와이즈스톤 와이즈스톤

기술인사이트

기술리포트

엘리베이터 운행제어 시스템에 대한 안전성 개선 컨설팅 사례
  • 작성자
    와이즈스톤 김영민 수석연구원
  • 작성일
    2025-04-23

SW의 안전성에 대한 인식이 높아짐에 따라 다양한 분야에서 SW 안전성에 대한 평가를 진행하고 있다. 몇 년 전만 하더라도 SW 안전성보다는 일반적인 소프트웨어의 품질에 많은 관심을 가졌으나, 현재 자율주행자도차를 비롯하여 다양한 임베디드 소프트웨어에 대한 품질 이슈가 발생하면서 철도, 항만, 공항, 엘리베이터 등의 분야에서도 SW 안전성에 대한 평가의 중요성을 인식하게 되었다.

이 중에서 엘리베이터 시스템은 사람 또는 화물을 중력에 대응하여 상하 수직으로 운반하는 장치로서, 1970년대 전반까지는 소위 특별주문생산 체제로 주로 큰 빌등에 설치가 되었지만, 1980년 대 이후부터는 규격형 엘리베이터가 개발되어 현재는 매우 광범위하게 사용되고 있다.

특히나 현재 엘리베이터 시스템은 우리가 생활하는데 있어 가장 많이 사용하고 있는 시스템 중 하나로 잠재된 위험이나 SW 결함으로 인해 문제가 발생하는 경우에 인명사고가 발생할 수 있어 일반적인 소프트웨어와 다르게 안전성이 매우 중요하다. 이에 이번 기고에서는 IEC 61508 기반의 엘리베이터 운행제어 시스템에 대한 안전성 개선 컨설팅 사례를 공유하고자 한다.

1. IEC 61508란?
SW 안전성 평가 중에 가장 일반적으로 적용되는 표준은 IEC 61508이다. IEC 61508은 산업에 적용되는 규칙의 국제표준이며, 전기/전자/프로그램 가능한 전자 안전 관리 시스템의 기능 안전이다. IEC 61508은 모든 종류의 산업에 적용 가능한 기본적인 기능 안전 표준이 될 의도로 작성되었다. 이는 기능 안전을 다음과 같이 정의한다.

E/E/PE 안전 관련 시스템의 정확한 기능, 다른 기술 안전 관련 시스템과 외부적인 위험 감소 설비에 의존하는 제어 대상 장비와 제어 대상 장비를 제어하는 시스템 관련된 부분적 또는 전반적인 안전

<IEC 61508 개념도>

IEC 61508은 총 7개의 파트로 구성되어 있으며, 각 파트는 다음과 같은 내용을 다룬다.


그 중에서 IEC 61508-3은 소프트웨어에 대한 요구사항으로 소프트웨어 생명주기, 기법, 검증 등의 방법에 대한 설명을 하고 있다.
IEC 61508-3은 계획 → 요구사항 → 설계 → 구현 → 검증 → 유지보수 흐름을 갖는 V-Model 구조를 갖는다. 


IEC 61508-3은 개발 시 사용할 수 있는 기법/방법론을 목록화하고, SIL 수준에 따라 적용 강도를 분류한다.
IEC 61508-3은 SIL1 ~ SIL4까지의 수준을 정의하며, SIL이 높을수록 오작동으로 인한 리스크가 크고 더 엄격한 요구사항이 적용된다.

<선택적 기법의 SIL별 적용 요구 수준>
HR: Highly Recommended (강력 권장, 실질적 필수)
M: Mandatory (의무 적용)
R: Recommended (권장)
O: Optional (선택)
각 단계에서 요구되는 검토(Review) 및 검증(Verification) 활동은 다음과 같다.

IEC 61508-3은 다른 분야별 기능 안전 표준의 기초가 되는 표준이며 다른 분야별 표준은 아래와 같다.
 - ISO 26262 (자동차)
 - EN 50128 (철도)
 - IEC 62061 (산업기계)
 - ISO 13849 (기계제어)

2. 엘리베이터 운행제어 시스템 이해
엘리베이터 운행제어 시스템에 대한 안전성 개선 컨설팅을 위해서는 IEC 61508-3에 대한 이해도 중요하지만 실제 컨설팅을 진행할 시스템과 소프트웨어에 대한 이해도 매우 중요하다.

이번에 컨설팅 예정인 엘리베이터 시스템은 아래와 같은 제어반, 전동기, 권상기 등으로 구성되어 있다.
- 제어반 : 엘리베이터의 움직임을 제어하는 주제어장치(사람의 두뇌와도 같은 장치)
- 전동기 : 전기 에너지로 내부의 모터를 회전시켜 맞물려 있는 권상기 내부의 기어를 회전 시킴
- 권상기 : 맞물려 있는 전동기의 동력을 전달받은 시브가 회전하여 로프를 움직이게 하는 장치
- 비상정지장치 : 카 하부에 위치하여 카가 비정상적으로 하강할 시 카를 정지시킴

엘리베이터 시스템은 제어반, 전동기, 권상기, 비상정지장치, 균형추 등으로 아래와 같이 구성되어 있으며, 사용자의 버튼을 통한 명령을 기초로 하여 카 상태의 운전 조건과 안전상태를 체크한 후 도어 닫힘 체크, 운행 방향 등을 결정하여 구동 모터를 운전하도록 하는 전력변환 시스템에 지령을 주는 시스템이다.

운행 중에도 승객과 대기 승객을 위한 운행방향 표시 층 표시(위치표시) 등을 하며, 안전에 관련되는 도어상태, 승강장 영역에 대한 체크, 권상 모터의 회전상태 및 회전 수를 체크하여 안전 및 운행의 최적화를 제어하는 시스템이다.

<엘리베이터 시스템 구성도 예시>

3. 컨설팅 수행 절차
IEC 61508-3 소프트웨어 요구사항을 기반으로 한 엘리베이터 운행제어 시스템에 대한 안전성 개선 컨설팅 은 다음과 같은 절차로 진행을 한다.
요구사항을 기반으로 Gap 분석 체크 리스트를 작성하여, 소프트웨어 개발 중 작성된 산출물과 프로세스 산출물(양식, 작업메뉴얼 등)에 대한 평가 및 인터뷰를 통해 Gap 분석을 수행하고 개선방안을 도출한다.
엘리베이터 운행제어 시스템 동작을 위해 개발된 소프트웨어에 대해 SIL등급에 대한 IEC 61508-3의 소프트웨어 요구사항 이행 여부를 평가 및 표준 Gap 분석을 통한 개선방안을 도출한다.

<컨설팅 수행 절차>


<절차별 컨설팅 수행 내용>

3.1 컨설팅 계획 수립
○ 사전 조사
- 엘리베이터 운행제어 시스템에 대한 전반적인 요구사항 분석
- 엘리베이터 운행제어 소프트웨어 Gap 분석을 위한 도메인 분석 및 요구사항 수집
- 고객 요구사항 수집
- 승강기 안전검사기준 [국민안전처 고시 제2016-143호 (2016.11.23.)] 확인
○ 수행계획 수립
- 컨설팅 수행을 위한 수행계획 수립

3.2 컨설팅 수행
○ 체크리스트 작성
- IEC61508-3 소프트웨어 요구사항에 대한 체크리스트 작성 및 검토
○ Gap 분석
- 고객의 엘리베이터 운행제어 시스템 실사 및 심사
- Gap 분석 및 평가는 IEC 61508-3에서 사용하는 평가기준을 사용하여 평가
- 기능안전관리(FSM), 개념과 시스템, 소프트웨어와 하드웨어 결함, 확인, 통합, 생산, 커미셔닝과 유지보수 등에 관련된 산출물과 프로세스 산출물(양식, 작업메뉴얼) 확인 및 인터뷰 수행

3.3 개선방안 도출 / 보고 및 교육
○ 컨설팅 수행 결과 보고
- Gap분석 컨설팅에 대한 결과 보고
<Gap 분석 결과 예시1>

<<Gap 분석 결과 예시2>

○ IEC 61508 교육 및 개선 사항
- IEC 61508에 대한 전반적인 교육 및 개선 사항 교육
○ 최종 결과 보고서 제출
- 컨설팅 수행에 대한 최종 결과 보고서 제출

이번 시간에는 엘리베이터 운행 제어 시스템에 대한 안전성 개선 컨설팅 사례에 대해 알아보았다.
실제 안전성 개선 컨설팅을 진행하기 위해서는 보다 많은 IEC61508에 대한 지식과 SW 개발 및 품질관리에 대한 충분한 지식이 필요하다.
그리고 본 기고에서는 다루지 않았지만 엘리베이터 운행 제어 시스템의 소프트웨어에 대한 기능 테스트는 승강기 검사기준[국민안전처 고시 제 2016-143호] 중에서 적용 가능한 항목을 테스트 케이스로 설계하여 진행하여야 한다.