결론부터 씁니다. 공학적안전설비작동계통(ESFAS) 시퀀스에서 가장 자주 틀리는 부분은 작동 신호를 만드는 쪽이 아니라 작동 이후를 다루는 쪽, 즉 봉인(Seal-in)과 리셋입니다. 한번 시작된 안전 작동은 원인 신호가 사라져도 끝까지 진행되어야 하고, 신호 리셋과 기기 복귀는 서로 다른 두 단계의 운전원 의도적 조작으로 분리되어야 합니다. 이 두 단계를 하나의 리셋 버튼으로 묶은 설계는 리셋 한 번으로 안전 기능을 스스로 중단시킬 수 있습니다.
안전 인터락 조건부터 확인합니다
ESFAS는 원자로 정지와 달리 기기를 “움직이는” 계통입니다. 펌프를 기동하고, 밸브를 열거나 닫고, 격리 댐퍼를 닫습니다. 그래서 인터락도 “무엇이 작동을 막을 수 있는가”를 먼저 정의해야 합니다. 원칙은 단순합니다. 안전 작동 신호를 막을 수 있는 것은 허용 신호(Permissive) 조건 아래의 의도적 수동 차단뿐이고, 비안전 계통의 신호나 정상 운전용 인터락은 안전 작동을 막지 못합니다.
- □ 각 작동 기기의 제어 회로에서 ESFAS 작동 신호가 정상 운전 인터락(예: 저수위 기동 금지, 윤활유 압력 기동 금지 등)보다 우선하는지 확인. 우선순위는 회로 결선에서 확인하며 소프트웨어 설정만으로 확인하지 않습니다.
- □ 작동 신호 봉인이 원인 신호 소멸 후에도 유지되는지, 채널 전원 순간 상실 시 봉인 상태가 어느 방향으로 가는지 확인.
- □ 리셋이 “신호 리셋”과 “기기 리셋” 두 단계로 분리되어 있는지 확인.
- □ 원인 신호가 아직 존재하는 동안 신호 리셋이 차단되는지 확인.
- □ 수동 차단(Block)은 허용 신호가 성립한 동안에만 가능하고, 허용 조건이 소멸하면 자동으로 해제되는지 확인.
- □ 계통 수준 수동 작동 스위치가 자동 논리를 거치지 않고 작동 신호를 만들 수 있는지 확인.
작동 시퀀스를 단계로 나누면
ESFAS 시퀀스는 다음 순서로 전개됩니다. 공정 변수가 채널별 바이스테이블에서 설정값을 넘고, 동시논리가 성립하면 작동 신호가 만들어져 봉인됩니다. 봉인된 신호는 작동 기기 그룹별로 분배되어 펌프 기동, 밸브 위치 변경이 진행되고, 각 기기의 위치 확인 신호가 제어실로 돌아옵니다.
- 감지: 공정 변수(압력, 수위, 방사선 등)를 채널별로 측정하고 바이스테이블에서 설정값 초과를 판정합니다.
- 동시논리: 채널 투표(보통 2-out-of-4 또는 2-out-of-3)로 작동 신호 요구를 확정합니다.
- 봉인: 작동 신호를 래치합니다. 이후 원인 신호가 사라져도 작동 신호는 유지됩니다.
- 분배: 트레인별(A/B) 작동 릴레이로 기기 그룹에 신호를 보냅니다. 트레인 간 전기적 격리를 유지합니다.
- 작동 완료: 기기가 안전 위치에 도달하고 위치 확인 신호가 들어옵니다. 안전 작동은 이 시점까지 중단 없이 진행되어야 합니다.
- 신호 리셋: 원인 신호 소멸 확인 후 운전원이 신호를 리셋합니다. 기기는 아직 안전 위치에 머뭅니다.
- 기기 리셋: 운전원이 기기별로 개별 조작하여 정상 운전 상태로 되돌립니다.
IEEE 603은 안전 작동이 개시되면 완료까지 진행되고, 정상으로의 복귀는 운전원의 의도적 조작을 요구한다는 원칙을 담고 있습니다. 6단계와 7단계를 분리하는 이유가 여기에 있습니다. 신호 리셋이 곧 기기 복귀가 되는 구성에서는, 리셋 순간 작동 중이던 펌프가 멈추고 격리 밸브가 다시 열립니다.
봉인·리셋 의사코드 (IEC 61131-3 ST)
(* I/O MAP - 트레인 A 작동 논리 예시 *)
(* %I2.0 : DI_ACT_DEMAND_2OO4 - 동시논리 성립 신호 *)
(* %I2.1 : DI_MANUAL_ACT_SW - 계통 수준 수동 작동 (하드와이어 병렬 경로 존재) *)
(* %I2.2 : DI_SIG_RESET_PB - 신호 리셋 푸시버튼 *)
(* %I2.3 : DI_PERMISSIVE_OK - 허용 신호 성립 (예: 저압 운전 구간) *)
(* %I2.4 : DI_BLOCK_SW - 수동 차단 스위치 *)
(* %I2.5 : DI_PUMP_RUN_FB - 작동 펌프 운전 확인 *)
(* %I2.6 : DI_VLV_OPEN_FB - 작동 밸브 열림 확인 *)
(* %Q1.0 : DO_TRAIN_A_ACT - 트레인 A 작동 릴레이 *)
(* %Q1.1 : DO_ACT_COMPLETE_LAMP *)
(* %Q1.2 : DO_BLOCK_ACTIVE_ALM *)
(* 1. 수동 차단: 허용 신호 성립 중에만 유효, 조건 소멸 시 자동 해제 *)
X_BLOCK := DI_BLOCK_SW AND DI_PERMISSIVE_OK;
DO_BLOCK_ACTIVE_ALM := X_BLOCK;
(* 2. 봉인 - 원인 신호 소멸 후에도 유지 *)
IF (DI_ACT_DEMAND_2OO4 AND NOT X_BLOCK) OR DI_MANUAL_ACT_SW THEN
X_ACT_LATCH := TRUE;
END_IF;
(* 3. 신호 리셋 - 원인 신호가 남아 있으면 리셋 불가 *)
IF DI_SIG_RESET_PB AND NOT DI_ACT_DEMAND_2OO4 AND NOT DI_MANUAL_ACT_SW THEN
X_ACT_LATCH := FALSE;
END_IF;
DO_TRAIN_A_ACT := X_ACT_LATCH;
(* 4. 작동 완료 표시 - 기기 위치 확인 기반 *)
DO_ACT_COMPLETE_LAMP := X_ACT_LATCH AND DI_PUMP_RUN_FB AND DI_VLV_OPEN_FB;
(* 5. 기기 제어 회로는 자체 봉인을 가짐 - 신호 리셋으로 정지·복귀하지 않음 *)
(* 기기 복귀는 기기별 개별 조작으로만 수행 (이 로직 범위 밖) *)5번 주석이 핵심입니다. 트레인 작동 릴레이가 떨어져도 기기 제어 회로는 자체 봉인으로 안전 위치를 유지해야 합니다. 이 봉인이 기기 쪽에 없으면 3번 리셋 조건을 아무리 엄격하게 걸어도 리셋 순간 기기가 복귀합니다.
리셋 구성 방식 비교
| 방식 | 리셋 조작 | 리셋 시 기기 | 평가 |
|---|---|---|---|
| 단일 리셋 | 1회 | 즉시 복귀 | 작동 중단 위험 |
| 신호·기기 분리 | 2단계 | 안전 위치 유지 | 원칙 부합 |
| 분리 + 원인 확인 | 2단계 + 조건 | 안전 위치 유지 | 권장 |
| 시간 지연 자동 리셋 | 없음 | 자동 복귀 | 원칙 위배 |
표에서 결론은 세 번째 줄입니다. 신호와 기기를 분리하는 것만으로는 부족하고, 원인 신호가 남아 있는 동안 신호 리셋 자체를 막아야 합니다. 그렇지 않으면 리셋 직후 동시논리가 다시 성립해 작동 신호가 재발생하고, 운전원이 이미 개별 복귀시킨 기기와 재작동 신호가 충돌합니다.
허용 신호와 수동 차단의 함정
일부 작동 신호는 정상 기동·정지 과정에서 불필요하게 발생합니다. 예를 들어 저압 조건에서만 의미 있는 작동 신호는 원자로 냉각 후 계통 압력을 내릴 때 원치 않게 성립합니다. 그래서 허용 신호가 성립한 구간에서만 운전원이 수동으로 차단할 수 있게 하고, 허용 조건이 사라지면 차단이 자동 해제되도록 설계합니다.
현장에서 놓치는 지점은 “자동 해제”의 방향입니다. 차단 스위치를 유지형으로 두고 논리에서만 허용 신호와 AND를 거는 구성이면, 허용 조건이 사라질 때 차단은 풀리지만 스위치는 여전히 차단 위치에 있습니다. 다음 기동 사이클에서 허용 조건이 다시 성립하는 순간 차단이 운전원 의도 없이 재적용됩니다. 차단 스위치는 모멘터리형으로 두고 논리 내부에서 래치·해제하는 편이 의도와 상태를 일치시킵니다.
경계 조건
이 설계가 틀리게 되는 조건은 작동 기기 자체의 보호입니다. 작동 중인 펌프가 흡입 수원을 잃거나 모터가 과부하 상태인데 봉인 때문에 계속 운전하면 기기 손상으로 이어집니다. 그래서 일부 기기 보호는 안전 작동 중에도 유지되거나, 운전원이 판단해 개별 정지할 수 있어야 하며, 어떤 보호를 유지할지는 안전해석과 기기 설계에서 함께 정해야 합니다. 봉인을 “어떤 경우에도 정지 불가”로 해석하면 안 됩니다.
단일 판단 기준은 이렇습니다. 신호 리셋이 기기 상태를 하나도 바꾸지 않는 구성인지 확인하고, 바꾼다면 그 설계는 리셋 구조부터 다시 잡습니다.
