증기 급증을 막으려고 둔 제한기(Limiter)가 보호계통(Protection)을 발동시켰습니다. 제한 기능의 설정값 입력에는 보호 기능과 같은 등급의 검증 인터락이 필요합니다.
결론. 원자력안전위원회는 2026년 9월 4일 새울3호기의 잔여 시운전을 위한 재가동을 승인했습니다. 지난 8월 11일 자동정지의 원인은 설비 고장이 아니라, 원자로 출력 80% 상태에서 송전을 차단하는 시운전 시험 중 33.9%까지 낮아진 출력을 복구하는 과정에서 운전원이 터빈제어밸브 위치제한기(Turbine Control Valve Position Limiter)의 설정값(Setpoint)을 밸브가 닫히는 방향으로 잘못 입력한 인적오류(Human Error)였습니다. 한수원의 재발방지대책은 절차서 보완과 특별교육입니다. 전장·제어 설계 시점에서 덧붙일 것은 하나입니다 — 절차서는 소프트 배리어(Soft Barrier)이고, 설정값 입력 단계의 방향 검증·변화율 제한·시험 모드 잠금은 하드 배리어(Hard Barrier)입니다. 후자를 HMI와 제어기 로직에 넣어야 같은 입력 필드에서 같은 실수가 반복되지 않습니다. 단, 이 인터락은 원자로보호계통(RPS, Reactor Protection System)의 하드웨어 트립을 대체하거나 우회하는 것이 아니라, 그 앞단에서 트립 원인을 줄이는 계층입니다.
이투뉴스가 2026년 9월 4일 전한 원안위 조사결과에 따르면, 위치제한기는 터빈제어밸브 열림 상한치를 설정해 터빈으로 들어가는 증기의 양이 급격하게 증가하는 것을 막는 역할을 합니다. 당시 운전원은 예상치 못한 터빈발전기 출력 변동을 제한하기 위해 설정값을 입력하는 과정에서 밸브가 닫히는 방향으로 값을 잘못 입력했습니다. 정지 과정에서 비상디젤발전기(EDG, Emergency Diesel Generator)가 안전모선에 투입되고 필수냉동기 4대 중 1대가 수동기동된 사실도 사건조사 과정에서 확인됐으며, 규제당국은 한수원의 조치가 적절했는지를 함께 점검했습니다. 한수원은 터빈제어밸브 위치제한기 조작 시 재확인하도록 절차서를 보완하고 모든 원전 운전원을 대상으로 사례를 공유했습니다.
현장에서 흔히 지나치는 관찰이 하나 있습니다. 출력이 80%에서 33.9%로 떨어진 뒤 복구하는 구간은 과도상태(Transient)라 운전원이 가장 서두르는 구간입니다. 직관적으로는 이런 구간에서 조작을 빠르게 열어줘야 할 것 같지만, 제어 설계 관점에서는 정반대입니다 — 과도상태일수록 설정값 입력 검증을 더 엄격하게(더 느리게) 걸어야 합니다. 정상운전 중의 오입력은 완만한 출력 변화로 끝나지만, 과도상태 중의 오입력은 곧바로 보호계통 동작 조건에 닿기 때문입니다.
전제 조건(동작 타임차트 기준): T0 원자로 출력 80%에서 송전차단 시험 개시 → T1 출력 33.9% 도달 → T2 출력 복구를 위한 위치제한기 설정값 입력 → T3 설정값이 닫힘 방향으로 오입력됨 → T4 원자로 자동정지 → T5 EDG 안전모선 투입·필수냉동기 1대 수동기동. 각 시점 사이의 시간 간격(ms 또는 s), 당시 밸브 개도(%) 실측값, 정지를 발동한 구체적 보호 변수(터빈 트립 신호인지 원자로 열출력 불일치인지)는 기사에 없으므로 확인 필요 항목입니다. 아래 인터락 로직은 이 타임차트의 T2~T3 구간, 즉 설정값 입력 단계만을 대상으로 합니다.
안전 인터락 확인 순서 (최우선)
- RPS·터빈 트립 하드웨어 경로 독립 확인 — 아래의 어떤 설정값 검증 로직도 원자로보호계통 트립 신호와 EMO 회로를 지연·차단·우회하지 않아야 합니다. 검증 로직은 HMI와 터빈제어기 사이의 입력 수락(ACCEPT) 단계에만 존재하고, 보호계통은 그 결과와 무관하게 동작합니다.
- 설정값 방향 검증 — 새 설정값이 현재 밸브 개도 피드백(LVDT, Linear Variable Differential Transformer)보다 낮으면 ‘닫힘 방향’ 플래그를 세우고, 운전원 확인 팝업과 2인 확인(Two-Person Confirmation) 접점이 모두 들어와야 수락합니다.
- 변화율 제한 — 1회 입력당 허용 개도 변화폭(%)과 램프율(%/s)에 상한을 둡니다. 구체 수치는 제작사 터빈제어 사양과 발전소 절차서로 결정해야 하며, 본문에서는 예시값으로만 표기합니다.
- 시험 모드 연동(Permissive) — 송전차단 시험처럼 정의된 시험 모드가 활성인 동안에는 위치제한기 설정값 변경 자체를 잠그고, 변경이 필요하면 시험 모드를 먼저 해제하도록 순서를 강제합니다.
- EDG 안전모선 투입 신호 감시 — 원자로 정지 시 EDG 자동기동·안전모선 투입은 별도의 안전등급 로직이며, 이번 인터락에서는 상태 감시(Read-Only)만 합니다.
위치제한기 설정값 검증 I/O 맵
| 신호명 | I/O 어드레스 | 타입 | 동작 조건 |
|---|---|---|---|
| 터빈제어밸브 개도 피드백 | AI501 | Analog In (0~100%) | LVDT 2중화 신호, 방향 판정 기준값 |
| 원자로 출력 | AI502 | Analog In (0~100%) | 80%→33.9% 과도구간 판정, 변화율 제한 강화 조건 |
| 발전기 출력 | AI503 | Analog In (MW) | 출력 변동 감시, 경보 판정 보조 |
| 송전차단 시험 모드 | DI501 | Digital In | ON이면 설정값 변경 잠금(Permissive 미충족) |
| 2인 확인 키스위치 | DI502 | Digital In | 닫힘 방향 입력 시 필수, 펄스 유효시간 내 확인 |
| RPS 트립 상태 | DI503 | Digital In (Read-Only) | 기록·표시 전용, 로직 개입 없음 |
| EDG 안전모선 투입 상태 | DI504 | Digital In (Read-Only) | 기록·표시 전용, 로직 개입 없음 |
| 위치제한기 설정값 입력 | HMI_SP501 | HMI Setpoint (0~100%) | 운전원 입력값, 수락 전까지 제어기에 미반영 |
| 설정값 수락 | DO501 | Digital Out | 모든 검증 통과 시 ON, 제어기로 설정값 전달 |
| 입력 거부 경보 | DO502 | Digital Out | 방향·변화율·모드 검증 중 하나라도 실패 시 ON |
이 I/O 맵의 시사점은 분명합니다. 사고를 만든 것은 밸브도 보호계통도 아니라 HMI_SP501 한 칸이었고, 그 한 칸에 AI501과 DI501이라는 두 개의 기존 신호를 비교 조건으로 붙이기만 해도 닫힘 방향 오입력은 수락 단계에서 걸러집니다.
PLC 로직 스니펫 (IEC 61131-3 Structured Text 의사코드)
(* 터빈제어밸브 위치제한기 설정값 검증 인터락 - HMI 수락 단계 전용 *)
(* 주의: RPS/터빈 트립/EMO 하드웨어 경로와 무관하게 동작, 우회 불가 *)
(* AI501: 밸브 개도 피드백 %, AI502: 원자로 출력 %, DI501: 시험 모드 *)
(* DI502: 2인 확인 키스위치, HMI_SP501: 운전원 입력 설정값 % *)
VAR
AI501_VALVE_POS_FB : REAL; (* 현재 밸브 개도 % *)
AI502_RX_POWER : REAL; (* 원자로 출력 % *)
DI501_TEST_MODE : BOOL; (* 송전차단 시험 모드 *)
DI502_TWO_PERSON_KEY : BOOL; (* 2인 확인 접점 *)
HMI_SP501_LIMITER_REQ : REAL; (* 운전원 입력값 % *)
SP_LIMITER_ACTIVE : REAL; (* 제어기 반영 설정값 % *)
DO501_SP_ACCEPT : BOOL;
DO502_SP_REJECT_ALM : BOOL;
CLOSE_DIR_FLAG : BOOL;
DELTA_MAX_NORMAL : REAL := 10.0; (* 예시값, 제작사 사양 확인 필요 *)
DELTA_MAX_TRANSIENT : REAL := 3.0; (* 예시값, 과도상태 강화값 *)
DELTA_LIMIT : REAL;
TRANSIENT_FLAG : BOOL;
END_VAR
(* 1. 과도상태 판정: 출력이 정격 대비 급감한 구간이면 변화율 제한 강화 *)
TRANSIENT_FLAG := (AI502_RX_POWER < 50.0);
IF TRANSIENT_FLAG THEN
DELTA_LIMIT := DELTA_MAX_TRANSIENT;
ELSE
DELTA_LIMIT := DELTA_MAX_NORMAL;
END_IF;
(* 2. 방향 판정: 요청값이 현재 개도보다 낮으면 닫힘 방향 *)
CLOSE_DIR_FLAG := (HMI_SP501_LIMITER_REQ < AI501_VALVE_POS_FB);
(* 3. 수락 조건: 시험 모드 OFF, 변화폭 상한 이내, 닫힘 방향이면 2인 확인 필수 *)
DO501_SP_ACCEPT := NOT DI501_TEST_MODE
AND (ABS(HMI_SP501_LIMITER_REQ - AI501_VALVE_POS_FB) <= DELTA_LIMIT)
AND (NOT CLOSE_DIR_FLAG OR DI502_TWO_PERSON_KEY);
(* 4. 수락 시에만 제어기 설정값 갱신, 아니면 거부 경보 *)
IF DO501_SP_ACCEPT THEN
SP_LIMITER_ACTIVE := HMI_SP501_LIMITER_REQ;
DO502_SP_REJECT_ALM := FALSE;
ELSE
DO502_SP_REJECT_ALM := TRUE; (* 거부 사유는 HMI 메시지로 별도 표시 *)
END_IF;
(* RPS 트립(DI503), EDG 투입(DI504)은 본 로직에서 읽기 전용 - 어떤 분기도 두지 않음 *)경계 조건 — 현장 변수 대응
이 인터락의 유리함이 뒤집히는 지점은 명확합니다. 닫힘 방향 입력을 ‘차단’으로 설계하면, 실제로 급감발(Load Runback)이 필요한 상황에서 운전원 조작이 지연돼 오히려 위험해집니다. 그래서 위 로직은 닫힘 방향을 차단하지 않고 ‘확인’을 요구하는 구조이며, 제작사 터빈제어기에 이미 들어 있는 자동 급감발 시퀀스와 충돌하지 않는지는 반드시 시운전 단계에서 파형 분석 및 실측으로 확인해야 합니다. 새울3호기의 실제 제어 로직 상세, 당시 밸브 개도 실측값, 정지를 발동한 보호 변수는 공개되지 않았으므로 본문 수치는 예시이고 확인 필요 항목으로 남깁니다. 참고로 원안위는 2027년 1월부터 운전 중에도 안전성을 검사하는 원전 상시검사 제도를 시행할 예정이며(머니투데이 2026-09-01), 이런 설정값 검증 이력은 상시검사에서 요구될 가능성이 있는 기록 항목입니다.
참고자료
이투뉴스, “새울3호기 시운전 정지는 운전원 실수…원안위 재가동 승인” (2026-09-04)
머니투데이, “‘차세대 SMR 상용화 달린다’ 원안위, 내년 3030억원 투입” (2026-09-01)
KR100575204B1, 한국전력공사(2012년 한국수력원자력으로 권리 전부 이전), “발전소의 터빈 계통을 제어하기 위한 삼중화 디지털 터빈제어시스템” — 2004-07-30 출원, 2006-04-28 등록, 2024-07-30 존속기간 만료(Google Patents 조회 기준). 운전감시조작기 GUI에서 운전원의 조작 실수를 예방하고 밸브 개도제어 프로그램이 최종 선택값으로 개도를 제어하는 구성을 청구하며, 본문 인터락의 선행기술로만 인용합니다.