Chapter 15

유틸리티 운영과 신뢰성

앞의 장들은 클린룸·초순수·가스·전력·냉동을 하나씩 설계하는 법을 다뤘다. 이 장은 그것들을 10년 넘게 멈추지 않게 운영하는 법을 다룬다. 팹 유틸리티는 1년 8,760시간 가운데 몇 분만 멈춰도 수십억 원이 사라지는 시스템이다. “얼마나 안 멈추는가”를 숫자로 말하는 신뢰성 공학, 하나가 멈추면 무엇이 따라 멈추는지 보여 주는 의존성 분석, 수십만 개 센서에서 진짜 이상만 골라내는 알람·통계 기법, 고장 나기 전에 고치는 예지 정비까지, 운영 엔지니어의 도구를 차례로 계산해 본다.

가용도 $A = \mathrm{MTBF}/(\mathrm{MTBF}+\mathrm{MTTR})$와 신뢰도 $R(t)$를 계산하고 “나인(nines)”을 연간 정지 시간으로 바꿀 수 있다.
직렬·병렬 블록 다이어그램과 k-out-of-n 식으로 N, N+1, 2N 구성의 가용도를 비교할 수 있다.
공통 원인 고장(β 인자)이 이중화의 효과를 어떻게 제한하는지 설명할 수 있다.
유틸리티 의존성 그래프에서 고장이 전파되는 순서와 완충 시간을 읽을 수 있다.
FMCS·SCADA·BMS 계층과 알람 설계 원칙(데드밴드, 지연, 경보 홍수)을 설명할 수 있다.
Shewhart·EWMA 관리도로 작은 변화를 감지하고, 진동 추세로 잔여 수명을 추정하며, Weibull 모델로 예방 정비 주기를 정할 수 있다.

가용도: “멈추지 않는다”를 숫자로

설비가 고장 없이 버티는 평균 시간을 MTBF(Mean Time Between Failures), 고장 후 복구까지 걸리는 평균 시간을 MTTR(Mean Time To Repair)이라 한다. 오랜 기간 동안 설비가 정상인 시간의 비율이 가용도(availability)다.

$$A = \frac{\mathrm{MTBF}}{\mathrm{MTBF} + \mathrm{MTTR}},\qquad R(t) = e^{-t/\mathrm{MTBF}} \;(\text{고장률 일정}),\qquad \lambda = \frac{1}{\mathrm{MTBF}}$$

$R(t)$: 시간 $t$ 동안 한 번도 고장 나지 않을 확률(신뢰도). 고장률 $\lambda$가 일정하다는 가정은 그림 15-1의 “우발 고장” 구간에 해당한다. 가용도는 고장 빈도와 복구 속도를 함께 담는다. MTBF를 두 배로 늘리는 것과 MTTR을 절반으로 줄이는 것은 가용도에 거의 같은 효과를 준다.

가용도	흔한 이름	연간 정지 시간	팹에서의 느낌
99 %	투 나인	약 87.6 시간	단일 펌프·팬 한 대 수준
99.9 %	스리 나인	약 8.8 시간	잘 관리된 단일 칠러
99.99 %	포 나인	약 53 분	N+1 구성 유틸리티 계통
99.999 %	파이브 나인	약 5.3 분	2N 전원·핵심 안전 계통의 목표

그림 15-1. 욕조 곡선(bathtub curve). 설치 직후에는 제작·시공 결함으로 고장률이 높고(초기 고장), 안정기에는 거의 일정하며(우발 고장), 베어링·씰·임펠러가 닳으면 다시 오른다(마모 고장). 괄호 안의 β는 이 장 9절의 Weibull 형상 모수다. MTBF와 지수 분포 $R(t)$는 가운데 구간에서만 정확하다.

SIMULATOR

MTBF · MTTR → 가용도와 1년 타임라인

설비 예

MTBF (로그) MTTR (로그)

가용도 A—

나인 수—

연간 정지 시간 (기대값)—

연간 고장 횟수—

1년 무고장 확률 R(1년)—

이번 표본의 정지 시간—

해볼 것: ① “원심 칠러”(MTBF 8,000 h)는 가용도가 99.85 %인데, 1년 무고장 확률은 약 33 %다. 가용도가 높다고 해서 1년 동안 안 멈춘다는 뜻이 아니다. ② “다시 뽑기”를 여러 번 눌러 보자. 같은 MTBF라도 어떤 해는 고장이 없고 어떤 해는 세 번 난다. 한 해의 실적만으로 설비를 평가하기 어려운 이유다. ③ MTTR을 절반으로 줄여 보자(예비품 현장 보관, 정비 절차 표준화). 가용도의 정지 시간이 정확히 절반이 된다. 타임라인은 고장 간격과 수리 시간을 지수 분포로 뽑은 몬테카를로 표본이다.

직렬과 병렬: 신뢰성 블록 다이어그램

유틸리티는 여러 설비가 이어진 사슬이다. 공정 냉각수를 장비에 보내려면 전원, 냉각탑, 칠러, 펌프, 열교환기, 배관이 모두 정상이어야 한다. 이런 관계를 신뢰성 블록 다이어그램(RBD, Reliability Block Diagram)으로 그린다. 하나라도 멈추면 전체가 멈추는 연결은 직렬, 하나만 살아 있어도 되는 연결은 병렬이다.

$$A_{\text{직렬}} = \prod_{i} A_i,\qquad A_{\text{병렬}} = 1 - \prod_{i}(1 - A_i)$$

직렬 가용도는 가장 약한 고리보다 항상 낮다. 99.9 %짜리 다섯 개를 직렬로 이으면 약 99.5 %가 된다. 병렬은 비가용도(1 − A)를 곱하므로 99 %짜리 둘을 병렬로 두면 99.99 %가 된다. 단, 각 블록의 고장이 서로 독립일 때만 성립한다(4절).

그림 15-2. 공정 냉각수(PCW) 공급 사슬의 블록 다이어그램. (a) 다섯 블록이 직렬이면 전체 가용도는 각 가용도의 곱인 약 0.988로, 가장 약한 펌프(0.992)보다 낮다. (b) 칠러와 펌프를 병렬로 바꾸면 그 블록의 비가용도가 제곱으로 작아져 전체 가용도가 0.9973으로 오른다. 이제 직렬로 남은 냉각탑(0.998)이 가장 약한 고리다. 숫자는 교육용 가정이다.

그림 15-2(b)가 보여 주는 교훈은 “병렬화는 가장 약한 직렬 블록을 옮길 뿐”이라는 것이다. 신뢰성 개선은 약한 고리를 찾아 보강하고, 다음 약한 고리를 찾는 반복이다. 실제 팹에서는 냉각탑도 여러 셀로 나뉘어 있고, 22.9 kV 모선도 이중이다. 그래도 끝까지 직렬로 남는 요소가 있다. 공용 배관 헤더, 공용 제어기, 한 건물 안의 화재 구획 같은 것들이다. 이런 요소를 단일 고장점(SPOF, Single Point of Failure)이라고 한다.

N, N+1, 2N: 이중화의 값

칠러·펌프·발전기처럼 같은 장치 여러 대가 함께 부하를 나누는 계통에서, 부하를 감당하는 데 필요한 대수를 N이라 한다. N+1은 한 대를 더 두어 아무 한 대가 고장 나거나 정비 중이어도 부하를 감당하게 한다. 2N은 완전히 독립된 두 계통을 각각 N대로 갖춘다. 대수가 n대이고 그중 k대 이상이 살아 있어야 하는 계통의 가용도는 이항 분포로 계산한다.

$$A_{k/n} = \sum_{i=k}^{n} \binom{n}{i} A^{i}(1-A)^{n-i}$$

$A$: 한 대의 가용도(고장 정지와 계획 정비 정지를 모두 포함), $k = N$: 필요한 대수, $n$: 설치 대수. 각 대의 고장이 독립이라고 가정한다.

그림 15-3. 이중화 구성. N+1은 장치 단위의 고장을 막지만 공용 헤더·제어기 같은 계통 단위 고장은 막지 못한다. 2N은 계통 자체를 둘로 나누어 그것까지 막지만 설비비가 거의 두 배다. 팹 유틸리티는 보통 장치는 N+1(대수가 많으면 N+2), 전원과 핵심 안전 계통은 2N에 가깝게 설계한다.

SIMULATOR

칠러 플랜트 이중화: N · N+1 · N+2 · 2N

구성

필요 냉동 부하 칠러 한 대 용량 한 대의 가용도 A

필요 대수 N—

설치 대수—

계통 가용도—

연간 용량 부족 시간—

설비 용량 여유—

해볼 것: ① FAB-E 수준(약 54,000 RT, 3,000 RT 칠러 18대)에서 N+1의 연간 용량 부족 시간을 보자. 대수가 많으면 두 대가 동시에 빠지는 일이 흔해져 N+1만으로는 부족하다. ② 칠러 용량을 6,000 RT로 키워 대수를 줄이면 같은 N+1이 훨씬 좋아진다. 대신 한 대가 빠질 때 잃는 용량이 커진다. ③ 한 대의 가용도를 0.98에서 0.995로 올려 보자(정비 시간 단축). 대수를 늘리는 것보다 싸게 같은 효과를 얻을 수 있다. “용량 부족”은 전체 정지가 아니라 부하를 다 못 감당하는 시간이며, 실제로는 축열조·부하 조정으로 일부를 흡수한다. 2N은 2N대 가운데 N대가 살아 있으면 되는 것으로 계산했다(장치 고장만 고려). 2N의 진짜 가치인 계통 단위 고장 대비는 4절에서 다룬다.

공통 원인 고장: 이중화가 무너지는 방식

병렬식 $1-\prod(1-A_i)$는 고장이 서로 독립이라는 가정 위에 서 있다. 현실에서는 한 원인이 여러 대를 동시에 멈춘다. 같은 모선에 물린 펌프 두 대는 모선 사고로 함께 멈추고, 같은 날 같은 정비원이 같은 잘못된 절차로 정비한 두 대는 같은 결함을 갖는다. 같은 제조 로트의 베어링, 같은 펌웨어 버그, 냉각탑 두 셀에 함께 들어온 이물질, 지진·침수·화재가 모두 공통 원인 고장(CCF, Common Cause Failure)이다.

가장 간단한 정량 모델은 β 인자 모델이다. 한 대의 비가용도 $Q = 1-A$ 가운데 비율 β는 “모든 대를 함께 멈추는 고장”, 나머지 $1-\beta$는 독립 고장이라고 본다.

$$Q_{1oo2} \approx \big[(1-\beta)Q\big]^2 + \beta Q,\qquad Q_{2oo3} \approx 3\big[(1-\beta)Q\big]^2 + \beta Q$$

1oo2: 두 대 중 한 대만 있으면 되는 구성(1-out-of-2), 2oo3: 세 대 중 두 대가 필요한 구성. β는 설비 종류와 분리 수준에 따라 대략 1~10 % 범위로 쓰인다(IEC 61508 계열 지침의 β 범위를 참고한 교육용 값). $Q = 0.01$, β = 5 %이면 독립 항 $\approx 9\times10^{-5}$보다 공통 항 $5\times10^{-4}$이 다섯 배 크다.

그림 15-4. β 인자 모델. 한 대의 고장 가운데 일부(β)는 다른 대와 함께 일어난다. 독립 고장이 동시에 날 확률은 $Q^2$로 아주 작지만, 공통 원인은 $Q$에 비례하므로 이중화의 상한을 정한다. 다양성(diversity)·물리적 분리·정비 시차가 β를 낮추는 수단이다.

SIMULATOR

β 인자: 이중화 효과의 천장

한 대의 가용도 A 공통 원인 비율 β

구성

독립 고장만 고려—

β 포함 비가용도—

공통 원인 비중

연간 정지 시간—

해볼 것: ① β = 0이면 1oo3이 1oo2보다 100배 좋다. β를 2 %만 넣어도 두 구성의 차이가 거의 사라진다. 세 번째 대를 사는 돈은 β를 낮추는 데(다른 모선, 분리된 구획) 쓰는 편이 낫다. ② 한 대의 가용도를 높이면 독립 항(곡선의 왼쪽 끝)과 공통 항(오른쪽 기울기)이 모두 내려간다. ③ 그래프의 세로축은 로그다. 점선은 β가 없을 때의 값이다.

하나가 멈추면 무엇이 멈추나: 유틸리티 의존성

팹 유틸리티는 서로 기대어 있다. 칠러는 전기와 냉각탑이 있어야 돌고, 공정 냉각수(PCW)는 칠러의 냉수로 식혀지며, 특수가스 캐비닛은 배기가 끊기면 안전 인터록으로 자동 차단된다. 공정 장비는 이 모든 것을 동시에 요구한다. 그래서 운영 엔지니어는 “X가 멈추면 몇 분 뒤 무엇이 멈추는가”를 표로 외우는 대신 의존성 그래프로 관리한다.

중요한 것은 완충 시간(buffer/ride-through time)이다. PCW 루프는 물의 열용량 덕분에 칠러가 멈춰도 공급 온도가 허용 범위를 넘기까지 수~십수 분이 걸린다. 초순수는 저장 탱크가 있어 생산이 멈춰도 일정 시간 공급된다. 질소는 액체 질소 저장 탱크와 기화기로 공기분리장치(ASU) 정지 후에도 몇 시간을 버틴다. 반대로 배기나 전원은 완충이 거의 없다. 완충 시간은 복구를 위한 시간 예산이며, 비상 대응 절차는 이 예산 안에서 무엇을 먼저 할지를 정한 것이다.

SIMULATOR

유틸리티 의존성 그래프: 고장 전파 따라가기

시나리오

경과 시간 UPS 배터리 자립 PCW 열적 완충 액체 질소 백업

노드를 눌러 고장 원인을 켜고 끈다.

고장 원인—

현재 멈춘 설비—

공정 장비 정지 시점—

감시(FMCS) 상태—

해볼 것: ① “칠러 플랜트 정지”를 재생하면 공조와 PCW가 각각의 완충 시간 뒤에 무너지고 공정 장비가 따라 선다. PCW 열적 완충을 늘리면(루프 용량·축열조) 복구할 시간이 생긴다. ② “수전 정전”에서는 발전기가 비상 모선을 살려 배기·감시가 유지된다. “정전 + 발전기 실패”에서는 UPS 배터리 시간이 지나면 감시마저 꺼진다. 가장 위험한 상태다. ③ “ASU 정지”는 액체 질소 백업 시간 동안 아무 일도 일어나지 않는다. 백업을 0으로 줄여 차이를 보자. 그래프와 완충 시간은 개념을 보여 주기 위한 교육용 단순화다.

FAB-E의 비상 우선순위

FAB-E의 비상 대응 절차는 의존성 그래프에서 거꾸로 만든다. 1순위는 사람과 안전(배기·스크러버·가스 감지·FMCS), 2순위는 되돌릴 수 없는 손상 방지(진공 펌프 안전 정지, 확산로 서냉, 케미컬 순환 유지), 3순위는 복구 시간을 줄이는 일(PCW·UPW 루프 유지, 클린룸 양압 유지), 마지막이 생산 재개다. 칠러가 멈췄을 때 남은 냉수를 노광 구역과 PCW에 몰아주는 것처럼, 완충 시간 안에 “무엇을 포기할지”를 미리 정해 둔다.

FMCS·SCADA·BMS: 팹을 보는 눈과 손

FAB-E 같은 팹에는 온도·압력·유량·전력·가스 농도·입자 수를 재는 센서와 밸브·펌프·팬 같은 구동기가 수만~수십만 점(point 또는 tag) 있다. 이것을 모아 보여 주고 제어하는 시스템이 계층을 이룬다.

PLC·DDC(Programmable Logic Controller, Direct Digital Control): 현장 제어기. 칠러 대수 제어, 펌프 압력 PID, 인터록처럼 빠르고 끊기면 안 되는 제어를 직접 한다. 상위 시스템이 죽어도 현장 제어는 계속돼야 한다.
SCADA(Supervisory Control and Data Acquisition): 여러 PLC의 데이터를 모아 운전 화면(HMI)과 알람을 제공하고, 운전원의 설정 변경을 내려보낸다.
BMS(Building Management System): 사무동·일반 건물의 공조·조명·출입을 관리하는 건물 자동화 시스템. 팹에서는 클린룸 외 영역을 맡는 경우가 많다.
FMCS(Facility Monitoring and Control System): 반도체 팹 특유의 이름으로, 유틸리티 전체의 SCADA·이력 데이터·알람·보고를 통합한 상위 시스템이다. 가스 감지·EMO 같은 안전 계통은 보통 별도의 안전 시스템으로 분리하고 FMCS는 그 상태를 받아 보여 준다.

그림 15-5. 팹 유틸리티 제어·감시 계층. 아래로 갈수록 빠르고 단순하며 끊기면 안 되는 일을, 위로 갈수록 느리지만 넓은 범위를 다룬다. 왼쪽은 각 계층의 대표 시간 척도, 오른쪽은 흔히 쓰이는 통신 방식이다. 안전 기능(가스 누출 차단, EMO)은 하위 계층에서 독립적으로 완결되어야 하고, 상위 시스템 장애가 안전 기능을 막아서는 안 된다.

데이터의 양도 만만치 않다. 20만 개 태그를 1초마다 기록하면 하루 약 173억 개 샘플이고, 샘플당 10바이트면 하루 약 170 GB, 1년이면 약 60 TB다. 이력 데이터베이스(historian)는 변화가 없으면 기록하지 않는 데드밴드 압축과 스윙도어 압축으로 이를 수십 분의 1로 줄인다. 이 데이터가 다음 절의 알람, 8절의 통계적 이상 감지, 9절의 예지 정비, 10절의 디지털 트윈의 재료다. 유틸리티 제어망은 사이버 보안상 공정 네트워크·사무 네트워크와 분리해 계층별로 방화벽을 두는 것이 원칙이다(IEC 62443 계열).

센서와 알람 설계: 경보 홍수를 막아라

알람은 “운전원이 지금 무언가를 해야 한다”는 신호다. 그런데 설정을 쉽게 바꿀 수 있다 보니 많은 시스템이 알람을 너무 많이 만든다. 잡음 때문에 경계값 근처에서 켜졌다 꺼지기를 반복하는 채터링(chattering), 원래 원인 하나에서 파생된 수백 개의 알람이 쏟아지는 경보 홍수(alarm flood), 늘 켜져 있어 아무도 보지 않는 상주 알람(standing alarm)이 대표적이다. 운전원이 알람을 무시하는 습관이 들면 진짜 알람도 놓친다. 여러 산업 사고 조사에서 경보 홍수가 운전원의 상황 판단을 방해한 요인으로 지목되었다.

알람 관리의 기준으로 ANSI/ISA-18.2와 EEMUA 191이 널리 쓰인다. 두 문서가 제시하는 대략적인 지표는 운전원 한 명당 평균 10분에 1건(시간당 약 6건) 이하가 감당 가능한 수준이고, 10분에 10건을 넘으면 경보 홍수로 본다는 것이다. 이를 맞추기 위한 기본 기법은 다음과 같다.

데드밴드(deadband, hysteresis): 경계값을 넘어 켜진 알람은 값이 경계값보다 일정 폭 아래로 내려가야 꺼진다. 잡음에 의한 채터링을 막는다.
지연(on-delay): 값이 일정 시간 연속으로 경계값을 넘어야 알람을 낸다. 짧은 스파이크를 거른다. 대신 진짜 이상의 감지도 그만큼 늦어진다.
억제와 그룹화: 상위 원인(예: 칠러 정지)이 알람을 내면 그로 인한 하위 알람(냉수 온도 상승 수십 개)은 억제하거나 하나로 묶는다. 5절의 의존성 그래프가 억제 규칙의 근거다.
우선순위: 대응 시간과 결과의 심각도로 우선순위를 나누고, 높은 우선순위 알람이 전체의 소수가 되도록 한다.

그림 15-6. 채터링 알람과 데드밴드. 경계값 근처를 오르내리는 잡음은 데드밴드 없이 매번 새 알람을 만든다. 해제값을 경계값보다 낮게 두면(데드밴드) 한 번 켜진 알람이 잡음으로 꺼졌다 켜지지 않고, 짧은 지연을 더하면 순간 스파이크도 걸러진다. 대가는 진짜 이상의 감지가 조금 늦어지는 것이다.

SIMULATOR

PCW 공급 온도 24시간: 알람 설정 실험

설정 예

상한 경계값 데드밴드 지연 시간 센서 잡음 σ

하루 알람 건수—

최대 10분 건수—

진짜 이상 감지—

감지 지연—

—

해볼 것: ① “초기 설정”은 잡음 때문에 하루 백수십 건의 알람을 낸다. 진짜 이상(오후 2시 무렵 냉수 공급 문제로 온도가 서서히 오르는 사건)이 그 속에 묻힌다. ② 데드밴드만 0.1 °C 넣어 보고, 지연만 30초 넣어 보자. 무엇이 채터링을 더 줄이는가? ③ 경계값을 18.7 °C로 올리면 알람은 사라지지만 진짜 이상도 놓치거나 아주 늦게 잡는다. 알람 설계는 거짓 알람과 늦은 감지 사이의 거래다. 신호는 공급 온도 18.0 °C, 1초 간격, AR(1) 잡음을 가정한 합성 데이터다.

이상 감지: SPC 관리도와 EWMA

알람의 고정 경계값은 “이미 나빠진 것”을 잡는다. 그보다 앞서 “평소와 달라진 것”을 잡으려면 통계적 공정 관리(SPC, Statistical Process Control)를 쓴다. 정상 상태에서 측정값의 평균 $\mu_0$와 표준편차 $\sigma$를 구해 두고, 새 측정값이 우연한 흔들림의 범위를 벗어나는지 본다.

$$\text{Shewhart: } \mu_0 \pm 3\sigma,\qquad z_t = \lambda x_t + (1-\lambda) z_{t-1},\qquad \text{EWMA 한계: } \mu_0 \pm L\sigma\sqrt{\frac{\lambda}{2-\lambda}\Big[1-(1-\lambda)^{2t}\Big]}$$

Shewhart 관리도는 개별 측정값을 ±3σ와 비교한다. 정상일 때 한계를 벗어날 확률은 약 0.27 %이므로 평균 약 370개마다 한 번 거짓 경보가 난다(평균 런 길이 ARL₀ ≈ 370). EWMA(Exponentially Weighted Moving Average)는 과거 값을 지수적으로 잊어 가며 평균을 내므로 작고 지속적인 변화를 더 빨리 잡는다. 보통 λ = 0.1~0.3, L ≈ 2.7~3을 쓴다.

그림 15-7. 관리도의 구조. 평균이 1σ만 이동하면 개별 점은 대부분 여전히 관리 한계(UCL·LCL) 안에 있어 Shewhart 관리도는 수십 점 뒤에야 경보를 낸다(1σ 이동의 ARL은 약 44). 그러나 점들이 중심선 한쪽에 몰리는 패턴은 이미 분명하다. EWMA와 CUSUM은 이 “몰림”을 누적해 감지한다.

SIMULATOR

Shewhart vs EWMA: 작은 이동을 누가 먼저 잡나

평균 이동 크기 δ EWMA λ EWMA 한계 폭 L

Shewhart 첫 경보 (이동 후)—

EWMA 첫 경보 (이동 후)—

ARL₁ Shewhart (이론)—

ARL EWMA (몬테카를로)—

ARL₀ EWMA (거짓 경보 간격)—

해볼 것: ① δ = 1σ에서 “새 데이터”를 여러 번 눌러 보자. EWMA가 대체로 훨씬 먼저 잡는다. ARL 값으로 보면 Shewhart 약 44점, EWMA 약 10점이다. ② δ = 3σ처럼 큰 이동에서는 Shewhart가 비슷하거나 더 빠르다. 큰 고장은 고정 알람이, 작은 드리프트는 EWMA가 맡는 분업이다. ③ λ를 1로 두면 EWMA는 Shewhart와 같아진다. L을 줄이면 빨리 잡지만 ARL₀(거짓 경보 간격)이 짧아진다. 데이터는 100점 중 51번째부터 평균이 δσ만큼 오르는 정규 난수이고, ARL은 400회 반복의 평균(최대 2,000점에서 중단)이다.

유틸리티에 SPC를 쓸 때 주의할 점

유틸리티 데이터는 교과서의 SPC 가정(독립·정규·정상)을 잘 따르지 않는다. 외기 온도에 따른 일주기, 칠러 대수 변경에 따른 계단, 제어기가 만드는 진동, 1초 데이터의 강한 자기상관이 있다. 그대로 관리 한계를 그리면 거짓 경보가 쏟아진다. 실무에서는 일정 시간 평균(예: 10분 평균)을 쓰거나, 외기 조건·부하로 기대값을 예측하는 모델을 만들고 잔차(실측 − 예측)에 관리도를 적용한다. 10절의 디지털 트윈이 그 기대값 모델 역할을 한다.

예지 정비: 진동 추세로 잔여 수명 읽기

정비 전략은 세 가지다. 고장 나면 고치는 사후 정비(run-to-failure), 정해진 주기마다 교체하는 예방 정비(PM, preventive maintenance), 상태를 측정해 고장이 다가올 때 고치는 예지 정비(PdM, predictive maintenance)다. 회전기(펌프·팬·칠러 압축기)는 예지 정비가 가장 잘 통하는 대상이다. 베어링 손상, 불평형, 축 정렬 불량, 캐비테이션이 진동으로 먼저 나타나기 때문이다.

회전기 진동의 판정에는 ISO 10816-3(현재 ISO 20816-3으로 개정)의 진동 속도 실효값 기준이 흔히 쓰인다. 15~300 kW급 중형 기계를 강성 기초에 설치한 경우 대략 1.4 mm/s(A/B), 2.8 mm/s(B/C), 4.5 mm/s(C/D)가 영역 경계다. A는 신규 설치 수준, B는 장기 운전 가능, C는 장기 운전 부적합(정비 계획), D는 손상 위험이다. 정확한 값은 기계 크기·기초 강성에 따라 다르므로 규격 원문을 따른다.

그림 15-8. P-F 곡선. 결함이 시작되는 시점(P)과 기능을 잃는 시점(F) 사이에 상태가 서서히 나빠진다. 더 이른 신호를 잡는 기술일수록 P-F 간격이 길어 예비품 주문과 정비 일정을 맞출 여유가 생긴다. 측정 주기는 P-F 간격보다 충분히 짧아야 한다(보통 절반 이하).

진동 추세로 잔여 수명(RUL, Remaining Useful Life)을 추정하는 가장 단순한 방법은 열화 모델을 데이터에 맞추고 경계값과 만나는 시점을 외삽하는 것이다. 베어링 손상처럼 진행이 가속되는 열화는 지수 모델이 잘 맞는다.

$$v(t) = v_0 + a\,e^{bt}\quad\Rightarrow\quad \ln\big(v(t) - v_0\big) = \ln a + b\,t,\qquad t_F = \frac{\ln\big((v_{\text{lim}} - v_0)/a\big)}{b},\quad \mathrm{RUL} = t_F - t_{\text{now}}$$

$v_0$: 건전한 상태의 기저 진동, $v_{\text{lim}}$: 정비가 필요한 경계(예: 4.5 mm/s). 최근 구간의 $\ln(v-v_0)$에 직선을 맞추면 기울기가 $b$다. 기울기의 표준오차로 RUL의 불확실성 범위를 함께 낸다.

SIMULATOR

PCW 펌프 진동 추세 → 잔여 수명 예측

오늘 (운전 일수) 열화 속도 b 측정 잡음 σ 맞춤 구간 (최근) 예비품 조달 기간

현재 진동—

추정 b—

예측 RUL (4.5 mm/s까지)—

실제 RUL (모델 정답)—

—

해볼 것: ① “오늘”을 100일에서 220일까지 옮기며 예측 RUL과 불확실성 띠가 어떻게 변하는지 보자. 초기에는 신호가 잡음에 묻혀 예측이 크게 흔들리고, 고장이 가까울수록 정확해진다. ② 잡음 σ를 키우면 같은 시점에서도 예측 범위가 넓어진다. 측정 품질(센서 부착, 측정 조건 통일)이 곧 예측 품질이다. ③ 예비품 조달 기간보다 RUL 하한이 짧아지면 이미 늦은 것이다. 판정은 “RUL 하한 − 조달 기간”으로 했다. 데이터는 $v = 1.0 + 0.2e^{bt}$ mm/s에 잡음을 더한 합성 데이터이며, 기저 진동 $v_0$ = 1.0 mm/s는 안다고 가정했다.

예방 정비 주기, 정기 셧다운, 디지털 트윈

언제 교체할 것인가: Weibull과 나이 교체 정책

상태를 측정하기 어려운 부품(씰, 필터, 접점, UV 램프)은 일정 사용 시간 $T$마다 교체한다. 너무 자주 바꾸면 멀쩡한 부품을 버리고, 너무 늦게 바꾸면 고장 비용을 치른다. 수명이 Weibull 분포를 따른다고 하면 단위 시간당 기대 비용을 최소화하는 $T$를 계산할 수 있다.

$$R(t) = e^{-(t/\eta)^{\beta}},\qquad C(T) = \frac{C_p\,R(T) + C_f\,\big[1-R(T)\big]}{\int_0^T R(t)\,dt}$$

$\beta$: 형상 모수(β < 1 초기 고장, β = 1 우발 고장, β > 1 마모), $\eta$: 척도 모수(약 63 %가 고장 나는 시간), $C_p$: 계획 교체 비용, $C_f$: 고장 후 교체 비용(부품 + 정지 손실 + 2차 피해). 분자는 한 주기의 기대 비용, 분모는 한 주기의 기대 길이다. 고장까지 쓰는 정책의 비용률은 $C_f / \mathrm{MTTF}$, $\mathrm{MTTF} = \eta\,\Gamma(1 + 1/\beta)$이다.

SIMULATOR

최적 예방 교체 주기 (Weibull 나이 교체)

부품 예

형상 모수 β 척도 모수 η 비용비 C_f / C_p

최적 교체 주기 T*—

T*까지 생존 확률—

MTTF—

사후 정비 대비 비용—

—

해볼 것: ① “무작위 고장 부품”(β = 1)에서는 곡선이 계속 내려가 최적점이 없다. 고장률이 일정하면 새 부품도 헌 부품만큼 고장 나므로 미리 바꿔도 소용이 없다. ② β = 0.8인 “전자 제어 보드”는 오히려 교체가 초기 고장을 불러들인다. ③ 마모 부품(β ≥ 2)은 비용비가 클수록 T*가 짧아지고 절감 폭이 커진다. 비용은 $C_p$ = 1로 정규화했고, 곡선은 $C(T)$를 사후 정비 비용률로 나눈 상대값이다.

정기 셧다운 계획

대부분의 정비는 N+1 여유 덕분에 설비를 하나씩 빼서 할 수 있다. 그러나 22.9 kV 주 모선, 공용 배관 헤더, 주 배기 덕트처럼 이중화되지 않은 요소는 팹 전체나 큰 구역을 세워야만 손댈 수 있다. 그래서 팹은 1~수년에 한 번, 수일 규모의 정기 셧다운을 계획한다. 셧다운은 생산 손실이 확정된 사건이므로 하루라도 줄이는 것이 목표이고, 그 핵심은 공정 장비의 안전한 정지·기동 순서, 유틸리티 작업의 병렬화, 재기동 후 검증이다.

그림 15-9. 정기 셧다운 일정의 개념도. 준비(작업 목록·자재·작업 허가)는 수주~수개월 전부터 시작한다. 정지는 공정 재공품을 소진하며 단계적으로, 전원 작업은 잠금·표지(LOTO, Lockout/Tagout) 후에 한다. 가장 긴 작업 사슬(임계 경로)이 셧다운 길이를 정한다. 일정은 교육용 예시다.

디지털 트윈

디지털 트윈(digital twin)은 실제 설비와 같은 입력을 받아 같은 출력을 내도록 만든 계산 모델을 실시간 데이터와 함께 돌리는 것이다. 칠러 플랜트를 예로 들면 열역학 모델(11장)과 제조사 성능 곡선, 실측 데이터로 보정한 회귀 모델을 묶어 “지금 외기 조건과 부하에서 이 플랜트가 쓸 전력”을 계산한다. 쓰임새는 세 가지다.

이상 감지의 기준선: 트윈의 예측과 실측의 차이(잔차)가 커지면 열교환기 오염, 냉매 누설, 센서 고장을 의심한다. 8절의 SPC를 잔차에 적용한다.
운전 최적화: 칠러 대수, 냉수 온도 설정, 냉각탑 팬 속도 조합을 트윈에서 먼저 돌려 전력이 가장 작은 조합을 찾는다(16장 에너지 절감과 연결).
가정 질문(what-if): “칠러 한 대를 내일 정비로 빼면 오후 피크에 냉수 온도를 지킬 수 있나?”, “셧다운 기동 순서를 바꾸면 몇 시간 줄어드나?”를 실제 설비를 건드리지 않고 시험한다.

그림 15-10. 디지털 트윈의 순환. 실측 데이터가 트윈을 보정하고, 트윈은 기대값(이상 감지 기준), 최적 설정값, 가정 시나리오의 답을 돌려준다. 설정값 변경은 보통 운전원 승인을 거쳐 적용한다. 트윈의 가치는 모델의 정밀도보다 “실측과 계속 맞춰지는가”에 달려 있다.

기록하지 않은 정비는 일어나지 않은 정비다

신뢰성 계산의 입력인 MTBF·MTTR·Weibull 모수는 결국 정비 기록에서 나온다. 고장 원인, 교체 부품, 운전 시간을 표준 코드로 남기지 않으면 몇 년 뒤에도 “이 펌프의 β가 얼마인지” 알 수 없다. 전산화된 정비 관리 시스템(CMMS)과 FMCS 운전 이력을 연결하는 것이 예지 정비와 디지털 트윈의 출발점이다.

핵심 정리

가용도 $A = \mathrm{MTBF}/(\mathrm{MTBF}+\mathrm{MTTR})$. 99.99 %는 연간 약 53분 정지다. 가용도가 높아도 1년 무고장 확률 $e^{-8760/\mathrm{MTBF}}$은 낮을 수 있다.
직렬 가용도는 곱, 병렬 비가용도는 곱이다. 병렬화는 가장 약한 직렬 블록을 다른 곳으로 옮길 뿐이므로, 약한 고리 찾기를 반복해야 한다. 단일 고장점(SPOF)을 목록으로 관리한다.
k-out-of-n 식으로 N, N+1, 2N을 비교한다. 대수가 많으면 N+1로는 부족해 N+2나 한 대 용량 확대, 한 대 가용도 향상이 필요하다.
공통 원인 고장(β 인자)은 비가용도에 $\beta Q$ 바닥을 깐다. 이중화를 더 쌓는 것보다 다양성·분리·정비 시차로 β를 낮추는 편이 효과적인 경우가 많다.
유틸리티 의존성 그래프와 완충 시간(PCW 열관성, UPW 탱크, 액체 질소, UPS 배터리)은 비상 대응의 시간 예산이며, 알람 억제 규칙의 근거다.
현장 제어(PLC)는 상위 시스템과 독립적으로 동작해야 하고, FMCS·SCADA는 감시·이력·알람을 맡는다. 알람은 운전원당 10분 1건 이하를 목표로 데드밴드·지연·억제·우선순위로 설계한다.
Shewhart는 큰 이동을, EWMA는 작은 지속 이동을 빨리 잡는다(1σ 이동 ARL 약 44 대 약 10). 유틸리티 데이터는 기대값 모델의 잔차에 관리도를 적용한다.
예지 정비는 P-F 간격 안에서 추세로 잔여 수명을 외삽하고 조달 기간과 비교한다. 예방 교체는 β > 1인 마모 부품에서만 의미가 있고, 최적 주기는 비용비와 Weibull 모수로 정해진다.

확인 퀴즈

1. MTBF 4,000 h, MTTR 8 h인 펌프의 가용도와 연간 기대 정지 시간에 가장 가까운 것은?

$A = 4000/4008 \approx 0.998$. 정지 시간은 $(1-A)\times8760 \approx 17.5$ h이다. 연간 고장 약 2.2회 × MTTR 8 h로 계산해도 같다.

2. 가용도 0.99인 장치 두 대를 병렬(한 대만 있으면 됨)로 둔 계통과 직렬로 둔 계통의 가용도는? (독립 가정)

병렬은 $1-(0.01)^2 = 0.9999$, 직렬은 $0.99^2 = 0.9801$. 병렬은 비가용도를, 직렬은 가용도를 곱한다.

3. 필요 대수 N = 2인 펌프 계통을 N+1(3대 중 2대)로 구성했다. 한 대의 가용도가 0.95일 때 계통 가용도는?

$A_{2/3} = A^3 + 3A^2(1-A) = 0.857 + 3\times0.9025\times0.05 = 0.857 + 0.135 \approx 0.993$. 0.9025는 N 구성(2대 모두 필요)의 값이다.

4. 1oo2 구성에서 한 대의 비가용도 Q = 0.02, 공통 원인 비율 β = 10 %일 때 계통 비가용도는 대략?

독립 항 $[(0.9)(0.02)]^2 = 0.000324$, 공통 항 $0.1\times0.02 = 0.002$. 합 약 0.0023으로, β를 무시한 0.0004보다 약 6배 나쁘다. 공통 원인이 지배한다.

5. 칠러 플랜트가 멈췄다. PCW 루프의 열적 완충이 12분, 클린룸 공조는 10분 뒤 온도 이탈, 공정 장비는 PCW가 무너지면 즉시 정지한다고 할 때, 장비 정지까지 남은 시간과 가장 먼저 할 일은?

공정 장비는 PCW에 직접 의존하므로 PCW 완충 12분이 시간 예산이다(클린룸 경로도 10분 + 그 이후 지연이 있다). 완충 시간은 더하는 것이 아니라 경로별로 따로 계산해 가장 짧은 것을 본다. 그 안에 냉동 능력을 되살리거나 남은 냉수를 우선순위에 따라 배분한다.

6. 잡음 때문에 경계값 근처에서 같은 알람이 하루 수백 번 켜졌다 꺼진다. 가장 먼저 적용할 대책은?

채터링의 원인은 잡음이 경계값을 반복해서 넘나드는 것이므로 데드밴드와 지연으로 막는다. 경계값을 크게 올리면 진짜 이상을 늦게 잡거나 놓친다. ISA-18.2·EEMUA 191은 운전원당 10분에 1건 이하를 목표로 한다.

7. 평균이 0.8σ만큼 천천히 이동한 드리프트를 가장 빨리 감지할 가능성이 큰 방법은?

EWMA는 과거 값을 지수적으로 누적해 작은 지속 이동에 민감하다. Shewhart는 개별 점이 3σ를 넘어야 하므로 1σ 이하 이동의 ARL이 수십~수백 점이다.

8. 수명이 Weibull β = 1(우발 고장)을 따르는 부품에 대해 옳은 것은?

β = 1이면 $C(T)$가 $T$에 대해 단조 감소해 최적 교체 주기가 없다(무한대 = 사후 정비). 이런 부품은 예비품과 빠른 수리(MTTR 단축), 또는 상태 감시로 다룬다. 상태 신호가 있다면 예지 정비는 여전히 유효하다.