VisualPro Tech Brief
반도체 공장은 왜 멈추는가 - STPA를 이용한 안전 분석 보고서
손실 시나리오 6건 → 26건, 반나절 — 통합방재 STPA 재검증
반도체 팹 안전 분석 | STPA · MCP 연동 실증 | 프로젝트 리포트
STPAMCP 연동추적성 DBClass 커버리지반도체 팹
01개요 (TL;DR) — 반나절에 무엇이 달라졌나
반도체 팹의 통합방재 제어구조를 대상으로 기존 STPA 분석을 재검증했습니다. 방재센터 운영자(EHS/FMS Operator)에서 중앙 FMS/GMS 통합관제 서버, 현장 안전 인터록 PLC를 거쳐 클린룸 공조·스크러버 배기, OHT 반송 물류, 특수가스·케미컬 공급 밸브 설비까지 — 제어동작과 피드백이 도식으로 정의된 구조입니다.
작업 방식이 특별했습니다. VisualPro STPA의 MCP(Model Context Protocol) 연동 위에서 AI 에이전트가 조회·등록·수정을 수행하고, 사람은 의미 판단만 담당했습니다. 화면 조작은 0회였습니다.
| 누적 지표 | 1차 (원본) | 최종 (Rev 2.1) |
|---|
| 손실 시나리오 | 6건 (고장 기반 100%) | 26건 (고장 6 / 비고장 20) |
| UCA | 8건 | 15건 |
| 위험원 / 시스템 제약 | 5 / 5 | 6 / 6 |
| 추적 단절 위험원 | 1건 (H-5) | 0건 |
그리고 이 재검증의 핵심 발견은 새로 찾은 시나리오가 아니라, 기존 분석이 어디에 편중되어 있었는지였습니다. 원본 6건은 전부 고장 기반이었고, 설계 판단과 법규 책임을 다루는 Responsibility 계열(Class 1 C1~C4)이 통째로 비어 있었습니다. 이후 도출한 발견 7건은 전부 그 빈칸에서 역방향으로 나왔습니다.
‘무엇을 더 분석해야 하는가’를 도구가 알려주는 구조 — 분석의 완결성이 사람의 성실성에 의존하지 않습니다.
[ [그림 1] VisualPro Control Structure — 반도체 팹 통합방재 제어구조 (제어동작=적색, 피드백=청색). 이 그림의 화살표 하나하나가 UCA 15건과 손실 시나리오 26건이 걸리는 뼈대가 됩니다. ]
02무엇이 이걸 가능하게 했나 — 3가지
1MCP 연동 — 자연어 지시가 곧 STPA 작업이 된다자동화
VisualPro는 MCP 서버를 내장해 AI 에이전트가 도구의 데이터 모델에 직접 접근합니다. 이번 검증에서 사람이 한 일은 “정합성 확인해줘”, “이 시나리오들 등록해줘” 같은 자연어 지시뿐이고, 실제 조회·등록·수정은 에이전트가 STPA 엔티티 15종(loss, hazard, uca, loss_scenario, 관계 5종 등)의 API 커맨드로 수행했습니다.
· 이번 세션에서 에이전트가 등록한 데이터: 위험원 1, 시스템 제약 1, UCA 7, 손실 시나리오 20, 관계 연결 50여 건
· 각 커맨드는 describe(스펙 조회) → execute(실행) 2단계로, 에이전트가 스키마를 스스로 학습해 오입력 없이 등록 — 배치 등록 오류 0건
· UCA ID(UCA-N-9, UCA-P-13 등)와 시나리오 번호는 유형 규칙에 따라 자동 부여 — 번호 관리 수작업 제로
2추적성 데이터베이스 — 정합성 감사가 ‘조회’가 된다감사 가능성
VisualPro의 STPA 데이터는 Loss → Hazard → UCA → Loss Scenario → Countermeasure가 양방향 관계로 저장됩니다. 그래서 “연결이 끊긴 곳이 어디인가”라는 감사 질문이 눈으로 대조하는 작업이 아니라 관계 조회 몇 번으로 끝납니다. 같은 원리로 Loss↔Hazard 양방향 링크 20개 관계 전수 검증도 자동으로 확인됐습니다 — 문서 기반 분석에서는 이 검사 자체가 수행되지 않는 경우가 대부분입니다.
3Class 원형 커버리지 — 빈칸이 정량으로 드러난다완결성
시나리오마다 Class 태그를 데이터로 보유하니, “원형 66개 케이스 중 어디가 비었는가”가 매트릭스로 즉시 나옵니다. 문서(엑셀) 기반에서는 시나리오가 늘수록 번호·연계·유형 관리가 무너지고 커버리지는 분석자의 기억에 의존하지만, 데이터 기반에서는 26건으로 늘어나도 추적성·ID·관계가 유지되고 빈칸·단절·편중이 조회로 정량화됩니다.
03조회만으로 드러난 구조 결함 3건
검증 시작 시점에 관계 조회만으로 발견한 결함입니다. 모두 “분석이 틀렸다”가 아니라 “분석이 비어 있다”는 유형입니다.
| 발견된 결함 | 발견 방법 | 조치 |
|---|
| 위험원 H-5(비상 정전)의 UCA·시나리오 0건 — 추적 완전 단절 | 위험원별 관계 조회 1회 | LS-11·23 등록으로 체인 복원 |
| UCA-3·UCA-7에 손실 시나리오 없음 | UCA↔시나리오 교차 대조 | 후속 시나리오 작성 대상 식별 |
| 제어동작 ‘비상 수동 차단’(운영자)에 UCA 미작성 | 제어동작↔UCA 매핑 | UCA-9·10 신설로 해소 |
[ [그림 2] VisualPro Trace View — Loss → Hazard → UCA → Loss Scenario → Countermeasure 추적 체인. 체인에 표시된 LS-13은 이번 검증에서 AI 에이전트가 등록한 시나리오이며, 등록 즉시 추적 체인에 합류해 기존 데이터와 동일하게 조회·감사 대상이 됩니다. ]
04빈칸이 가르쳐준 7가지 사고 경로
전부 부품이 정상이고 시험이 합격인데도 성립하는 경로입니다. 각 항목은 ‘문서 확인 1시간 내외’의 감사 질문으로 변환되어 있고, ‘아니오’가 나오는 문항이 곧 실재하는 사고 경로입니다.
| # | 발견 | 왜 놓치는가 | Class |
|---|
| 14 | 화재 모드 vs 가스 모드 — 법규끼리 싸운다 | 소방 설비와 가스 안전 설비는 법규·설계 업체·도면이 달라 교차 검토 자체가 없다 | 1-C4 |
| 15 | 해제 안 된 Force 태그 — 시운전의 유령 | Force 상태는 진단 화면 깊숙이만 표시되고, 로직 검토는 소스만 본다 | 1-C23 |
| 16 | ‘신호 부재’를 정상으로 읽는 기본값 | 설계 리뷰는 ‘값이 틀린 경우’는 따지되 ‘값이 안 오는 경우의 해석 정책’은 안 따진다 | 1-C20 |
| 17 | 팹 개조 후 낡은 매핑 — MOC의 사각지대 | 값이 정확하므로 어떤 자가진단도 못 잡는다. 틀린 것은 데이터가 아니라 좌표계다 | 2-C7 |
| 18 | 복전(復電)의 함정 — 정전보다 복전이 위험하다 | 정전 훈련과 UPS 시험은 ‘꺼지는 순간’만 다룬다. ‘켜지는 순서’는 시험되지 않는다 | 3-C7 |
| 19 | 계장 공기라는 공통 원인 | 부품은 전부 정상, 단품 시험은 전부 합격. ‘전 구역 동시 구동’ 조건이 절차에 없다 | 3-C11 |
| 20 | 스케줄의 배신 — 캘린더는 비상을 모른다 | 스케줄러를 ‘제어 요소’로 취급하지 않아 인터록 매트릭스에 등장하지 않는다 | 4-C11 |
대표 사례 1 — 화재 모드 vs 가스 모드 (A-Ha #14)
소방 수신기의 화재 신호는 소방법에 따라 HVAC 정지·방화 댐퍼 폐쇄를 강제합니다(연기 확산 방지). 그러나 가스 화재라면 배기 정지는 곧 가스 체류와 2차 폭발 위험입니다. 소방법과 가스 안전이 같은 댐퍼를 정반대로 요구하는 법규 수준의 충돌입니다.
1가스 배관 플랜지에서 SiH4(실란)가 미세 누출되고, 공기 접촉 시 자연발화하는 실란의 특성상 국소 화재가 함께 발생한다.
2소방 수신기가 화재를 감지하고, 소방법 연동 로직이 HVAC 정지·방화 댐퍼 폐쇄를 자동 실행한다.
3같은 순간 GDS가 가스 누출을 감지 — 안전 PLC는 비상 배기 ‘최대 가동’을 지령해야 하는 상황이다.
4그러나 배기 경로의 방화 댐퍼는 이미 소방 로직이 닫아버렸다. PLC의 배기 지령은 물리적으로 무효가 된다.
5미연소 가스가 실내에 체류·농축되어 2차 폭발(H-1) 위험이 커진다 — 두 안전 로직이 각자 ‘옳게’ 동작한 결과다.
검증 질문 화재+가스 동시 신호 시 댐퍼·배기 우선순위가 설계서에 명문화되어 있는가?
대표 사례 2 — 계장 공기라는 공통 원인 (A-Ha #19)
비상 시 전 구역 공압 밸브·댐퍼가 동시에 구동되면 계장 에어(IA) 헤더 압력이 강하해 일부 차단 밸브가 규정 시간 내 닫히지 못합니다. 평시 시험은 밸브를 하나씩 구동하므로 절대 검출되지 않습니다.
1평시 밸브 작동 시험은 한 번에 1개씩 한다. IA 소요량은 늘 여유가 있고 시험은 매번 합격이다.
2대형 누출로 전 구역 인터록이 동시 발동하는 실제 비상이 온다.
3수십 개의 공압 밸브·댐퍼가 동시에 구동을 시작하고 IA 헤더 압력이 급강하한다.
4공압이 부족한 일부 밸브는 구동 토크 미달로 규정 시간 내 완전 폐쇄에 실패한다(반개방 잔류).
5시스템은 ‘차단 완료’로 집계하지만, 반개방 라인으로 가스가 계속 흐른다(H-1).
검증 질문 전 구역 동시 구동 시나리오의 IA 소요량 계산 또는 실증 시험이 수행된 적 있는가?
05검증 워크플로 3단계와 감사 체크리스트
발견 7건은 아이디어 회의가 아니라 데이터 위의 절차에서 나왔습니다. 각 단계에서 도구가 무엇을 담당했는지가 이 방법의 재현 가능성을 결정합니다.
| 단계 | 사람(전문가)의 역할 | VisualPro의 역할 |
|---|
| ① 태깅 감사 | 케이스 원문과 시나리오 인과 구조의 의미 대조 | 시나리오 26건 전체를 태그·연계 포함 즉시 조회, 오태깅(LS-8) 수정을 save 1회로 반영 |
| ② 커버리지 매트릭스 | 빈칸 중 ‘팹에서 실재할 계열’ 선별 | Class 태그 데이터로 66케이스 × 26시나리오 매핑 자동 산출 |
| ③ 역방향 도출·등록 | %슬롯%에 도메인 엔티티 대입, 검증 질문 설계 | 신규 UCA·시나리오·관계를 배치 등록, ID 자동 부여, 추적성 즉시 연결 |
요점 전문가의 시간은 전부 ‘의미 판단’에만 쓰였습니다. 조회·대조 준비·등록·번호 관리 같은 기계적 작업이 도구로 넘어가면서, 같은 반나절 동안 분석 깊이가 시나리오 6건 체계에서 26건 체계로 이동했습니다.
산출물이 곧 실행 항목 — 설계 감사 체크리스트
| # | 감사 질문 | 확인 문서 | 관련 |
|---|
| 1 | 화재+가스 동시 신호 시 댐퍼 우선순위가 명문화돼 있는가? | 소방 연동 설계서·인터록 매트릭스 | LS-20 |
| 2 | PLC Force 태그 상시 감시와 인수인계 체크가 있는가? | PLC 운영 절차서·교대 일지 | LS-26 |
| 3 | 통신 타임아웃 시 태그 품질 정책이 ‘경보’인가? | PLC 로직 표준·태그 DB | LS-21 |
| 4 | 설비 이설 MOC에 방재 매핑 갱신 단계가 있는가? | MOC 절차서·매핑 테이블 이력 | LS-22 |
| 5 | 복전 시퀀스가 문서화·시험된 적 있는가? | 복전 절차서·재기동 시험 기록 | LS-23 |
| 6 | 전 구역 동시 구동 IA 소요량이 계산·실증됐는가? | 계장 에어 용량 계산서 | LS-24 |
| 7 | 스케줄 동작에 비상 상태 보류 조건이 있는가? | 자동 시험 스케줄 설정·인터록 목록 | LS-25 |
06기능과 효과의 대응
이번 프로젝트에서 확인된 VisualPro의 효과를 기능 단위로 정리하면 다음과 같습니다. 수치는 전부 이번 세션의 실측입니다.
| VisualPro 기능 | 이번 검증에서의 효과 |
|---|
| MCP 서버 (AI 에이전트 연동) | 자연어 지시 → STPA 조회·등록·수정. 화면 조작 0회로 반나절 내 전 과정 수행 |
| Loss~Countermeasure 추적성 모델 | H-5 추적 단절, 제어동작 UCA 공백 등 구조 결함 3건을 조회만으로 발견 |
| 양방향 관계 데이터 | Loss↔Hazard 20개 관계 전수 교차 검증 — 문서 분석에서는 통상 생략되는 검사 |
| UCA 유형 체계(N/P/T/S)·자동 ID | UCA 15건 확장에도 ID·유형 일관성 유지, 번호 수작업 제로 |
| UCA 비연계 시나리오 지원 | 프로세스 자율 거동(Class 4)·전달 실패(Class 3) 계열도 정식 데이터로 수용 |
| describe/execute 2단 API | 에이전트가 스키마를 스스로 확인 후 등록 — 20건 배치 등록 오류 0건 |
07자주 묻는 질문 (FAQ)
Q1VisualPro의 MCP 연동이란 무엇인가요?
VisualPro가 MCP(Model Context Protocol) 서버를 내장해, Claude 같은 AI 에이전트가 STPA·FMEA·FTA·HARA·TARA 데이터 모델에 직접 접근하는 기능입니다. 사용자는 자연어로 지시하고, 에이전트가 도구의 API 커맨드로 조회·등록·수정을 수행합니다. 이번 검증의 전 과정이 이 방식으로 진행되었습니다.
Q2AI가 등록한 데이터를 신뢰할 수 있나요?
두 가지 장치가 있습니다. 첫째, 모든 커맨드는 describe(스펙 조회) 단계에서 필수 필드와 규칙을 반환하므로 에이전트가 스키마에 맞지 않는 데이터를 넣을 수 없습니다 — 이번 세션의 배치 등록 오류는 0건이었습니다. 둘째, 등록 후 재조회로 결과를 검증하는 왕복 확인이 표준 절차입니다. 의미적 타당성은 전문가 검토(태깅 감사)가 담당합니다.
Q3문서(엑셀) 기반 STPA와 결정적으로 무엇이 다른가요?
추적성이 데이터로 존재한다는 점입니다. “어느 위험원에 시나리오가 없는가”, “어느 제어동작이 미분석인가” 같은 완결성 질문이 조회로 답해집니다. 이번 검증에서 H-5 추적 단절과 Responsibility 계열 공백을 발견한 것이 그 효과의 실증입니다. 문서 기반에서는 이 질문 자체가 수작업 전수 대조를 요구합니다.
Q4이 워크플로를 도입하면 무엇이 좋아지나요?
전문가의 시간이 기계적 작업(조회·등록·번호 관리·연계 유지)에서 의미 판단(시나리오 타당성·설계 검증)으로 이동합니다. 이번 사례 기준, 시나리오 체계를 6건에서 26건으로 확장하고 정합성 감사까지 마치는 데 반나절이 걸렸습니다.
Q5STPA 외 다른 분석 기법도 같은 방식이 가능한가요?
가능합니다. VisualPro MCP 서버는 STPA 외에 FMEA, FTA(컷셋·PMHF 계산 포함), HARA(현대차 표준 포함), TARA 모듈의 커맨드를 제공하므로, 동일한 자연어 지시 → 조회·등록 → 검증 워크플로를 안전 분석 전 영역에 적용할 수 있습니다.
08지금 시작하십시오 (Next Step)
STPA의 어려움은 기법을 배우는 데 있지 않습니다. 분석이 어디까지 왔고 무엇이 비었는지를 아는 데 있습니다. 문서로 관리하면 그 질문의 답이 분석자의 기억에 남고, 데이터로 관리하면 조회 결과로 남습니다. 반도체·자동차·국방·항공·로봇에서 검증된 VisualPro로, 완결성을 사람의 성실성이 아니라 구조로 담보하는 안전 분석을 시작하십시오.
완결성을 사람의 성실성이 아니라 구조로 — VisualPro STPA.
본 브리프는 VWAY 솔루션사업부가 VisualPro STPA의 MCP 연동 위에서 AI 에이전트와 협업해 수행한 재검증 결과를 정리한 것입니다. 누적 데이터(위험원 6, UCA 15, 손실 시나리오 26)는 Semicon.vsa 프로젝트에서 추적성과 함께 확인할 수 있습니다.
반도체 팹의 통합방재 제어구조를 대상으로 기존 STPA 분석을 재검증했습니다. 방재센터 운영자(EHS/FMS Operator)에서 중앙 FMS/GMS 통합관제 서버, 현장 안전 인터록 PLC를 거쳐 클린룸 공조·스크러버 배기, OHT 반송 물류, 특수가스·케미컬 공급 밸브 설비까지 — 제어동작과 피드백이 도식으로 정의된 구조입니다.
작업 방식이 특별했습니다. VisualPro STPA의 MCP(Model Context Protocol) 연동 위에서 AI 에이전트가 조회·등록·수정을 수행하고, 사람은 의미 판단만 담당했습니다. 화면 조작은 0회였습니다.
그리고 이 재검증의 핵심 발견은 새로 찾은 시나리오가 아니라, 기존 분석이 어디에 편중되어 있었는지였습니다. 원본 6건은 전부 고장 기반이었고, 설계 판단과 법규 책임을 다루는 Responsibility 계열(Class 1 C1~C4)이 통째로 비어 있었습니다. 이후 도출한 발견 7건은 전부 그 빈칸에서 역방향으로 나왔습니다.
· 이번 세션에서 에이전트가 등록한 데이터: 위험원 1, 시스템 제약 1, UCA 7, 손실 시나리오 20, 관계 연결 50여 건
· 각 커맨드는 describe(스펙 조회) → execute(실행) 2단계로, 에이전트가 스키마를 스스로 학습해 오입력 없이 등록 — 배치 등록 오류 0건
· UCA ID(UCA-N-9, UCA-P-13 등)와 시나리오 번호는 유형 규칙에 따라 자동 부여 — 번호 관리 수작업 제로
검증 시작 시점에 관계 조회만으로 발견한 결함입니다. 모두 “분석이 틀렸다”가 아니라 “분석이 비어 있다”는 유형입니다.
전부 부품이 정상이고 시험이 합격인데도 성립하는 경로입니다. 각 항목은 ‘문서 확인 1시간 내외’의 감사 질문으로 변환되어 있고, ‘아니오’가 나오는 문항이 곧 실재하는 사고 경로입니다.
발견 7건은 아이디어 회의가 아니라 데이터 위의 절차에서 나왔습니다. 각 단계에서 도구가 무엇을 담당했는지가 이 방법의 재현 가능성을 결정합니다.
이번 프로젝트에서 확인된 VisualPro의 효과를 기능 단위로 정리하면 다음과 같습니다. 수치는 전부 이번 세션의 실측입니다.
STPA의 어려움은 기법을 배우는 데 있지 않습니다. 분석이 어디까지 왔고 무엇이 비었는지를 아는 데 있습니다. 문서로 관리하면 그 질문의 답이 분석자의 기억에 남고, 데이터로 관리하면 조회 결과로 남습니다. 반도체·자동차·국방·항공·로봇에서 검증된 VisualPro로, 완결성을 사람의 성실성이 아니라 구조로 담보하는 안전 분석을 시작하십시오.