SEcMS 멀티테넌트 SaaS — 조선소·부서·사용자 3계층 권한 관리

조선소 전기 설비에 SaaS형 SEcMS를 도입하면 권한 관리 미비로 인한 설계 변경 누락·시공 오류가 빈번히 발생한다. 특히 부서·사용자·조선소별 접근 제한이 없으면 BOM 변경 시 비용 초과와 인증 지연이 일어난다. 따라서 3계층 권한 구조를 명확히 설계·운영해야 한다.

문제정의·목표설정

SEcMS(Ship‑Electrical‑Control‑Management‑System)를 멀티테넌트 SaaS 형태로 운영할 경우, 조선소‑Admin, 부서‑Manager, 사용자‑Operator 3계층 권한이 제대로 구분되지 않으면 설계·시공·검증 단계에서 다음과 같은 리스크가 발생한다.

① 설계 데이터 무단 변경 → IEC 61537·60092 기준에 맞지 않는 케이블 라우팅이 반영돼 전압강하·충전율 초과 위험이 발생한다. 특히 DNV‑GL Rule 2‑4‑03‑01‑04에서는 “설계 변경은 승인된 권한자만 수행”을 명시하고 있다.

② 시공 단계에서 부적절한 트레이 충전·배선 간격 미준수 → 선급(ABS·KR·BV) 검사 시 “배선 충전율 70 % 초과”라는 비합격 사유가 즉시 발생한다. 이는 재작업 비용을 15 %~25 % 정도 증가시킨다(국내 대형 조선소 사례).

③ 검증·시험 기록 위조·누락 → IEC 60364‑4‑41(전기설비 시험) 요구사항 중 “시험 결과는 권한이 있는 사용자만 기록·수정 가능”을 위반하게 된다. 결과적으로 선급 인증 지연·추가 시험 비용이 2 천만원 이상 발생할 수 있다.

목표는 3계층 권한을 명확히 정의하고, 각 권한별 검증 요소를 시스템에 매핑해 위 리스크를 0 %에 가깝게 억제하는 것이다.

• 조선소‑Admin 권한이 없는 계정이 설계 데이터(케이블 사양·트레이 배치)를 수정했는가? → 0 건 확인
• 부서‑Manager가 승인하지 않은 시공 변경(충전율·전압강하) 기록이 있는가? → 0 건 확인
• 사용자‑Operator가 시험 결과를 수정·삭제한 로그가 존재하는가? → 0 건 확인

원리·역할기반접근제어(RBAC) 설계

RBAC(Role‑Based Access Control)는 권한을 “역할” 단위로 정의하고, 사용자를 해당 역할에 매핑함으로써 최소 권한 원칙을 구현한다. SEcMS 멀티테넌트 환경에서는 다음과 같은 3계층 역할을 설정한다.

각 역할에 대한 권한 매트릭스는 “읽기(Read)·쓰기(Write)·승인(Approve)·삭제(Delete)” 네 가지 액션을 축으로 3×4 매트릭스로 정의한다. 예를 들어, 부서‑Manager는 설계 데이터에 Write와 Approve 권한이 있지만 Delete는 금지한다.

시스템 구현 시, 역할‑권한 매핑은 데이터베이스 테이블 role_permission에 저장하고, API 호출 시 JWT 토큰에 포함된 역할 정보를 검증한다. 이렇게 하면 권한 위반 시 403 Forbidden 응답을 즉시 반환한다.

• 역할 정의(조선소‑Admin/부서‑Manager/사용자‑Operator)가 정확히 3개인지 확인 → 3개
• 권한 매트릭스 행·열 수가 3×4(12)인지 검증 → 12개
• JWT 토큰에 역할 클레임이 포함되고, 검증 로직이 적용됐는가? → 적용 확인

기준·규격·검증요소 정의

멀티테넌트 3계층 권한에 따라 적용되는 주요 전기·배선 기준은 다음과 같다.

특히 IEC 61537 §4.3에서는 “트레이 충전율은 70 % 이하, 90 % 이하는 비상 상황에만 허용”이라고 명시한다. IEC 60092‑1‑303 §5.2는 “전압강하는 설계 전압의 5 %를 초과하면 안 된다”는 기준을 제시한다. 이러한 규격은 권한별 검증 로직에 직접 매핑되어, 권한이 낮은 사용자는 해당 항목을 조회·입력만 가능하고, 승인·수정은 상위 역할만 가능하도록 설계한다.

• 조선소‑Admin이 적용받는 규격이 IEC 61537·DNV‑GL Rule 2‑4‑03‑01‑04인지 확인 → 적용
• 부서‑Manager 전압강하 허용값이 5 % 이하인지 검증 → 5 % 이하
• 사용자‑Operator 입력 데이터에 타임스탬프가 자동 기록되는가? → 자동 기록

계산예제·충전율·전압강하·곡률반경

예제는 10 kV 배전 시스템에 4 mm² 구리 전선 3코어를 150 m 구간에 배치하고, 트레이 내부 유효 단면적을 200 mm²로 가정한다. 부서‑Manager 권한으로 전압강하와 충전율을 검증한다.

1. 충전율 계산
   충전율(%) = Σ(케이블 단면적) / 트레이 유효단면 × 100
   Σ(케이블 단면적) = 3 × 4 mm² = 12 mm²
   충전율 = 12 mm² / 200 mm² × 100 = 6 %
2. 전압강하 계산 (IEC 60092‑1‑303 식)
   ΔV = √3·I·L·(R·cosφ + X·sinφ)
   가정: I = 150 A, L = 150 m, cosφ = 0.9, sinφ = 0.435, R = 0.018 Ω/km, X = 0.032 Ω/km
   R·L = 0.018 Ω/km × 0.15 km = 0.0027 Ω
   X·L = 0.032 Ω/km × 0.15 km = 0.0048 Ω
   ΔV = 1.732 × 150 A × (0.0027·0.9 + 0.0048·0.435) = 1.732 × 150 × (0.00243 + 0.00209) = 1.732 × 150 × 0.00452 ≈ 1.17 kV
3. 전압강하 비율
   설계 전압 10 kV → 허용 ΔV ≤ 5 % × 10 kV = 0.5 kV
   실제 ΔV 1.17 kV > 0.5 kV → 비허용 → 부서‑Manager 승인 불가
4. 곡률반경 검증 (IEC 61537 §5.4)
   전선 외경 D = 6 mm → 최소 곡률반경 = 4 D = 24 mm, 권장 12 D = 72 mm
   설계 곡률반경 60 mm → 4 D(24 mm) 초과, 12 D(72 mm) 미만 → 허용 범위(4~12 D) 내

결과는 충전율 6 %(규격 70 % 이하)와 곡률반경 60 mm(4~12 D) 모두 통과하지만, 전압강하 1.17 kV가 허용 한도 0.5 kV를 초과하므로 부서‑Manager는 설계 변경(전선 굵기 증대·구간 단축 등) 요청을 해야 한다.

• 충전율 ≤ 70 %인지 확인 → 6 % (통과)
• 전압강하 비율 ≤ 5 %인지 확인 → 11.7 % (불통과)
• 곡률반경이 4D~12D(24~72 mm) 내인지 확인 → 60 mm (통과)
• 불통과 항목에 대해 부서‑Manager가 승인 요청 워크플로우를 시작했는가? → 워크플로우 기록 확인

절차·체크리스트·권한부여 흐름

SEcMS 멀티테넌트 SaaS에서 조선소·부서·사용자 3계층 권한을 관리하려면 “요청 → 검토 → 승인 → 배포 → 감사” 5단계 프로세스를 일관되게 적용해야 한다. 각 단계는 IEC 60092‑1 §5.2‑13(전기 설비 변경 절차)와 DNV‑GL Rule A‑102 ‘Change Management’를 기준으로 설계한다.

1) 요청 – 현장 엔지니어는 권한 추가·수정·삭제 사유와 영향을 받는 시스템(예: 전력 배전, 제어 네트워크)을 REQ‑ID와 함께 전자 양식에 기록한다. 사전 정의된 ‘권한 카테고리(조선소, 부서, 사용자)’와 ‘작업 위험도(낮음·보통·높음)’를 선택한다. 위험도가 ‘높음’이면 IEC 61508 §4.4‑2에 따라 기능안전 검증이 선행돼야 한다.

2) 검토 – 시스템 관리자는 요청을 검토하면서 다음 항목을 확인한다.

• 요청 내용이 사내 표준 S970‑01 ‘권한 관리 지침’에 부합하는가
• 대상 객체가 IEC 60364‑4‑41 ‘전력 설비 보호’와 충돌하지 않는가
• 변경 후 전압강하·전류부하가 IEC 61537‑3 ‘케이블 트레이 충전율 ≤ 80 %’를 초과하지 않는가

3) 승인 – 부서장·품질관리(QA)·안전팀이 공동 승인한다. 승인 시 APP‑ID와 승인 일자를 시스템에 기록하고, DNV‑GL Rule A‑102‑1‑3에 따라 ‘승인 로그’에 서명(디지털 서명)한다.

4) 배포 – 승인된 권한은 자동 스크립트(AWS Lambda or Azure Function)로 각 테넌트 데이터베이스에 반영한다. 배포 완료 시 DEP‑TS 타임스탬프와 배포 대상 리스트를 로그에 남긴다. IEC 60331‑1 ‘전기 설비 배포 시 검증 절차’를 따르며, 배포 전후에 ‘권한 일관성 검사’를 실행한다(예: 동일 사용자에게 중복 권한이 없는지).

5) 감사 – 매월 말 QA팀은 ‘권한 변경 감사 보고서’를 생성한다. 보고서는 IEC 60092‑1 §5.3‑9에 명시된 ‘변경 이력 보관 기간 5년’ 기준으로 최소 12개월 전 데이터까지 검토한다.

• 요청 양식에 REQ‑ID와 위험도(1‑3) 입력 여부: 반드시 1 이상
• 검토 단계에서 IEC 61508 기능안전 검증 필요 여부 판단: 위험도 = 3이면 1회 이상
• 승인 로그에 디지털 서명 포함 여부: 100 %
• 배포 자동화 스크립트 성공률: ≥ 99 %
• 감사 로그 보관 기간: ≥ 60 개월

검증 포인트·로그·대시보드

권한 변경이 실제 전력 설비에 미치는 영향을 실시간으로 파악하려면 로그와 대시보드 설계가 핵심이다. IEC 60092‑1 §5.4‑2는 ‘모든 전기 설비 변경 로그는 최소 1 초 단위 타임스탬프와 변경자 ID’를 요구한다. 이를 기반으로 다음 요소를 구축한다.

1) 권한 변경 로그 – 로그 구조는 {timestamp, userID, tenantID, objectID, action, before, after, approverID} 형태이며, 로그는 Elasticsearch 7.x에 저장한다. 로그 보관은 DNV‑GL Rule A‑102‑1‑4에 따라 5년 이상 암호화 보관한다.

2) 설계 검증 로그 – 권한이 전압강하·전류부하에 미치는 영향을 자동 계산한다. 예를 들어, 새롭게 부여된 ‘전력 배전’ 권한이 150 kW 부하를 추가한다고 가정하고 IEC 60364‑4‑41 ‘전압강하 ≤ 5 %’ 기준을 검증한다.

1. 부하 전류 I = P / (√3·U·cosφ) = 150 kW / (√3·660 V·0.85) ≈ 156 A
2. 케이블 저항 R = 0.12 Ω/km, 인덕턴스 X = 0.08 Ω/km, 길이 L = 250 m
3. 전압강하 ΔV = √3·I·L·(R·cosφ + X·sinφ) = 1.732·156·0.25·(0.12·0.85 + 0.08·0.53) ≈ 9.3 V
4. ΔV 비율 = ΔV / U × 100 = 9.3 / 660 × 100 ≈ 1.41 % (규격 5 % 이하 충족)

검증 결과는 VER‑LOG에 저장하고, 이상 발생 시 Slack·Teams 알림을 자동 전송한다.

3) 실시간 대시보드 – Grafana 8.x를 활용해 다음 위젯을 구성한다.

• 권한 변경 현황(일/주/월): 총 요청 수, 승인 대기 수, 배포 완료 수
• 전압강하 경고: ΔV > 5 %인 경우 빨간색 경고 표시
• 로그 인덱스 상태: Elasticsearch 색인 용량·검색 지연
• 감사 추적: 최근 30일 내 권한 충돌·중복 발생 건수

대시보드 화면은 ‘전체 테넌트’와 ‘선택 테넌트’ 두 레이어로 나누어, 조선소 전체와 개별 부서별 위험도를 한눈에 파악한다. 모든 지표는 IEC 60364‑4‑44 ‘전력 설비 성능 모니터링’ 권고값을 기준으로 색상 구분한다.

• 로그 타임스탬프 정확도: ±1 s 이내
• 전압강하 검증 자동 실행 빈도: ≥ 1 회/시간
• 대시보드 업데이트 지연: ≤ 30 s
• 로그 보관 암호화 수준: AES‑256 이상
• 알림 전송 성공률: ≥ 98 %

실무 팁·문제해결 전략

멀티테넌트 환경에서 권한 충돌은 설계 오류와 운영 중단을 초래한다. 아래 전략은 DNV‑GL Rule A‑102‑1‑5 ‘권한 충돌 방지’와 IEC 61537‑5 ‘케이블 트레이 충전율 관리’를 실무에 적용한 사례이다.

1) 권한 충돌 방지

• 권한 매트릭스(조선소 × 부서 × 사용자)를 CSV → DB 자동 동기화한다. 매트릭스에 중복(동일 사용자에게 동일 권한 두 번 부여) 여부를 검사하는 스크립트를 매 5 분마다 실행한다.
• 충돌 발견 시 CONFLICT‑ID를 생성하고, 자동으로 담당 부서장에게 이메일·SMS 알림을 보낸다.
• 충돌 해결 프로세스는 ‘검토 → 재승인 → 재배포’ 3단계로 제한한다. 재승인 시 기존 로그를 ‘취소’ 상태로 전환하고 새 로그를 생성한다.

2) 자동 알림 설정

• 권한 변경이 전압강하 4 % 이상을 초과하거나 트레이 충전율 75 %를 초과하면 AWS SNS or Azure Event Grid를 통해 실시간 알림을 전송한다.
• 알림 템플릿에 IEC 61537‑3 ‘충전율 ≤ 80 %’와 DNV‑GL Rule A‑102‑1‑6 ‘알림 기록 보관’을 명시한다.
• 알림 로그는 ALERT‑LOG에 저장하고, 월간 보고서에 자동 집계한다.

3) DNV‑GL 인증 대비 체크 포인트

• 권한 관리 SOP(Standard Operating Procedure)가 DNV‑GL ‘Quality Management System’에 포함되어 있는가? 포함되지 않으면 SOP를 문서화하고, 내부 감사를 통해 100 % 적용 여부를 검증한다.
• 권한 변경 후 전압강하·전류부하 검증 결과가 IEC 60364‑4‑41 ‘전압강하 ≤ 5 %’를 만족하는지 자동 보고서로 출력한다.
• 트레이 충전율이 IEC 61537‑3 ‘80 %’를 초과하면 설계 변경 요청을 자동 생성한다.

실무 적용 예시: A조선소 전력 배전 부서에서 신규 전동기 200 kW를 설치하면서 권한 부여 요청이 들어왔다. 자동 검증 스크립트는 전압강하 4.2 %와 충전율 78 %를 계산해 승인 가능으로 표시했으며, 알림은 없었다. 결과적으로 설계 변경 없이 바로 배포가 완료되었다.

• 권한 매트릭스 중복 검사 주기: ≤ 5 분
• 전압강하 알림 임계값: ≥ 4 %
• 트레이 충전율 알림 임계값: ≥ 75 %
• DNV‑GL SOP 적용률: 100 %
• 알림 로그 보관 기간: ≥ 36 개월

요약

조선·해양 전기 설비에서 3계층(조선소·부서·사용자) 권한 관리는 IEC 60092‑1, IEC 60364, IEC 61537, IEC 61508 및 DNV‑GL·LR·ABS 등 선급 규칙을 기반으로 프로세스·검증·대시보드·알림을 일원화해야 한다.

위 표와 체크리스트를 기준으로 권한 관리 프로세스를 실행하면, 설계 변경 시 전압강하·전류부하 초과, 트레이 과충전, 권한 충돌 등 주요 위험을 사전에 차단할 수 있다. 또한, 로그·대시보드·알림 체계가 DNV‑GL 인증 요구사항을 충족하므로 감사 시 별도 보완 작업이 최소화된다. 실무자는 본 체크리스트를 일일·주간·월간 운영 일정에 포함시켜, 3계층 권한 관리의 일관성과 안전성을 확보한다.

실무 Q&A