2024년 11월, 광둥성에서 제작된 롤러 컨베이어 라인이 로테르담 항구에 도착했습니다. 세관이 검사차 압류했고, 화물은 항구를 떠나지 못했습니다. 제조사의 첫 반응은 CE 인증서를 확인하는 것이었습니다 — 문제없었고, 완전히 유효했습니다. 진짜 문제는 기술 파일 안에 있었습니다. 위험성 평가에서는 안전 게이트 인터록에 PLd를 요구했는데, 기계는 단일 채널 카테고리 2 아키텍처로 제작되어 있었습니다. SISTEMA 계산 보고서도 구식이었고 문서상의 요구 PL과 더 이상 일치하지 않았습니다. 시정에 두 달이 걸렸습니다. 항만 보관료와 엔지니어들의 왕복 출장비를 합치면 짧은 컨베이어 라인 하나를 통째로 살 수 있는 비용이었습니다.
저는 미국 창고업 최전선에서 20년을 보냈습니다 — 운영을 이끌고, 장비를 선정하고, 인증기관과 한 번 이상 마주 앉아봤습니다. "PL 불일치"는 유럽으로 수출하는 중국 자동화 업체들에서 반복해서 보는 실패 모드입니다. 인증서는 살 수 있습니다. 깨진 계산 체인은 몇 분 만에 들통납니다. 그래서 EN ISO 13849에서 실제로 중요한 것을 정리해 드리겠습니다. 성능 레벨이 어떻게 설정되는지, 컨베이어와 AMR이 어디서 달라지는지, 그리고 심사관들이 가장 자주 지적하는 시정 항목들입니다.
PL이 실제로 어디서 오는가
PL(성능 레벨)은 a부터 e까지이며, 시간당 위험 고장 확률을 측정합니다. 알파벳이 뒤로 갈수록 신뢰성 요구가 높아집니다. 설정은 2단계 프로세스입니다. 먼저 요구 PL인 PLr을 정하고, 그 다음 실제로 달성 가능한 값을 계산합니다.
PLr은 위험성 평가에서 나옵니다. 이것은 협상 불가입니다. 먼저 모든 안전 기능을 식별하는 것부터 시작하세요 — 컨베이어 라인에서는 보통 비상 정지, 안전 게이트 인터로킹, 구역 가드, 그리고 사람이 일상적으로 출입하는 곳의 라이트 커튼입니다. 그 다음 각 기능을 세 가지 축으로 평가합니다. 부상의 심각도, 사람의 노출 빈도, 위험을 회피할 가능성입니다. 이 세 차원이 교차해 PLr이 나옵니다. 실제로 일반적인 컨베이어 라인의 안전 기능은 PL b에서 PL d 밴드 어딘가에 들어갑니다.
실제로 달성 가능한 값은 세 가지 입력으로 결정됩니다. MTTFD(위험 고장까지의 평균 시간), DCavg(평균 진단 커버리지), CCF(공통 원인 고장, 잘 알려진 65점 체크리스트로 채점)입니다. 이 세 숫자와 아키텍처 카테고리 — 카테고리 B, 1, 2, 3, 4(숫자가 클수록 이중화와 진단이 더 많이 요구됨) — 가 합쳐져 정식으로 주장할 수 있는 PL이 정해집니다. PLd 달성은 일반적으로 카테고리 3 이상의 이중 채널 아키텍처를 의미합니다. 단일 채널 카테고리 2 구성으로는 PLd 주장이 성립하지 않습니다. 로테르담 화물은 바로 이 불일치에서 죽었습니다. 서류상으로는 PLd, 철로는 카테고리 2였습니다. 심사관은 계산 보고서를 꼼꼼히 읽을 필요조차 없었습니다.
조항 번호가 확실하지 않으면 지어내지 말고 "규격 본문에 따름"이라고 쓰세요. 그리고 판본을 주시하세요. EN ISO 13849-1은 2023년에 개정판으로 재발행되었지만, 검증을 다루는 파트 2는 여전히 2012년판입니다. 2023년판을 대상으로 쓴 문서에서 2012년 조항 번호를 인용한 파일을 본 적이 있습니다 — 온통 빨간 펜 투성이로 돌아왔습니다.
계산 자체에는 SISTEMA가 업계 표준 도구입니다. 마법이 아닙니다. 각 컴포넌트의 MTTFD, 추정한 DCavg, CCF 체크리스트 점수를 입력하면 규격의 방법으로 안전 기능별 달성 PL을 계산합니다. 소프트웨어는 쉬운 부분입니다. 어려운 부분은 입력하는 모든 숫자의 출처입니다 — 컴포넌트의 MTTFD는 제조사 매뉴얼, B10d 환산, 또는 규격 부속서의 참조표로 거슬러 올라가야 합니다. "공급사가 이 안전 릴레이가 100년 간다고 했다"는 증거가 아니며, 심사관은 이를 0으로 취급합니다.
최소한의 예제로 계산이 어떻게 돌아가는지 보여드리겠습니다. 안전 게이트 인터록을 예로 들죠. 입력으로 직렬의 도어 스위치 2개, 로직으로 안전 릴레이, 출력으로 직렬의 컨택터 2개입니다. 각 컴포넌트의 MTTFD를 매뉴얼이나 B10d 환산에서 가져오고, 크로스 모니터링이 있는 이중 채널 구성의 DCavg를 추정하며, CCF 체크리스트를 항목별로 채점합니다. 숫자 네 개가 들어가고, SISTEMA가 돌아가고, PL이 나옵니다 — 그리고 숫자 하나라도 출처가 없으면 그 기능 전체가 무너집니다.
컨베이어와 AMR은 다른 룰북으로 움직인다
컨베이어는 범용 기계이며 13849 루트로 충분합니다. AMR은 다릅니다. 기계 전체는 제품 특화 타입 C 규격 — 예컨대 ISO 3691-4 — 의 대상이기도 하며, 안전 기능 레벨에 대한 자체 요구사항을 가집니다. 그런 규격이 존재하는 곳에서는 제품 규격과 인증기관이 레벨을 정합니다. 문서에 "AMR은 PL d에 도달해야 한다" 같은 절대적 주장을 지어내지 마세요. 썼다면 증명해야 합니다.
"이 AMR의 안전 시스템은 PLd를 달성한다"고 자신만만하게 선언하는 중국 업체들의 입찰 서류를 본 적이 있습니다. 그런데 그 기능에 대해 제품 규격이 요구한 것은 완전히 다른 레벨이거나 — 레이저 스캐너의 인증이 해당 용도를 커버하지 못하는 경우였습니다. 숫자를 너무 높게 쓰면 입증 책임은 전적으로 여러분 몫입니다. 너무 낮게 쓰면 제품 규격에 걸립니다. 올바른 순서: 먼저 제품 특화 규격을 읽고, 각 안전 기능이 거기서 등급이 매겨지는지 확인한 뒤, 제품 규격이 남긴 공백을 13849로 메우세요. 두 규격은 상호 보완 관계이지 대체 관계가 아닙니다. 2023년 사례가 이를 구체적으로 보여줍니다. 선전의 AMR 업체는 완전히 인증받은 레이저 스캐너를 가지고 있었지만, 인증서의 의도된 용도는 고정 구역 가드였습니다. 팔로우미 가드를 하는 이동 로봇에서는 인증기관이 반려했습니다. 해결책은 인증 범위가 이동 용도를 커버하는 스캐너로 교체하고 기계 전체 검증을 다시 하는 것이었습니다. 프로젝트는 3개월 지연되었습니다. 인증받은 컴포넌트가 올바르게 적용된 컴포넌트는 아닙니다. 인증서 적용 범위의 한 글자 한 글자가 여러분의 운전 조건과 일치해야 합니다.
추적해야 할 배경 변화가 하나 있습니다. 구 기계 지침은 2006/42/EC였고, EU 기계 규칙 (EU) 2023/1230이 이를 대체하고 있으며, 규칙 본문에 따르면 2027년에 전면 적용됩니다. 신규 프로젝트라면 인증 경로가 지침 아래인지 새 규칙 아래인지 발급 기관에 확인하세요 — 출하 일주일 전에 불일치를 발견하지 마세요.
자꾸 보는 시정 항목들 — 그리고 피하는 법
첫 번째이자 가장 흔한 살인자는 깨진 문서 체인입니다. 문서 네 개가 네 가지 이야기를 합니다. 위험성 평가는 PLr = c라고 하고, 안전 기능 목록은 비상 정지가 PLr = d라고 하고, SISTEMA는 PLc를 계산하고, 검증 보고서는 다른 프로젝트 템플릿을 복사한 것입니다. 이런 걸 발견한 심사관은 파일을 즉각 반려합니다 — 시정 기회를 주지도 않을 때가 있습니다.
두 번째는 출처 없는 MTTFD 값입니다. 보고서에는 멋진 MTTFD 숫자들인데, 출처를 물으면 아무도 답하지 못합니다. 규칙: 제조사 매뉴얼, B10d 환산, 또는 규격 부속서의 표 — 컴포넌트당 하나씩 인용하세요. 출처 없는 숫자는 심사에서는 0으로 칩니다.
세 번째는 장식으로 전락한 CCF 체크리스트입니다. 65점 체크리스트는 항목별로 채점합니다. 점수가 낮거나 대책이 미실시이면 아키텍처가 한 카테고리 강등되고, PL도 함께 떨어집니다. 심사관은 현장에서 배선 분리와 과전압 보호를 확인합니다. 눈에 보이는 것들입니다. 속일 수 없습니다.
네 번째는 부풀려진 DCavg입니다. 워치독이 달린 단일 채널 아키텍처로는 높은 진단 커버리지를 얻을 수 없습니다. 숫자를 정당화할 수 없으면 낮게 쓰세요. 보수적으로 PLc를 주장해 첫 시도에 통과하는 것이 PLd를 주장하고 반려당하는 것보다 항상 낫습니다.
이 네 가지에 대한 저의 상시 방어책은 PL 추적표입니다. 안전 기능당 한 행, 다섯 열 — 기능명, 입력-로직-출력 컴포넌트 체인, PLr, 계산된 PL, 그리고 SISTEMA 보고서와 검증 보고서의 페이지 번호입니다. 이 다섯 열을 일치시키면 시정 리스크의 절반이 사라집니다. 유지보수에도 도움이 됩니다. 컴포넌트 하나를 교체해도 해당 행만 수정하면 되지 파일 전체를 다시 만들 필요가 없습니다.
순서도 중요합니다. 위험성 평가 중에 PLr을 동결하고, 하드웨어 선정 전에 SISTEMA 예비 계산을 돌린 뒤, 최종본은 컴포넌트가 확정된 후에 계산하세요. 순서를 뒤집으면 — 먼저 다 사고 계산은 나중에 끼워 맞추면 — 컴포넌트 변경 때마다 전면 재계산 사이클이 돕니다. 일정이 이렇게 조용히 죽습니다.
내일 바로 쓸 수 있는 것을 하나 드리겠습니다. 모든 안전 컴포넌트의 MTTFD 출처 — 매뉴얼 페이지나 B10d 값 — 를 공급사에 요구하세요. 내놓지 못하면 가격이 아무리 매력적이어도 발주서에 사인하지 마세요. PL 게임에서 승패를 가르는 것은 인증서가 아닙니다. 계산 체인의 모든 링크에 출처가 있느냐가 승패를 가릅니다.
영어판 번역본입니다. 내용이 다를 경우 영어판을 우선합니다.
