트랙터에 연결된 작업기가 조작하지 않았는데 움직이거나, 정지 명령을 내렸는데 계속 작동한다면 어떤 일이 생길까요? 전자제어 기능을 개발할 때는 정상적인 동작뿐 아니라 센서, 제어기, 소프트웨어에 문제가 생겼을 때 사람에게 미치는 영향도 살펴야 합니다.
ISO 25119는 이러한 문제를 다루는 농기계 분야의 기능안전 표준입니다. 이 글에서는 표준의 적용 범위와 AgPL의 의미를 살펴보고, 필요한 수준을 결정한 뒤 설계와 검증으로 달성하는 과정을 설명합니다.
1. ISO 25119는 무엇을 다루는 표준인가
ISO 25119는 농림업용 트랙터와 농업용 탑승식 자주 기계, 장착식, 반장착식, 견인식 기계의 안전 관련 제어시스템 부분(SRP/CS)을 대상으로 합니다. 전기, 전자, 프로그램 가능한 전자시스템(E/E/PES)의 오작동으로 발생하는 위험과 이에 대응하는 안전기능이 핵심입니다. 도로청소차와 같은 이동식 지자체 장비에도 적용할 수 있으며, 농업용 항공기와 에어쿠션 차량, 잔디 및 정원 장비는 적용 대상에서 제외됩니다. ISO 25119-1
예를 들어 작업기 승강을 제어하는 시스템에서는 위치 신호를 읽는 센서, 명령을 처리하는 ECU, 출력을 제어하는 회로를 함께 살펴볼 수 있습니다. 다만 유압, 기계, 공압과 같은 비E/E/PES 시스템 자체에는 이 표준이 적용되지 않습니다. 전자제어가 유압 동작을 지시하는 경우에도 기계 전체의 위험은 ISO 12100 등의 원칙에 따라 함께 검토해야 합니다. ISO 25119-1 적용 범위, ISO 12100
표준은 다음 네 부분으로 구성됩니다.
2. AgPL은 무엇을 의미하는가
AgPL(Agricultural Performance Level)은 안전 관련 제어시스템이 정해진 조건에서 안전기능을 수행할 수 있는 수준을 나타냅니다. a부터 e까지 다섯 단계가 있으며, e로 갈수록 요구가 엄격해집니다. ISO 25119-1, 3.1 및 3.2
여기서는 두 가지를 구분해야 합니다.
- AgPLr: 위험 평가를 통해 정한 요구 성능 수준입니다. r은 required를 의미합니다.
- 달성 AgPL: 실제 설계와 개발 결과가 뒷받침하는 성능 수준입니다.
개발의 목표는 각 안전기능에 대해 달성 AgPL이 AgPLr 이상이 되도록 하는 것입니다. 또한 위험이 충분히 낮아 표준상 안전 관련 기능으로 분류하지 않는 경우에는 QM을 적용할 수 있습니다. QM에서도 적절한 품질관리는 필요합니다. ISO 25119-2, 6.3.7 및 7.3.6
실무 문서에는 “이 트랙터는 AgPL d”라는 표현보다 “의도하지 않은 작업기 상승을 방지하는 기능의 요구 수준은 AgPLr d”처럼 기능과 적용 조건을 함께 기록하는 방식이 유용합니다. 그러면 센서나 작업기를 변경했을 때 무엇을 다시 검토해야 하는지도 분명해집니다.
3. 요구 AgPL은 어떻게 결정하는가
기계의 위험과 평가 대상을 먼저 정합니다
기계 전체의 위험 평가를 바탕으로 제어시스템에 맡길 안전기능을 식별합니다. 해당 기종의 개별 안전표준인 Type-C 표준이 기능별 성능 수준을 지정하는지도 확인해야 합니다. 그러한 지정이 없는 경우 제조자가 필요한 수준을 결정합니다. ISO 25119-1, ISO 25119-2 서론
분석 대상인 UoO(Unit of Observation)의 기능, 경계, 인터페이스와 운전 조건을 정한 뒤, HARA(Hazard Analysis and Risk Assessment, 위험원 분석 및 위험 평가)를 수행합니다. 위험 상황별 판단과 근거는 HARA 보고서로 남깁니다. ISO 25119-2, 5절 및 6절
작업기 승강 제어를 분석한다면, 평가팀은 먼저 다음과 같은 질문에 답할 수 있어야 합니다. 작업자는 어디에서 조작하는가? 보조 작업자가 가까이 있는가? 시동과 재시동 때 어떤 동작이 가능한가? 트랙터와 작업기 사이 통신이 끊기면 출력은 어떻게 되는가? 이런 조건이 빠져 있으면 같은 기능을 두고도 서로 다른 위험을 평가하게 됩니다.
S, E, C를 평가해 판정 도표에 적용합니다
AgPLr을 결정하는 대표적인 방법은 세 가지 요소를 조합하는 것입니다.
| 요소 | 판단하는 내용 | 실무에서 확인할 근거의 예 |
|---|---|---|
| S, 피해 심각도 | 오작동으로 사람이 어느 정도 다칠 수 있는가? S0부터 S3으로 구분합니다. | 기계의 힘과 속도, 협착 위치, 예상 상해 |
| E, 노출 | 해당 위험 상황에 얼마나 자주 또는 오래 노출되는가? E0부터 E4로 구분합니다. | 실제 작업 순서, 운전 기록, 위험 위치 체류 시간 |
| C, 피해 회피 가능성 | 오작동 후 운전자나 주변 사람이 피해를 피할 수 있는가? C0부터 C3으로 구분합니다. | 위험 인지 가능성, 반응 시간, 탈출 공간 |
이 조합을 ISO 25119-2:2019의 그림 1에 대입해 요구 수준을 정합니다. 숫자를 곱해 점수를 만드는 방식은 아닙니다. 같은 심각도의 위험이라도 노출과 회피 가능성이 달라지면 결과가 달라질 수 있습니다. ISO 25119-2:2019, 6.3.7 및 그림 1
E를 평가할 때는 위험 상황에 대한 노출과 전자부품의 고장률을 구분해야 합니다. 빈도와 지속시간 중 해당 상황에 적절한 방법을 선택하고, 둘 이상의 분류가 적절하다면 더 높은 등급을 적용합니다. C는 실제 사람이 피해를 피할 수 있는지를 판단하며, 평가 중인 제어시스템의 신뢰도나 고장 대응 기능을 회피 능력에 포함하지 않습니다. ISO 25119-2, 6.3.5 및 6.3.6
따라서 “고장 난 적이 없으니 노출이 낮다”거나 “숙련자가 알아서 피할 것이다”라는 설명만으로는 판단 근거가 충분하지 않습니다. 실제 작업을 아는 담당자와 설계자가 같은 시나리오를 검토하고, 의견이 갈리는 조건은 관찰이나 측정으로 확인하는 것이 좋습니다.
4. 작업기 승강 제어를 예로 살펴보기
다음은 판정 절차를 설명하기 위한 가상 사례입니다. 기계 전체의 위험 저감과 기종별 요구사항을 검토한 뒤, 작업기 승강 제어의 오작동으로 남는 위험을 평가한다고 가정합니다.
위험 시나리오는 “작업자가 가까이 있는 상태에서 의도하지 않은 상승이 발생해 작업기와 고정 구조물 사이에 끼이는 상황”입니다. 평가팀이 작업 조건과 피해 양상을 조사한 결과를 다음과 같이 가정해 보겠습니다.
| 평가 요소 | 이 사례의 가정 | 분류 |
|---|---|---|
| 피해 심각도 | 끼임으로 생존이 불확실한 생명 위협 상해 또는 중증 장애가 발생할 수 있음 | S3 |
| 노출 | 노출 시간 기준이 적절하며, 평균 운전 시간 중 해당 위험 상황의 비율이 5%임. 빈도 검토에서도 더 높은 분류가 필요하지 않음 | E3 |
| 회피 가능성 | 움직임을 알아차린 뒤에도 일반적인 작업자가 피해를 피하기 어려움 | C3 |
지속시간 기준에서 E3는 평균 운전시간 대비 노출시간이 1% 이상 10% 미만인 경우입니다. 위 가정의 S3, E3, C3 조합은 AgPLr d에 해당합니다. 판정의 기준은 ISO 25119-2:2019의 표 1~3과 그림 1입니다. ISO 25119-2:2019
다만 같은 위험 상황에 거의 매 작업마다 노출되어 빈도 기준 E4가 적절하다면, 노출시간이 5%여도 더 높은 E4를 적용해야 합니다. S와 C가 같을 때 S3, E4, C3 조합은 AgPLr e가 됩니다. 작업기 가까이에 접근하는 행위가 실제로 어떤 위험 상황에 대한 노출인지 확인하고, 시간과 빈도의 판단 근거를 함께 남겨야 합니다. ISO 25119-2:2019, 6.3.5 및 그림 1
이 사례의 조건과 분류는 설명용이며, 실제 장비의 결과는 사용 조건과 근거에 따라 달라집니다. 2015년 VTT 보고서에도 위 두 판정 조합이 나오지만, 이 글에서는 판정 방법을 이해하기 위한 보조 자료로만 참고합니다. VTT의 기능안전 요구수준 비교 연구, 2.2.1.3절
이후 평가팀은 “작업자가 접근할 수 있는 조건에서 의도하지 않은 상승을 방지한다”는 안전목표를 세우고, 이를 구현할 기능을 구체화할 수 있습니다. 예를 들면 상승 허용 조건 확인, 명령과 실제 움직임의 비교, 이상 검출 시 상승 억제, 고장 해제 후 재시작 조건 관리가 검토 대상입니다.
이 목록이 AgPL d 달성을 보장하는 정답은 아닙니다. 어떤 기능이 필요한지는 장비에 따라 결정하고, 선택한 기능을 하드웨어와 소프트웨어가 충분한 수준으로 수행하는지 다음 단계에서 입증해야 합니다.
5. AgPL 달성을 위해 설계와 개발에서 무엇을 해야 하는가
안전기능을 시험할 수 있는 요구사항으로 구체화합니다
앞의 사례에서 “이상이 생기면 안전하게 멈춘다”는 표현만으로는 설계를 시작하기 어렵습니다. 검출할 이상, 허용 반응 시간, 출력 상태, 재시작 조건을 구체적으로 정해야 합니다. ISO 25119-3은 안전 요구사항을 시스템 설계와 하드웨어, 소프트웨어 개발로 전개합니다. ISO 25119-3, 5절
예를 들어 상승 억제를 설계할 때 다음 질문을 검토할 수 있습니다. 전원을 차단해도 작업기가 중력으로 내려오지 않는가? 정지 위치를 유지하려면 어떤 제어가 필요한가? 전원이 다시 들어왔을 때 이전 상승 명령이 재실행되지는 않는가? 이런 질문에 답해야 해당 장비에 맞는 안전상태를 정의할 수 있습니다.
구조, 신뢰도, 진단과 소프트웨어 수준을 함께 검토합니다
달성 AgPL은 여러 설계 요소의 조합에 영향을 받습니다. 하드웨어 개발에서는 구조와 부품 선정, 고장 진단, 공통원인고장과 체계적 고장을 함께 검토합니다. ISO 25119-3, 6절
| 검토 요소 | 의미 | 대응 예시 |
|---|---|---|
| Category | 고장 발생 시 안전기능의 동작을 포함한 하드웨어 구조 | 단일 고장과 진단 실패 시 출력 경로 분석 |
| MTTFD, MTTFDC | 위험고장까지의 평균시간, 채널별 위험고장까지의 평균시간 | 부품 고장자료와 실제 사용 조건을 바탕으로 산정 |
| DC | 위험고장을 진단으로 검출하는 범위 | 단선, 단락, 값 고착 등 고장별 검출 근거 확보 |
| CCF | 여러 채널에 함께 영향을 주는 공통원인고장 | 공통 전원, 배선, 환경 영향과 독립성 검토 |
| SRL | 소프트웨어 요구수준 | 수준에 맞는 개발 및 검증 방법 선정 |
CCF 추정과 체계적 고장에 대한 대응을 검토할 때는 ISO 25119-2의 부속서 D와 E도 함께 참고할 수 있습니다. ISO 25119-2:2019, 부속서 D 및 E
예를 들어 센서 두 개가 하나의 전원과 커넥터를 공유한다면, 공통 전원 이상으로 두 신호가 함께 잘못될 수 있습니다. 센서 간 값 비교만으로 충분한지, 전원 감시나 다른 검출 수단이 필요한지를 따져야 합니다. 부품을 추가할 때는 검출 능력이 늘어나는 효과와 새로운 고장 가능성, 정비 부담을 함께 비교할 수 있습니다.
실무에서는 후보 구조를 정하고 신뢰도와 진단 범위를 산정한 뒤, Category, MTTFDC, DC, SRL의 관계도에서 목표 AgPL을 충족하는 조합인지 확인합니다. Part 2의 7.3.5는 같은 AgPL을 달성하는 조합이 여러 개일 수 있다고 설명합니다. 또한 그림 2 직후의 주에는 같은 AgPL에서 더 높은 Category를 선택하면 더 낮은 MTTFDC 및/또는 SRL이 허용될 수 있다고 명시합니다. 따라서 AgPL만으로 SRL을 하나로 고정하지 않고, 표준에서 허용하는 설계 조합을 확인해야 합니다. ISO 25119-2:2019, 7.3.5 본문 및 그림 2 직후의 주
목표에 미달하면 원인을 구분해 대응할 수 있습니다. 진단에서 놓치는 위험고장이 많다면 검출 수단을 보완하고, 공통 전원 문제가 두 채널을 함께 무력화한다면 구조를 재검토합니다. 변경한 설계는 다시 분석하고 시험해 근거를 갱신합니다.
소프트웨어 개발에도 근거를 남깁니다
소프트웨어에서는 SRL에 따라 적절한 개발 방법과 검증 수단을 계획하고, 요구사항, 설계, 구현, 시험을 연결합니다. ISO 25119-3은 소프트웨어 요구사항부터 구성요소 시험, 통합시험과 안전성 확인까지의 개발 활동을 다룹니다. ISO 25119-3, 7절
작업기 상승 억제 기능이라면 다음과 같은 시험을 구체적으로 설계할 수 있습니다. 위치 값이 정상 범위 안에서 고착될 때 검출하는지, 허용 조건이 해제되는 순간에도 상승 명령이 남지 않는지, 통신이 끊기면 오래된 명령을 계속 사용하지 않는지 확인하는 것입니다. 정적 분석, 코드 리뷰, 단위시험과 통합시험을 선택할 때도 각각 어떤 오류를 찾으려는지 설명할 수 있어야 합니다.
6. 검증 결과를 생산과 변경 관리까지 연결합니다
ISO 25119-4는 검증과 유효성 확인, 형상관리, 제품 출시, 생산, 운영과 변경 관리를 다룹니다. 설계의 적합성을 확인한 뒤에도 생산품과 변경된 소프트웨어가 그 근거를 유지하는지 관리해야 합니다. ISO 25119-4, 6~13절
앞의 가상 사례에서는 다음과 같이 요구사항과 시험 결과를 연결할 수 있습니다.
| 확인할 사항 | 시험 또는 검토의 예 | 남길 근거 |
|---|---|---|
| 잘못된 입력의 검출 | 센서 단선, 단락, 신호 고착을 주입 | 검출 조건과 검출 시간 |
| 적절한 고장 반응 | 통신 단절과 출력 이상을 발생시킴 | 안전상태 도달 시간과 실제 움직임 |
| 재시작 조건 | 고장 상태에서 전원 재인가 | 의도하지 않은 상승이 없는지 확인한 기록 |
| 변경 후 성능 유지 | 센서 교체나 진단 로직 수정의 영향 분석 | 영향받는 요구사항과 재시험 결과 |
반응 시간을 확인할 때는 소프트웨어가 오류를 알아차린 시점에서 측정을 끝내지 않는 것이 좋습니다. 고장 검출, 출력 전환과 실제 위험 동작 억제까지 걸리는 전체 시간을 설계에서 정한 허용 시간과 비교해야 대응의 효과를 판단할 수 있습니다.
센서 데이터시트나 ECU의 시험성적서를 확보했다면, 그 자료가 어떤 기능과 조건을 대상으로 하는지 확인해야 합니다. 실제 조합에서 사용하는 전원, 입력, 통신과 출력 조건이 다르면 추가 검토가 필요할 수 있습니다. 부품 자료를 시스템의 결론으로 연결하는 과정이 개발팀의 과제입니다.
프로젝트 기록은 다음 흐름으로 따라갈 수 있도록 정리하면 검토가 수월해집니다.
위험 시나리오 → AgPLr 판단 근거 → 안전목표와 요구사항 → 설계와 분석 → 시험 결과 → 출시 및 변경 기록
7. 기능 하나를 골라 처음부터 끝까지 연결해 봅니다
ISO 25119 대응을 시작할 때는 대표적인 안전기능 하나를 골라 전체 흐름을 적용해 보는 것이 좋습니다. 작업기 승강 제어라면, 누가 어떤 상황에서 다칠 수 있는지부터 적고 S, E, C의 판단 근거를 정리합니다. 이어 그 위험을 줄일 기능, 고장 대응 방식, 검증할 조건을 연결합니다.
이 과정에서 부품 고장자료가 부족한지, 진단 범위를 설명하지 못하는지, 소프트웨어 요구사항과 시험 사이에 누락이 있는지가 드러납니다. 각 문제의 담당자와 필요한 자료를 정하면 개발 계획도 구체화할 수 있습니다.
AgPLr은 위험 평가에서 정하는 개발 목표이며, 달성 AgPL은 설계와 검증으로 뒷받침해야 하는 결과입니다. 두 수준을 연결하는 근거를 개발 초기부터 쌓아가는 것이 ISO 25119 적용의 핵심입니다.
참고 문헌
- ISO 25119-1:2018, 설계와 개발의 일반 원칙. Amendment 1:2020.
- ISO 25119-2:2019, 개념 단계. 5절, 6절, 7절과 표 1~3, 그림 1~2 참조. 공개 미리보기.
- ISO 25119-3:2018, 양산 개발, 하드웨어 및 소프트웨어(Series development, hardware and software). Amendment 1:2020.
- ISO 25119-4:2018, 생산, 운영, 변경과 지원 프로세스. Amendment 1:2020.
- ISO 12100:2010, 기계류 안전, 위험 평가와 위험 저감.
- VTT Technology 241, From risks to requirements, 2015, 2.2.1.3절. 현행판보다 앞서 발행된 위험 평가 방식의 비교 연구입니다. 판정 방법을 이해하기 위한 보조 자료로 사용하며, 실제 적용에는 ISO 25119-2:2019의 분류와 판정 기준을 우선합니다.
관련 영상
이 글의 핵심을 영상으로도 정리했습니다.