고장 하나로 위험해질까, 두 개가 겹쳐야 할까: FTA의 AND·OR
가상 차단 장치 사례로 FTA의 AND·OR, 공통 원인과 독립성, 설계 검토에 남길 근거를 설명합니다.
덮개 센서의 고장을 발견했다고 해서 곧바로 ‘덮개가 열린 채 모터가 작동한다’고 결론 내릴 수는 없습니다.
별도의 차단 기능이 남아 있는지, 그 기능이 어떤 조건에서 작동하는지에 따라 결과가 달라집니다.
반대로 장치가 두 개 있다는 사실만으로 안전하다고 결론 내릴 수도 없습니다.
두 기능을 함께 무력화하는 원인이 있을 수 있기 때문입니다.
결함수 분석(Fault Tree Analysis, FTA)은 먼저 분석할 원치 않는 사건을 정하고, 그 사건에 이르는 원인의 조합을 거슬러 연결하는 방법입니다.
이번 글은 고장의 개수를 세는 대신 고장과 결과 사이의 연결 관계를 읽는 방법을 다룹니다.
의료기기 개발팀이 설계 검토에 활용할 수 있는 기법 해설이며, 특정 제품에 FTA 수행을 일률적으로 요구하는 규정 해설은 아닙니다.
[1]
먼저 분석 범위와 가정을 고정합니다
가상의 모터 구동 장치를 생각해 보겠습니다.
덮개 센서를 이용한 차단 기능 A와 별도의 차단 기능 B가 있고, 둘 중 하나만 정상이어도 모터에 전원이 전달되지 않는 구조라고 가정합니다.
B는 A의 센서 신호가 없어도 덮개 열림을 감지해 차단할 수 있다고 설정합니다.
이것은 논리를 설명하기 위한 가상 구조이지 실제 장치의 회로도나 권장 설계가 아닙니다.
분석 조건은 덮개가 열려 있고, 시작 명령과 구동 전원이 있는 상태입니다.
최상위 사건은 ‘그 조건에서 모터가 구동됨’으로 정의합니다.
이미 회전 중인 모터의 관성, 제동 시간, 덮개 개방 시점의 동작은 이 예제에 포함하지 않습니다.
이처럼 운전 조건을 정해야 고장 하나와 결과를 잘못 연결하는 일을 줄일 수 있습니다.
A와 B 중 하나라도 정상적으로 차단하면 모터에 전원이 전달되지 않는 가상 구조입니다.
센서 신호나 실제 배선을 재현한 회로도가 아니며, 덮개 열림·시작 명령·구동 전원 존재를 분석 조건으로 고정합니다.
예제의 ‘센서 고장’은 A가 덮개 열림을 놓쳐 차단하지 못하는 고장을 가리킵니다.
센서의 모든 고장 형태가 같은 결과를 만드는 것은 아닙니다.
예를 들어 고장 시 구동을 금지하도록 동작하는 형태는 동일한 사건으로 묶으면 안 됩니다.
따라서 실제 분석표에는 ‘센서 고장’보다 ‘덮개가 열렸는데 A가 차단하지 못함’처럼 결과가 드러나는 사건명을 쓰는 편이 명확합니다.
AND: 두 차단 기능이 모두 실패해야 하는 경로
위 가정에서 A가 차단하지 못해도 B가 정상이라면 모터가 구동되지 않습니다.
B만 실패해도 A가 정상이라면 마찬가지입니다.
두 기능이 모두 차단하지 못하는 경우에 최상위 사건으로 이어집니다.
이 관계를 AND로 표현합니다.
[1, 4장]
아래 표는 실제 시험 결과가 아니라 위 가정으로부터 얻은 논리표입니다.
다른 전원 우회 경로나 분석에서 빠진 고장은 없다는 조건입니다.
| A의 차단 기능 | B의 차단 기능 | 가상 구조의 결과 |
|---|---|---|
| 정상 | 정상 | 모터 구동 차단 |
| 차단 실패 | 정상 | B가 모터 구동 차단 |
| 정상 | 차단 실패 | A가 모터 구동 차단 |
| 차단 실패 | 차단 실패 | 최상위 사건 발생 |
이 표의 실무적인 가치는 ‘장치가 두 개’라는 설명을 구체적인 설계 주장으로 바꾼다는 데 있습니다.
개발팀은 A가 실패한 상태에서 B가 실제로 차단할 수 있는지, 반대 상태도 가능한지, 그 주장을 어떤 설계자료와 검증으로 뒷받침할지 논의할 수 있습니다.
이 항목들은 MedQraft의 검토 제안이며, 고장 주입 시험을 곧바로 실시하라는 작업 지침은 아닙니다.
실제 시험은 제품 구조와 시험 안전성을 검토한 계획에 따라 수행해야 합니다.
OR: 한 가지 원인만으로 같은 사건에 이르는 경로
같은 장치에서도 다른 수준의 사건에는 OR가 쓰일 수 있습니다.
예를 들어 A 내부에서 ‘열림 감지 신호를 만들지 못함’이 발생했거나, ‘열림 신호가 들어왔는데 A의 차단 출력이 닫힌 상태에 고착됨’이 발생하면 각각 A의 차단 실패로 이어지는 구조를 가정할 수 있습니다.
각 사건 하나만으로 상위 사건을 발생시키기에 충분하다면 OR로 연결합니다.
둘 다 발생하는 경우도 OR에 포함됩니다.
[1, 4장]
여기서 OR가 가리키는 상위 사건은 A의 차단 실패입니다.
장치 전체의 위험한 구동과 혼동하면 안 됩니다.
A가 실패해도 B가 정상인 경우에는 위 예제의 모터 구동이 차단됩니다.
사건의 수준을 구분하면 ‘어딘가에 고장이 있으면 곧바로 위험하다’는 과도한 연결을 피할 수 있습니다.
AND는 모든 입력 사건, OR는 하나 이상의 입력 사건으로 상위 사건이 발생하는 관계입니다.
위쪽 Q는 각 도식에서 정의한 상위 사건입니다.
좌우의 Q가 실제 장치에서 반드시 같은 사건을 뜻하는 것은 아닙니다.
기호를 적은 연결 상자로 단순화한 설명도입니다.
AND로 연결했다고 독립적인 고장은 아닙니다
두 차단 기능의 실패를 AND로 연결하는 것은 두 사건이 모두 필요하다는 뜻입니다.
두 고장이 통계적으로 독립적이라는 의미는 아닙니다.
독립성 검토 없이 개별 고장 확률을 곱해 전체 발생 확률을 계산하면 안 됩니다.
[1, 6장]
실제 설계를 검토할 때는 두 기능이 같은 커넥터, 처리부, 감지 신호, 전원 조건 또는 환경 영향을 공유하는지 살펴볼 수 있습니다.
공유 요소가 있다는 사실만으로 공통 원인 고장이 확정되는 것은 아닙니다.
그 요소의 특정 고장이 두 기능을 각각 어떻게 차단 실패 상태로 만드는지 확인해야 합니다.
전원이 없어지면 오히려 안전하게 정지하는 구조도 있으므로 ‘공유 전원 고장=위험’처럼 단정해서는 안 됩니다.
한 원인이 A와 B를 모두 실패시킬 수 있다면, 두 기능을 별개로 세는 것만으로 위험 감소를 설명할 수 없습니다.
공통 원인 C의 존재와 영향은 실제 구조로 검증해야 하며, 이 그림은 확률 계산이나 실제 고장 데이터를 나타내지 않습니다.
개발 검토에 남길 것은 연결의 근거입니다
다음은 이번 가상 사례를 개발 검토 기록으로 옮기는 방식의 예입니다.
완성된 제품 위험관리 양식이나 적합성 판정표가 아니라, 논리가 성립하는 조건을 빠뜨리지 않기 위한 작성 제안입니다.
| 기록할 내용 | 이번 사례의 예 |
|---|---|
| 최상위 사건 | 덮개 열림·시작 명령·전원 존재 상태에서 모터 구동 |
| 분석 경계 | 기동 시 전원 차단 기능. 관성에 의한 잔류 회전은 별도 분석 |
| 사건 A·B | 각 기능이 덮개 열림 상태의 구동을 차단하지 못함 |
| AND의 근거 | A 또는 B 중 하나라도 정상일 때 구동을 차단하는 구조 |
| 추가 확인 사항 | 공통 신호·공유 부품의 영향, 우회 전원 경로, 고장 검출 방식 |
| 근거 자료 | 해당 회로·제어 논리의 버전, 설계 검토 결과, 검증 결과의 참조 |
분석을 읽는 사람이 ‘왜 AND인가’를 회로와 제어 논리에서 확인할 수 있어야 합니다.
반대로 어느 원인이든 하나만으로 결과에 이를 수 있다면 AND를 사용해서는 안 됩니다.
새로운 우회 경로가 발견되거나 설계가 바뀌면 연결 관계도 다시 검토합니다.
FTA가 보여주는 것은 정의한 경계 안의 사건 관계입니다.
이번 예제의 모터 구동은 곧바로 상해 발생과 같은 뜻이 아닙니다.
사람이 위험 부위에 접근하는 조건, 노출과 위해 발생의 관계 등은 제품의 위험관리에서 이어서 다룰 내용입니다.
고장 연결을 명확히 하는 작업이 전체 위험관리 판단을 대신하지는 않습니다.
관련 글
- 의료기기 위험관리의 근거 연결: 분석 결과를 설계와 검증 근거에 연결하는 후속 읽기입니다.
- 휴대형 기기의 배터리 표시와 전원 중단: 별도의 제품 상황에서 검토 조건을 구체화한 사례입니다.
출처와 작성 범위
- NASA Office of Safety and Mission Assurance, Fault Tree Handbook with Aerospace Applications, Version 1.1, August 2002.
4장(인쇄 34쪽부터 39쪽): 논리 게이트와 사건 관계.
6장(인쇄 75쪽부터 76쪽): AND 및 독립성 조건.
공식 공개 원문.
해당 절 확인일: 2026-10-23.
NASA 자료는 분석 기법의 근거로 사용했으며 의료기기 규제 요구사항의 근거로 제시하지 않았습니다.
장치 구조, 대화, 논리표와 그림 3개는 MedQraft가 설명 목적으로 작성한 가상 예시입니다.
원문의 그림·표를 복제하지 않았습니다.