AI가 불량 가능성을 예측해 PLC에 제어 명령까지 보낸다면 생산성 향상보다 먼저 안전 경계를 정해야 합니다. 추론은 확률적이고 지연·오류가 있을 수 있지만 설비 정지는 정해진 조건에서 반드시 동작해야 합니다. AI 판단과 안전 기능을 같은 경로에 놓지 않는 이유입니다.
권고와 제어를 구분한다
초기에는 AI가 이상 신호를 제시하고 운영자가 확인하는 권고 모드가 적절할 수 있습니다. 자동 제어가 필요하다면 명령 범위, 속도, 유효 시간, 승인 주체를 제한합니다. 모델 점수가 높다는 이유만으로 안전 인터록을 우회하지 않습니다.
안전 로직은 독립적으로 유지한다
비상정지와 보호 인터록은 검증된 제어 계층에서 결정적으로 동작해야 합니다. AI 서비스나 네트워크가 끊겨도 설비가 안전한 상태로 가도록 설계합니다. 어떤 기능이 안전 관련인지 안전 엔지니어와 함께 정의해야 합니다.
입력 데이터의 상태를 확인한다
센서 품질이 불량하거나 값이 오래된 경우 AI 판단을 제어 근거로 사용하면 위험합니다. 시간 지연, 범위, 품질 코드를 검사하고 조건을 만족하지 않으면 자동 제어를 중단합니다. 장애 시 기본 동작을 미리 정합니다.
시험 범위를 확대하기 전에 실패를 주입한다
정상 생산 데이터만으로 시험하지 않습니다. 센서 단선, 통신 지연, 모델 무응답, 모순된 신호를 시뮬레이션해 제어 계층이 안전하게 반응하는지 확인합니다. 실제 현장 적용 전에는 해당 설비의 안전 절차와 법적 요구를 검토합니다.
변경과 책임을 기록한다
모델 버전, 제어 규칙, 승인자, 시행 시각을 남깁니다. 안전에 영향을 주는 설정은 일반 프롬프트 수정처럼 즉시 배포하지 않습니다. 사고 조사에서 'AI가 그렇게 판단했다'는 설명만으로는 부족하며 어떤 입력과 제한 아래 실행됐는지 재현돼야 합니다.
현장에 적용할 때의 순서
- AI의 권고·자동 제어 범위를 명시한다
- 독립 안전 로직과 장애 시 기본 상태를 검증한다
- 센서·통신·모델 실패를 주입해 시험한다
주의할 실패: 모델 출력을 안전 인터록보다 우선하면 단일 오류가 물리적 위험으로 이어질 수 있다.
관찰할 지표: 안전 차단 성공률, 입력 품질 불량 시 제어 중단, 변경 승인 기록을 본다.
적용 전 체크리스트
- 비상정지·인터록이 AI와 독립적으로 동작하는가
- 센서 품질·지연 시 자동 제어를 중단하는가
- 안전 엔지니어의 변경 승인과 실패 시험이 있는가
참고 자료
NIST SP 800-82 Rev. 3 OT Security. NIST는 OT의 성능·신뢰성·안전 요구를 함께 고려하도록 안내합니다. 본문은 일반 설계 원칙이며 실제 안전 기능은 자격 있는 현장 전문가가 별도로 검증해야 합니다.
이미지와 도식은 이해를 돕기 위한 개념 시각화입니다. 특정 고객의 실제 설비·데이터·화면을 재현한 것이 아닙니다.
#PLC #산업AI #OT보안 #안전인터록 #설비제어 #스마트팩토리 #AI안전 #센서품질 #산업제어 #위험관리
