 시스템과 그 안전 대책이 잘 동작할 것이라고 미리 가정하지 않는다는 것입니다. 자동차와 농기계 표준은 이를 분명히 적어 둡니다. ISO 26262는 HARA에서 아이템을 내부 안전 메커니즘이 없는 상태로 평가하도록 하고 Schranner 외, 2020, ISO 25119는 회피 가능성(C)을 판단할 때 평가 중인 제어 시스템의 신뢰도나 고장 대응 기능을 포함하지 않도록 합니다. ISO 25119-2:2019, 6.3.6
요구 등급이 ‘그 대책이 위험을 얼마나 줄여야 하는가’를 뜻한다는 점을 생각하면 당연한 원칙이기도 합니다. 대책의 효과를 위험 분석에 미리 넣으면, 대책이 맡을 몫을 줄여 놓고 그 대책을 다시 평가하는 셈이라 효과를 두 번 계산합니다. 제어기의 신뢰도는 위험 분석이 기대는 전제가 아니라, 대책 수립에서 입증해야 할 결과입니다.
다만 분석 대상과 충분히 독립되어 실제로 갖춰진 외부 대책까지 빼라는 뜻은 아닙니다. ISO 26262-3은 이런 외부 조치를 위험 분석에서 고려할 수 있게 하고, IEC 61508도 다른 위험 감소 수단을 고려해 안전기능의 SIL을 정합니다. IEC, IEC 61508 & Functional Safety
결과는 기능마다 붙는 요구 등급입니다
세 잣대로 잰 결과를 각 표준의 판정 기준에 넣으면 요구 등급이 나옵니다. 자동차는 ASIL A~D, 일반 기계는 PLr a~e(IEC 62061을 쓰면 SIL 1~3), 농기계는 AgPLr a~e, 건설기계는 MPLr a~e입니다. 위험이 충분히 낮으면 자동차와 농기계는 일반 품질관리 수준인 QM으로 둡니다.
등급 이름도 짧게 풀어 두겠습니다. ASIL은 자동차 안전 무결성 수준(Automotive Safety Integrity Level), PL은 성능 수준(Performance Level)입니다. 농기계의 AgPL(Agricultural Performance Level)과 건설기계의 MPL(Machine Performance Level)은 PL처럼 a부터 e까지 다섯 수준을 씁니다. 뒤에 붙은 r은 요구(required)를, ISO 19014의 MPLa에 붙은 a는 달성(achieved)을 뜻합니다.
이 등급들이 무엇을 뜻하는지 보면 두 단계의 관계가 분명해집니다. ASIL은 불합리한 잔여 위험을 피하려고 적용할 요구사항과 안전 조치의 엄격함을 정하는 수준이고, PLr은 안전기능마다 위험을 필요한 만큼 줄이는 데 요구되는 성능 수준입니다. ISO 26262-1:2018, 용어 정의, ISO 13849-1:2023, 용어 정의 ISO 19014의 MPL도 제어 시스템이 위험을 얼마나 줄여야 하는지 나타냅니다. DGUV Test Information 08, 2.8절 즉 요구 등급은 위험 분석의 결론이면서 대책 수립의 목표입니다. 두 단계를 잇는 관절인 셈입니다.
또 하나의 공통점은 등급이 기계 전체가 아니라 기능에 붙는다는 것입니다. 한 대의 트랙터 안에서도 작업기 승강, 조향, 제동은 서로 다른 요구 등급을 받을 수 있습니다. 자동차에서는 위험 사건마다 정한 ASIL이 안전목표와 그 아래 안전 요구사항으로 이어집니다. 다만 등급을 정하는 방식은 다를 수 있습니다. 자동차는 대개 아이템마다 HARA로 정하지만, 기계 쪽에서는 제품 표준이 주요 기능의 요구 수준을 미리 정해 두기도 합니다. 산업용 로봇은 ISO 10218-1:2025와 ISO 10218-2:2025가 안전기능별 기본 요구 수준을 제시하고, 건설기계는 ISO 19014-5가 기종별, 기능별 MPLr 표를 둡니다. 이 5부는 2026년 10월 기술 시방서(TS)에서 국제표준으로 바뀌었습니다. 농기계도 기종별 안전 표준이 기능별 수준을 정해 두었다면 그것을 따릅니다.
산업용 로봇에서는 같은 뼈대를 두 번 밟기도 합니다. 로봇 제조사가 로봇 자체의 위험을 분석하고 대책을 세우면, 시스템 통합사가 공구와 주변 설비를 포함한 셀 전체를 놓고 다시 위험을 분석하고 대책을 세웁니다.
3. 대책 수립: 요구 등급을 설계와 근거로 바꿉니다
요구 등급은 위험을 ‘얼마나’ 줄여야 하는지 알려 줄 뿐, ‘무엇으로’ 줄일지까지 알려 주지는 않습니다. 대책 수립은 이 목표를 세 가지 일로 구체화합니다.
대책을 시험할 수 있는 요구사항으로 정합니다
먼저 위험을 줄일 대책을 정합니다. 자동차와 농기계는 기능 수준의 안전 요구(기능안전 개념)와, 이를 하드웨어와 소프트웨어에 나눠 맡기는 기술 요구(기술안전 개념)로 대책을 구체화합니다. DGUV Test Information 08, 2.5절 일반 기계와 건설기계는 위험을 줄일 안전기능을 정의하고 요구 수준을 할당합니다.
어떤 표준을 따르든 대책 문장에는 네 가지가 들어가야 시험할 수 있습니다. 무엇을 이상으로 보고 검출하는지, 검출하면 어떤 상태로 가는지, 몇 밀리초나 몇 초 안에 가야 하는지, 언제 다시 움직여도 되는지입니다.
대책을 설계합니다
설계에서는 두 종류의 고장을 나눠 다룹니다. 이 구분은 네 표준이 같습니다.
- 무작위 하드웨어 고장: 부품은 언젠가 고장 납니다. 그래서 채널을 몇 개로 둘지, 부품이 얼마나 오래 견디는지, 진단이 고장을 얼마나 잡아내는지, 한 원인으로 여러 채널이 함께 고장 나지 않는지를 따져 수치로 평가합니다. 자동차는 단일 고장으로 바로 위험해지는 고장과 숨어 있다가 다른 고장과 겹쳐 위험해지는 고장을 얼마나 막았는지, 위험한 고장이 날 확률이 얼마인지를 목표값과 비교합니다. 일반 기계와 농기계는 채널 구성(카테고리), 위험 고장까지의 평균 시간, 진단 범위, 공통원인고장 대책을 조합해 평가합니다. 건설기계는 ISO 13849처럼 구조, 신뢰도, 진단을 평가하되 ISO 19014-2의 고유 요구를 먼저 따르고, ISO 19014-3의 부품 환경 시험을 더합니다. DGUV Test Information 08, 7절
- 체계적 고장: 요구사항 누락, 설계 실수, 소프트웨어 결함은 확률로 다루기 어렵습니다. 그래서 요구 등급이 높을수록 더 엄격한 개발 방법과 검증 수단을 요구합니다. 소프트웨어에 요구하는 수준도 등급에 따라 달라집니다. 자동차는 ASIL별 방법을, 일반 기계는 PL이나 SIL에 따른 요구를, 농기계는 소프트웨어 요구 수준(SRL)을, 건설기계는 ISO 19014-4의 요구를 따릅니다.
대책이 충분한지 입증합니다
마지막으로 설계가 요구 등급을 실제로 만족하는지 보입니다. 일반 기계, 농기계, 건설기계는 요구 수준과 달성 수준을 견줍니다. PL이 PLr 이상, 달성 AgPL이 AgPLr 이상, MPLa가 MPLr 이상이어야 합니다. ISO 26262는 ‘달성 ASIL’이라는 표현 대신, ASIL에 따른 요구사항과 하드웨어 지표 목표를 만족했는지로 입증합니다. 표현은 달라도 “요구한 만큼 위험을 줄였는가”를 묻는 것은 같습니다.
입증에는 계산만이 아니라 시험도 들어갑니다. 센서 신호를 고착시키거나 통신을 끊는 식으로 고장을 실제로 일으켜, 대책이 정해진 시간 안에 동작하는지 확인합니다. 그리고 생산된 제품과 바뀐 소프트웨어가 그 근거를 계속 만족하는지 관리합니다.
결국 두 단계가 함께 남기는 것은 다음과 같은 근거의 사슬입니다. 앞의 두 고리는 위험 분석이, 나머지 고리는 대책 수립이 채웁니다.
위험 상황과 판단 근거 → 요구 등급 → 대책 요구사항 → 설계와 분석 → 고장 주입 시험 → 생산과 변경 기록
4. 네 산업 대응표: ISO 26262, ISO 13849-1, ISO 25119, ISO 19014
지금까지의 내용을 네 산업의 용어로 나란히 놓으면 다음과 같습니다. 자동차는 ISO 26262, 산업용 로봇은 ISO 10218과 ISO 13849-1, 농기계는 ISO 25119, 건설기계는 굴착기, 로더 같은 토공기계를 다루는 ISO 19014를 기준으로 했습니다.
| 뼈대 | 자동차 | 산업용 로봇 | 농기계 | 건설기계 |
|---|---|---|---|---|
| 위험 분석: 대상 | 아이템 | 안전기능, SRP/CS | 관찰 단위(UoO) | 제어 기능, SCS |
| 위험 분석: 방법 | HARA | 위험성 평가, 위험 그래프 | HARA | MCSSA |
| 위험 분석: 잣대 | S, E, C | S, F, P | S, E, C | S, E, C |
| 관절: 요구 등급 | ASIL A~D | PLr a~e | AgPLr a~e | MPLr a~e |
| 대책: 요구사항 | 안전목표, 기능안전 개념 | 안전기능 | 기능안전 개념 | 안전기능 |
| 대책: 하드웨어 | SPFM, LFM, PMHF | 카테고리, MTTFD, DC, CCF | 카테고리, MTTFDC, DC, CCF | ISO 13849 기반, 환경 시험 |
| 대책: 소프트웨어 | ASIL별 방법 | PL, SIL별 요구 | SRL | ISO 19014-4 |
| 대책: 입증 기준 | ASIL별 요구 충족 | PL ≥ PLr | AgPL ≥ AgPLr | MPLa ≥ MPLr |
| 찾아볼 곳: 위험 분석 | ISO 26262-3 | ISO 12100, ISO 10218, ISO 13849-1 | ISO 25119-2 | ISO 19014-1, -5 |
| 찾아볼 곳: 대책과 입증 | ISO 26262-4, -5, -6 | ISO 10218, ISO 13849-1, -2 | ISO 25119-3, -4 | ISO 19014-2, -3, -4 |
표의 약어: SRP/CS(제어 시스템의 안전 관련 부분), SCS(안전 제어 시스템), SPFM(단일 고장 지표), LFM(잠재 고장 지표), PMHF(무작위 하드웨어 고장 확률 지표), MTTFD(위험 고장까지 평균 시간), MTTFDC(채널별 위험 고장까지 평균 시간), DC(진단 범위), CCF(공통원인고장), SRL(소프트웨어 요구 수준). 산업용 로봇 열은 ISO 13849-1 경로 기준이며, IEC 62061(SIL) 경로를 쓰면 평가 요소와 하드웨어 평가 방법이 다릅니다.
같은 행에 놓인 용어라도 정의와 판정 기준까지 같다고 보면 안 됩니다. 일반 기계와 농기계 칸에 똑같이 적힌 ‘카테고리’도, ISO 25119는 운전자 경고와 운전자의 정기 점검을 전제로 하는 등 ISO 13849와 세부가 다릅니다. DGUV Test Information 08, 4.3절 그래서 뼈대가 같다는 것은 해야 할 일의 구조와 순서가 같다는 뜻이지, 등급이나 부품 평가 결과를 그대로 옮겨 써도 된다는 뜻은 아닙니다. 다른 표준의 결과는 받아들이는 쪽 표준이 정한 조건을 맞추고 다시 검증해야 쓸 수 있습니다. 독일 법정 산재보험 연합회(DGUV)가 2026년 9월에 낸 안내서도 일반 기계(ISO 13849-1, IEC 62061)의 관점에서, 농기계나 자동차 기준으로 평가받은 부품을 쓰려면 더 검증해야 한다고 정리합니다. 농기계와 건설기계 표준도 다른 표준의 결과를 받아들이는 조건을 부속서에 따로 둡니다(ISO 25119-2:2019 부속서 H, ISO 19014-2:2022 부속서 C). DGUV Test Information 08, 4.2절, 4.4절, 6.5절, 7절
5. 의도하지 않은 움직임: 하나의 위험을 네 산업에서 따라가기
같은 뼈대를 위험 하나로 확인해 보겠습니다. 네 산업에 모두 있는 의도하지 않은 움직임을 골랐습니다. 아래는 뼈대를 보이기 위한 설명용 가상 사례이며, 실제 등급과 대책은 장비와 사용 조건에 따라 달라집니다.
| 단계 | 자동차 | 산업용 로봇 | 농기계 | 건설기계 |
|---|---|---|---|---|
| 오작동 | 밟지 않았는데 가속 | 사람이 셀 안에 있는데 팔이 움직임 | 사람 곁에서 작업기 상승 | 트렌치 작업 중 붐 하강 |
| 위험 분석의 근거 | 속도, 주행 상황 빈도, 제동으로 피할 수 있는가 | 팔의 속도와 힘, 접근 빈도, 피할 공간 | 끼임 위치, 근처 작업 시간, 피할 수 있는가 | 붐 무게와 속도, 버킷 근처 체류, 회피 공간 |
| 요구 등급 | ASIL | PLr | AgPLr | MPLr |
| 대책 | 구동력 비교, 이상 시 제한 | 사람 감지 시 보호 정지 | 명령과 움직임 비교, 상승 억제 | 중립일 때 하강 차단, 밸브 구동 감시 |
| 안전 상태 | 구동력 제한, 조향과 제동 유지 | 정지 후 동력 차단이나 정지 감시 | 상승 정지, 위치 유지 | 파일럿 압 차단, 붐 위치 유지 |
| 입증 시험 | 페달 신호 고착 주입 | 감지 신호 단선 주입, 정지 거리 측정 | 위치 센서 고착, 통신 단절 | 조이스틱 센서 고착, 밸브 출력 강제 구동 |
표의 파일럿 압은 굴착기의 주 밸브를 움직이는 작은 유압 신호입니다.
앞의 세 행은 위험 분석, 뒤의 세 행은 대책 수립입니다. 칸의 내용은 산업마다 다르지만 행은 네 산업이 똑같습니다. 오작동을 가정하고, 근거를 들어 위험을 평가해 요구 등급을 정하고, 그 등급에 맞는 대책을 세운 뒤, 고장을 일으켜 대책이 동작하는지 확인합니다. 이것이 이 글이 말하는 공통 뼈대입니다.
6. 같은 뼈대, 다른 살: 안전 상태가 대책의 모양을 바꿉니다
뼈대가 같다고 해서 대책의 모양까지 같지는 않습니다. 앞 표의 ‘안전 상태’ 행이 보여 주듯, 크게 갈리는 곳 가운데 하나는 고장 뒤 무엇이 안전한 상태인가입니다.
일반 기계의 기능안전은 기본적으로 위험한 고장을 검출하면 기계를 멈춰 안전 상태로 만듭니다. DGUV 안내서에 따르면 ISO 13849-1의 간이 확률 계산과 IEC 62061의 확률 계산은 위험 고장을 검출하면 언제나 안전 상태에 도달한다고 가정합니다. DGUV Test Information 08, 2.2절, 2.4절 그런데 ‘멈추면 안전하다’는 가정이 어디까지 통하는지는 산업보다 기능의 성격에 따라 다릅니다.
- 달리는 기능(승용차, 도로를 달리는 트랙터, 휠로더와 덤퍼의 주행): 구동을 끊더라도 조향과 제동은 남아 있어야 합니다. 달리던 기계가 완전히 멈출 때까지 계속 조향할 수 있어야 하는 것처럼, 같은 기계라도 운전 상황에 따라 안전 상태가 달라지기도 합니다. 그래서 ISO 26262의 안전 상태에는 성능을 낮춘 운전 상태도 들어갈 수 있고, 고장이 위험한 사건으로 번지기 전의 시간(FTTI) 안에 안전 상태나 비상 운전에 들어가도록 설계합니다.
- 움직이는 작업 장치(굴착기 붐, 트랙터 작업기, 로봇 팔): 멈추는 데서 끝나지 않고 그 자세를 붙잡아 두어야 합니다. 정지 수단이 명령 경로와 충분히 독립적인지, 전원을 끊었을 때 중력으로 내려오지 않는지, 전원이 다시 들어올 때 이전 명령이 다시 실행되지 않는지를 따집니다. 로봇은 전원을 바로 끊을지, 제어해서 멈춘 뒤 끊을지, 정지 상태를 감시하며 전원을 유지할지 같은 정지 방식도 정합니다. 전원을 끊는다면 중력을 받는 축은 브레이크 같은 수단으로 붙잡아야 합니다.
안전 상태로 누가 이끄는가도 다릅니다. DGUV 안내서는 자동차와 농기계에서는 사람이 기계를 조종하며 이상을 알아차리고 대응하는 것까지 포함해, 사람과 제어 시스템이 함께 안전을 지킨다고 봅니다. 반면 ISO 13849, IEC 62061, IEC 61508에서는 고장이 나도 사람과 관계없이 제어 시스템이 스스로 안전하게 동작해야 한다고 정리합니다. DGUV Test Information 08, 4.3절, 4.4절, 6.4절 운전자가 개입하리라 기대하기 어려운 자동화 기능에서는 이 전제도 다시 따져야 합니다.
그래서 대책 수립에서 어느 산업이든 답해야 할 질문은 이렇게 정리됩니다. “이 기능이 고장 나면 무엇이 위험하지 않은 상태이고, 얼마 안에 그 상태에 들어가며, 누가 어떻게 그 상태를 유지하는가?” 이 질문 앞에서는 경험이 여러 방향으로 흐릅니다. 고장 뒤에도 기능을 이어 가는 설계는 자동차가, 정지 방식과 보호 정지는 산업용 로봇을 포함한 일반 기계가, 무거운 작업 장치를 유압으로 제자리에 붙잡아 두는 설계는 건설기계와 농기계가 깊이 다뤄 온 주제입니다.
7. 마무리: 뼈대를 알면 이웃 산업의 표준도 읽힙니다
산업마다 등급의 이름은 달라도, 위험 분석이 목표를 정하고 대책 수립이 그 목표를 입증한다는 구조는 같습니다.
- 위험 분석: 기능이 잘못 동작한다고 가정하고, 심각도, 노출, 통제나 회피 가능성으로 위험을 재어 기능마다 요구 등급을 정합니다. 이때 분석 대상 시스템의 대책 효과를 미리 넣지 않습니다.
- 대책 수립: 요구 등급을 시험할 수 있는 요구사항으로 바꾸고, 고장 뒤 어떤 상태로 얼마 안에 들어가 어떻게 유지할지 정하고, 무작위 고장과 체계적 고장을 나눠 설계한 뒤, 요구한 만큼 위험을 줄였다는 근거를 남깁니다.
- 요구 등급은 두 단계를 잇는 관절입니다. 이름(ASIL, PL, AgPL, MPL)과 판정 기준은 달라도, 위험 분석의 결론이자 대책 수립의 목표라는 역할은 같습니다.
이 뼈대를 알면 처음 보는 산업의 표준도 어디서부터 읽어야 할지 보입니다. 목차가 낯설어도 위험 분석은 어느 부에 있고, 그 결과를 무엇이라 부르며, 대책은 어떻게 입증하는지를 찾으면 됩니다. 4절 표의 ‘찾아볼 곳’ 두 행이 그 출발점입니다.
작은 데서부터 해 볼 수 있습니다. 여러분의 제품에서 대표 기능 하나를 골라 다음 점검 질문 세 개에 한 장으로 답해 보시기 바랍니다.
- 이 기능이 잘못되면 누가, 어떤 상황에서, 얼마나 다치며, 그래서 위험을 얼마나 줄여야 하는가?
- 무엇으로 그만큼 줄였고, 고장 뒤에는 어떤 상태로 가는가?
- 줄였다는 근거는 어디에 남아 있는가?
1번이 위험 분석, 2번과 3번이 대책 수립입니다. 답이 막히는 곳부터 보강하시기를 권합니다. 산업이 달라도 이 질문들은 같습니다.
참고 문헌
- ISO 12100:2010, 기계류 안전, 설계 일반 원칙, 위험성 평가와 위험 감소.
- IEC 61508-1:2010, 전기, 전자, 프로그래머블 전자 안전 관련 시스템의 기능안전.
- IEC, IEC 61508 & Functional Safety, 2022. IEC 61508의 위험 기반 접근 해설 자료.
- ISO 26262-1:2018, 도로 차량 기능안전, 용어. ISO 26262-3:2018, 개념 단계.
- F. S. Schranner, A. Abassi Misheni, J. Warnecke, Deriving a representative variant for the functional safety development according to ISO 26262, arXiv, 2020. ISO 26262:2018 3부 6절의 HARA 규칙 인용.
- ISO 13849-1:2023, 기계류 안전, 제어 시스템의 안전 관련 부분, 설계 일반 원칙.
- IEC 62061:2021(Amendment 1:2024 포함 판 있음), 기계류 안전, 안전 관련 제어 시스템의 기능안전.
- ISO 10218-1:2025, ISO 10218-2:2025, 로봇 안전 요구사항.
- ISO 25119-1:2018(Amendment 1:2020), ISO 25119-2:2019, 농림업용 트랙터와 기계, 제어 시스템의 안전 관련 부분.
- ISO 19014 토공기계 기능안전, 2026년 10월 개정판: 1부, 2부, 3부, 4부, 5부. 본문 설명은 개정 전 판(1부 2018, 2부 2022, 3부 2018, 4부 2020, ISO/TS 19014-5:2021)과 이를 검토한 DGUV 안내서를 기준으로 합니다.
- DGUV, DGUV Test Information 08: Kombination zertifizierter Teilsysteme aus verschiedenen Branchen(서로 다른 산업에서 인증받은 부분 시스템의 조합), 2026년 9월, 독일어.
표준 판본 확인일: 2026년 10월 15일. ISO 19014는 2026년 10월에 1~5부가 모두 새 판으로 발행되었고, 5부는 기술 시방서에서 국제표준으로 바뀌었습니다. 이 글의 ISO 19014 설명은 개정 전 판과 이를 검토한 DGUV 안내서를 기준으로 하므로, 실제 적용 때는 새 판을 확인하시기 바랍니다. ISO 26262는 3판 개정 작업이 진행 중입니다.
관련 서비스
자동차뿐 아니라 로봇, 농기계, 건설기계 제어 시스템의 위험을 분석하고 안전 대책을 세우는 일을 고민하고 계시다면, 세온이앤에스의 접근 방식을 확인해 보세요.
관련 영상
이 글의 핵심을 영상으로도 정리했습니다.