페일세이프 설계 (Fail-Safe Design)
쉽게 풀면
엘리베이터 케이블이 끊어지면 어떻게 될까요? 실제로는 케이블이 끊어지는 순간 비상 브레이크가 레일을 꽉 물어 엘리베이터가 그 자리에 멈춥니다. "고장이 나도 사람이 다치지 않는 상태"로 결과가 나오도록 미리 설계해 둔 것이죠. 이것이 바로 페일세이프 설계입니다. 신호등이 고장 났을 때 모든 방향이 초록불로 바뀌는 대신 점멸등이나 적색으로 바뀌게 만드는 것도 같은 원리입니다. 페일세이프는 부품을 여러 개 겹쳐 고장 자체를 막으려는 이중화와는 다릅니다. 이중화는 "고장이 안 나게" 막는 접근이고, 페일세이프는 "고장이 나더라도 그 결과가 안전하게" 만드는 접근입니다.
왜 중요한가
모든 부품과 시스템은 언젠가 고장 날 수 있다는 사실을 전제로 설계하지 않으면, 예상치 못한 고장이 곧바로 인명 피해나 대형 사고로 이어질 수 있습니다. 그래서 철도, 원자력, 항공, 산업제어처럼 고장의 결과가 치명적인 안전필수 시스템을 다루는 공학 논문에서는 페일세이프 설계가 신뢰성 평가의 핵심 기준으로 다뤄지며, 관련 안전 규격과 인증 절차에서도 필수적으로 요구되는 설계 원칙입니다.
논문에서는 이렇게 쓰입니다
이 문장은 센서가 고장 나거나 신호가 끊기는 예상치 못한 상황에서도 시스템이 위험하게 계속 작동하는 대신 안전한 정지 상태로 전환되도록 미리 설계했다는 뜻입니다.
철도공학 분야에서 전력 공급이 끊기는 고장 상황에서도 열차 운행이 자동으로 가장 안전한 상태로 전환된다는 것을 설명할 때 쓰인다.
원자력공학 논문에서 전자적 제어가 실패하더라도 물리적 원리에 의해 안전한 상태로 전환되는 설계를 설명할 때 쓰인다.
조금 더 깊게 보면
페일세이프 설계를 실제로 구현할 때는 흔히 상시 통전(energize-to-trip)이나 상시 여자(fail-open/fail-closed) 방식처럼, 전원이나 신호가 끊겼을 때 기계적·물리적으로 어느 상태로 귀결되는지를 미리 정해두는 방식이 활용됩니다. 또한 페일세이프는 결함허용, 이중화, 안전율 같은 인접 개념들과 함께 신뢰성공학의 큰 틀 안에서 다루어지며, 실제 시스템 설계에서는 이 여러 원칙을 상황에 맞게 조합해 적용하는 경우가 많습니다.
주의할 점
페일세이프는 "고장이 발생하지 않게" 하는 안전율이나 평균고장간격 개념과 혼동하기 쉽지만, 페일세이프는 애초에 고장이 언젠가 발생한다는 것을 전제로 그 결과를 안전하게 만드는 접근입니다. 또한 무엇이 "안전한 상태"인지는 시스템마다 다르므로, 정지가 항상 안전을 뜻하지는 않습니다. 예를 들어 항공기 엔진처럼 정지 자체가 오히려 더 위험한 시스템에서는 페일세이프 대신 결함허용 설계로 기능을 계속 유지시키는 접근이 필요합니다.