결론부터 씁니다. 안전계통 계측 채널의 드리프트는 교정 주기만으로 관리되지 않습니다. 교정은 주기 사이의 드리프트를 설정값 불확도에 미리 반영해 두는 “사후 보증”이고, 주기 사이에 실제로 드리프트를 잡아내는 것은 채널 점검(Channel Check), 즉 같은 변수를 재는 채널끼리의 비교입니다. 그런데 채널끼리만 비교하면 모든 채널이 같은 방향으로 움직이는 공통 드리프트는 잡히지 않습니다. 채널 비교 로직을 짤 때는 독립 기준 하나를 반드시 함께 둬야 합니다.
안전 인터락 조건부터 확인합니다
드리프트 감시 로직은 안전 채널의 데이터를 읽어 경보를 만드는 “감시 기능”입니다. 이 기능이 안전 채널의 트립 판정이나 설정값에 되먹임되는 구조는 허용하지 않습니다. 감시가 틀리더라도 보호 기능은 그대로 동작해야 합니다.
- □ 채널 비교 로직이 비안전 영역에 있고, 안전 채널로부터 단방향으로 데이터를 받는지 확인.
- □ 편차 경보가 채널 바이패스나 트립을 자동으로 만들지 않는지 확인. 채널 운영 상태 변경은 운전원 판단과 절차로만 수행합니다.
- □ 교정 중인 채널은 채널 바이패스 절차를 먼저 따르고, 비교 로직에서도 제외 표시가 되는지 확인.
- □ 교정 기준기의 추적성(국가 표준 소급)과 유효 기간이 교정 기록에 남는지 확인.
설정값과 드리프트의 관계
안전 채널의 트립 설정값은 한 번에 정해지지 않습니다. ISA 67.04 계열의 설정값 방법론은 세 개의 값을 구분합니다. 안전해석이 보호를 가정한 해석 한계(Analytical Limit), 기술지침서에 들어가는 허용값(Allowable Value), 실제 계측기에 입력하는 트립 설정값(Trip Setpoint)입니다. 해석 한계와 트립 설정값 사이의 여유에는 센서 정확도, 공정 측정 오차, 환경 영향, 그리고 교정 주기 동안의 드리프트가 들어갑니다.
이 구조에서 드리프트는 “교정 주기 동안 이만큼은 움직여도 된다”는 예산입니다. 주기를 늘리면 드리프트 예산이 커지고, 예산이 커지면 트립 설정값이 해석 한계에서 더 멀어져야 합니다. 즉 교정 주기 연장은 운전 여유를 깎아 먹는 결정이며, 주기를 늘리려면 그 기간의 실측 드리프트 데이터가 근거로 있어야 합니다.
점검 구분과 실행 항목
- 채널 점검: 같은 변수를 측정하는 채널들의 지시값을 서로 비교하는 정성적 확인. 운전 중 짧은 주기로 수행합니다.
- 채널 기능 시험: 채널에 모의 신호를 넣어 바이스테이블과 경보·트립 출력이 설정값에서 동작하는지 확인.
- 채널 교정: 센서를 포함한 채널 전체를 기준 신호로 조정해 정확도를 복원.
- As-Found / As-Left 기록: 교정 전 값(As-Found)과 교정 후 값(As-Left)을 모두 남깁니다. 드리프트 추세는 As-Found에서만 보입니다.
- 추세 분석: 채널별 As-Found 편차를 교정 회차별로 누적해 드리프트 방향과 크기를 확인합니다.
4번이 현장에서 가장 자주 빠집니다. As-Left만 기록하면 매번 “정상”으로 남고, 채널이 주기마다 같은 방향으로 한계까지 움직였다는 사실이 기록에서 사라집니다.
채널 비교 의사코드 (IEC 61131-3 ST)
(* I/O MAP - 비안전 감시 영역, 안전 채널로부터 단방향 수신 *)
(* %IW30 : AI_CH_A_VAL - 채널 A 공학값 *)
(* %IW31 : AI_CH_B_VAL *)
(* %IW32 : AI_CH_C_VAL *)
(* %IW33 : AI_CH_D_VAL *)
(* %IW34 : AI_REF_INDEP - 독립 기준 (다른 측정 원리로 얻은 동일 변수 추정값) *)
(* %I7.0~%I7.3 : DI_CH_A_OOS ~ DI_CH_D_OOS - 교정·바이패스로 비교 제외 *)
(* %Q5.0~%Q5.3 : DO_CH_A_DEV_ALM ~ DO_CH_D_DEV_ALM - 채널별 편차 경보 *)
(* %Q5.4 : DO_COMMON_DRIFT_ALM - 공통 드리프트 의심 경보 *)
(* 1. 유효 채널의 중앙값 - 평균이 아닌 중앙값으로 단일 이탈 채널 영향 배제 *)
X_MED := MEDIAN_OF_VALID(AI_CH_A_VAL, AI_CH_B_VAL, AI_CH_C_VAL, AI_CH_D_VAL,
DI_CH_A_OOS, DI_CH_B_OOS, DI_CH_C_OOS, DI_CH_D_OOS);
(* 2. 채널별 편차 - R_DEV_TH 는 교정 허용오차보다 크고 설정값 여유보다 작게 *)
DO_CH_A_DEV_ALM := NOT DI_CH_A_OOS AND (ABS(AI_CH_A_VAL - X_MED) > R_DEV_TH);
DO_CH_B_DEV_ALM := NOT DI_CH_B_OOS AND (ABS(AI_CH_B_VAL - X_MED) > R_DEV_TH);
DO_CH_C_DEV_ALM := NOT DI_CH_C_OOS AND (ABS(AI_CH_C_VAL - X_MED) > R_DEV_TH);
DO_CH_D_DEV_ALM := NOT DI_CH_D_OOS AND (ABS(AI_CH_D_VAL - X_MED) > R_DEV_TH);
(* 3. 공통 드리프트 - 채널끼리는 일치하나 독립 기준과 벌어질 때 *)
TON_COMMON(IN := ABS(X_MED - AI_REF_INDEP) > R_COMMON_TH, PT := T_COMMON);
DO_COMMON_DRIFT_ALM := TON_COMMON.Q;
(* 경보만 발생. 트립·바이패스·설정값 변경으로 되먹임하지 않음 *)2번 주석의 편차 임계값 범위가 실무 포인트입니다. 임계값을 교정 허용오차보다 작게 잡으면 정상 범위 안의 채널 차이로 경보가 계속 뜨고, 운전원은 그 경보를 무시하는 습관을 갖게 됩니다. 설정값 여유보다 크게 잡으면 경보가 뜨는 시점에 이미 채널이 허용값을 넘어 있을 수 있습니다.
비교 기준별 검출 능력
| 비교 방식 | 단일 채널 이탈 | 공통 드리프트 | 구현 부담 |
|---|---|---|---|
| 채널 평균 대비 | 검출(평균 오염) | 불가 | 낮음 |
| 채널 중앙값 대비 | 검출 | 불가 | 낮음 |
| 독립 기준 대비 | 간접 검출 | 검출 | 중간 |
| 중앙값 + 독립 기준 | 검출 | 검출 | 중간 |
표가 말하는 것은 단순합니다. 채널끼리의 비교는 몇 번을 겹쳐도 공통 드리프트를 볼 수 없습니다. 같은 제조사·같은 모델·같은 교정 절차로 관리되는 채널들은 공통 드리프트 가능성을 배제하기 어렵기 때문에, 원자로 출력처럼 서로 다른 원리로 추정할 수 있는 변수(예: 중성자속 계측과 열출력 계산)는 독립 기준 비교를 함께 두는 것이 합리적입니다.
경계 조건
이 설계가 틀리게 되는 조건은 독립 기준의 신뢰도가 채널보다 낮은 경우입니다. 독립 기준이 계산값이라면 그 계산에 들어가는 입력(유량, 온도 등)의 오차와 응답 지연이 기준값에 그대로 실립니다. 과도 운전 중에는 기준값과 채널값의 시간 지연 차이로 편차가 벌어지므로, 공통 드리프트 판정은 정상 상태 운전 구간에서만 유효하게 둬야 합니다. 과도 구간에서의 편차 원인은 파형 분석 및 실측 요망 사항입니다.
단일 판단 기준은 이렇습니다. 같은 변수를 다른 원리로 추정할 수 있는 채널에는 독립 기준 비교를 추가하고, 추정 수단이 없는 채널은 As-Found 추세 분석으로 교정 주기를 방어합니다.
