결론부터 씁니다. 원자로보호계통(RPS)의 4채널 2-out-of-4 동시논리에서 설계자가 실제로 결정해야 하는 것은 “몇 개 중 몇 개”가 아니라 채널 하나를 뺐을 때 그 채널을 바이패스로 둘 것인가, 트립 상태로 둘 것인가입니다. 바이패스로 두면 논리는 2-out-of-3이 되어 단일고장에도 정지 기능이 유지되고, 트립 상태로 두면 1-out-of-3이 되어 남은 채널 하나의 오신호만으로 원자로가 정지합니다. 이 선택과 “두 채널 동시 바이패스 금지” 인터락을 하드웨어 수준에서 먼저 고정하지 않으면, 4채널 구성의 이점은 정비 기간 동안 사라집니다.
안전 인터락 조건부터 확인합니다
RPS 논리를 설명하기 전에 전제부터 고정합니다. 원자로 정지는 원자로정지차단기(RTB)의 부족전압 코일이 무여자되는 방향, 즉 전원이나 신호가 끊기면 정지하는 방향(De-energize to Trip)으로 동작해야 합니다. 이 글의 코드는 동시논리의 조건을 설명하기 위한 의사코드이며, 실제 정지 경로는 검증된 안전등급 플랫폼과 하드와이어 회로로 구성된다는 점을 먼저 밝혀 둡니다.
- □ 각 채널의 바이스테이블(Bistable) 출력은 정상 시 여자, 트립 시 무여자인지 확인. 채널 전원 상실이 곧 채널 트립이 되어야 합니다.
- □ 수동 정지 스위치가 논리 처리부를 거치지 않고 RTB 코일 회로를 직접 개방하는지 확인. 소프트웨어 경로에 수동 정지를 의존시키지 않습니다.
- □ 채널 바이패스 스위치는 채널당 1개, 물리적 키 방식이며 두 채널이 동시에 바이패스되지 않도록 하드와이어 상호 배제가 걸려 있는지 확인.
- □ 바이패스 상태가 제어실에 자동·연속 표시되는지 확인. 표시되지 않는 바이패스는 설계상 허용하지 않습니다.
- □ 채널 간 전원·배선·설치 구역이 물리적으로 분리되어 있는지(IEEE 384 기준 독립성) 확인.
2-out-of-4가 무엇을 막고 무엇을 허용하는가
동시논리의 목적은 두 가지 고장을 동시에 다루는 것입니다. 하나는 정지가 필요한데 정지하지 않는 부동작, 다른 하나는 정지가 필요 없는데 정지하는 오동작입니다. 4채널 중 2채널 트립을 요구하면 채널 하나가 고장으로 신호를 못 내도 나머지 3채널 중 2채널이 정지를 만들고, 채널 하나가 오신호를 내도 단독으로는 정지하지 않습니다.
문제는 정비와 교정입니다. 채널 하나를 시험하려고 빼는 순간 4채널은 3채널이 되고, 이때 남는 논리가 운전 상태를 결정합니다. 채널을 바이패스하면 2-out-of-3으로 재구성되어 부동작 여유(단일고장 허용)와 오동작 여유가 모두 유지됩니다. 채널을 트립 상태로 두면 1-out-of-3이 되어 부동작 쪽은 더 보수적이지만, 오동작 여유가 0이 됩니다.
IEEE 603은 안전계통이 단일고장에도 기능을 유지해야 한다는 원칙을 요구하고, 시험·정비 중의 바이패스도 그 원칙 안에서 허용 범위를 정하도록 합니다. 그래서 대부분의 4채널 설계는 “한 채널 바이패스 허용, 두 채널 동시 바이패스 금지”를 기본으로 잡습니다.
채널 정비 시 논리 전환 순서
- 정비 대상 채널 선정 후, 다른 채널이 바이패스 상태가 아닌지 제어실 표시로 확인합니다.
- 채널 바이패스 키 스위치를 조작합니다. 하드와이어 상호 배제가 다른 채널의 바이패스 입력을 물리적으로 차단합니다.
- 논리 처리부는 바이패스 입력을 받아 해당 채널을 투표에서 제외하고 2-out-of-3으로 재구성합니다.
- 바이패스 표시등과 경보가 제어실에 들어오는지 확인합니다.
- 채널 시험·교정 수행 후 바이스테이블이 정상(여자) 상태인지 확인하고 바이패스를 해제합니다.
- 해제 후 논리가 2-out-of-4로 복귀했는지, 바이패스 표시가 소등됐는지 확인합니다.
동시논리 의사코드 (IEC 61131-3 ST)
(* I/O MAP - 채널별 바이스테이블 및 바이패스 입력 *)
(* %I0.0 : DI_CH_A_NOT_TRIP - 채널 A 정상(여자)=1, 트립 또는 전원상실=0 *)
(* %I0.1 : DI_CH_B_NOT_TRIP *)
(* %I0.2 : DI_CH_C_NOT_TRIP *)
(* %I0.3 : DI_CH_D_NOT_TRIP *)
(* %I1.0 : DI_CH_A_BYPASS - 키 스위치, 하드와이어 상호배제 이후 신호 *)
(* %I1.1 : DI_CH_B_BYPASS *)
(* %I1.2 : DI_CH_C_BYPASS *)
(* %I1.3 : DI_CH_D_BYPASS *)
(* %Q0.0 : DO_RTB_UV_HOLD - 1=RTB 부족전압코일 여자 유지, 0=정지 *)
(* %Q0.1 : DO_BYPASS_ALARM - 제어실 바이패스 표시 *)
(* %Q0.2 : DO_DOUBLE_BYPASS_FAULT *)
(* 1. 채널별 유효 트립 판정 - 바이패스된 채널은 투표에서 제외 *)
X_TRIP_A := NOT DI_CH_A_NOT_TRIP AND NOT DI_CH_A_BYPASS;
X_TRIP_B := NOT DI_CH_B_NOT_TRIP AND NOT DI_CH_B_BYPASS;
X_TRIP_C := NOT DI_CH_C_NOT_TRIP AND NOT DI_CH_C_BYPASS;
X_TRIP_D := NOT DI_CH_D_NOT_TRIP AND NOT DI_CH_D_BYPASS;
N_TRIP := BOOL_TO_INT(X_TRIP_A) + BOOL_TO_INT(X_TRIP_B)
+ BOOL_TO_INT(X_TRIP_C) + BOOL_TO_INT(X_TRIP_D);
N_BYPASS := BOOL_TO_INT(DI_CH_A_BYPASS) + BOOL_TO_INT(DI_CH_B_BYPASS)
+ BOOL_TO_INT(DI_CH_C_BYPASS) + BOOL_TO_INT(DI_CH_D_BYPASS);
(* 2. 바이패스 0개: 2/4, 1개: 2/3 - 두 경우 모두 트립 2개 이상이면 정지 *)
(* 3. 바이패스 2개 이상은 하드와이어로 막혀야 하나, 감지되면 보수측(정지)으로 *)
IF N_BYPASS >= 2 THEN
DO_DOUBLE_BYPASS_FAULT := TRUE;
DO_RTB_UV_HOLD := FALSE; (* 보수측: 정지 *)
ELSIF N_TRIP >= 2 THEN
DO_RTB_UV_HOLD := FALSE; (* 동시논리 성립: 정지 *)
ELSE
DO_RTB_UV_HOLD := TRUE;
END_IF;
DO_BYPASS_ALARM := (N_BYPASS >= 1);
(* 주의: 수동 정지 스위치는 이 로직을 거치지 않고 RTB 코일 회로를 직접 개방 *)코드에서 눈여겨볼 곳은 3번 분기입니다. 두 채널 동시 바이패스는 하드와이어 상호 배제로 원천 차단하는 것이 원칙이고, 논리부의 감지는 그 하드웨어가 고장 났을 때의 2차 방어입니다. 2차 방어를 1차 방어로 삼는 설계는 허용하지 않습니다.
바이패스와 트립 상태 비교
| 구분 | 정상 | 1채널 바이패스 | 1채널 트립 유지 |
|---|---|---|---|
| 유효 논리 | 2/4 | 2/3 | 1/3 |
| 부동작 여유 | 채널 2개 고장까지 | 채널 1개 고장까지 | 채널 2개 고장까지 |
| 오동작 여유 | 오신호 1개까지 | 오신호 1개까지 | 오신호 0개 |
| 단일고장 기준 | 충족 | 충족 | 충족(정지 방향) |
| 운전 영향 | 없음 | 표시·경보 | 불시정지 위험 증가 |
표를 읽는 기준은 오동작 여유 줄입니다. 부동작 쪽은 두 방식 모두 단일고장 기준을 만족하므로, 정비 기간이 짧고 반복적인 채널이라면 바이패스 방식이 발전소 가용률 측면에서 유리합니다. 트립 유지 방식은 바이패스 설비 자체의 신뢰성을 믿기 어려운 경우나, 고장 채널을 장기간 복구하지 못하는 경우의 보수적 선택으로 남겨 두는 편이 맞습니다.
현장에서 놓치기 쉬운 지점
4채널이라는 숫자는 채널이 서로 독립일 때만 의미가 있습니다. 네 채널이 같은 전원 분전반, 같은 케이블 트레이, 같은 소프트웨어 버전을 공유하면 공통원인고장(CCF) 하나로 네 채널이 같은 방향으로 틀릴 수 있고, 이때 투표는 아무것도 걸러내지 못합니다. 그래서 디지털 RPS에서는 다양성(Diversity) 설계, 예를 들어 다른 원리의 정지 신호나 별도 플랫폼의 다양성 보호 계통을 함께 요구합니다.
또 하나는 바이패스 해제 확인입니다. 채널 교정 후 바이패스를 풀지 않고 방치하면 발전소는 2-out-of-3으로 계속 운전합니다. 기능상 단일고장 기준은 유지되지만, 그 상태에서 다른 채널을 정비하려는 순간 상호 배제에 막히거나 상호 배제가 고장이면 두 채널 바이패스가 됩니다. 바이패스 상태는 교대 인수인계 항목에 포함시키는 것이 실무상 안전합니다.
경계 조건
이 설계 판단이 틀리게 되는 조건은 두 가지입니다. 첫째, 바이패스 설비(키 스위치, 상호 배제 릴레이, 표시 회로)가 자체 고장 모드를 감시받지 못하는 구성이라면, 바이패스 방식은 보이지 않는 두 채널 바이패스를 만들 수 있으므로 트립 유지 방식이 오히려 안전합니다. 둘째, 채널 간 독립성이 확보되지 않은 경우에는 2/4와 2/3의 차이가 무의미해지고, 논리 선택보다 공통원인고장 대책이 먼저입니다.
단일 판단 기준은 이렇습니다. 바이패스 상태 자체가 하드와이어로 감시·표시·상호 배제되는 경우에만 1채널 바이패스(2/3) 방식을 택하고, 그렇지 않으면 정비 채널은 트립 상태로 둡니다.
