알람 홍수 제어실의 신호탐지 판단과 안전 인터록 고장나무 해석
석유화학 공장 중앙제어실에서 오퍼레이터 3명이 12시간 교대(Day/Night)로 근무하며, 야간조는 1명만 배치되는 날이 절반이다. 지난 1개월 기록을 보면 알람이 시간당 평균 260건 발생했고, 그중 조작에 직접 관련된 중요 알람은 하루 40건이었다. 오퍼레이터가 30분 안에 조치하지 못한 중요 알람이 월 5건 있었으며, 실제 공정 이상 없이 발생한 오경보가 전체 알람의 78%를 차지했다. 한편 해당 공정의 안전 인터록에 대해 고장나무분석을 실시한 결과, 정상사상 T는 두 사상 A와 B가 동시에 발생할 때 일어나며(AND 게이트), A는 기본사상 C(센서 고장, 확률 2×10⁻²)와 D(배관 막힘, 1×10⁻¹)의 OR, B는 기본사상 E(오퍼레이터 미조치, 3×10⁻²)와 F(정비 오류, 5×10⁻³)의 OR로 구성되었다. 각 기본사상은 상호 독립으로 가정한다. 공장은 알람 홍수 저감과 인터록 신뢰도 개선을 동시에 검토하고 있으며, 예산은 한 가지 개선안에만 투입할 수 있다.
1. 신호탐지이론(SDT)의 틀로 현재 상황을 해석하고, 오경보 78%와 월 5건의 미조치가 오퍼레이터의 판단 기준(criterion)에 어떤 영향을 주는지 설명하시오. 또한 화학공정의 특성을 고려할 때 기준을 어느 방향으로 두어야 하는지, 그것만으로 해결이 되는지 판단하시오.
Read the worked answer
1) SDT 사분면에 배치 실제 알람 유무와 반응 유무의 2×2 조합으로 보면, 조치한 중요 알람은 Hit, 놓친 5건은 Miss, 정상인데 알람이 뜬 78%는 False Alarm, 알람이 없고 반응도 없는 경우는 Correct Rejection이다. 문제는 False Alarm 비율이 압도적이고 Miss가 소수지만 치명적이라는 점이다.
2) 기준 이동의 메커니즘 민감도(d′)는 알람 설정과 피로·주의 자원에 의해 결정되며 단기간에 바꾸기 어렵다. 반면 판단 기준은 조정 가능하다. 오경보가 누적되면 “또 뜬 거겠지”라는 학습이 일어나 기준이 엄격한 쪽(무시하는 쪽)으로 이동하고, 그 결과 Miss가 증가한다. 월 5건은 이 ‘양치기 소년’ 효과로 설명되는 부분이 크다.
3) 기준을 어디에 둘 것인가 화학공정에서 Miss의 비용(폭발, 독성물질 누출, 사망)은 False Alarm의 비용(확인 후 정상 판정, 일시 조업 중단)보다 비교할 수 없이 크다. 따라서 기준은 탐지 우선, 즉 느슨한 쪽에 두어야 한다. 그러나 이 선택은 알람 홍수를 악화시켜 다시 기준을 엄격하게 만드는 순환을 만든다.
4) 결론 기준 조정만으로는 해결되지 않는다. 알람 억제(suppression), 1차·2차 우선순위 구분, dead band와 지연시간 설정, 중요 알람 전용 채널 분리로 d′ 자체를 올리는 공학적 개선이 병행되어야 한다. 오퍼레이터에게 “더 주의하라”고 요구하는 것은 대책이 아니다.
2. 정상사상 T의 최소 컷셋을 모두 구하고 발생확률을 계산하시오. 또한 예산을 한 가지 개선에만 쓸 수 있다면 어떤 기본사상을 우선 개선해야 하는지, 계산 결과를 근거로 판단하시오.
Read the worked answer
1) 최소 컷셋 T = A·B = (C+D)·(E+F)를 전개하면 C·E, C·F, D·E, D·F의 네 개 항이 남고 더 줄일 수 없다.
- 최소 컷셋: {C,E}, {C,F}, {D,E}, {D,F}
- 모두 2차(2개 사상 동시 발생)이므로 단일 고장으로 정상사상이 일어나는 단일점 고장은 없다.
2) 확률 계산
- P(A) = 1 − (1−0.02)(1−0.1) = 1 − 0.882 = 0.118
- P(B) = 1 − (1−0.03)(1−0.005) = 1 − 0.96515 = 0.03485
- P(T) = 0.118 × 0.03485 ≈ 4.11×10⁻³ (약 0.41%)
희소사상 근사로 컷셋 확률을 더하면 0.0006 + 0.0001 + 0.003 + 0.0005 = 0.0042로, 정확값과 거의 일치한다. 근사가 유효함을 확인해 두면 검산이 쉽다.
3) 개선 우선순위 판단 기여도가 큰 컷셋은 {D,E}(0.003)이며, 지배적인 기본사상은 D(0.1)와 E(0.03)다. 두 사상 중 하나를 낮추는 효과를 비교한다.
- D를 0.01로 낮추면 P(A) = 1 − 0.99×0.9 = 0.109, P(T) ≈ 3.8×10⁻³ - 감소 폭이 작다(약 8%). C가 이미 작아 D를 낮춰도 A가 크게 줄지 않기 때문이다.
- E를 0.005로 낮추면 P(B) = 1 − 0.995×0.995 ≈ 0.00998, P(T) ≈ 1.18×10⁻³ - 약 71% 감소한다.
따라서 확률만 보면 E(오퍼레이터 미조치) 개선이 가장 효과적이다. 다만 E는 행동·훈련에 의존하는 값이라 개선 효과가 유지되기 어렵고, D(배관 막힘)는 원인이 명확해 물리적 대책(여과·세정 주기)으로 확실히 낮출 수 있다. 결론적으로 E를 알람 설계 개선으로 낮추고, D를 예방정비로 고정하는 조합이 현실적이며, 예산이 하나뿐이라면 E를 택해 알람 억제·우선순위화로 미조치율을 직접 줄이는 것이 정당화된다.
3. 제어실의 알람 홍수를 인간공학적으로 저감할 수 있는 방안을 설계하고, 각 방안이 SDT의 민감도와 판단 기준 중 무엇을 바꾸는지 구분하여 설명하시오.
Read the worked answer
1) 민감도(d′)를 올리는 방안 - 근본 대책
- 알람 설정 재정비: 운전에 직접 필요한 알람만 남기고, 공정 변동의 dead band·지연시간을 두어 짧은 출렁임을 걸러낸다.
- 중요 알람 전용 채널 분리: 색·음향·표시 위치를 1차 알람과 다르게 설계하면 중요 신호의 식별성이 올라간다.
- 정보 표시 개선: 추세선, 원인-결과 표시, 조치 절차를 알람 화면에 함께 제시한다.
- 야간 1인 근무 편성 조정: 12시간 교대에서 1인 배치는 각성 수준 저하와 Miss 증가로 직결되므로 인력 배치 자체를 재검토한다.
2) 판단 기준을 조정하는 방안 - 보조 대책
- 오경보 억제(suppression)로 거짓 신호 자체를 줄이면 기준을 느슨하게 유지할 수 있다.
- 미조치 알람의 자동 재알림(escalation)으로 방치를 구조적으로 막는다.
- 확인(acknowledge) 절차를 단순화해 조작 부하를 줄인다.
3) 원칙 오퍼레이터의 주의력에 의존하는 대책(교육, 강조, 벌점)은 민감도를 올리지 못하고 기준만 왜곡한다. 설비·화면·알람 논리 쪽에서 거짓 신호를 제거하는 것이 우선이며, 판단 기준 조정은 그 다음이다. 개선 후에는 시간당 알람 수, 오경보율, 미조치 건수를 지표로 삼아 효과를 확인해야 한다.