결론. 2026년 9월 4일 서울 여의도 FKI타워에서 열린 제56차 전력포럼(미래에너지정책연구원·이진숙 의원 공동 주최)에서 조성경 명지대 교수는 전국 성인 1234명 조사 결과를 제시했습니다. “고위험 상황에서 AI 분석을 신뢰한다”는 응답은 56.7%였지만 “원자력 안전에 AI의 자율 판단을 허용해야 한다”는 응답은 6.8%에 그쳤습니다. 같은 자리에서 박진표 법무법인 태평양 변호사는 원전 AI를 안전상 중요도·실패 시 결과·자율성에 따라 등급화하고, 사람이 필요할 때 작동을 멈추거나 개입할 수 있어야 하며 수동운전 전환과 비AI 방식 복귀 기능을 갖추도록 하는 법 제정안을 제시했습니다. 전장 엔지니어 시점의 결론은 이렇습니다. 운전·정비 AI는 원자로 보호계통(RPS)·공학적안전설비(ESF) 신호 경로에 물리적으로 접속되지 않는 “진단·자문 등급”에만 두고, 운전원 조작으로 이어지는 경로는 기존 절차서와 인터락을 그대로 유지하는 조건에서 유리합니다. AI 출력이 어떤 형태로든 제어 출력 접점에 닿는 순간 이 유리함은 사라집니다.
“사람이 멈출 수 있어야 한다”는 조건은 AI를 통제하는 최소 조건이지 충분 조건이 아닙니다. 멈춤 버튼이 있어도 AI 출력이 제어 명령 경로에 연결돼 있으면, 누군가 버튼을 누르기 전 몇 초 동안은 AI가 발전소를 운전한 것입니다. 접속 자체를 끊는 것이 첫 번째 인터락입니다.
배경을 짚겠습니다. 조성경 교수에 따르면 미국 디아블로캐니언 원전은 2024년 생성형 AI를 도입하면서 첫 임무로 운전 판단이 아니라 “근거 찾기”를 택했습니다. 직원들이 자료 검색에 연간 약 1만5000시간을 쓰는 점에 착안해 기술문서와 규제자료를 AI가 찾아주도록 한 것입니다. 미국 원자력규제위원회(NRC)는 AI 도입에 앞서 517개 규제지침을 다시 살펴, 기존 규정의 적용 가능성과 AI와 충돌하는 대목, 데이터·시험·검증 기준의 빈틈을 점검했습니다. 조 교수는 “원전 AI는 잘 작동한다는 것만 증명해서는 안 되며, 잘못 작동하더라도 안전하도록 설계해야 한다”고 강조했습니다. 패널로 참석한 이무열 미국 샌디아국립연구소 박사는 원전 AI 법제화가 “규제 완화가 아니라 책임과 검증의 규칙을 먼저 세우는 예방”이라고 정리했습니다.
현장에서 직관에 반하는 관찰이 하나 있습니다. “잘못 작동해도 안전하도록”이라는 요구는 AI 시대에 새로 생긴 것이 아니라, 릴레이 시퀀스 시절부터 보호 회로 설계의 기본 원칙(고장 시 안전 측, Fail-safe)과 같은 문장입니다. 무여자 트립(De-energize-to-trip) 회로는 전원이 끊기거나 접점이 떨어져도 안전 측으로 가도록 만들어져 있고, 원자로 보호계통은 이 원칙 위에 다중성·독립성을 얹은 것입니다. 따라서 원전 AI에 요구되는 것은 AI의 “정확도”를 높이는 일이 아니라, AI가 틀렸을 때 그 오류가 도달할 수 없는 회로 경계를 어디에 긋느냐는 전장 설계 문제입니다. 디아블로캐니언이 가장 똑똑한 AI가 아니라 가장 통제 가능한 업무(근거 찾기)부터 시작한 것은, 바로 그 경계를 문서 검색과 운전 판단 사이에 그은 결정입니다.
전제 조건(동작 타임차트 기준). 포럼에서 공개된 사실은 조사 수치(56.7%/6.8%), 디아블로캐니언 사례(2024년, 근거 찾기, 연 1만5000시간), NRC 517개 지침 재검토, 법 제정안의 원칙(등급화·인간 개입·수동 전환·비AI 복귀)입니다. 특정 원전의 실제 AI 적용 범위, 데이터 연계 방식, 고위험 AI의 검증 기준 세부 내용은 공개되지 않았습니다. 아래 인터락 순서와 I/O 맵은 이 원칙들을 전장 구성으로 옮긴 개념 예시입니다.
정상운전(계측 데이터가 단방향으로 AI 서버에 전달) → T0 이상 징후 발생 → T1 AI가 이상 상태 후보와 판단 근거(문서·운전변수)를 운전원 화면에 제시 → T2 운전원이 절차서를 확인하고 판단 → T3 운전원이 기존 HMI로 조작 → 이와 무관하게 보호계통은 자체 설정치 도달 시 T_trip에 자동 트립. AI 서버의 상태 변화가 T_trip에 영향을 주는 경로는 없음.
안전 인터락 확인 순서 (최우선)
- 보호계통 물리적 분리 확인 — RPS·ESF 등 안전 등급 계통과 AI 서버 사이에는 단방향 데이터 전송 장치(일방향 통신)만 두고, AI 측에서 안전 등급 계통으로 향하는 통신·접점 경로가 없음을 도면과 실물로 확인합니다. AI 서버의 모든 출력은 표시등·화면·기록에 한정합니다.
- 수동 트립·EMO 하드웨어 경로 유지 — 운전원 수동 트립과 비상정지(EMO) 회로는 AI 서버·HMI 소프트웨어 상태와 무관하게 하드와이어로 동작해야 하며, 어떤 AI 등급 설계에서도 이 경로를 소프트웨어로 대체하거나 우회하는 구성은 배제합니다.
- AI 정지 스위치의 위치 — 법 제정안이 요구하는 “작동을 멈출 수 있는” 기능은 AI 서버 측(자문 출력 차단)에 두고, 안전 등급 계통에는 손대지 않습니다. AI를 멈추는 행위가 발전소 제어에 어떤 부작용도 주지 않아야 합니다.
- 비AI 복귀 절차의 사전 검증 — AI 자문 화면이 사라진 상태에서도 기존 절차서와 HMI만으로 운전이 가능함을 정기적으로 확인합니다.
- 등급 확정 전 보수적 취급 — 안전상 중요도에 따른 등급화 기준이 확정되기 전에는 모든 운전·정비 AI를 고위험 등급으로 간주해 검증합니다.
원전 AI 자문 등급 I/O 맵 (예시)
| 신호명 | I/O 어드레스 | 타입 | 동작 조건 |
|---|---|---|---|
| 계측 데이터(단방향) | AI_PLANT_TAG_xxx | Analog In (일방향 수신) | 보호계통→AI 서버 방향만, 역방향 없음 |
| AI 서버 워치독 | DI_AI_HEALTH | Digital In | OFF 시 자문 화면 무효 표시, 발전소 제어 무관 |
| AI 자문 유효 | DO_AI_ADVISORY_LAMP | Digital Out (표시등) | 진단 등급 — 근거 문서 링크가 첨부된 경우에만 ON |
| 운전원 확인 | DI_OPR_ACK | Digital In | 운전원이 근거를 열람했음을 기록, 조작 권한과 무관 |
| AI 정지 | DI_AI_STOP | Digital In | AI 자문 출력 즉시 차단, 보호계통·HMI 영향 없음 |
| 수동 트립 | DI_MANUAL_TRIP | Digital In (하드와이어) | 보호 등급 — AI·HMI 상태와 무관 |
| AI→구동기 출력 | (없음) | — | 설계 원칙: AI 서버에서 밸브·펌프·제어봉으로 가는 출력 접점을 두지 않음 |
이 I/O 맵의 시사점은 한 줄입니다. 표의 마지막 행 “AI→구동기 출력: 없음”이 이 설계의 핵심이며, DO_AI_ADVISORY_LAMP 외의 어떤 Digital Out도 AI 서버에 배정하지 않는 것이 6.8%라는 국민 수용도와 법 제정안의 “인간 개입 보장”을 동시에 만족하는 유일한 전장 구성입니다.
PLC 로직 스니펫 (IEC 61131-3 Structured Text 의사코드)
(* 원전 AI 자문 등급 로직 - 진단/표시 전용, 보호 등급(DI_MANUAL_TRIP, RPS)과 완전 분리 *)
(* 주의: 특정 원전의 실제 로직이 아니라 포럼에서 제시된 원칙(등급화, 인간 개입, 비AI 복귀)을 옮긴 개념 예시 *)
VAR
DI_AI_HEALTH : BOOL; (* AI 서버 워치독, 주기 미수신 시 FALSE *)
DI_AI_STOP : BOOL; (* 운전원 AI 정지 스위치 *)
DI_OPR_ACK : BOOL; (* 운전원 근거 열람 확인 *)
AI_HAS_EVIDENCE : BOOL; (* AI가 근거 문서/운전변수 링크를 첨부했는지 *)
DO_AI_ADVISORY_LAMP : BOOL;
AI_ADVISORY_VALID : BOOL;
END_VAR
(* 자문 유효 조건: 서버 정상 AND 정지 아님 AND 근거 첨부 *)
AI_ADVISORY_VALID := DI_AI_HEALTH AND NOT DI_AI_STOP AND AI_HAS_EVIDENCE;
(* 유일한 출력: 표시등. 구동기(밸브/펌프/제어봉)로 가는 DO는 이 프로그램에 존재하지 않음 *)
DO_AI_ADVISORY_LAMP := AI_ADVISORY_VALID;
(* 기록: 운전원이 근거를 열람한 시각을 로그에 남김 - 조작 권한과 무관 *)
IF AI_ADVISORY_VALID AND DI_OPR_ACK THEN
(* LOG_EVENT(AI_EVIDENCE_ACK) *)
END_IF;
(* 보호 등급(수동 트립, RPS 자동 트립)은 본 로직 외부의 하드와이어 회로가 담당 - 여기서 참조하지 않음 *)경계 조건 — 현장 변수 대응
이 설계 원칙의 유리함이 뒤집히는 지점은 “자문”이 사실상 “지시”로 읽히는 상황입니다. AI가 제어 출력에 접속되지 않았더라도, 잘못된 문서를 근거로 제시하거나 근거 없이 결론만 띄우면 운전원의 판단이 그쪽으로 끌려가는 인적 오류 경로가 열립니다. 그래서 위 로직에서 AI_HAS_EVIDENCE가 없으면 자문 자체를 무효로 처리했지만, 첨부된 근거가 최신 개정판인지, 해당 호기 도면인지는 로직이 판단할 수 없습니다 — 이 검증은 문서 관리 체계와 절차서 쪽 몫입니다. 또한 단방향 통신 장치의 실제 격리 성능, 계측 데이터 전송 지연과 노이즈가 AI 판단 시점(T1)에 미치는 영향은 파형 분석과 실측이 필요한 항목입니다. 등급화 기준과 고위험 AI 검증 기준의 세부 내용이 확정되면, 자문 등급의 범위(예: 정비 계획 추천까지 허용할지)를 다시 그어야 합니다. 단일 선택 기준은 하나입니다 — AI 서버에서 구동기로 가는 출력 접점이 도면상 0개인지 확인하고, 0개가 아니면 그 AI는 자문 등급이 아니라 고위험 제어 등급으로 검증합니다.
참고자료
- 전기신문, “원전 운전·정비 넘보는 AI…사람 대신 판단해도 될까” (2026-09-04 12:51 입력, 2026-09-07 09:52 수정, 정세영 기자) — 제56차 전력포럼(2026-09-04, FKI타워), 조성경 명지대 교수 조사(1234명, 56.7%/6.8%), 디아블로캐니언 2024년 사례, NRC 517개 지침 재검토, 박진표 변호사 법 제정안, 이무열 샌디아국립연구소 박사·김서곤 광장 고문·이주헌 송율 변호사 발언.
- 특허 EP4254430A1 “Device and method for tracking basis of abnormal state determination by using neural network model” (Korea Hydro & Nuclear Power Co Ltd, 출원 2021-11-15, 공개 2023-10-04, 법적상태 Pending, WO2022114634A1 동일 패밀리, KR 우선권 2020년). 청구항 1은 이상 상태 분류부·운전변수 도출부·운전변수 가중치부·판단 근거 생성부로 구성된 “이상 상태 판단 근거 추적 장치”를 청구하며, 이번 글의 AI_HAS_EVIDENCE 조건에 해당하는 설명가능성(근거 제시) 기술의 선행기술로 인용합니다. 이 특허는 진단·근거 추적 장치이며 구동기 제어를 청구하지 않습니다. KR 등록 여부는 별도 확인이 필요합니다(Google Patents 직접 조회).