# 제어실 운전원 휴먼에러확률 예측기법(THERP)에 관한 기술지침

> **출처**: 한국산업안전보건공단 (KOSHA)
> **지침번호**: X-69-2016
> **원본 URL**: https://portal.kosha.or.kr/openapi/v1/file/down/FL00015884364/3
> **License**: 공공누리 출처표시 (변경금지)
> **추출 방식**: PDF → kordoc (라텔웍스 자체 도구, HTML 표 보존)
> **주의**: 이미지·일부 시각적 서식 손실 가능. 정확 원본은 위 URL.

---

```markdown
<table>
<tr><th colspan="5"></th></tr>
<tr><td rowspan="5"></td><td colspan="2">KOSHA GUIDE</td><td colspan="2" rowspan="3"></td></tr>
<tr><td colspan="2">X - 69 - 2016</td></tr>
<tr><td colspan="4"></td></tr>
<tr><td rowspan="2"></td><td colspan="2">제어실 운전원 휴먼에러확률<br>예측기법(THERP)에 관한 기술지침</td><td rowspan="2"></td></tr>
<tr><td colspan="3">2016.12<br>한국산업안전보건공단</td></tr>
</table>

안전보건기술지침의 개요
○ 작성자 : 충북대학교 안전공학과 임현교
○ 제·개정 경과
- 2016년 11월 리스크관리분야 제정위원회 심의(제정)
○ 관련규격 및 자료
- Swain A.D. and Guttman, H.E., Handbook of Human Reliability
Analysis with Emphasis on Nuclear Power Plant Applications,
NUREG/CR-1278, Sandia National Laboratories, 1983.
- Kirwan, B., A Guide to Practical Human Reliability Assessment,
Taylor & Francis, London., 1994.
○ 기술지침의 적용 및 문의
- 이 기술지침에 대한 의견 또는 문의는 한국산업안전보건공단 홈페이지
(www.kosha.or.kr)의 안전보건기술지침 소관 분야별 문의처 안내를 참고 하시기 바랍니다.
- 동 지침 내에서 인용된 관련규격 및 자료, 법규 등에 관하여 최근 개정
본이 있을 경우에는 해당 개정본의 내용을 참고하시기 바랍니다.
공표일자 : 2016년 12월 19일 제정자 : 한국산업안전보건공단 이사장

## 제어실 운전원 휴먼에러확률 예측기법(THERP)에

## 관한 기술지침

1. 목 적
이 지침은 제어실 운전원을 대상으로 사고를 유발할 수 있는 직무 연쇄를 도출하고, 휴

먼에러확률을 추정하는 휴먼에러확률 예측기법(Technique for Human Error Rate

Prediction; THERP)에 관한 기술적 사항을 정함을 목적으로 한다.

2. 적용범위
이 지침은 화학플랜트, 가스기지, 발전소, 기타 대형 제조사업장 등 제어실 운전원의 휴

먼에러가 시스템의 사고발생에 중대한 영향을 미치는 감시 및 대응작업에 적용한다.

3. 용어의 정의
(1) 이 지침에서 사용되는 용어의 정의는 다음과 같다.

(가) “인간-기계 시스템(man-machine system)”이라 함은 인간과 도구,

기계, 설비

등으로 이루어진 모든 시스템을 말한다.

(나) “휴먼에러(Human error)”라 함은 인간이 수행하는 일련의 행동이나 행동군 중

에서 수용 한계를 벗어난 행동, 즉 시스템의 정상적 기능을 위하여 정의된 인

간의 행동 한계를 넘은, 감내할 수 없는 행동을 말한다.

주) 휴먼에러는 인지기능에 따라 다음 세 가지로 나뉜다.

① “행동 에러(slip)”란 자신이 의도한 대로 동작이나 행위가 이루어지지 않

아 발생한 휴먼에러를 말한다.

② “기억검색 에러(lapse)”란 자신의 기억 속에서 특정 정보를 끄집어내지 못

③ “의사결정 에러(mistake)”란 상황에 맞는 판단을 하지 못하여 발생한 휴

먼에러를 말하다.

(다) “실행에러(commission

error)”라 함은 인간이 업무를 수행하는 도중, 업무를

수행하기는 했으나 정해진 바에 따라 올바로 수행하지 못하여 발생한 휴먼에

러를 말한다.

(라) “생략에러(omission error)”라 함은 인간이 업무를 수행하는 도중, 정해진 바에

따라 수행하여야 하는 행위를 수행하지 않아 발생한 휴먼에러를 말한다.

(마) “휴먼에러확률(Human error probability, HEP)”이라 함은 주어진 직무나 행동

이 수행되었을 때 휴먼에러가 발생할 확률을 말한다. 동의어 human failure

probability.

(바) “기본휴먼에러확률(Basic human error probability, BHEP)”이라 함은 독립된

직무를 수행할 때의 휴먼에러확률, 즉 선행직무의 영향을 받지 않을 경우의

휴먼에러확률을 말한다.

(사) “인간행동의 성공확률(Human success probability, HSP)”이라 함은 휴먼에러

확률의 보수, 즉 1 - HEP를 말한다.

(아) “인간신뢰도(Human reliability)”라 함은 신뢰할 수 있거나 사용할 수 있는 시

스템에 대하여 인간의 행동이 성공적으로 이루어질 확률을 말한다. 바꾸어 말

하자면, 시스템의 신뢰도나 가용도를 훼손할만한 외적인 직무나 행동이 실행

되지 않을 뿐만 아니라, 요구되는 시간 내에 시스템이 요구하는 인간행동, 직

무, 또는 작업이 성공적으로 완수될 확률을 말한다.

(자) “인간신뢰도분석(Human reliability analysis, HRA)”이라 함은 인간신뢰도가 추

정되는 방법을 말한다.

(차) “행동형성요인(Performance shaping factor, PSF)”이라 함은 이라 함은 인간

행동에 영향을 미치는 모든 요인들을 말한다.

(카) “직무(Task)”라 함은 시스템의 목적이나 기능을 달성하는 데 기여하는 행동의

단위를 말한다.

(타) “직무분석(Task analysis)”이라 함은 시스템 내에서 인적 구성요소에게 요구되

는 구체적 행동을 결정하는 분석 과정, 인간과 장비에게 요구되는 상세한 행

동, 환경적 조건의 영향이나 기능장애 또는 양쪽 모두에 영향을 미치는 예상

치 못한 사건들의 영향을 결정하는 것을 말한다.

(파) “의존(Dependence)”이라 함은 어떤 행동의 실패 (또는 성공) 확률이 다른 행동

에서 발생한 실패 (또는 성공) 여부에 따라 달라지는 상황을 말한다. 두 행동

은 동일인에 의하여 수행될 수도 있고, 다른 사람에 의하여 수행될 수도 있

다.

주) 일반적으로 수학에서는 ‘종속’이라는 용어를, 확률통계학에서는 ‘의존’이라

는 용어를 사용하는데, 의미상의 차이는 없다. 본 지침에서는 확률론적 이론

에 따라 ‘의존’이라고 쓰기로 한다.

(하) “사상수목(또는 사상수, Event tree)”이라 함은 시스템 운전 중 수행되는 직무

들을 나뭇가지 형태로 표현한 것을 말한다. 이 표현 안에서 사상들은 나뭇가

지로 표현되고, 사상 연쇄는 시간에 따라 진행되는 것을 나타낸다.

(2) 기타 이 지침에서 사용하는 용어의 정의는 특별한 규정이 있는 경우를 제외하고

는 산업안전보건법, 같은법 시행령, 같은법 시행규칙 및 산업안전보건기준에 관

한 규칙에서 정하는 바에 의한다.

4. 기법의 개요
4.1 개발의 배경

(1) 이 기법은 Swain을 대표로 하는 샌디아 국립연구소 (Sandia National Laboratories)

연구팀에 의하여 개발된 인간신뢰도 평가기법으로, THERP(Technique for Human

Error Rate Prediction)라는 명칭은 1962년 미국 인간공학회의 제6차 학술대회에 보

고된 확률론적 안전성평가 중 인간신뢰도에 적용된 기법을 지칭하기 위하여 처음

사용되었다.

(2) 1983년 Swain과 Guttmann은 미국 원자력규제위원회(US Nuclear Regulatory

4.2 기법의 특성

(1) THERP는 인간신뢰도 예측을 위하여 가장 자주 적용되는 가장 유명한 기법으로, 휴

먼에러확률의 체계적인 평가를 위하여 데이터를 생산해 내는 가장 복합적이고 종합

적인 방법이다.

(2) 이 기법은 또한, 기계나 설비의 신뢰도, 절차, 기타 다른 요인 등과 관련된 휴먼에러

에 의한 인간-기계 시스템(man-machine system)의 기능저하를 평가할 수도 있다.

(3) 이 기법에서 운전원의 행동은 장비 성능에 비유된다. 즉 통상 2진법 논리에 따라 ‘성

공(success)’과 ‘실패(failure)’로 표현된다.

(4) 휴먼에러확률은 참고문헌(Swain과 Guttmann, 1983)을 참조한다. 이 값들은 하나의

단위작업 또는 일련의 단위작업들이 수행되는 도중에 수행되는 동안에 휴먼에러가

발생할 확률을 가리킨다. 특히, 실행에러(commission error)와 생략에러(omission

error)가 강조된다.

(5) 참고문헌 중 휴먼에러확률의 값들은 전문가들의 추정값에 근거한다. 전문가들은 실

제 현장이나 유사 설비에서의 에서의 운전경험 또는 유사 행동이나 상황에서 측정

된 값들을 이용하여 그 값들을 수집하였다.

5. 분석절차
5.1 기본 흐름

(1) 기본적인 분석 절차는 다른 기법들과 마찬가지로 <그림 1>과 같은 순서를 따른다.

즉, 관련자료의 수집, 정성적 분석, 정량적 분석, 결과통합의 절차를 거치는 것이 보

통이다. 이 중에서 특히 THERP 기법의 특이성이 부각되는 것은 정량적 분석이다.

<그림 1> THERP의 기본분석절차

5.2 분석 절차

THERP 분석 중 특히 정량화 과정을 완성하는 주요 여섯 단계의 요소들은 다음과 같다.

(1) 시스템이나 절차를 이해하고, 관심 대상인 시스템의 고장을 정의하는 한편, 수행

되는 모든 인간의 작업들과, 시스템 및 업무절차와의 관련사항들을 나열한다.

관련된 운전원의 조작행동을 나열하고 분석하여 일어날

수 있는 휴먼에러와, 적

절한 휴먼에러회복모드를 확인한다. 직무분석을 통해 직무 수행 운전원에게 필요

한 개별적 요소와 정보를 순서대로 나열한다.

분석 대상이 되는 고장들에는 결함 확률에 휴먼에러가 크게 영향을 미칠 가능성

이 있는 시스템의 기능들과, 리스크 평가자에게 관심이 있을 기능들을 포함한다.

만약 달성된다면 해당 직무의 휴먼에러확률을 대폭 저감시킬 수 있는 회복 기회도

이 때 고려되어야 한다.

(2) 직무를 작업단위로 분해하여 휴먼에러신뢰도 수목을 구성한다.

작업을 수행하는 데 있어서 이루어져야 하는 일련의 직무들을 구성요소로 하여 나무

모양의 그래프를 그린다. 기본 구조는 <그림 2>와 같다. 하나의 직무는 ‘성공’과 ‘실

패’로 나누어지며, 그림에서 각각 왼쪽과 오른쪽 가지로 표현된다. 그러므로, 소문자

‘a'는 첫 번째 직무에서 ’성공‘한 것을 나타내며, 대문자 'A'는 첫 번째 직무 수행에

실패한 것을 나타낸다.

또한, 선행 직무가 끝나는 곳에서 다시 후행직무에 대한 성공 및 실패 여부가 나뭇

가지 모양으로 벋게 된다.

만약 회복이 가능하다면, 그래프 구성시에 반영된다. <그림 2>에서 오른쪽 끝의 곡

선은 A, B 두 직무에 모두 실패한 후 본인의 잘못을 알아차리고 다시 조작하는 것이

가능하다는 것을 나타낸다.

<그림 2> THERP 분석용 사상수목의 기본 구성

결과적으로 사상수목은 수많은 서로 다른 경로를 가지게 되며, 최종적으로는 개시사

상으로부터 시작하여 최종 상태나 결과에 이르는, 시스템 내에서 발생하는 모든 사

상들을 시각적으로 보여준다.

(3) 각 작업단위에 기본 휴먼에러확률을 할당한다.

THERP 핸드북 등 참고문헌을 이용하여 적절한 기본휴먼에러확률(Basic Human

Error Probability; BHEP)을 찾아 각 직무에 할당한다. 이 때에는 시뮬레이션 데

이터나 과거의 사고 데이터, 전문가의 판단 등 광범위한 출처로부터 얻어진 휴먼

에러확률을 이용할 수도 있다.

근본적으로, THERP 핸드북은 휴먼에러확률을 표의 형태로 제시한다. <그림 3>

은 그림 형태로 제시된 기본휴먼에러확률의 분포를 나타내며, <표 1>은그중

대표적인 몇 가지 기본휴먼에러확률을 나타낸 것이다.

<그림 3> 기본휴먼에러확률의 분포 (NUREG/CR-1278)

<표 1> 대표적인 기본휴먼에러확률의 예 (NUREG/CR-1278 참조)

|  | BHEP |
| --- | --- |
| 장비의 정비 준비 태세 불량 | 0.01 |
| 이전 상태로의 복귀 실패 | 0.5 |
| 관리감독자의 확인 실패 | 0.1 |
| 회복 직무에 대한 확인 실패 | 0.2 |
| 서면 절차서의 미활용 | 0.001 |
| 회복 목록 사용의 실패 | 0.01 |
| 서면 절차서 활용소홀에 대한 관리적 통제 | 0.3 |
| 지시사항의 부적절한 적용에 대한 확인 | 0.001 |

다만, 각 분지점에서 확률의 합은 항상 1이어야 한다. 또한, 이 때, 각 가지에 할

당되는 확률은 원칙적으로 조건부 확률(conditional probability)이어야 한다.

(4) 각 작업단위에 미치는 행동형성요인의 영향을 반영하여, 기본휴먼에러확률을 조

정한다.

<표 2>는 운전원의 작업단위에 일반적으로 영향을 미친다고 알려져 있는 행동형성

요인들과, 그들이 해당되는 경우 기본휴먼에러확률에 곱해 주어야 하는 계수들의 예

를 나타낸 것이다.

<표 2> 행동형성요인과 그 영향 (NUREG, CR-6883)

<table>
<tr><th>PSFs</th><th>PSF</th><th>( )</th></tr>
<tr><td rowspan="6">가용시간</td><td>부적절한 시간</td><td>P(휴먼에러)=1</td></tr>
<tr><td>가용시간=소요시간</td><td>10</td></tr>
<tr><td>보통</td><td>1</td></tr>
<tr><td>소요시간의 5배</td><td>0.1</td></tr>
<tr><td>소요시간의 50배</td><td>0.01</td></tr>
<tr><td>불충분 정보</td><td>1</td></tr>
<tr><td rowspan="4">스트레스</td><td>극한</td><td>5</td></tr>
<tr><td>높음</td><td>2</td></tr>
<tr><td>보통</td><td>1</td></tr>
<tr><td>정보 불충분</td><td>1</td></tr>
<tr><td rowspan="4">복잡성</td><td>매우 복잡</td><td>5</td></tr>
<tr><td>비교적 복잡</td><td>2</td></tr>
<tr><td>보통 복잡</td><td>1</td></tr>
<tr><td>정보 불충분</td><td>1</td></tr>
<tr><td rowspan="4">경험/훈련</td><td>낮음</td><td>3</td></tr>
<tr><td>보통</td><td>1</td></tr>
<tr><td>높음</td><td>0.5</td></tr>
<tr><td>정보 불충분</td><td>1</td></tr>
<tr><td rowspan="5">절차</td><td>활용 불가능</td><td>50</td></tr>
<tr><td>불완전</td><td>20</td></tr>
<tr><td>부실</td><td>5</td></tr>
<tr><td>보통</td><td>1</td></tr>
<tr><td>정보 불충분</td><td>1</td></tr>
<tr><td rowspan="5">인간공학</td><td>사실상 없음</td><td>50</td></tr>
<tr><td>부실</td><td>10</td></tr>
<tr><td>보통</td><td>1</td></tr>
<tr><td>양호</td><td>0.5</td></tr>
<tr><td>정보 불충분</td><td>1</td></tr>
<tr><td rowspan="4">직무 적합성</td><td>부적격</td><td>1</td></tr>
<tr><td>훼손</td><td>5</td></tr>
<tr><td>보통</td><td>1</td></tr>
<tr><td>정보 불충분</td><td>1</td></tr>
<tr><td rowspan="4">작업 공정</td><td>부실</td><td>5</td></tr>
<tr><td>보통</td><td>1</td></tr>
<tr><td>양호</td><td>0.5</td></tr>
<tr><td>정보 불충분</td><td>1</td></tr>
</table>

각 요인이 직무에 적용되는 수준을 결정할 때에는 분석자 본인의 신중한 판단에 따

라 결정하여야 한다.

(5) 직무간 의존성의 영향을 계산하여 휴먼에러확률을 조정한다.

선행직무의 성공, 실패는 후행직무의 성공, 실패에 영향을 미칠 수 있다. 이것을 반영

하기 위하여 <표 3>과 같은 요령으로 기본휴먼에러확률(Basic Human Error

Probability; BHEP 또는 Basic Human Failure Probability; BHFP) 또는 인간행동

의 기본성공확률(Basic Human Success Probability; BHSP)를 조정하여 해당 직무

의 실패확률 즉 휴먼에러확률(Human Error Probability; HEP) 또는 인간행동의 성

공확률(Human Success Probability; HSP)을 결정한다.

<표 3> 직무간 의존성에 따른 휴먼에러확률의 조정

(NUREG/CR-1278)

| 성공성공 | 의존성 (Dependence) | 실패실패 |
| --- | --- | --- |
|  | 완전독립 (Zero Dependence) |  |
|    ×<br> | 저수준 의존 (Low Dependence) |    × <br> |
| ×<br> | 중수준 의존 (Moderate Dependence) | ×<br> |
|  <br> | 고수준 의존 (High Dependence) |  <br> |
| 1 | 완전의존 (Complete Dependence) | 1 |

(6) 최종적으로 직무수행 중의 휴먼에러확률을 계산한다.

각 가지 끝의 결과에 이르는 확률은 각 직무에 할당된 확률들을 곱하여 얻을 수 있

다.

이 때, 회복요인을 고려하는 경우에는 다음과 같은 관계를 이용하여 구할 수 있다.

<그림 4> 회복요인을 고려한 확률 계산 요령



     

	

    ⋯





# 

 

여기서  : 선행직무에 실패( )하고 후행직무에 성공()할 확률

 : 선행직무에 실패( )할 확률

 : 선행직무에 실패( )하고 후행직무에도 실패(  )할 확률

  : 후행직무의 회복 확률



휴먼에러의 최종 확률을 얻기 위해서는 사상수목에 있는 모든 실패경로의 확률

들을 합산한다. 모든 휴먼에러(실패)확률이 0.1 이하일 때에는, 모든 성공 가지

를 무시하고 주요 실패경로만의 확률을 합산하여 실패확률의 근사값을 구하기

도 한다.

(7) 끝으로, 검출되지 않은 휴먼에러의 영향까지 포함하여, 휴먼에러가 시스템이나

과정에 미치는 영향을 결정하고, 휴먼에러확률을 전체 시스템의 결함 사상 수목

에 입력하여 확률론적 안전성평가(PSA)를 수행하게 함으로써 THERP 분석은 종

료된다.

6. 장단점
6.1 장점

(1) 광범위한 분야에서 활용될 수 있으며, 실질적인 유효성도 높 아 실제로 많이 활

용되고 있다.

(2) 감사도 가능한 강력한 방법론이다.

(3) 디자인의 모든 단계에서 활용할 수 있다. 더욱이, 이미 시행된 디자인의 평가에

한정되지 않으며, 분석 수준의 상세 수준에 따라, 이 기법은 특정 대상 평가의

요구사항에 구체적으로 맞추어 조정될 수 있다.

(4) 투명하고, 구조적이며, 리스크 평가에서 고려되는 인적 요인들에 논리적 견해를

제공한다. 그러므로, 이 기법의 결과들은 직선적으로 검토될 수 있으며, 가정사항

들도 수정될 수 있다.

(5) 이 기법은 휴먼에러 회복을 강조하며, 다양한 행동 사이의 의존성을 정량적으로

모델링할 수 있는 독특한 방법론이다.

6.2 단점

(1) 많은 경우, 요구되는 분석수준의 상세함이 지나치다고 할 수 있다.

(2) 많은 자원을 필요로 하며, 많은 시간이 요구된다.

(3) 시나리오 모델링이나, 성능에 대한 행동형성요인의 영향에 대하여 기법이 충분한

지침을 제공하지 않는다.

(4) 개발

당시로부터 시간이 많이 지나서 사회적, 기술적 요인의 반영에 차이가 많

다.

(5) 개발 이후 수행된 여러 가지 수정 및 보완에도 불구하고, 분석내용이 특히 행동

의 생략에러와 실행에러에만 초점을 맞추고 있어서 휴먼에러확률에 대한 의문은

여전히 잔존한다.

(6) 분석 모델이 여전히 자극-개체-반응 개념에 기반하고 있으나, 이 개념은 이미 심

리학적으로 용인되지 않고 있다.

(7) 이 기법은 사업장의 조직적 요인을 포함하여, 작업자에게 휴먼에러를 유발시킬

수 있는 사업장의 전후 상황과 관련된 요인들을 고려하는 데 미흡하다.

(8) 기법 자체가 시스템 개선에 도움이 되지는 않는다. 다른 기법들에 비하여 상대적

으로 정교한 기법이 아니므로 고려되는 행동형성요인의 범위가 일반적으로 좁

으며, 휴먼에러의 잠재적인 원인들이 확인되어 있지 않다.

(9) 각 하위 직무들은 다른 모든 사상들로부터 독립이라고 가정한다. 이것은 사상수

목 내에 성공 경로 대안을 개입함으로써 회복된다기보다는, 휴먼에러로부터 회

복되는 우연성에 의하여 휴먼에러확률이 저감될 수 있다는 것을 의미한다.

(10) 이 기법은 인간신뢰도의 시간적 변화는 고려하지 않는다.

7. 적용상의 주의사항
(1) THERP는

시스템 데이터와 전문가 판단 모두에 근거한 휴먼에러확률(Human

Error Probabilities, HEPs)을 보유한 거대한 인간신뢰도 데이터베이스를 필요로

한다.

(2) 가능하면 시스템의 개선안을 추천하고 시스템 고장확률을 다시 계산하도록 한다. 일

단 인적 요인들의 영향을 알게 되면, 민감도 분석을 통해 휴먼에러확률이 저감되면

특정 리스크가 얼마나 개선될 수 있는가를 확인할 수 있다.

(3) 휴먼에러 회복 경로가 사상 수목에 포함되면, 휴먼에러가 얼마나 저감될 수 있는가

를 고려함으로써 가능한 대응 방법들을 고려할 때에 도움이 되기 때문이다.

<부록> 분석 사례

다음 그림은 감시작업을 맡은 동료 작업자가 이상 상황의 발생을 20분 이내에 확인한

후, 그 통보에 따라 운전원이 즉각적으로 대응하고, 그 결과를 관리감독자가 확인하는

단순한 과정을 THERP 기법을 이용하여 분석한 결과이다.

<그림 A.1> 단순한 작업분석 사례

원칙적으로 THERP 분석에 이용되는 확률값들은 모두 조건부 확률이어야 한다. 그러나,

현실적으로 적용할 수 있는 조건부 확률값들을 구하기 쉽지 않기 때문에, 통상 각 행위들

의 성패는 상호독립적(mutually independent)이라고 가정하는 것이 보통이다.

이 가정 하에 그림과 같은 작업절차의 대응 확률은 다음과 같은 계산과정을 거쳐 얻을

수 있다.

   ×    ×   



   ×  ×    ×  ×    × 

≅ 

    

××××



따라서, 이상 상황에 대하여 적절히 대응할 수 있는 확률과, 적절히 대응할 수 없는 확률은

최종적으로 각각 다음과 같다.



 

         

 
```
