신규 원전의 EMC: 디지털 계측제어, RG 1.180, IEC 62003

미국과 서유럽에서 수십 년 만에 지어진 신규 원자로들에는 기존 원전이 처음 가동할 때 없던 공통점이 있습니다. 입력 카드부터 화면 기반 주제어실까지 계측제어(I&C)가 디지털이라는 점입니다. 이 때문에 전자기 적합성(EMC)의 의미가 달라집니다. 아날로그 발전소에서 간섭은 주로 지시값이 흔들리는 문제였지만, 디지털 발전소에서는 교란 하나가 프로세서를 리셋하거나 통신 메시지를 깨뜨리거나 안전 계통의 오작동을 일으킬 수 있습니다.

신규 원전 현황

최근 서방의 신규 원전은 두 가지 노형을 씁니다. 미국은 Westinghouse AP1000, 유럽은 EPR입니다. 두 노형 모두 아날로그 구조에 디지털 장비를 덧붙인 것이 아니라 처음부터 마이크로프로세서 기반의 보호·제어 계통으로 설계되었습니다.

디지털 계측제어에서 EMC가 안전 문제가 되는 이유

아날로그 보호 채널은 보통 서서히 나빠집니다. 간섭은 트립 비교기에 잡음이나 오프셋을 더할 뿐이고, 오차는 교란의 크기에 따라 커집니다. 디지털 장비는 다르게 고장 납니다. 손상 한계보다 훨씬 낮은 빠른 과도 현상도 오동작을 일으킬 수 있고, 그 결과는 교란의 크기와 상관이 없습니다.

• 리셋 또는 정지(lock-up): 전원이나 I/O 포트의 버스트가 클럭이나 리셋 신호를 교란합니다. 워치독이 채널을 운전에서 빼거나, 설계가 나쁘면 채널이 마지막 출력에서 멈춰 버립니다.
• 데이터 오류: 캐비닛 사이나 계열(division) 사이 통신 링크의 프레임이 깨집니다. 반드시 검출해 버려야 하며, 그 데이터로 동작해서는 안 됩니다.
• 오작동(spurious actuation): 디지털 입력의 상태가 잘못 읽히면 펌프가 기동하거나 밸브가 움직일 수 있고, 안전 계통에서는 그 자체가 분석해야 할 사건입니다.
• 공통 원인 고장: 다중화된 계열은 흔히 같은 하드웨어 플랫폼을 씁니다. 공유 전원의 개폐 과도 현상이나 복도의 휴대용 무전기처럼 교란 하나가 모든 계열에 동시에 영향을 주면 다중화가 안전 기능을 지켜 주지 못합니다.

발전소 운전 경험에는 휴대용 무전기, 정비 기간의 용접, 대용량 부하 개폐 때문으로 추정되는 잘못된 신호 사례가 있습니다. 그래서 규제기관은 EMC를 시장 출시 요건으로만 보지 않고 환경 검증·내진 검증과 함께 기기 검증(equipment qualification)의 일부로 다룹니다.

주요 요구 문서

NRC Regulatory Guide 1.180 (미국)

RG 1.180(Guidelines for Evaluating Electromagnetic and Radio-Frequency Interference in Safety-Related Instrumentation and Control Systems)은 안전 관련 계측제어의 EMI/RFI 적합성을 보이는 방법 가운데 NRC가 수용할 수 있다고 보는 방법을 설명합니다. 새로운 시험을 만들지 않고 MIL-STD-461 시험 방법(예: CE101, CE102, RE101, RE102, CS114, CS115, CS116, RS101, RS103), 이를 대신할 수 있는 IEC 61000-4 방법, 서지용 IEEE C62.41·C62.45를 인용하고, 이들과 함께 쓸 방출 한도와 시험 레벨을 제시합니다. 접지와 설치 관행은 IEEE Std 1050을 인용하고, 휴대용 송신기는 접근 제한 구역(exclusion zone)으로 다룹니다.

IEC 62003 (국제 원전 계측제어 규격)

IEC 62003은 SC 45A 분과위원회가 만든 규격으로, 원전의 안전 중요 계측제어 기기에 대한 EMC 시험 요구사항을 정합니다. 상용 제품에서 익숙한 IEC 61000-4 내성 시험 방법과 CISPR 방출 시험 방법을 쓰지만, 시험 레벨은 발전소 환경에 맞춰 고르고 판정 기준은 안전 기능과 연결하도록 요구합니다. IEC 61513(안전 계측제어의 계통 수준 요구사항), IEC 61226(계측제어 기능의 등급 분류)과 함께 SC 45A 규격 체계에 속하며, 유럽 대부분처럼 IEC 원자력 규격을 따르는 인허가에서 흔히 인용됩니다.

IEC 61000-6-5 (발전소·변전소 환경)

IEC 61000-6-5는 TC 77이 만든 발전소·변전소용 기기의 공통(generic) 내성 규격입니다. 원전 전용이 아니고 내성만 다루지만, 고압 개폐에서 생기는 전형적인 교란을 포함해 발전소의 전자기 환경을 포트 종류와 설치 위치별로 설명합니다. 보조 계통(BOP) 기기와 전용 제품 규격이 없는 기기에 쓸모 있고, 안전 계통에 고른 시험 레벨이 발전소 일반 환경보다 낮지 않은지 교차 확인하는 데도 씁니다.

무엇을 시험하고 무엇을 모사하는가

원전 시험이 상용 시험과 가장 크게 다른 곳은 판정 기준입니다. IEC 61000-6-2 같은 상용 내성 규격은 많은 과도 현상 시험에서 스스로 회복되는 일시적 기능 상실을 허용합니다. 안전 기능에는 보통 이것이 허용되지 않습니다. 시험 계획은 대개 안전 출력의 상태가 바뀌지 않을 것, 자기진단은 고장을 보고할 수 있지만 의도하지 않은 트립을 일으켜서는 안 될 것, 통신 오류는 검출될 것을 요구합니다. 기기는 응용 소프트웨어가 실행되는 대표 구성으로 시험하고, 모든 안전 출력과 통신 링크를 시험 뒤에 확인하는 것이 아니라 인가하는 동안 계속 감시합니다.

발전소에서 효과가 있는 설계 대책

• 다중 계열 사이, 그리고 안전 계통과 비안전 계통 사이의 광섬유 링크. 공통 모드 과도 현상의 도전성 경로를 없애고 계열 간에 요구되는 전기적 격리를 돕습니다.
• 종류별 케이블 분리. 저레벨 아날로그 신호, 디지털 통신, 전력 케이블을 서로 다른 트레이에 깔거나 분리 거리를 문서로 정하면, IEEE Std 384가 요구하는 안전 계열 간 물리적 독립성에도 도움이 됩니다.
• 캐비닛 입구에서 차폐 종단. 케이블 차폐는 피그테일 대신 글랜드 플레이트에서 360° 본딩하고, 발전소 접지 개념(예: IEEE Std 1050 기준)은 한 번 정해 일관되게 적용합니다.
• 캐비닛 경계에서 보호. 입구의 서지 보호 장치와 필터가 과도 현상을 로직 보드에 닿기 전에 우회시키게 하고, 전자 회로 깊숙한 곳의 보호에 기대지 않습니다.
• 페일 세이프 동작, 워치독, 다양성. 예를 들어 AP1000에는 다양성 작동 계통(diverse actuation system)이 있어, 주 보호 플랫폼에 공통 원인 고장이 나도 모든 보호 기능이 사라지지 않습니다.

설계 검토 때는 간단한 추정 두 가지가 쓸모 있습니다. 출력을 아는 휴대용 무전기가 주어진 거리에서 얼마의 전계 강도를 만드는지(합리적인 접근 제한 거리를 정하는 근거)와, 시험실에서 검증된 전계 강도를 재현하는 데 필요한 증폭기 출력입니다. 캐비닛 차폐를 대책으로 내세운다면 가정하지 말고 삽입 손실 측정으로 확인해야 합니다.

흔한 실수와 한계

• CE 마킹이 있는 산업용 제품이면 이미 검증되었다고 가정하는 것. 그 시험 성적서는 상용 레벨과 판정 기준을 보여 줄 뿐이고, 원전 시험 계획은 다른 레벨, 더 넓은 주파수 범위, 더 엄격한 성능 기준을 요구할 수 있습니다.
• 카드 한 장만 책상 위에서 시험하는 것. 케이블 길이, 접지, 소프트웨어 부하가 결과를 바꾸므로 시험 구성은 실제 설치 구성과 같아야 하고, 다르면 그 차이를 정당화해야 합니다.
• 발전소가 계속 바뀐다는 점을 잊는 것. 새 가변속 드라이브, 무선 네트워크, 경로를 바꾼 케이블은 환경을 바꿉니다. 설비 변경에는 EMC 검토가 필요하고, 현장 측정으로 가정한 환경을 확인하면 도움이 됩니다.
• EMC를 마지막 시험으로만 보는 것. 분리, 접지, 캐비닛 배치는 발전소 설계 초기에 굳어지므로, 사업 후반에 발견된 불합격은 상용 제품보다 훨씬 많은 비용을 들여야 고칠 수 있습니다.